Посты канала Russian OSINT

Без текста

🤿 Целенаправленная атака ИИ-агентов на инфраструктуру GitBook привела к отзыву всех API-токенов и отключению сервисов платформы Разработчики популярной платформы для ведения технической документации GitBook раскрыли детали сложной целенаправленной кибератаки с применением ИИ-агентов. Вечером 2 ноября 2026 года в 21:00 мск злоумышленник получил несанкционированный доступ к части инфраструктурных учётных данных компании. Команда безопасности зафиксировала проникновение сразу после его начала, заблокировала атакующего и устранила задействованные уязвимости. Для полной проверки защищённости систем инженеры временно отключили основное приложение GitBook и закрытые сайты документации с обязательной аутентификацией, тогда как общедоступные страницы продолжали работать за счёт кэшированных данных. Внутреннее расследование показало, что на текущем этапе нет никаких признаков изменения пользовательского контента внутри платформы, однако злоумышленник мог получить доступ к четырём категориям чувствительных данных: ▫️ токены интеграций со сторонними сервисами; ▫️ секреты синхронизации Git Sync; ▫️ клиентские API-токены; ▫️ вопросы, которые посетители сайтов задавали встроенному помощнику GitBook Assistant. Чтобы исключить сохранение контроля над инфраструктурой, специалисты компании полностью заменили все внутренние учётные данные и секреты, а также принудительно аннулировали все персональные и клиентские API-токены на платформе. Работа приложения GitBook, программного интерфейса API и опубликованной документации была восстановлена 3 ноября к 18:21 мск, хотя отдельные сервисы ещё могут работать со сниженной производительностью до завершения всех восстановительных процедур. Администраторам клиентских организаций необходимо перевыпустить существующие API-токены GitBook, сменить ключи и секреты сторонних инструментов и опубликованных интеграций, а при использовании MCP-сервера GitBook заново пройти в нём аутентификацию. В ближайшее время компания опубликует подробный технический отчёт по итогам расследования инцидента. ======= 🤯Что-то слишком много взломов за последнее время... ✋ @Russian_OSINT

Без текста

😁 Ubuntu предложила временную защиту от критической уязвимости ядра Linux На странице CVE-2026-98432 в базе безопасности Ubuntu появилась инструкция по временной фильтрации входящих IPv4/TCP-пакетов с дополнительными параметрами заголовка IPv4 через nftables. Мера призвана снизить риск эксплуатации критической уязвимости сетевого стека Linux, получившей оценку 9,8 балла по CVSS 3.1. При этом команда безопасности Canonical подчёркивает, что полноценное устранение проблемы требует обновления ядра, поскольку фильтрация не гарантирует защиту от всех возможных способов эксплуатации. Уязвимость возникает из-за состояния гонки при обработке TCP-соединений. Когда одно ядро процессора освобождает память, содержащую параметры IPv4, другое может продолжать обращаться к уже освобождённому участку. Возникает ошибка use-after-free, которая позволяет злоумышленнику вызвать повреждение памяти ядра, отказ в обслуживании и потенциально добиться удалённого выполнения кода. ИБ-исследователи Anthropic продемонстрировали успешную эксплуатацию уязвимости с помощью неопубликованной исследовательской ИИ-модели Claude, получив возможность выполнять команды с правами root на Linux-сервере с прослушивающим MPTCP-сокетом. Полную цепочку эксплуатации Anthropic не опубликовала, а в самой Canonical отметили, что о появлении в открытом доступе других готовых эксплойтов для этой уязвимости им неизвестно. ​ Предложенная фильтрация отбрасывает входящие IPv4/TCP-пакеты, содержащие дополнительные поля параметров IPv4. Обычные параметры TCP, включая временные метки и масштабирование окна, продолжают работать, поскольку находятся в заголовке TCP, а не IPv4. Правило не затрагивает IPv6, но может нарушить соединения, которым действительно необходимы параметры IPv4. Кроме того, приведённый пример nftables применяется к самому хосту (включая соединения хоста с самим собой), а в контейнерах с отдельной сетью правило необходимо настраивать отдельно. Отключение MPTCP также не гарантирует устранения угрозы, поскольку уязвимость не ограничена исключительно этим механизмом. ​ По состоянию на 3 ноября 2026 года Canonical продолжает выпуск исправлений. Для стандартных ядер Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS исправленные пакеты уже доступны в тестовом репозитории -proposed, но не устанавливаются при обычном обновлении. Статус других вариантов ядер, включая HWE, необходимо проверять отдельно. Для Ubuntu 26.10 в официальном сообщении Canonical указана исправленная версия 7.3.0-10.10, хотя страница отслеживания CVE пока сохраняет для неё статус работы над исправлением. Поэтому администраторам необходимо сверять установленную версию ядра с данными Canonical, а временную фильтрацию рассматривать исключительно как дополнительную меру до установки исправления. 👆По данным ИБ-исследователя Маркуса Хатчинса, готовых эксплойтов для удалённого выполнения кода в открытом доступе сейчас нет, однако в сети уже появились PoC для вызова отказа в обслуживании, которые дают злоумышленникам отправную точку для создания полноценного эксплойта. Его сканирование показало, что потенциальная поверхность атаки по порту 443 охватывает около 2,1 млн доступных по MPTCP серверов, поскольку этот протокол по умолчанию включён в ряде ядер (включая Debian) и автоматически используется приложениями на базе Go 1.24+ (в том числе Caddy). При этом со 2 ноября через резидентные прокси и BПH-серверы фиксируется сканирование таких узлов, а отключение протокола через параметр net.mptcp.enabled=0 не действует на уже открытые сокеты и требует перезапуска привязанных к ним приложений. ​ ✋ @Russian_OSINT

