Russian OSINT

No text

🤿 Целенаправленная атака ИИ-агентов на инфраструктуру GitBook привела к отзыву всех API-токенов и отключению сервисов платформы Разработчики популярной платформы для ведения технической документации GitBook раскрыли детали сложной целенаправленной кибератаки с применением ИИ-агентов. Вечером 2 ноября 2026 года в 21:00 мск злоумышленник получил несанкционированный доступ к части инфраструктурных учётных данных компании. Команда безопасности зафиксировала проникновение сразу после его начала, заблокировала атакующего и устранила задействованные уязвимости. Для полной проверки защищённости систем инженеры временно отключили основное приложение GitBook и закрытые сайты документации с обязательной аутентификацией, тогда как общедоступные страницы продолжали работать за счёт кэшированных данных. Внутреннее расследование показало, что на текущем этапе нет никаких признаков изменения пользовательского контента внутри платформы, однако злоумышленник мог получить доступ к четырём категориям чувствительных данных: ▫️ токены интеграций со сторонними сервисами; ▫️ секреты синхронизации Git Sync; ▫️ клиентские API-токены; ▫️ вопросы, которые посетители сайтов задавали встроенному помощнику GitBook Assistant. Чтобы исключить сохранение контроля над инфраструктурой, специалисты компании полностью заменили все внутренние учётные данные и секреты, а также принудительно аннулировали все персональные и клиентские API-токены на платформе. Работа приложения GitBook, программного интерфейса API и опубликованной документации была восстановлена 3 ноября к 18:21 мск, хотя отдельные сервисы ещё могут работать со сниженной производительностью до завершения всех восстановительных процедур. Администраторам клиентских организаций необходимо перевыпустить существующие API-токены GitBook, сменить ключи и секреты сторонних инструментов и опубликованных интеграций, а при использовании MCP-сервера GitBook заново пройти в нём аутентификацию. В ближайшее время компания опубликует подробный технический отчёт по итогам расследования инцидента. ======= 🤯Что-то слишком много взломов за последнее время... ✋ @Russian_OSINT

No text

😁 Ubuntu предложила временную защиту от критической уязвимости ядра Linux На странице CVE-2026-98432 в базе безопасности Ubuntu появилась инструкция по временной фильтрации входящих IPv4/TCP-пакетов с дополнительными параметрами заголовка IPv4 через nftables. Мера призвана снизить риск эксплуатации критической уязвимости сетевого стека Linux, получившей оценку 9,8 балла по CVSS 3.1. При этом команда безопасности Canonical подчёркивает, что полноценное устранение проблемы требует обновления ядра, поскольку фильтрация не гарантирует защиту от всех возможных способов эксплуатации. Уязвимость возникает из-за состояния гонки при обработке TCP-соединений. Когда одно ядро процессора освобождает память, содержащую параметры IPv4, другое может продолжать обращаться к уже освобождённому участку. Возникает ошибка use-after-free, которая позволяет злоумышленнику вызвать повреждение памяти ядра, отказ в обслуживании и потенциально добиться удалённого выполнения кода. ИБ-исследователи Anthropic продемонстрировали успешную эксплуатацию уязвимости с помощью неопубликованной исследовательской ИИ-модели Claude, получив возможность выполнять команды с правами root на Linux-сервере с прослушивающим MPTCP-сокетом. Полную цепочку эксплуатации Anthropic не опубликовала, а в самой Canonical отметили, что о появлении в открытом доступе других готовых эксплойтов для этой уязвимости им неизвестно. ​ Предложенная фильтрация отбрасывает входящие IPv4/TCP-пакеты, содержащие дополнительные поля параметров IPv4. Обычные параметры TCP, включая временные метки и масштабирование окна, продолжают работать, поскольку находятся в заголовке TCP, а не IPv4. Правило не затрагивает IPv6, но может нарушить соединения, которым действительно необходимы параметры IPv4. Кроме того, приведённый пример nftables применяется к самому хосту (включая соединения хоста с самим собой), а в контейнерах с отдельной сетью правило необходимо настраивать отдельно. Отключение MPTCP также не гарантирует устранения угрозы, поскольку уязвимость не ограничена исключительно этим механизмом. ​ По состоянию на 3 ноября 2026 года Canonical продолжает выпуск исправлений. Для стандартных ядер Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS исправленные пакеты уже доступны в тестовом репозитории -proposed, но не устанавливаются при обычном обновлении. Статус других вариантов ядер, включая HWE, необходимо проверять отдельно. Для Ubuntu 26.10 в официальном сообщении Canonical указана исправленная версия 7.3.0-10.10, хотя страница отслеживания CVE пока сохраняет для неё статус работы над исправлением. Поэтому администраторам необходимо сверять установленную версию ядра с данными Canonical, а временную фильтрацию рассматривать исключительно как дополнительную меру до установки исправления. 👆По данным ИБ-исследователя Маркуса Хатчинса, готовых эксплойтов для удалённого выполнения кода в открытом доступе сейчас нет, однако в сети уже появились PoC для вызова отказа в обслуживании, которые дают злоумышленникам отправную точку для создания полноценного эксплойта. Его сканирование показало, что потенциальная поверхность атаки по порту 443 охватывает около 2,1 млн доступных по MPTCP серверов, поскольку этот протокол по умолчанию включён в ряде ядер (включая Debian) и автоматически используется приложениями на базе Go 1.24+ (в том числе Caddy). При этом со 2 ноября через резидентные прокси и BПH-серверы фиксируется сканирование таких узлов, а отключение протокола через параметр net.mptcp.enabled=0 не действует на уже открытые сокеты и требует перезапуска привязанных к ним приложений. ​ ✋ @Russian_OSINT

