🇺🇸 Госдеп США оценил ключевую фигуру группировки 🐲Hafnium в $10 млн

Государственный департамент 🇺🇸США объявил награду до $10 млн по программе Rewards for Justice за информацию о местонахождении 44-летнего гражданина 🇨🇳Китая Чжан Юя. Директор шанхайской компании Shanghai Firetech Information Science and Technology обвиняется в руководстве операциями государственной атакующей группировки Hafnium, краже конфиденциальных исследований вакцин против COVID-19 и взломе тысяч серверов по всему миру.

Обвинительное заключение по девяти пунктам утвердил федеральный суд Южного округа Техаса. Согласно материалам Министерства юстиции США, Чжан Юй и его сообщник, 34-летний генеральный менеджер компании Shanghai Powerock Network Сюй Цзэвэй, проводили якобы кибератаки по прямому поручению Министерства государственной безопасности 🇨🇳Китая и шанхайского Бюро государственной безопасности. Хакеры якобы регулярно направляли отчёты кураторам из спецслужбы, и в одном из эпизодов Сюй подтвердил успешную компрометацию сети крупного медицинского исследовательского университета в Техасе.

Оперативная активность группы делилась на два этапа. На первой фазе с февраля по апрель 2020 года злоумышленники атаковали американские университеты, вирусологов и иммунологов, похищая гигабайты закрытых данных о вакцинах и методах лечения коронавируса. На второй фазе в конце 2020 года группа развернула масштабную кампанию против почтовых систем под эгидой группировки Hafnium, также отслеживаемой аналитиками как Silk Typhoon. В атаках применялась цепочка из четырёх уязвимостей нулевого дня в программном обеспечении Microsoft Exchange Server, что позволяло внедрять веб-шеллы и закрепляться на скомпрометированных узлах. Как подчеркнул помощник директора киберотдела ФБР Бретт Лизерман, через инфраструктуру Hafnium китайская сторона атаковала свыше 60 000 американских организаций и успешно проникла в сети более чем 12 700 субъектов, включая международную юридическую фирму с офисом в Вашингтоне и оборонные институты.

Утверждается, что Чжан Юй, возможно, скрывается на территории 🇨🇳Китая, его сообщник Сюй Цзэвэй был задержан полицией 🇮🇹Италии в июле 2025 года во время отпуска в Милане. В апреле 2026 года итальянские власти экстрадировали Сюя в 🇺🇸США, где он предстал перед судом в Хьюстоне и заявил о своей невиновности. Как отметили эксперты исследовательской группы SentinelLabs, компания Shanghai Firetech владела десятками патентов на скрытное извлечение данных из защищённых компьютеров Apple, перехват трафика сетевых маршрутизаторов и контроль бытовой электроники, что свидетельствует о наличии глубокого непубличного арсенала наступательного вредоносного ПО у подрядчиков спецслужб.

✋ @Russian_OSINT

🇧🇷ИБ-исследователь собрал каталог ИИ-моделей для 💻 пентеста, 🎩 Red Teaming и 👀 OSINT

Бразильский эксперт по информационной безопасности Жоас Антонио Сантос, автор профильных книг и преподаватель из Сан-Паулу, а также основатель Red Team Leaders, опубликовал на GitHub структурированный справочник ИИ-моделей с открытыми весами без этических ограничений (uncensored), ориентированных на авторизованный пентест, операции Red Team и исследования в сфере наступательной кибербезопасности.

Сам Сантос специализируется на разработке автономных ИИ-агентов для тестирования на проникновение и сотрудничает с проектами MITRE ATT&CK и ATLAS. В его каталог вошли 27 ИИ-моделей с открытыми весами, разбитых по назначению и методам снятия ограничений.

Значительная часть подборки — это специализированные модели, прошедшие контролируемое дообучение (SFT) на отчётах об уязвимостях, данных программ 😆Bug Bounty (HackerOne) и базах эксплойтов. Другая группа — универсальные модели, цензура в которых снята методом аблитерации (направленной модификации весов в остаточном потоке без полного переобучения).