💬По Beget информация: Разбор текущей ситуации: В ночь с 1 на 2 ноября 2026 года на нашу инфраструктуру была совершена кибератака с получением доступа к управляющему контуру всей архитектуры и последующим запуском обнуляющих скриптов. На текущий момент мы не можем раскрыть все детали происходящего, в том числе в целях последующего безопасного запуска инфраструктуры. Восстановление инфраструктуры, которая пострадала в этой атаке, продолжается. Что уже сделано: • Восстановление dedicated‑серверов под собственным администрированием пользователей. Данный сервис был восстановлен 2.11 ориентировочно в 14:00. • Восстановление DNS‑серверов. Доступен функционал смены DNS‑записей (A, MX, TXT) в зонах ru/рф/su — можно перенаправить домены на другие адреса. Это применимо для доменов, зарегистрированных в Beget и направленных на DNS‑сервера Beget. Над управлением международными доменами ведётся работа. • Восстановление 80 % инфраструктуры почтового сервиса. Ожидаем полный вывод его в полноценную эксплуатацию в течение 10 часов. • Домены. Мы договорились с КЦ (Координационный центр сети Интернет) о том, чтобы домены в зонах .ru/.рф/.su у которых заканчивается срок делегирования, не были разделегированы и продолжили работать. По международным доменам продолжается работа. Напоминаем, что приоритетное продление домена возможно даже после окончания его регистрации. Общее состояние инфраструктуры Beget на данный момент: Бэкапы и резервные копии. Файловые бэкапы всего хостинга и облачной инфраструктуры сохранены, но без восстановления работы нашей инфраструктуры нет возможности предоставить к ним доступ прямо сейчас. Это связано с необходимостью ручной проверки каждого сервера на наличие скрытых уязвимостей и вредоносных скриптов. К сожалению, просто включить серверы без их тщательной проверки невозможно. К сожалению, бинарные бэкапы VPS полностью утеряны. Остаётся возможность восстановления данных из файловых бэкапов. Выделенные серверы. Все серверы без нашего администрирования введены в работу. На серверах под нашим администрированием большая часть данных также сохранилась, продолжается проверка и ввод серверов в работу. Хостинговые серверы. По предварительной оценке, восстановлению подлежат почти 100 % сайтов, размещавшихся на виртуальном хостинге. Мы приступили к восстановлению работы хостинговых серверов. Запуск виртуального хостинга также требует скрупулёзной проверки серверов, и на это также требуется значительное время. Облачная инфраструктура. В облачной инфраструктуре (VPS, S3 и Kubernetes) все данные были утрачены. Сохранены файловые бэкапы VPS. Настройки CDN, IP утрачены. Мы не сдаёмся и продолжаем поиск способов восстановить эти данные. Доменные имена. Ваши доменные имена в безопасности. Мы уже работаем над восстановлением управления доменами. Вы уже сейчас можете управлять DNS‑записями доменов. Панель управления. В течение 24 часов мы предоставим ограниченный интерфейс для управления частью услуг. Конкретные сроки восстановления всех сервисов сейчас уточняются. Это займёт существенное время, так как требуется ручная проверка более 1000 серверов. По тем данным, которые сейчас есть, мы видим, что на серверах, где были данные пользователей, не было попыток скачать или изменить данные. Мы рекомендуем сменить все пароли, ключи доступа и другие учётные данные, которые могли храниться на серверах. Все сотрудники Beget работают в кризисном режиме. Отдел DevOps работает круглосуточно и будет работать в таком графике до окончания работ по инциденту. Мы знаем, что вы на нас рассчитываете, и прикладываем максимум усилий. Мы понимаем, что в текущей ситуации вам бы хотелось иметь больше информации и контроля, однако мы не можем делиться информацией, которая на данном этапе ещё может повредить проведению расследования. Спасибо за ваше понимание. По мере появления достоверной информации мы будем её публиковать. ✋ @Russian_OSINT

