Что тут интересного? А то, что попадание этого служебного ящика в публичный доступ может теперь сыграть плохую шутку. В криминальной среде давно отработана схема, когда злоумышленники выдают себя за представителей силовых структур и рассылают технологическим компаниям 🎩поддельные запросы со скомпрометированных правительственных почтовых учётных записей. Используя социальную инженерию, атакующие обманом вынуждают площадки выдавать персональные данные пользователей без реальных судебных решений. Публичная засветка закрытого контактного адреса для силовиков США почти наверняка спровоцирует волну целевых атак со стороны группировок, промышляющих нелегальным пробивом данных по поддельным ордерам. В ближайшей перспективе команде Павла Дурова, скорее всего, придётся менять скомпрометированный канал связи и переходить от приёма писем на закрытые ящики к полноценным защищённым порталам верификации правоохранителей, которые давно стали отраслевым стандартом для мировых IT-корпораций.

🇫🇷👮Раскрытая переписка наглядно иллюстрирует разворот в политике конфиденциальности компании за последние два года. Ещё к прошлому январю, согласно предыдущему расследованию того же издания, администрация платформы передала властям США сведения о 2 253 пользователях. Системная обработка государственных запросов началась только после августа 2024 года, когда во Франции задержали генерального директора Telegram Павла Дурова, причём одним из ключевых поводов для ареста стал именно отказ мессенджера помогать следствию в деле о жестоком обращении с детьми. С того момента некогда неприступная площадка превратилась из сервиса, который, как утверждали многие, почти никогда не делился информацией с властями, в современную технологическую платформу, поставившую выполнение законных требований силовиков на поток из-за постепенного расширения масштаба своей деятельности.

👀 Попробовал глянуть цифры в динамике: За этой сговорчивостью с государственными регуляторами стоит и колоссальная финансовая трансформация самого бизнеса за 📈последние пять лет. Ещё в январе 2021 года ежемесячная аудитория мессенджера насчитывала 500 млн человек, а проект вообще не приносил выручки и жил за счёт размещения долговых облигаций, общий объём которых за четыре года достиг $2,4 млрд. Перелом наступил после запуска рекламной платформы и платной подписки в 2022 году, когда по подсчётам Business of Apps годовой доход стартовал со скромных $30 млн и уже в 2023 году вырос до $342 млн при чистом убытке в $173 млн. В 2024 году компания впервые в истории вышла в плюс и согласно закрытой презентации для инвесторов, изученной журналистами Financial Times, нарастила годовую выручку до $1,4 млрд с чистой прибылью $540 млн на фоне взрывного роста мини-приложений и криптоэкосистемы TON. В марте 2025 года платформа официально пробила планку в 1 млрд активных пользователей в месяц, база платных подписчиков Telegram Premium по сводкам SQ Magazine увеличилась до 15 млн человек, а выручка только за первое полугодие 2025 года по данным аналитиков Resourcera подскочила ещё на 65% и составила $870 млн. Когда некогда дотационный стартап превращается в гиганта с миллиардными оборотами, зависит от магазинов приложений Apple и Google и рефинансирует облигации перед крупными институциональными фондами с прицелом на будущее IPO, игра в цифровую вольницу заканчивается, а системный комплаенс и выдача данных по судебным ордерам становятся неизбежной платой за сохранение бизнеса.

*Дуров внесен в перечень террористов и экстремистов Росфинмониторинга

✋ @Russian_OSINT

▫️ Mantis — открытый модульный инструментарий от инженеров Google для ИИ-агентов разработки, позволяющий автономно находить, воспроизводить и исправлять уязвимости в кодовых базах. Проект объединяет набор из 19 специализированных навыков и эталонную обвязку на базе ADK (Agent Development Kit). Платформа не привязана к конкретному стеку технологий. Её можно адаптировать под специализированные направления, включая скомпилированные прошивки, микроэлектронику (Hardware/RTL), конфигурации инфраструктуры как кода (IaC) и конвейеры машинного обучения (ML pipelines).

Google позиционирует репозиторий исключительно как демонстрационный проект, не предназначенный для промышленной эксплуатации. Он не является официально поддерживаемым продуктом компании и не участвует в программе выплаты вознаграждений за уязвимости (Google Open Source Software VRP).

