Live and recent posts from across the Fediverse tagged #вредоносное_по, aggregated by home.social.
«Подтвердите, что не робот» — и ваш компьютер под контролем
В конце сентября была зафиксирована активность по доставке стиллера с использованием техники ClickFix. Кампания была направлена на граждан России. В статье разберём полную цепочку атаки: от фейковой капчи до удалённого управления машиной. Подтверждаю — я не робот
Уязвимости по осени считают: дайджест киберугроз сентября 2026
Осень приносит не только романтичные прогулки под дождем, но и фишинговые письма от «поставщиков», расширения с сюрпризом, подозрительные VPN-входы и устаревшие сервисы на внешнем периметре. Собрали дайджест главных киберугроз сентября для российских компаний.
https://habr.com/ru/articles/1094302/
#уязвимости #вредоносное_по #информационная_безопасность #фишинг #кибератаки #защита_данных #кибербезопасность #cve #microtik #citrix_netscaler
Матрёшка с Remcos внутри: как JS-файл, «картинка» и MSBuild передают друг другу эстафету
Привет, Хабр! Сегодня я хочу рассказать о том, как один невзрачный .js-файл превратился в шесть слоёв упаковки, и в самом центре этой матрёшки сидел старый знакомый Remcos. Раскрыть матрешку.
https://habr.com/ru/articles/1093948/
#вредоносное_по #jscript #powershell #обфускация #msbuild #rat #dfir #process_hollowing #remcos #cyberchef
Мой бот прислал мне репо-ловушку с 1774 звёздами. Разобрал 321 репо из трендов и собрал два фильтра
У меня есть Telegram-бот, который каждое утро присылает пять трендовых репозиториев GitHub с trendshift.io. Под каждым кнопка: нажал, и бот выдаёт выжимку README, чтобы разобрать идею. Я читаю эту ленту каждый день и иногда ставлю то, что понравилось. 26 сентября в ленте был «Microsoft Activation Scripts»: 1774 звезды, аккуратное описание, теги. Бот оформил его так же, как четыре соседних проекта, с той же кнопкой. Это была ловушка.
https://habr.com/ru/articles/1093834/
#python #вредоносное_по #github #галлюцинации #telegramбот #supply_chain #llm #deepseek
От одного компьютера до глобальной эпидемии: как WannaCry распространялся по сети
12 мая 2017 года компьютеры по всему миру начали блокировать доступ к файлам и требовать выкуп. Больницы отменяли приёмы, предприятия останавливали производство, а WannaCry продолжал искать новые цели. Ему не нужно было ждать, пока пользователь откроет письмо или запустит заражённый файл: один успешно заражённый компьютер мог стать началом цепочки новых заражений. Как программа находила другие компьютеры? Почему уязвимость, для которой уже существовало обновление, всё ещё оставалась угрозой? И как регистрация одного домена помогла замедлить глобальную атаку? Разберёмся, как WannaCry распространялся по сетям, какую роль сыграл EternalBlue и почему даже остановка эпидемии не означала, что её последствия исчезли.
https://habr.com/ru/articles/1092226/
#вирус #вредоносное_по #информационная_безопасность #кибератаки #сетевая_безопасность #smb #сетевой_червь #wannacry #eternalblue #уязвимости_windows
Новый ICS-вредонос S7Flip, или Что мы нашли на MalwareBazaar
Недавно наши коллеги из Центра промышленной экспертизы Positive Technologies обнаружили на MalwareBazaar один любопытный Windows-образец. Наше внимание привлекло сообщение от аккаунта, с которого залили данный сэмпл. В тексте сообщения пользователь с ником jeans описывает вредоносную программу, обнаруженную на компьютере с Windows в промышленной среде (на предприятии с оборудованием Siemens). По его словам, предположительно новый вредонос нацелен на промышленные системы управления (ICS). Он пытается манипулировать данными ПЛК по протоколам S7Comm и Modbus TCP, а также маскируется и закрепляется в Windows.