💬По Beget информация: Разбор текущей ситуации: В ночь с 1 на 2 ноября 2026 года на нашу инфраструктуру была совершена кибератака с получением доступа к управляющему контуру всей архитектуры и последующим запуском обнуляющих скриптов. На текущий момент мы не можем раскрыть все детали происходящего, в том числе в целях последующего безопасного запуска инфраструктуры. Восстановление инфраструктуры, которая пострадала в этой атаке, продолжается. Что уже сделано: • Восстановление dedicated‑серверов под собственным администрированием пользователей. Данный сервис был восстановлен 2.11 ориентировочно в 14:00. • Восстановление DNS‑серверов. Доступен функционал смены DNS‑записей (A, MX, TXT) в зонах ru/рф/su — можно перенаправить домены на другие адреса. Это применимо для доменов, зарегистрированных в Beget и направленных на DNS‑сервера Beget. Над управлением международными доменами ведётся работа. • Восстановление 80 % инфраструктуры почтового сервиса. Ожидаем полный вывод его в полноценную эксплуатацию в течение 10 часов. • Домены. Мы договорились с КЦ (Координационный центр сети Интернет) о том, чтобы домены в зонах .ru/.рф/.su у которых заканчивается срок делегирования, не были разделегированы и продолжили работать. По международным доменам продолжается работа. Напоминаем, что приоритетное продление домена возможно даже после окончания его регистрации. Общее состояние инфраструктуры Beget на данный момент: Бэкапы и резервные копии. Файловые бэкапы всего хостинга и облачной инфраструктуры сохранены, но без восстановления работы нашей инфраструктуры нет возможности предоставить к ним доступ прямо сейчас. Это связано с необходимостью ручной проверки каждого сервера на наличие скрытых уязвимостей и вредоносных скриптов. К сожалению, просто включить серверы без их тщательной проверки невозможно. К сожалению, бинарные бэкапы VPS полностью утеряны. Остаётся возможность восстановления данных из файловых бэкапов. Выделенные серверы. Все серверы без нашего администрирования введены в работу. На серверах под нашим администрированием большая часть данных также сохранилась, продолжается проверка и ввод серверов в работу. Хостинговые серверы. По предварительной оценке, восстановлению подлежат почти 100 % сайтов, размещавшихся на виртуальном хостинге. Мы приступили к восстановлению работы хостинговых серверов. Запуск виртуального хостинга также требует скрупулёзной проверки серверов, и на это также требуется значительное время. Облачная инфраструктура. В облачной инфраструктуре (VPS, S3 и Kubernetes) все данные были утрачены. Сохранены файловые бэкапы VPS. Настройки CDN, IP утрачены. Мы не сдаёмся и продолжаем поиск способов восстановить эти данные. Доменные имена. Ваши доменные имена в безопасности. Мы уже работаем над восстановлением управления доменами. Вы уже сейчас можете управлять DNS‑записями доменов. Панель управления. В течение 24 часов мы предоставим ограниченный интерфейс для управления частью услуг. Конкретные сроки восстановления всех сервисов сейчас уточняются. Это займёт существенное время, так как требуется ручная проверка более 1000 серверов. По тем данным, которые сейчас есть, мы видим, что на серверах, где были данные пользователей, не было попыток скачать или изменить данные. Мы рекомендуем сменить все пароли, ключи доступа и другие учётные данные, которые могли храниться на серверах. Все сотрудники Beget работают в кризисном режиме. Отдел DevOps работает круглосуточно и будет работать в таком графике до окончания работ по инциденту. Мы знаем, что вы на нас рассчитываете, и прикладываем максимум усилий. Мы понимаем, что в текущей ситуации вам бы хотелось иметь больше информации и контроля, однако мы не можем делиться информацией, которая на данном этапе ещё может повредить проведению расследования. Спасибо за ваше понимание. По мере появления достоверной информации мы будем её публиковать. ✋ @Russian_OSINT