🤖Разработчики отдельно подчёркивают требования к безопасности, поскольку ИИ-агенты автономно генерируют и выполняют код и проверочные эксплойты. Запускать систему следует только в строго изолированных песочницах с мониторингом попыток побега из них и без доступа к производственным системам, внутренним сетям и конфиденциальным данным, а все найденные уязвимости и патчи перед отправкой мейнтейнерам должен вручную верифицировать ИБ-специалист.

✋ @Russian_OSINT

🇩🇪Конфликт ИБ-исследователя Абдельхамида Насери с Microsoft и потеря рабочей визы привели к блокировке его счетов в Германии

17 октября 2026 года бывший сотрудник Microsoft и известный ИБ-исследователь Абдельхамид Насери, стоящий за резонансной серией эксплойтов нулевого дня под псевдонимами Nightmare Eclipse и Chaotic Eclipse, сообщил в своём блоге MSNightmare2000 в соцсети X о полной заморозке своих банковских счетов в Германии.

😥Ну вот и всё, даже на продукты не могу купить. Знал, что этот день настанет, но пытался не замечать.
Я просто буду гнить в постели, пока что-нибудь не случится.
Очень старался быть позитивным в последнее время, но что ты будешь делать...

Спасибо тебе, Microsoft.

— написал бывший сотрудник мелкомягких.

Из-за блокировки доступа к деньгам специалист потерял возможность оплачивать даже продукты питания. В переписке с подписчиками Насери пояснил, что причиной стала бюрократическая коллизия после истечения срока его вида на жительство. Миграционное ведомство выдало ему временную бумажную справку о продлении статуса без фотографии, которую немецкие банки отказываются принимать для подтверждения личности. По словам исследователя, он умолял бывшего работодателя помочь с визовым вопросом и подавал заявки во множество мест, однако корпорация ответила отказом, а компании не берут его в штат, причём даже публичная просьба коллеги по цеху устроить ему рекомендацию в германский офис VirusTotal и предложение пойти за долю в стартап Desmodus Corp не способны решить его визовую проблему.

14 октября Насери сообщил в X, инженеры Microsoft тихо закрыли уязвимость 🛡ShieldCrash без публикации официального бюллетеня безопасности и присвоения идентификатора CVE, на что указывают недавние изменения в динамически подключаемой библиотеке mpengine.dll, причём сам патч, как он полагает, вышел задолго до октябрьского вторника патчей, поскольку обновления антивирусного движка распространяются вне общего расписания патчей ОС. Одновременно исследователь MSNightmare2000 анонсировал публикацию некоего крупного релиза в свой день рождения, с горькой иронией заметив, что даже обычная подарочная карта от Microsoft на праздник могла бы заставить его передумать, хотя уже 16 октября уточнил, что выпустит материал в любом случае и не угрожает корпорации, а просто ставит её перед фактом.

👆Тем не менее выбранная тактика публичного давления может закрыть перед ним двери в корпоративный сектор ИБ навсегда.

✋ @Russian_OSINT

🥷 Как группировка UNC7017 раздавала 💻бэкдоры через серверы обновлений AOMEI 5-минутными окнами

С апреля по июль 2026 года атакующая группировка UNC7017 провела атаку на цепочку поставок через инфраструктуру обновлений компании AOMEI, о чём сообщил автор CyberInsider Билл Манн со ссылкой на отчёты Google Threat Intelligence Group (GTIG) и Mandiant, а также лаборатории Threat Analysis Lab (METAL) компании ManageEngine. Злоумышленники скомпрометировали каналы доставки Windows-утилиты для резервного копирования AOMEI Backupper и программы для удалённого доступа AnyViewer, включая раздачу вредоносного ПО интервалами от 5 до 10 минут (28 мая, 16 и 20 июля) перед возвратом чистых файлов. Жертвами заражения стали IT-компании, телеком-операторы и вузы в 11 странах, в том числе в 🇺🇸США, 🇦🇺Австралии, 🇮🇳Индии и 🇧🇷Бразилии.