Ваш сервер Zimbra под угрозой
Недавно наша команда PT ESC IR столкнулась с новой атакой ransomware-группировок на почтовые серверы Zimbra с использованием уязвимости CVE-2026-73570 и шифровальщика TargetZimbra. По информации из открытых источников аналогичные атаки массово фиксируются на серверах Zimbra с середины августа. Важно ! Если вы используете неактуальную версию ПО Zimbra и не обнаружили на своем почтовом сервере приведенных в статье индикаторов компрометации конкретной кампании шифровальщика TargetZimbra, то это не значит, что ваш сервер гарантированно не скомпрометирован. Уязвимость CVE-2026-73570 может использоваться другими злоумышленниками, например, для установки майнеров, а также APT-группировками, нацеленными на компрометацию инфраструктуры всей организации.
https://habr.com/ru/companies/pt/articles/1082654/
#zimbra #вредоносное_по #шифровальщик #уязвимость #ransomware #snmp #почтовый_сервер
Drama RAT — вредоносное приложение, после установки которого действительно становится печально
Недавно на исследование в департамент комплексного реагирования на киберугрозы Positive Technologies (PT ESC IR) поступил ряд образцов банковского трояна для Android с функциями удаленного управления — Drama RAT. Это вредоносное семейство распространяется с помощью фишинговых сообщений в мессенджерах и маскируется под VPN-сервисы, банковские приложения и другие взломанные утилиты со встроенной платной функциональностью. Ранее о нем писали в УБК МВД .
https://habr.com/ru/companies/pt/articles/1077814/
#банковский_троян #rat #remote_access_trojan #вредоносное_по #мессенджеры #vpn #фишинг #маскировка #dramarat
Разбор VBScript RAT: от HEX-обфускации до удалённого управления Windows
На анализ мне попался VBScript-файл, содержимое которого на первый взгляд не давало практически никакой информации о его назначении. В файле находился набор HEX-строк, которые последовательно передавались функции h() . Полученное значение затем выполнялось через ExecuteGlobal . Я решил сначала не запускать сам скрипт, а восстановить скрытый код и уже после этого разбирать его поведение. Для этого мне было достаточно понять, каким образом формируется строка f и что именно делает функция h() . В результате оказалось, что HEX здесь используется только для сокрытия исходного VBScript. После декодирования я получил полноценный RAT, который взаимодействует с удалённым сервером по HTTP, выполняет команды оператора, работает с файлами и процессами, собирает информацию о системе, устанавливает persistence и умеет распространяться через съёмные USB-накопители. Снимаем маску с RAT
https://habr.com/ru/articles/1072830/
#реверсинжиниринг #инфомационная_безопасность #rat #вредоносное_по #вредонос #вредоносный_код
DragonDoll для Google Chrome: обновите ваш шпион до последней версии
Весной 2026 года специалисты направления Threat Intelligence экспертного центра безопасности Positive Technologies обнаружили необычную атаку на пользователей Саудовской Аравии с использованием неизвестного ранее APK-файл с именем Chrome.apk . Образец заинтересовал: за милой картинкой обновления Google Chrome и неожиданным требованием для работы «специальных возможностей» мы обнаружили тщательно защищенную от анализа цепочку запуска Android-шпиона.
https://habr.com/ru/companies/pt/articles/1069960/
#вредоносное_программное_обеспечение #бэкдор #вредоносное_по #программашпион #шпионское_по #dragondoll #android #google_chrome #фишинг
Атака через службу ViPNet MFTP: признаки компрометации и рекомендации
Специалистами экспертного центра безопасности Positive Technologies (PT ESC) зафиксированы признаки реализации злоумышленниками атаки через штатную функциональность службы ViPNet MFTP . На момент написания уведомления известная хронология атаки охватывает период как минимум с 1 июня по 14 июля 2026 года, а ее поверхность — как минимум 8 организаций. Под катом рассказываем, что нам известно об атаке на настоящий момент.