5 ноября выходит релиз защищенной платформы виртуализации, сертифицированной ФСТЭК для КИИ и ГИС, zVirt Special Edition. Функциональность этой редакции впервые полностью совпадает с коммерческой версией zVirt. В день релиза российский разработчик Orion soft приглашает вас на вебинар о zVirt SE. Также эксперты аккредитованной ФСТЭК России испытательной лаборатории и органа по сертификации Центра «Атомзащитаинформ» расскажут, как меняются подходы к сертификации, какие новые требования появляются, какие становятся строже и что это значит для рынка. В программе: — какие возможности появились в zVirt SE и как изменилась архитектура платформы — что нового в требованиях ФСТЭК России и для каких защищенных контуров подходит решение — как перейти с zVirt Max на zVirt SE и что изменится в лицензировании — какие обновления платформы запланированы на 2027 год 📌Зарегистрироваться

Без текста

Без текста

🥷Троянец-стилер VOLTA превратил языковые модели в аналитиков для оценки активов жертв Выявленный в рамках исследовательской инициативы CAIRN новый троянец-стилер для Windows под самоназванием VOLTA-AUTODOXER (VOLTA) автоматизировал первичную разведку, составление профиля и оценку ценности активов скомпрометированных пользователей с помощью LLM. Cisco Talos пишут, что вредоносная программа с функцией самоудаления работает полностью без собственной серверной инфраструктуры злоумышленников и перекладывает всю постобработку украденных данных на легитимные сторонние сервисы. Вместо простого слива сырых логов операторам троянец-стилер формирует 👀 структурированное досье жертвы и отправляет его на анализ в ИИ-модель прямо с заражённого компьютера через собственное сетевое подключение самого владельца. Троянец-стилер VOLTA крадёт пароли, файлы cookie и данные карт из браузеров Chromium (обходя защиту App-Bound Encryption через запуск Chrome с параметром --headless), собирает сессии мессенджеров, игр и облаков, пароли Wi-Fi и на лету взламывает криптокошельки, а затем через захваченные сессии проверяет чеки в Gmail и историю доставок еды для подтверждения домашнего адреса жертвы. 🕵️‍♂️Собранное досье передаётся через API OpenRouter языковой модели, которая по системному промпту оценивает операционную безопасность пользователя и ранжирует его активы для монетизации, причём в случае отказа запрос каскадно переключается от 🈁Claude Opus 4.6 к ⭕️ Kimi K2 и ❗️Gemini 2.5 Flash. Как отмечает автор отчёта Райан Феттерман, распространение стилера по модели конструктора с выгрузкой готовых сводок в Telegram полностью перекладывает аналитическую сортировку жертв с оператора на ИИ-модель. Для защиты рекомендуется запретить сторонним процессам запуск Chrome с параметром --headless, а при компрометации сохранить журнал %APPDATA%\volta_debug.txt, сбросить пароли и токены и перевести криптоактивы на кошелёк, созданный на устройстве с воздушным зазором. ✋ @Russian_OSINT

Без текста

Обновление информации по инциденту и восстановлению работы сервисов Beget В ночь на 2 ноября 2026 года наша инфраструктура подверглась массированной кибератаке, в результате которой была нарушена работа ряда сервисов. Официальное уведомление об обстоятельствах непреодолимой силы Настоящим ООО «Бегет» уведомляет клиентов о возникновении обстоятельств, которые обладают признаками непреодолимой силы (форс-мажора) в соответствии с пунктом 3 статьи 401 Гражданского кодекса РФ и положениями действующих договоров. Масштабная атака на инфраструктуру компании и вызванные ею последствия временно препятствуют надлежащему исполнению части наших обязательств по предоставлению услуг. Настоящее сообщение является официальным уведомлением о возникновении указанных обстоятельств и их влиянии на исполнение договорных обязательств. Текущий статус восстановления На данный момент нам уже удалось восстановить работу выделенных серверов без нашего администрирования. Что происходит сейчас: - NS-серверы. Восстановление их работы — наш главный приоритет. Ориентировочный срок — ближайшие 4–5 часов. - Почтовая система. Параллельно ведём работы по восстановлению её работоспособности. - Резервные копии. На данный момент нам доступны файловые резервные копии подавляющего большинства ресурсов виртуального хостинга и облачной инфраструктуры. Мы продолжаем работу по восстановлению данных, однако из-за значительных объёмов этот процесс потребует длительного времени. Наши специалисты непрерывно работают над восстановлением инфраструктуры и делают всё возможное, чтобы как можно скорее вернуть сервисы к полноценной работе. При этом мы продолжаем оценивать масштаб последствий атаки, поэтому пока не можем назвать точные сроки полного восстановления всех сервисов. Мы понимаем, насколько критична доступность наших услуг для ваших проектов, и прикладываем все усилия для скорейшего восстановления работы. Будем информировать вас по мере поступления новых подтверждённых данных. Спасибо за терпение, понимание и поддержку.