Вместо эксплуатации уязвимостей атакующие использовали отсутствие криптографической проверки конфигурационных файлов down_html.ini и Notifycfg.ini, где одновременно меняли ссылку на архив и контрольную сумму MD5. Скрытый среди рекламных материалов неподписанный файл upgrade-now.exe (самоудаляющийся загрузчик CROSSROAD) автоматически запускался через встроенный браузер приложения, скачивал дополнительные компоненты и создавал задачу планировщика для закрепления в системе.

Следом через легитимный подписанный компонент Radmin по методу DLL sideloading загружался бэкдор SHINYROAD для доступа к удалённой командной оболочке (remote shell) и подгрузки кода, а 20 июля злоумышленники дополнительно открывали невидимое окно с запросом к внешнему ресурсу WebDAV для перехвата аутентификационных данных Windows NetNTLMv2 без запуска ВПО.

После уведомлений от ИБ-исследователей METAL (7 июня) и Mandiant (17 июля) представители AOMEI к 29 июля непублично отчитались о защите серверов, а 👍 20 октября без официального признания взлома выпустили версии AOMEI Backupper 8.5.1 и Partition Assistant 10.12.2 с усиленной проверкой целостности файлов и обновлений. В экспертном сообществе подмечают, что ни серверные исправления, ни патч клиента не удаляют вредоносные программы с уже заражённых хостов, поэтому организациям необходимо проверить конечные точки за период с апреля по июль на наличие сторонних исполняемых файлов в каталогах html, задач планировщика RadminComponentRuntime или NitroRuntime и обращений к C2-серверу 8[.]218[.]65[.]184:41397. Первоначальный вектор проникновения группировки UNC7017 в инфраструктуру вендора и точное общее число пострадавших устройств остаются нераскрытыми.

✋ @Russian_OSINT

🈁🤖 ИИ-модель Claude за полчаса раскрыла 25-летнюю тайну криптографии🇺🇸АНБ и обнаружила за константами NIST системный таймер из 90-х

Подразделение Frontier Red Team компании Anthropic сообщило, что внутренняя исследовательская ИИ-модель Claude менее чем за 30 минут восстановила способ генерации начальных значений (seed) для стандартизированных эллиптических кривых NIST, включая кривую P-256. Криптограф Филиппо Вальсорда независимо верифицировал алгоритм на языке Go. Споры вокруг этих 20-байтных констант не утихали с 2000 года, когда АНБ передало их для стандарта цифровой подписи FIPS 186-2 без объяснения происхождения. После разоблачений вмешательства АНБ в криптографические стандарты и скандала с генератором Dual_EC_DRBG часть сообщества подозревала, что спецслужба могла перебирать входные строки ради внедрения скрытого математического бэкдора. В 2015 году автор параметров из АНБ Джерри Солинас вспоминал, что код написал его коллега Боб Рейтер и что константы якобы получали хешированием шутливой фразы про повышение зарплаты («Give Bob and Jerry a raise») со счётчиком. После смерти Солинаса в 2023 году Вальсорда со спонсорами учредил награду в $12 288 (или $36 864 при переводе на благотворительность) за поиск исходных фраз, но трёхлетние попытки перебора хешей ничего не дали.

🤔Как получилось это у Антропиков? Ресёрчер Anthropic поставил задачу проанализировать сами константы без упоминания легенды про английский текст. Проверив 34 комбинации генераторов псевдослучайных чисел 1990-х годов, ИИ-модель обнаружила, что во всех 20 тридцатидвухразрядных словах четырёх бинарных кривых старший бит равен нулю (вероятность случайного совпадения составляет 1 к 5 810). Это указало на стандартную функцию языка C lrand48(), возвращающую 31 бит из 48-битного состояния. Восстановив скрытые биты для бинарных кривых перебором, а для основных кривых над простыми полями (со сдвигом lrand48() >> 23) с помощью алгоритма редукции базиса решётки Ленстры, Ленстры и Ловаса (LLL), Claude размотал генератор назад до инициализации через srand48() и увидел обычные 32-битные метки системного времени Unix с 15 мая 1997 года по 3 апреля 1998 года.