Спектр решений варьируется от узкопрофильных инструментов для генерации эксплойтов и шаблонов Nuclei (BugTraceAI-CORE-Ultra) до тяжёлых флагманов масштаба сотен миллиардов параметров вроде CYBER-FROST-3.8 и GLM-5.3-CYBER. Для практического применения автор систематизировал требования к оборудованию: компактные квантованные модели под Ollama и llama.cpp запускаются локально на видеокартах с 6–24 ГБ видеопамяти, а для распределённых систем приведены конфигурации многопроцессорных GPU-кластеров и API-шлюзы инференса.

Помимо наступательных инструментов, в каталог включены решения для смежных задач: модели для OSINT и атрибуции атакующих группировок (REDCELL-26B), а также защитные модели для аналитиков SOC и расследования инцидентов (CyberPal 2.0).

❗️ https://github.com/JoasASantos/Offensive-Security-AI-Models

👨‍🎓Использование дообученных ИИ-моделей допустимо исключительно в законных и образовательных целях.

✋ @Russian_OSINT

«Белый дом считает любого, кто использует термин „искусственный интеллект“ (Artificial Intelligence) вместо получившего всеобщее признание нового и более точного термина „суперинтеллект“ (Super Intelligence), ВРАГОМ! Президент ДОНАЛЬД ДЖ. ТРАМП»

— написал президент США "с 🧠 высоким IQ" в социальных сетях.

✋ @Russian_OSINT

🤖Роботы станут экономически выгоднее 90% физического труда лишь через 53 года при благоприятном сценарии

В исследовании компании Anthropic «What work can robots do?», опубликованном 30 сентября 2026 года, экономисты Рассел Легейт-Янг и Максим Массенкофф оценили возможности современных физических роботов по автоматизации труда и сопоставили их с воздействием языковых ИИ-моделей. Базой для анализа послужил каталог профессий O*NET, охватывающий около 900 профессий и порядка 19 000 рабочих задач, из которых 7 594 задачи были выделены как физические.

🤖Какие результаты получили?

▪️Роботы уже сегодня технически способны выполнять 74% физических задач в 🇺🇸США, что эквивалентно 34% всех рабочих часов в американской экономике.
▪️Главный вывод авторов заключается в огромном разрыве между техническими возможностями и коммерческой выгодой. Роботы экономически выгоднее живых работников лишь для 0,3% рабочих задач.
▪️Упаковщики и фасовщики стали крупнейшей профессиональной группой, где роботы уже сейчас выгоднее живого труда, поскольку годовые затраты на роботов в расчёте на одного замещаемого работника составляют около $45 400 против $49 000 общих затрат на человека.
▪️В большинстве других физических профессий роботы обходятся во много раз дороже людей, например в профессиях посудомойщиков, уборщиков или сварщиков затраты на роботов многократно превышают оплату труда работника.
▪️Дефицит физической ловкости и моторики блокирует автоматизацию 50% физических задач, поскольку роботы пока не умеют уверенно манипулировать объектами или распутывать провода.

Примечательно, что исторически цены на промышленных роботов снижаются примерно на 3% в год. При сохранении этой динамики роботы станут экономически выгоднее живого труда для 10% рабочих задач только через 40 лет. При базовых темпах удешевления роботы станут экономически рентабельными для половины физической работы в экономике лишь к 2085 году.

👆В сценарии ускоренной адаптации, где затраты с поправкой на качество падают до 4 раз быстрее, а освоение новых задач идёт вдвое быстрее исторических показателей, роботы станут экономически выгоднее половины физического труда только к 2050 году. Для достижения планки в 90% физического труда даже при таком оптимистичном сценарии потребуется 53 года.