🥷❗️Как программа-шифровальщик C3RB3R атакует сетевые хранилища Synology через старую уязвимость DSM Тайваньский производитель сетевых хранилищ (NAS) Synology предупредил клиентов о необходимости немедленно обновить устройства из-за всплеска атак программы-шифровальщика C3RB3R. Чтобы защитить данные и пресечь попытки злоумышленников взломать и зашифровать хранилища, компания призвала пользователей обновить программное обеспечение DiskStation Manager (DSM) до актуальной версии и включить автоматическое обновление, а также владельцам устройств рекомендуется срочно закрыть доступ к веб-интерфейсу управления из интернета. «Synology выявила злоумышленников, которые эксплуатируют уязвимость, исправленную в декабре 2024 года, для атак на устройства под управлением устаревших версий DSM. Эти атаки направлены на шифрование данных и вымогательство выкупа. Synology настоятельно призывает всех пользователей уязвимых версий немедленно обновить DSM для защиты своих систем. Synology также рекомендует включить автоматическое обновление, чтобы постоянно поддерживать DSM в актуальном состоянии» — говорится в уведомлении Synology. Хотя производитель пока не уточнил, какая именно уязвимость эксплуатируется в текущей кампании, в своём предупреждении он сослался на бюллетень безопасности от ноября 2024 года. В этом документе описаны патчи для уязвимостей, которые позволяют атакующим выполнять произвольный код (CVE-2024-10441), читать файлы (CVE-2024-50629) и записывать файлы (CVE-2024-10445) на необновлённых устройствах. Для защиты различных веток системы вендор предписывает установить следующие исправленные сборки: ▫️ Для ветки DSM 7.2.2 (критический уровень опасности) необходимо обновиться до версии 7.2.2-72806-1 или выше. ▫️ Для ветки DSM 7.2.1 (критический уровень опасности) требуется переход на версию 7.2.1-69057-6 или выше. ▫️ Для ветки DSM 7.2 (критический уровень опасности) нужно установить сборку 7.2-64570-4 или выше. ▫️ Для ветки DSM 7.1 (критический уровень опасности) необходимо обновление до версии 7.1.1-42962-7 или выше. ▫️ Для ветки DSM 6.2 (умеренный уровень опасности) предписан переход на версию 6.2.4-25556-8 или выше. Опубликованное на прошлой неделе предупреждение последовало за массовой волной жалоб от клиентов Synology, чьи данные оказались зашифрованы. Первые сообщения от пострадавших владельцев появились более двух недель назад. По словам пострадавших пользователей, программа-шифровальщик добавляет к зашифрованным файлам расширение .L0CK3D и оставляет записку с требованием выкупа read-me3.txt. В тексте записки злоумышленники заявляют, что любые попытки восстановить данные сторонними утилитами станут фатальными для файлов, и предлагают бесплатно расшифровать один любой файл для демонстрации работоспособности программы расшифрования «C3rb3r Decryptor», за покупку которой на портале в дарквебе от жертв требуют тысячи долларов. Применяемая в атаках на NAS-устройства Synology программа-вымогатель Cerber (также известная под названиями C3RB3R и CerberImposter) позаимствовала имя у известной группировки, работавшей по модели «программа-вымогатель как услуга» (RaaS) с 2016 года. До своего закрытия в конце 2019 года старая операция Cerber охватывала более 80% всех атак программ-вымогателей и четверть (25%) всех заражений вымогательским ПО на корпоративных конечных устройствах. Новое семейство C3RB3R впервые заметили в декабре 2021 года, после чего его разворачивали на серверах Atlassian Confluence и GitLab в ходе нескольких волн атак с эксплуатацией уязвимостей удалённого выполнения кода (CVE-2021-26084 и CVE-2021-22205) и обхода аутентификации (CVE-2023-22518). Сейчас организация по мониторингу интернет-угроз Shadowserver отслеживает более 380 000 доступных из интернета NAS-устройств Synology, однако в статистике не уточняется, сколько из них уже защищены от этих атак или выступают в роли ханипотов. ✋ @Russian_OSINT