5 ноября выходит релиз защищенной платформы виртуализации, сертифицированной ФСТЭК для КИИ и ГИС, zVirt Special Edition. Функциональность этой редакции впервые полностью совпадает с коммерческой версией zVirt. В день релиза российский разработчик Orion soft приглашает вас на вебинар о zVirt SE. Также эксперты аккредитованной ФСТЭК России испытательной лаборатории и органа по сертификации Центра «Атомзащитаинформ» расскажут, как меняются подходы к сертификации, какие новые требования появляются, какие становятся строже и что это значит для рынка. В программе: — какие возможности появились в zVirt SE и как изменилась архитектура платформы — что нового в требованиях ФСТЭК России и для каких защищенных контуров подходит решение — как перейти с zVirt Max на zVirt SE и что изменится в лицензировании — какие обновления платформы запланированы на 2027 год 📌Зарегистрироваться

No text

No text

🥷Троянец-стилер VOLTA превратил языковые модели в аналитиков для оценки активов жертв Выявленный в рамках исследовательской инициативы CAIRN новый троянец-стилер для Windows под самоназванием VOLTA-AUTODOXER (VOLTA) автоматизировал первичную разведку, составление профиля и оценку ценности активов скомпрометированных пользователей с помощью LLM. Cisco Talos пишут, что вредоносная программа с функцией самоудаления работает полностью без собственной серверной инфраструктуры злоумышленников и перекладывает всю постобработку украденных данных на легитимные сторонние сервисы. Вместо простого слива сырых логов операторам троянец-стилер формирует 👀 структурированное досье жертвы и отправляет его на анализ в ИИ-модель прямо с заражённого компьютера через собственное сетевое подключение самого владельца. Троянец-стилер VOLTA крадёт пароли, файлы cookie и данные карт из браузеров Chromium (обходя защиту App-Bound Encryption через запуск Chrome с параметром --headless), собирает сессии мессенджеров, игр и облаков, пароли Wi-Fi и на лету взламывает криптокошельки, а затем через захваченные сессии проверяет чеки в Gmail и историю доставок еды для подтверждения домашнего адреса жертвы. 🕵️‍♂️Собранное досье передаётся через API OpenRouter языковой модели, которая по системному промпту оценивает операционную безопасность пользователя и ранжирует его активы для монетизации, причём в случае отказа запрос каскадно переключается от 🈁Claude Opus 4.6 к ⭕️ Kimi K2 и ❗️Gemini 2.5 Flash. Как отмечает автор отчёта Райан Феттерман, распространение стилера по модели конструктора с выгрузкой готовых сводок в Telegram полностью перекладывает аналитическую сортировку жертв с оператора на ИИ-модель. Для защиты рекомендуется запретить сторонним процессам запуск Chrome с параметром --headless, а при компрометации сохранить журнал %APPDATA%\volta_debug.txt, сбросить пароли и токены и перевести криптоактивы на кошелёк, созданный на устройстве с воздушным зазором. ✋ @Russian_OSINT

No text