✋ @Russian_OSINT

🇩🇰Пароль «123456» помог скомпрометировать персональные данные 8,8 миллиона жителей Дании

Центральный регистр населения Дании допустил крупнейшую в истории страны компрометацию персональных данных, затронувшую сведения о 8,8 млн человек. Доступ к государственному реестру злоумышленник получил через стороннюю частную компанию, учётные записи которой были защищены примитивным паролем.

Вектор атаки через цепочку поставок подробно описала датская газета Politiken. Журналисты издания связались непосредственно со взломщиком, который передал редакции материалы утечки данных. По его данным, ему удалось извлечь сведения чуть более 8,7 млн человек (5,5 млн ныне живущих и 3,3 млн умерших датчан).

Масштаб утечки охватил почти всю национальную базу данных. Всего система CPR содержит около 11 млн записей, включая ныне живущих граждан, эмигрантов и умерших людей. В распоряжении атакующего оказались полные имена, адреса проживания и персональные идентификационные номера (CPR-номера) 8,8 млн человек. Власти уточнили, что атака не коснулась сведений тех жителей, которые заранее оформили официальную государственную защиту персональных данных от отображения в публичных выписках.

Точкой входа для взлома послужила небольшая компания Pays с острова Фюн. На основании параграфа 38 закона о CPR частные организации с подтверждённым законным интересом имеют право запрашивать данные из государственной системы в отношении лиц, которых компания уже предварительно идентифицировала самостоятельно. Журналисты выяснили, что как минимум три корпоративных аккаунта Pays с прямым доступом к реестру использовали пароль 😹«123456». Это позволило злоумышленнику войти в реестр под видом доверенной организации и на протяжении сентября беспрепятственно выгружать персональные данные граждан через штатный интерфейс поиска.

На текущий момент доступ компании Pays к реестру полностью заблокирован. В официальном коммюнике Министерства высшего образования, науки и цифровизации Дании сообщается, что уведомление об инциденте направлено в датскую инспекцию по защите данных (Datatilsynet), а 👮полиция и профильные службы ведут расследование.

👆Министр высшего образования, науки и цифровизации Дании Кристина Эгелунд проинформировала профильный комитет парламента и потребовала провести внеплановый технический аудит CPR. Власти также продлили часы работы национальной горячей линии кибербезопасности и предупредили граждан об угрозе мошеннических звонков и фишинговых писем, ведь наличие у злоумышленников точных CPR-номеров делает персонализированные атаки социальной инженерии правдоподобными.

✋ @Russian_OSINT

❗️Критическая уязвимость в компиляторе регулярных выражений GitLab открывает путь к удалённому выполнению кода

Разработчики выпустили экстренные патчи версий 19.4.2, 19.3.4 и 19.2.8 для редакций Community Edition и Enterprise Edition. Обновления устраняют критическую уязвимость CVE-2026-97229 с максимальной оценкой 10,0 баллов по шкале CVSS. Ошибка переполнения целых чисел в механизме компиляции регулярных выражений CI/CD позволяет неаутентифицированным злоумышленникам удалённо выполнять произвольный код на целевых серверах, о чём сообщило издание BleepingComputer.

Уязвимость обнаружил ИБ-исследователь под псевдонимом joaxcar, который передал отчёт через официальную программу выплаты вознаграждений за найденные ошибки на платформе HackerOne. Проблема локализована в компоненте CI/CD Regular Expression Compiler, отвечающем за синтаксический анализ, компиляцию и вычисление регулярных выражений в файлах конфигурации конвейеров. Из-за недостаточной проверки регулярных выражений атакующий может внедрить специально сформированную конструкцию в конфигурацию CI/CD и использовать целочисленное переполнение для выполнения произвольных системных команд без авторизации.