Без текста

Без текста

Официальный канал облачного провайдера Beget* в Telegram пишет, что у компании 😐произошёл крупный инцидент. ⚙️Задействованы все ресурсы и делается всё возможное, чтобы восстановить стабильность. Мы продолжаем детальный разбор ситуации. Проблема носит комплексный характер и затрагивает все уровни архитектуры. В данный момент инженеры выполняют ручную настройку инфраструктуры непосредственно в дата‑центрах. Для решения задачи задействованы все необходимые ресурсы — команды работают в усиленном режиме. Следующий апдейт опубликуем сразу после получения подтверждённой и точной информации. — пишет Beget Official. Beget* — российский хостинг-провайдер и облачная платформа, один из крупнейших в России. ✋ @Russian_OSINT

❗️ Как сообщает 👨‍🚒МЧС России в VK и МАКС, мобильное приложение МЧС России подверглось кибератаке, в результате чего злоумышленникам удалось осуществить рассылку фейковой информации населению. Сообщается, что сейчас ведутся работы по устранению уязвимости мобильного приложения и восстановлению его нормального функционирования. Пользователи жалуются на нецензурную брань в сообщении. ✋ @Russian_OSINT

🇷🇺 Сертификаты подписи российского программного кода начнут выдавать в 2027 году — Ведомости Минцифры планирует в 2027 г. начать выдавать сертификаты подписи программного кода разработчикам российского ПО, а в 2028 г. – корпоративные сертификаты безопасности. Сертификат позволит установить разработчика программы и проверить, не изменили ли ее после выпуска. Информация будет отображаться в установочном файле конкретной программы. Ведомости пишут, что Минцифры впервые официально получит полномочия НУЦа, закон допускает плату за часть сертификатов. ✋ @Russian_OSINT

⭕️ У китайской Kimi заработала оплата картами «Мир», но доступность пока нестабильна Китайская Moonshot AI открыла возможность оплачивать подписку Kimi российскими картами «Мир». В сети появились сообщения о том, что можно без сложностей оформить тариф Plus с российского сайта без КВН. Буквально 31 октября появились другие сообщения об исчезновении «Мира» из платёжной формы. При этом 1 ноября снова удалось при входе из России без КВН открыть платёжный шлюз с поддержкой российских карт. Возможно, доступность оплаты зависит от условий подключения и способа оформления подписки. 1️⃣ Планы подписки. В международной тарифной сетке Kimi Plus стоит $19, Pro — $39, Max — $99, а Ultra — $199 в месяц. При годовой оплате Plus обходится в $180 сразу, что соответствует $15 в месяц. Именно такой месячный эквивалент указан на странице годовых тарифов. 2️⃣ В рублях получается дороже курса ЦБ. При тестовой оплате тарифа Plus стоимостью $19 с карты списалось выше ₽1 600. 3️⃣ Программирование, исследования и документы расходуют общий запас. Уже тариф Plus включает Kimi Code, исследовательские функции и работу с офисными документами. Все возможности подписки расходуют общий месячный запас кредитов, поэтому активная работа с кодом уменьшает ресурс для исследований и презентаций, а неиспользованный остаток на следующий период не переносится. При этом для Kimi Code дополнительно действует отдельный лимит в скользящем пятичасовом окне. 4️⃣ Kimi K3.1 Pro дешевле Claude Opus 5.5 по базовым тарифам API. Использование Kimi API оплачивается отдельно от подписки. Базовые ставки ИИ-модели Kimi K3.1 Pro составляют $2 за 1 млн входных токенов и $10 за 1 млн выходных, что вдвое ниже обычных ставок Claude Opus 5.5 ($4 и $20). Ускоренная версия Kimi K3.1 Pro Highspeed стоит уже $4 и $20 соответственно, то есть по этим ставкам совпадает с Claude Opus 5.5. Для неё Moonshot AI заявляет в 2–3 раза более высокую скорость генерации по сравнению с обычной K3.1 Pro. 5️⃣ В общем рейтинге Claude впереди, но Kimi выигрывает отдельные тесты. В сводном индексе Artificial Analysis ИИ-модель Kimi K3.1 Pro (46 баллов) уступает Claude Opus 5.5 в конфигурации Max, Default Fallback (58 баллов). При этом в отдельных дисциплинах, включая сложный инженерный тест Terminal-Bench 4.0, результат Kimi K3.1 Pro выше (67% против 60%). Выбор зависит от задачи, а возможность оплаты российской картой добавляет сервису практическое преимущество. 6️⃣ Kimi может стать альтернативой Claude для части пользователей из РФ. На фоне жалоб владельцев российских паспортов на блокировки Claude — китайский сервис выглядит вполне интересным рабочим вариантом для рядовых задач. 7️⃣ Платная подписка Kimi не исключает обучение на переписке. Условия сервиса разрешают использовать запросы и ответы для обучения и улучшения ИИ-моделей. Отказ оформляется через обращение в поддержку и действует только на будущее. Удалять материалы, уже использованные в прошлых циклах обучения, компания при этом не обязуется. ✋ @Russian_OSINT