В частности, для кривой P-256 (prime256v1) программа была запущена 16 августа 1997 года в 01:52:34 UTC с параметром srand48(871696354) и на 1 842-м шаге выдала искомую строку c49d360886e704936a6678e1139d26b7819f7e90. Четыре бинарные кривые (B-233, B-283, B-409 и B-571) буквально указывают на февраль 1984 года, но при удвоении дают 17 апреля 1998 года, поэтому исследователи предположили, что программа могла делить системное время пополам. Кроме того, попутно удалось впервые объяснить происхождение базовой точки кривой P-192 (а также пяти демонстрационных кривых стандарта ANSI X9.62), которую вывели из генератора старой библиотеки FreeLIP. По оценке Anthropic, генерация начальных значений из обычных меток системного времени оставляла создателям гораздо меньше пространства для манипуляций и делает версию о преднамеренном 💻бэкдоре крайне маловероятной.

💸Утроенный призовой фонд в $36 864 команда Anthropic направила некоммерческой организации Internet Security Research Group (ISRG), развивающей центр сертификации Let's Encrypt. При этом нераскрытыми в этой истории пока остаются параметр кривой B-163, происхождение базовых точек для P-224, P-256, P-384 и P-521, а также причина пропуска валидного 876-го кандидата перед выбором 1 842-го значения для P-256.

👆🤔Получилось много букав... Ну а если простым языком, то суть в том, что четверть века вокруг базового криптографического стандарта ECDSA, на котором держится проверка подлинности цифровых подписей по всему миру, сохранялись подозрения, что АНБ могло специально подобрать его исходные числа ради внедрения скрытого бэкдора. Исследование Anthropic с высокой долей вероятности эти подозрения снимает.

✋ @Russian_OSINT

🤖❗️Взлом облачной консоли OpenCode и кража ключей API для масштабной дистилляции ИИ-моделей

17 октября создатели ИИ-агента с открытым исходным кодом OpenCode подтвердили ночной взлом облачной платформы OpenCode Console, который затронул 1,4% пользователей сервиса и был связан с масштабной дистилляцией ИИ-моделей. Незадолго до инцидента проект анонсировал временный бесплатный доступ к модели Beam с окном контекста в 1 млн токенов, однако уже утром часть разработчиков с привязанными внешними провайдерами получила письма о возможной компрометации ключей API. По данным обзора на DEV Community, злоумышленники проникли в устаревшую систему, готовившуюся к выводу из эксплуатации, причём в разборе XenoSpectrum самое раннее возможное время компрометации ключей у одного из уведомлённых пользователей датируется 03 часами 30 минутами мск 17 октября, а сооснователь проекта Дакс Раад позже сообщил о непрерывном 48-часовом штурме инфраструктуры автоматизированными ИИ-агентами.

Похищенные учётные данные сразу пошли на запуск массового инференса за чужой счёт. Как сообщает издание IBTimes, у пострадавших разработчиков атакующие списали $281 и $168 на одном аккаунте, около $400 в Anthropic, порядка €200 в Google и до $1 700 на отдельных счетах, причём, по данным CellCog, при одновременном срабатывании оповещений у трёх провайдеров только защитная автоматика Google сама заблокировала подозрительный проект, а сотрудница технического штата Anthropic Лидия Халли позже подтвердила принудительный отзыв предположительно утёкших ключей Claude. Автор обзора StepSecurity Эшиш Курми метко указывает, что на компьютерах разработчиков привязанные учётные данные хранятся в файле ~/.local/share/opencode/auth.json, причём, согласно документации проекта и разбору XenoSpectrum, добавленные напрямую через команду /connect локальные ключи на серверы компании не передаются и не пострадали, тогда как внутренние лимиты облачной консоли не защищают от прямых обращений украденным ключом к API инференса.

Аналитики Cyera Адам Охайон и Юваль Йогев связывают атаку с охотой за вычислительными квотами для извлечения моделей (model extraction). После того как в февральском отчёте Anthropic раскрыли сеть из 24 000 фейковых аккаунтов, а 12 октября в исследовании Strengthening our defenses against distillation attacks отчитались о фильтрации цепочек рассуждений (CoT) и снижении объёма несанкционированной дистилляции на 90–99%, эксперты полагают, что злоумышленники могли переключиться на 🔑ключи реальных клиентов с чистой платёжной историей. Специалисты Rescana и Cyera рекомендуют немедленно отозвать и перевыпустить ключи напрямую в кабинетах провайдеров, а также проверить биллинг и журналы вызовов начиная с 16 октября. Вектор начального проникновения, способ шифрования ключей, точное число жертв, индикаторы компрометации (IoC) и атрибуция атакующих пока остаются нераскрытыми.