Фишинг на безопасников: почему ИБ-конференции стали удобной приманкой
Представьте обычное рабочее письмо: знакомый логотип ИБ-компании, подпись директора, реквизиты, блок об электронной подписи и архив с программой конференции. Внутри действительно может лежать программа. Рядом — троян. Сразу две российские ИБ-конференции предупредили о поддельных приглашениях, которые рассылали от их имени. Схемы оказались почти одинаковыми: деловой по виду PDF, архив с паролем, форма регистрации и исполняемые файлы, которые получателю предлагали открыть ради гостевого билета. Но сама идея гораздо старше. Ещё в 2016 году злоумышленники использовали приглашение на Cybersecurity Summit Palo Alto Networks. Позже приманкой стала конференция CyCon, а в 2025 году атакующие уже неделями вели переписку от имени организаторов европейских мероприятий и отправляли вредоносную ссылку только после того, как жертва начинала им доверять. В Operation Capsule Vault пошли ещё дальше: пользователю показывали настоящий документ, пока вредоносное ПО запускалось в фоне. Я собрал несколько таких кампаний в одну цепочку — от Word-файлов с макросами до OAuth, Device Code, ISO-образов и загрузки вредоносного кода через облачные сервисы. Без рассказов о «глупых пользователях». Без попытки выдать пересказ чужих расследований за собственное исследование. В статье разберём, почему тема ИБ-конференций так удобна для атакующих, за счёт чего поддельные письма выглядят убедительно и где заканчивается обычная невнимательность получателя.
https://habr.com/ru/articles/1059220/
#фишинг #целевой_фишинг #социальная_инженерия #информационная_безопасность #ИБконференции #вредоносное_ПО #APT #OAuth #Device_Code #кибератаки
Разбор цепочки заражения через документ Excel: от OLE-объекта до LuaJIT-инфостилера
Большинство современных вредоносных рассылок уже давно не используют классические макросы Microsoft Office. Вместо этого злоумышленники строят многоступенчатые цепочки заражения, где каждый компонент выполняет только одну небольшую задачу: первоначальный документ лишь инициирует загрузку следующего этапа, тот скачивает новый компонент, который в свою очередь запускает основной вредоносный модуль. В ходе анализа одного из подобных образцов была исследована полная цепочка заражения — от письма с вложением Excel до запуска LuaJIT-загрузчика и последующего инфостилера. Интересной особенностью является использование файлов с нестандартными расширениями ( .PIF и .TTF ), которые на самом деле не являются ни ярлыком, ни шрифтом. Давайте рассмотрим каждый этап работы вредоносной цепочки.
https://habr.com/ru/articles/1057686/
#информационная_безопасность #реверсинжиниринг #вредоносное_по
ИИ против вредоноса. Песочница и беглый теханализ
Этой статьей я постараюсь логично завершить эксперимент с ханипотом и рассказать про анализ вредоносного ПО силами ИИ. Идея проекта простая: проверить, может ли связка из изолированной виртуальной машины, классических инструментов анализа ВПО и LLM-агента дать не только красивый отчет, как было в прошлый раз, а реально полезный материал для борьбы с вредоносами.
Зараженные ассеты на маркетплейсах
Небольшой дисклеймер: данная статья не призвана провести всеобъемлющий анализ, это скорее статья-предупреждение для начинающих и не только разработчиков компьютерных игр. Рассказываю о небольшом инциденте на маркетплейсе игровых ассетов FAB. В течение трех суток пользователь с ником AIGUL12 загрузил более тысячи зараженных ассетов, не встречая никакого сопротивления со стороны торговой площадки.
Я обнаружил крупномасштабное распространение вирусов в GitHub
Это история о том, как я нашел 10.000 репозиториев в GitHub, в которых находится ссылка на скачивание zip архива. В этом архиве — троян. Все эти репозитории от разных контрибьюторов, с разным названием и не являются форками других репозиториев. Даже если мы найдем один такой репозиторий, мы не сможем по нему найти другие репозитории. Но у всех них есть одинаковый паттерн, который и позволил написать скрипт для поиска таких репозиториев.