✋🈁Мгновенная карма от российских пользователей за Claude блокировки. ✋ @Russian_OSINT

Без текста

🈁 Невыпущенная ИИ-модель Claude создала root-эксплойт для 10-летней уязвимости ядра Linux на фоне отсутствия патчей в Ubuntu и RHEL Всего 53 минуты работы потребовалось сетевому эксплойту, созданному невыпущенной исследовательской ИИ-моделью Claude после начального промпта, чтобы удалённо взломать сервер на Linux и получить права суперпользователя (root) без учётных данных и действий со стороны жертвы. Найденная ИБ-исследователем Синьяном Гэ уязвимость повреждения памяти Use-After-Free в обработке параметров IPv4 при установке TCP-соединения получила в записи CVE-2026-98432 критическую оценку 9,8 балла по шкале CVSS 3.1, хотя сама ошибка скрывалась в коде ещё со времён релиза Linux 4.4. 💻В отчёте подразделения Frontier Red Team компании Anthropic описано, как ИИ-модель превратила это состояние гонки в двухэтапную цепочку удалённого выполнения кода через слушающий сокет Multipath TCP (MPTCP) в обход рандомизации адресного пространства ядра (KASLR). При этом неудачные попытки выиграть гонку не вызывают краха ядра, а лишь сбрасывают установку соединения, позволяя повторять атаку до полного успеха. «После начального промпта Claude написала эксплойт, который позволяет удалённому злоумышленнику отправлять пакеты на серверы Linux со слушающим сокетом Multipath TCP для выполнения произвольных команд с правами root без каких-либо учётных данных или взаимодействия с пользователем. [...] В нашем прототипе (PoC) требуется 48 минут для утечки указателя ядра и ещё пять минут для достижения выполнения команд оболочки» — говорится в отчёте подразделения Frontier Red Team компании Anthropic. Масштаб проблемы резко вырос из-за особенностей экосистемы Go. Нил Патель в уведомлении команды безопасности Go, позднее пересланном в список рассылки oss-security, напомнил, что начиная с релиза Go 1.24 стандартная библиотека включает MPTCP по умолчанию для слушающих сокетов в системах, где протокол поддерживается (сейчас только в Linux). Из-за этого веб-серверы, прокси и облачные сервисы на Go с доступными слушающими MPTCP-сокетами оказались под угрозой эксплуатации на хостах с уязвимым ядром, если использование протокола не было отключено явно в коде сокета, переменной окружения GODEBUG=multipathtcp=0 при запуске или директивой godebug multipathtcp=0 в файле go.mod при сборке. В основные ветки ядра исправление вошло ещё в середине октября, и Debian, а также оценившие уязвимость в 8,1 балла Oracle, SUSE и Amazon уже выпустили обновления для части поддерживаемых ядер. В Ubuntu на 30 октября 2026 года все актуальные выпуски от 16.04 LTS до 26.10 остаются без готовых патчей, а Red Hat, первоначально оценившая уязвимость в 5,9 балла со статусом отложенного исправления на 29 октября и впоследствии повысившая оценку до 🆙8,1 балла, 🫠пока не выпустила патчи для затронутых ядер RHEL 8, 9 и 10. 🎩 О подтверждённых атаках в 🦌дикой природе пока публично не сообщалось, но готовый прототип эксплойта от ИИ-модели для 10-летней ошибки ядра наглядно показывает, насколько быстро нейросети научились раскручивать сложные состояния гонки. Пока дистрибутивы собирают пакеты обновлений, администраторам серверов на Ubuntu и RHEL стоит проверить все MPTCP-сокеты командой ss -Mani, при отсутствии обновлений запретить создание новых таких сокетов через sysctl -w net.mptcp.enabled=0 в каждом сетевом пространстве имён (netns) с обязательным перезапуском служб, а в качестве возможной дополнительной временной меры рассмотреть предложенный в обсуждении разработчиков Go сброс на межсетевом экране входящих TCP-пакетов с параметрами в заголовке IPv4. ✋ @Russian_OSINT