✋ @Russian_OSINT

👩‍💻OpenAI представила Locked Chats — функцию блокировки отдельных переписок в ChatGPT с помощью PIN-кода или биометрической аутентификации. Она позволяет скрывать конфиденциальные разговоры от посторонних, не удаляя их из аккаунта. Функция постепенно появляется на тарифах Free, Go, Plus, Pro, Business, Enterprise и Edu. Поддерживаются веб-версия, iOS, Android и новое настольное приложение ChatGPT для Windows и macOS.

🔐Код привязывается к аккаунту OpenAI, а не к конкретному устройству. Если пользователь забыл код и сбрасывает его, то OpenAI безвозвратно удаляет все заблокированные чаты и связанные с ними защищённые данные.

✋ @Russian_OSINT

👮 Министерство внутренней безопасности США обязало гражданские ведомства полностью удалить ИИ-модели ❗️DeepSeek и все продукты на их базе

Министерство внутренней безопасности США (DHS) разместило в Federal Register уведомление об обязательном приказе, который предписывает федеральным гражданским ведомствам немедленно исключить из закупок и полностью удалить из своих ИТ-систем все разработки китайской компании Hangzhou DeepSeek Artificial Intelligence Co., Ltd. (DeepSeek) и её аффилированных структур. Документ выпущен на основании Закона о безопасности цепочки поставок при федеральных закупках 2018 года (FASCSA) по рекомендации Федерального совета по безопасности закупок. Главная особенность новой директивы заключается в том, что под зачистку попадают не только собственные приложения и API разработчика, но и любые сторонние продукты и сервисы, созданные с использованием реализаций DeepSeek.

Такая формулировка охватывает всю цепочку поставок, поэтому даже локальный хостинг ИИ-моделей с открытыми весами на американских серверах не выводит государственных подрядчиков из-под действия запрета.

По сообщению журналиста CyberScoop Дерека Джонсона, в подписанном распоряжении министр внутренней безопасности США Маркуэйн Маллин указал, что решения компании создают множественные векторы атак для правительственной инфраструктуры. Размещённые на стороне разработчика ИИ-модели хранят информацию на серверах в Китае, где законы о национальной безопасности дают Пекину широкие полномочия запрашивать и получать данные у отечественных технологических компаний. Кроме того, при создании учётной записи сервис собирает персональные данные и отслеживает цифровой отпечаток пользователей в сети. Поскольку работа с системой строится на постоянном обмене промптами и ответами на этапе инференса, каждый запрос проходит через контролируемую разработчиком среду, а переданные в КНР сведения сами по себе или в сочетании с общедоступной информацией способны дать иностранным спецслужбам практически значимые разведданные о гражданах США и государственных программах.

Утверждается, что китайские ИИ-модели якобы могут содержать вредоносное ПО или другие уязвимости, а независимые исследования выявили множественные критические уязвимости в мобильном приложении DeepSeek для iOS. Однако с точки зрения технической верификации в опубликованном приложении к уведомлению (документ 2026-21447, досье DHS-2026-0628) ведомство не приводит никаких технических доказательств (индикаторов компрометации, образцов кода или анализа весов) присутствия вредоносного ПО в самих ИИ-моделях. Формулировка приказа носит предположительный характер и опирается исключительно на исследование клиентского приложения.

Чиновники ссылаются на отчёт компании NowSecure от 6 февраля 2025 года, в котором ИБ-специалисты анализировали не веса ИИ-моделей, а клиентское iOS-приложение и выявили в нём лишь передачу данных по незашифрованному протоколу HTTP, слабый шифр 3DES с жёстко закодированными ключами и отправку телеметрии на серверы Volcengine компании ByteDance.

Директива распространяется на гражданские органы исполнительной власти и не затрагивает системы национальной безопасности, Минобороны США и разведывательное сообщество (для которых отдельные запреты ввели ранее), при этом ведомствам отвели 60 дней на удаление продуктов или подачу запроса об исключении, а общий контроль за выполнением приказа взяла на себя профильная группа Агентства по кибербезопасности и защите инфраструктуры (CISA).