Вместе с критической проблемой разработчики GitLab закрыли ряд других опасных уязвимостей. Среди них выделяются межсайтовый скриптинг CVE-2026-92883 в модуле подсветки синтаксиса с оценкой CVSS 8,7, о котором сообщил пользователь a0xnirudh, и ошибка разграничения доступа CVE-2026-16301 в службе создания дочерних конвейеров. Кроме того, внутренняя проверка выявила уязвимость CVE-2026-96893 в платформе GitLab Duo Agent Platform, связанную с некорректной нейтрализацией входных данных при формировании контекста промптов для больших языковых моделей.

👆Платформой пользуются свыше 30 млн зарегистрированных пользователей и более 50% корпораций из списка Fortune 100, включая Nvidia, T-Mobile, Lockheed Martin, Airbus и Goldman Sachs. Облачный сервис GitLab[.]com уже обновлён до безопасной версии, а клиентам изолированного сервиса GitLab Dedicated не требуется предпринимать никаких действий. Владельцам локальных автономных инсталляций рекомендовано применить патчи в срочном порядке.

✋ @Russian_OSINT

💡Вдруг будет полезно...

Сайт отслеживает внеочередные сбросы лимитов 👩‍💻 OpenAI Codex, которые анонсирует руководитель продуктов OpenAI Тибо Сотьо.

⏳Например, один из сбросов произошёл сегодня утром.

https://codex-resets.com
и тг канал есть отдельно.

✋ @Russian_OSINT

🌐 Google выплатила исследователю вознаграждение в размере 💻$90 000

ИБ-исследователь Саймон Кёк из Австрии выявил критическую уязвимость удалённого выполнения кода (RCE) на порталах экосистемы Google DevSite и получил за отчёт вознаграждение в размере $90 000.

При обращении к OAuth-эндпоинту /oauth2authorize на developers.google.com сервер устанавливал сессионную куку Flask нетипично большого размера, около 1200 байт. Исследователь распаковал сжатие zlib и обнаружил внутри сериализованный объект Python, в котором в открытом виде содержался секрет клиента client_secret.

Главная проблема заключалась в том, что этот же секрет был задан в приложении как переменная SECRET_KEY для формирования подписи сессии. Библиотека itsdangerous формирует подпись на базе алгоритма HMAC-SHA1. Извлечённый секрет позволил исследователю автономно рассчитывать валидную подпись для любых произвольных данных, в результате чего сервер безоговорочно принимал поддельные сессии. На этапе возврата ответа авторизации серверный бэкенд считывал состояние сессии и передавал полезную нагрузку в небезопасный десериализатор pickle.loads(...). В формате Python Pickle опкод REDUCE вызывает указанную функцию с переданными аргументами, поэтому наличие валидной подписи превратило подделку куки в прямое RCE без аутентификации. Для безопасного доказательства концепции исследователь передал объект с методом __reduce__, вызывающим time.sleep(N). Сервер выполнял команду и удерживал соединение ровно заданное число секунд.

Поскольку платформа DevSite является общей для всей документации Google, скомпрометированный ключ позволял подписывать сессии сразу для семи доменов, включая 🤦‍♂️firebase.google.com и developer.android.com. Инженеры Google устранили уязвимость четырьмя шагами: отозвали скомпрометированные ключи OAuth, выделили для каждого сервиса изолированный серверный SECRET_KEY, перенесли хранение сессий на бэкенд и полностью исключили использование pickle при обработке входящих данных.

🕔Хронология событий и вознаграждение📢

▪️6 августа 2026 года исследователь отправил технический отчёт в команду Google Bug Hunters.
▪️7 августа 2026 года отчёт прошёл первичную обработку, и в 16:23 инженеры подтвердили наличие критической проблемы.
▪️27 августа 2026 года вендор утвердил итоговую выплату за уязвимость класса S0 RCE на сервисах категории T2. К базовой ставке в $75 000 был применён коэффициент 1,2 за образцовое качество отчёта, что довело сумму награды до $90 000.
▪️7 октября 2026 года все защитные патчи были развёрнуты на серверах компании.
▪️12 октября 2026 года автор опубликовал открытый отчёт после полного устранения угрозы.

✋ @Russian_OSINT