🛡Аппаратный имплант для кражи криптовалюты теперь и в 🤌 Trezor Safe 5? Вслед за нашумевшей историей с Ledger теперь и команда безопасности Trezor 30 октября 2026 года выпустила предупреждение о возможном аппаратном импланте в криптовалютном кошельке Trezor Safe 5, признав сигнал заслуживающим доверия ещё до поступления устройства в лабораторию. Устройство купили в августе 2026 года на маркетплейсе Tokopedia у компании CryptoBilis, которая до октября выступала официальным реселлером вендора в Юго-Восточной Азии. Покупатель из Индонезии заметил разницу в весе гаджета, заранее перевёл активы в безопасное место и уведомил разработчиков по программе ответственного раскрытия уязвимостей. Согласно присланному отчёту, между основной платой и экраном установлена дополнительная печатная плата с сотовым модулем и антенной. При подаче питания она считывает выводимую на дисплей информацию, включая резервную копию кошелька (фразу восстановления), и передаёт данные по мобильной сети. Ранее, 9 октября 2026 года, расследование краж средств у клиентов CryptoBilis начала компания Ledger, позже подтвердившая физическую модификацию своих кошельков в ходе атаки на цепочку поставок. В тот же день Trezor прекратила партнёрство с реселлером, а по данным поста вендора в X, проверка четырёх ранее сданных клиентами устройств следов взлома не выявила вплоть до сигнала 28 октября. Совместно со службой экстренного реагирования 👁 SEAL 911 команда Trezor изучила фотографии, опросила владельца по видеосвязи и организовала доставку образца в лабораторию, объяснив выпуск предупреждения до завершения экспертизы. «Увиденное выглядит достаточно изощрённым, поэтому мы решили предупредить клиентов уже сейчас. Ожидание лабораторного подтверждения оставило бы покупателей CryptoBilis под угрозой на всё это время» — говорится в заявлении Trezor. О потере средств покупатели Trezor через CryptoBilis пока не сообщали, но из-за некастодиальной архитектуры вендор не видит балансы и предупреждает о риске волн фишинга. Всем, кто приобретал любую модель Trezor у этого продавца с марта 2026 года, необходимо срочно вывести средства на новый кошелёк с новой мнемонической фразой и запросить бесплатную замену устройства, не полагаясь на домашнее взвешивание или вскрытие корпуса. ✋ @Russian_OSINT

🖥В магазине расширений Cursor обнаружили вредоносную версию плагина 🤖Claude Code с SSH-бэкдором D официальном каталоге Cursor Extension Marketplace распространялась вредоносная сборка расширения Anthropic.claude-code версии 2.1.313, затронувшая до 5000 пользователей. Команда Cursor уточнила, что модифицированный пакет не создавался компанией Anthropic, признаков компрометации официального дистрибутива и других версий плагина не обнаружено, а проверка остальных расширений каталога не выявила посторонних изменений. Злоумышленники внедрили вредоносный код в файл extension.js внутри пакетов для macOS (darwin-arm64) и Windows (win32-x64). Скрипт отправлял данные о системе (имя пользователя, ОС, рабочие пути, почту из Git, имена переменных окружения и IP-адрес) на сервер hxxp://134[.]209[.]82[.]225:8099/beacon, добавлял открытый SSH-ключ с меткой svc-telemetry в authorized_keys, настраивал повторные попытки подключения обратного SSH-туннеля примерно каждые 60 секунд через механизмы закрепления (com.apple.sysmond.plist на macOS и задачу SysMon на Windows) и пытался включить локальную службу SSH. Однако на устройствах, где редактор не имел прав администратора, эта операция завершалась ошибкой. «На таких устройствах этот шаг завершается ошибкой, поэтому злоумышленник не смог бы войти в систему через туннель. Тем не менее расширение всё равно добавляет SSH-ключ атакующего, устанавливает механизмы закрепления в системе и отправляет сведения об узле злоумышленнику» — говорится в уведомлении команды Cursor. Разработчики удалили вредоносную версию, перезапустили маркетплейс с ротацией собственных ключей и совместно с провайдером отключили сервер атакующих. Пользователям рекомендовано обновиться до версии 2.1.314, проверить authorized_keys на наличие метки svc-telemetry, а при обнаружении следов компрометации изолировать хост, удалить автономные скрипты закрепления официальными утилитами (remediate-macos.sh или remediate-windows.ps1) и сменить доступные с затронутого устройства учётные данные с доверенного устройства. ✋ @Russian_OSINT