Включил отладку по Wi-Fi — получил Mamont
В начале мая на устройствах Android была обнаружена уязвимость CVE-2026-0073 , которая позволяет удаленно выполнять команды на мобильном устройстве без подтверждения со стороны пользователя. Уязвимы устройства с Android 11 и выше, на которых включена функция отладки по Wi-Fi. Функция отладки по Wi-Fi является легитимной — она позволяет подключаться к мобильному устройству для установки, тестирования приложений и создания резервных копий. Для использования этой функции необходимо осуществить сопряжение с ПК и подтвердить доверенные связи. CVE-2026-0073 дает возможность пропустить этап подтверждения связей и сразу взаимодействовать с устройством.
https://habr.com/ru/companies/pt/articles/1045218/
#вредоносное_по #mamont #андроид #CVE20260073 #cve #отладка_по_wifi
ИИ в 2026: крах мифа об автономных хакерах и скрытые уязвимости корпораций
Эйфория вокруг генеративного искусственного интеллекта и больших языковых моделей, начавшаяся несколько лет назад, сменилась прагматичным и жестким осознанием реальности. В индустрии информационной безопасности долгое время циркулируют апокалиптические прогнозы: эксперты предрекали появление полностью автономных цифровых хакеров, способных самостоятельно взламывать банковские системы, и появление миллионов низкоквалифицированных хакеров, которые одной кнопкой смогут ставить на колени транснациональные корпорации. На днях мы выпустили аналитическое исследование , которое подводит черту под эпохой домыслов. Реальность, как это часто бывает, оказалась куда тоньше и интереснее медийных страшилок. Никакого «терминатора», способного в одиночку взломать защищенный контур, не появилось. Однако киберландшафт изменился безвозвратно. Произошла глубокая эволюция наступательного инструментария, а главное — сам бизнес, стремясь угнаться за трендом на «интеллектуализацию», создал гигантскую, уязвимую и практически неконтролируемую поверхность атаки внутри собственных ИТ-контуров. В этой статье мы попробуем развенчать укоренившиеся мифы, разберем анатомию современных ИИ-атак и детально опишем новые векторы угроз, которые компании создают своими руками через теневой ИИ (Shadow AI), агентские системы и бесконтрольную генерацию кода.
https://habr.com/ru/companies/pt/articles/1044158/
#вредоносное_по #вайбкодинг #вредоносный_код #генерация_кода #киберугрозы_ии #кибератаки #ииагенты #llm #shadow_ai #wormgpt
Случайный апокалипсис: Как 99 строк кода Роберта Морриса навсегда изменили интернет
Представьте себе интернет 1988 года: всего 60 000 узлов, ламповая атмосфера полного доверия между университетами и военными базами, а пароли спокойно пересылаются открытым текстом. Никаких шифровальщиков, ботнетов и DDoS-атак. Но 2 ноября 23-летний аспирант Корнеллского университета Роберт Моррис запустил безобидный исследовательский скрипт, в котором таилась одна математическая ошибка. За считанные часы эти 99 строк кода положили 10% всего тогдашнего интернета, вызвали панику в MIT и Пентагоне, и заставили сисадминов физически рубить кабели маршрутизаторов.
https://habr.com/ru/articles/1042476/
#червь_Морриса #Роберт_Моррис #история_интернета #кибербезопасность #вредоносное_ПО #переполнение_буфера #ARPANET #Zero_Trust #уязвимости #1988
Как вредоносный код переписал мой Git-коммит и заразил десятки проектов и несколько рабочих машин
История о том, как один странный git push оказался началом расследования, которое вывело меня не на один взломанный аккаунт, а на цепочку зараженных репозиториев и проектов. Снаружи все выглядело почти нормально: знакомый автор, знакомый коммит, привычные файлы. Но внутри последнего коммита уже жил чужой обфусцированный JavaScript. Он прятался в конфиге, менял Git-историю и маскировался под обычную работу разработчика. Первой версией был взлом моего GitHub, но смена ключей и паролей ничего не решила. Потом след вывел на другого разработчика, потом еще на несколько проектов, и картина стала намного неприятнее. Это оказалась PolinRider-like supply chain атака, которая использует сам developer workflow как транспорт. В статье я разбираю, какие мелкие странности помогли заметить проблему и почему им нельзя махать рукой. Показываю реальные скриншоты, подозрительные изменения в .gitignore и payload внутри babel.config.js. В конце оставил скрипты, которые могут помочь быстро проверить свои проекты и логи на PolinRider похожие признаки.