✋ @Russian_OSINT

🇩🇪Немецкая партия АдГ расследует утечку 🥷 281 ГБ писем и документов после взлома хостинг-провайдера

20 октября немецкая партия «Альтернатива для Германии» (АдГ) подтвердила журналистке Reuters Миранде Мюррей начало расследования после публикации в сети электронной переписки, похищенной в ходе сентябрьской кибератаки. По словам представителя политической силы, неизвестные злоумышленники атаковали обслуживающего партию хостинг-провайдера и скопировали данные из небольшого числа почтовых ящиков, большинство из которых не использовались уже много лет. При этом официальное заявление последовало за публикацией газеты Bild, сообщившей о появлении в открытом доступе свыше 420 000 связанных с организацией писем. По данным немецкого издания, в утёкший массив вошли сообщения сопредседателя партии и её парламентской фракции Алис Вайдель, а также банковские выписки, дипломы об образовании и списки членов партии.

Ко вторнику днём сайт с опубликованными материалами перестал работать, однако в его архивных копиях сохранились сведения о массиве данных заявленным объёмом 281 ГБ, размещённом под заголовком «Партийные документы без купюр». В самой АдГ подчеркнули, что специалисты сейчас изучают выложенную в сеть часть данных и представят предварительную оценку только после завершения внутренней проверки. Утечка данных произошла на фоне лидерства партии в общенациональных опросах и её успехов на недавних земельных выборах, которые сопровождаются призывами ряда политиков и общественных групп запретить организацию из-за предполагаемой угрозы демократическому конституционному строю Германии, тогда как сама АдГ отвергает эти обвинения и считает их политически мотивированными. При этом точный общий объём похищенной при взломе информации и личности стоящих за атакой злоумышленников пока остаются неизвестными.

✋ @Russian_OSINT

🌐 Авария питания в 🇬🇧лондонском облаке Google Cloud обрушила сервисы Revolut и британских банков

Утром во вторник, 20 октября 2026 года, финтех-компания Revolut столкнулась с масштабным международным сбоем в работе онлайн-банкинга. Тысячи пользователей на платформе мониторинга Downdetector пожаловались на отказ мобильного приложения и невозможность переводить деньги между счетами. Компания отметила частичную недоступность сразу 28 сервисов (также в СМИ встречаются цифры 27, 31). Под удар попали регистрация и вход в учётные записи, оплата банковскими картами, снятие наличных в банкоматах, денежные переводы, обмен валют, торговля акциями, операции с криптовалютой и чат службы поддержки. Как следует из журнала инцидентов Google Cloud и технического разбора DEV Community, неполадки начались в 09:08 мск из-за сбоя электропитания в лондонской зоне доступности europe-west2-b и затронули 38 облачных продуктов провайдера. В утреннем заявлении представители банка извинились за неудобства и подчеркнули, что специалисты устраняют перебои в работе сервисов с самого утра, а все клиентские деньги и сохранённые данные остаются в полной безопасности.

По данным агентства Reuters и издания The Guardian, на фоне лондонской аварии подтверждённые сбои затронули банки Lloyds, Halifax и HSBC, а также систему видеосвязи судов Англии и Уэльса, тогда как пользователи почтового оператора Royal Mail, службы доставки DPD, портал недвижимости Rightmove и Национальной службы здравоохранения Англии (NHS England) тоже сообщали о неполадках на Downdetector. Хотя облачный провайдер купировал сбой питания для большинства заказчиков к 17:03 мск, многие функции финтех-платформы, обслуживающей более 80 млн клиентов по всему миру (в том числе 800 000 корпоративных клиентов) и поддерживающей переводы более чем в 160 стран и регионов, оставались недоступными до вечера, а о полном восстановлении сервисов компания объявила к 20:52 мск.

Инцидент уже привлёк внимание британских финансовых регуляторов FCA и PRA, причём председатель парламентского Комитета по казначейству Мэг Хиллиер направила главам Банка Англии и FCA запрос с требованием представить предварительный отчёт о последствиях отказа критически важного облачного поставщика к 4 ноября, а полный ответ подготовить к 20 января 2027 года.

По предварительным данным Google Cloud, причиной отказа стало нарушение электропитания, признаков кибератаки не выявлено, а окончательные технические причины аварии ещё расследуются.

✋ @Russian_OSINT