Без права на ошибку: почему в промышленной кибербезопасности нет компромиссов   Компрометация критической инфраструктуры грозит не просто утечкой данных, а остановкой производства и возможными техногенными авариями. В промышленной кибербезопасности не бывает «остаточного риска»: если систему можно взломать, риск является полным. Алексей Мартынцев, директор департамента защиты информации и ИТ-инфраструктуры «Норникеля», рассказал Илье Шаленкову, партнеру Kept, руководителю Группы по оказанию услуг в области кибербезопасности, как компания выстраивает защиту КИИ и АСУ ТП, адаптируется к новым реалиям и меняет культуру ИБ-безопасности среди сотрудников. Поговорили также о том: 🔸 как «Норникель» реализует переход на российские решения и помогает отечественным вендорам создавать зрелые ИБ-продукты; 🔸 где проходят «красные линии» аутсорсинга и какие функции ИБ нельзя передавать подрядчику; 🔸 из чего состоит реальный KPI службы кибербезопасности; 🔸 почему искусственный интеллект в кибербезе — не способ сэкономить, а «налог на выживание». ▶️ Смотрите интервью 🟣 Читайте полную версию

🥷Новости по Binance: Криптобиржа Binance подтвердила, что речь идёт о крупном инциденте информационной безопасности, общий предварительный ущерб от которого оценивается примерно в $6,3 млрд. По данным первичного расследования, злоумышленник скомпрометировал ноутбук DevOps-инженера компании, получил доступ к сервисному контейнеру и провёл несанкционированные транзакции на вывод средств, однако признаков утечки закрытых ключей от кошельков не обнаружено. Совместно с блокчейн-партнёрами биржа уже заморозила в сети затронутые активы примерно на $3 млрд. По заверению компании, все убытки будут полностью покрыты из фонда SAFU и собственных средств Binance, поэтому активы пользователей находятся в безопасности. В качестве меры предосторожности площадка временно приостановила ввод и вывод средств на период проверок безопасности, отозвала авторизацию у затронутого адреса и привлекла к отслеживанию и возврату средств правоохранительные органы со специалистами по блокчейн-аналитике. 👮После завершения расследования и устранения последствий инцидента компания опубликует подробный технический отчёт и обновлённые данные о подтверждении резервов. 👆Chainalysis пишут о том, что якобы средства, украденные хакерами из КНДР в результате взлома Bitget в прошлом месяце, смешиваются со средствами, украденными из Binance, и с высокой долей уверенности связывают атаку на Binance с северокорейскими спецами. ZachXBT комментирует: Украденные средства из Binance на $6,3 млрд и взлома Bitget на $388 млн были смешаны на одном адресе 45 минут назад, после прибытия через THORChain. Это указывает на то, что, вероятно, один и тот же субъект стоит за обоими инцидентами. Взлом Bitget был приписан TraiderTraitor, связанному с КНДР, который имел пересечения с другими предыдущими взломами, такими как Kelp DAO. Большинство средств ($4,90 млрд из $6 млрд) были украдены менее чем за 15 минут — Arkham. ✋ @Russian_OSINT

OpenAI умеют в маркетинг... ✋ @Russian_OSINT

Без текста

Без текста

К2 Кибербезопасность протестировала Kaspersky NGFW 1.3 и выяснила реальную производительность в трех режимах защиты 🛡  На фоне импортозамещения российских NGFW становится больше, но как оценить их возможности до внедрения ❓ Одних заявленных характеристик недостаточно — важно проверить, какую производительность решение показывает с включенными модулями защиты и насколько она соответствует требованиям инфраструктуры. Команда К2 Кибербезопасность протестировала две аппаратные платформы — KX-100 и KX-400. Нагрузочные испытания проводили с 10 000 правил межсетевого экрана и двумя профилями трафика. Для оценки производительности использовали Cisco TRex, повторные тесты и часовые стресс-испытания. 40 Гбит/с без дополнительных модулей защиты, 16 Гбит/с с IDPS и 11,4 Гбит/с с потоковым антивирусом — такие результаты показал KX-400 в наших испытаниях. ✅ В коротком видео делимся результатами нагрузочных испытаний, конкретными цифрами и выводами экспертов. ✅ Смотрите в нашем блоге.

Без текста