https://habr.com/ru/articles/1040200/
#обфусцированный_код #вредоносное_по #вредоносный_код #yarn #npm #nodejs #polinrider
Ransomware: математический аппарат на службе зла
Привет, Хабр! Я Илья Борисов, старший специалист отдела экспертизы MaxPatrol EDR антивирусной лаборатории Positive Technologies. В 2025 году команда аналитиков антивирусной лаборатории PT ESC провела исследование актуальных семейств ransomware (aka шифровальщиков), чтобы повысить эффективность их обнаружения нашим продуктом. Этот вид ВПО оказался одной из наиболее значимых и заметных разновидностей вредоносов, используемых в атаках в 2025 году. Мы проанализировали образцы, замеченные в период с конца 2024 года по конец 2025-го. Были разобраны как давно известные семейства шифровальщиков, такие как Black Basta, MedusaLocker и LockBit, и относительно недавно появившиеся Lynx, HellCat и BERT. В этой статье хочу поделиться результатами этого исследования. Для начала расскажу про типы шифровальщиков, на кого они нацелены, как работают, подсвечу технические детали, а также ретроспективно прослежу некоторые тенденции в эволюции ransomware.
https://habr.com/ru/companies/pt/articles/1039170/
#ransomware #шифровальщики #вредоносное_по #lockbit #blackbasta #ransom #вымогательство #выкуп #кибератаки
История одного инцидента, или почему не стоит публиковать 1С
Всем привет, на связи команда DFIR JetCSIRT! Недавно мы столкнулись с кейсом, где злоумышленники были обнаружены на ранних этапах атаки. Они не успели довести дело до импакта, но изрядно наследили, что дало нам возможность изучить их тактики, техники и процедуры (TTP) в действии. Мы готовы рассказать, как это было, и дать рекомендации по повышению уровня защищенности.
https://habr.com/ru/companies/jetinfosystems/articles/1035226/
#Ransomware #DFIR #1С #Форензика #Forensics #информационная_безопасность #вредоносное_ПО #SOC #иб
PhantomRShell: бэкдор, который маскируется с помощью дизассемблера
У вирусных аналитиков есть небольшая профессиональная трагедия: работать с вредоносами обычно скучнее, чем может казаться по их вычурным названиям. За каждым ShadowSomething RAT/Loader/Stealer почти всегда скрывается один и тот же набор знакомых техник: загрузчик, закрепление в системе, канал связи с C2, немного обфускации «для галочки». Но иногда попадаются образцы, которые действительно удивляют. В недавнем расследовании нам встретился именно такой. Речь пойдет о PhantomRShell — бэкдоре группировки PhantomCore (Head Mare), атакующей компании из России и Беларуси. Главная «фишка» PhantomRShell — в том, как он маскирует свое присутствие в системе. Вредонос использует встроенный дизассемблер, чтобы перехватывать системные вызовы и скрывать свои файлы от пользователя и защитных инструментов. Проще говоря: файл лежит на диске, но для средств анализа его как будто не существует. На связи Александр, вирусный аналитик отдела реагирования Бастиона и автор телеграм-канала @section_remadev . Сегодня разберем, как устроен PhantomRShell: от цепочки заражения до механизма сокрытия, который делает этот бэкдор заметно интереснее большинства его «коллег по цеху».
https://habr.com/ru/companies/bastion/articles/1027224/
#дизассемблер #индикаторы_компрометации #бэкдор #таргетированные_атаки #threat_intelligence #анализ_угроз #PhantomCore #phantomrshell #вредоносное_по #threat_research
Особенности охоты за инфраструктурой злоумышленников
Какие методы помогают обнаружить связанную сетевую инфраструктуру APT-группировок? Рассказываем на примере реального свежего случая из нашей исследовательской практики!
https://habr.com/ru/companies/pm/articles/1023390/
#компьютерная_безопасность #киберразведка #киберугрозы #вредоносное_по #командный_сервер
Фишинг 2025–2026: от социальной инженерии к промышленным конвейерам PhaaS
Современный ландшафт киберугроз демонстрирует окончательную трансформацию фишинга из набора разрозненных мошеннических писем в зрелую сервисную индустрию, функционирующую по канонам легитимного ИТ-бизнеса. Фишинг на протяжении многих лет остается одним из наиболее востребованных способов получения первоначального доступа к корпоративной инфраструктуре, сохраняя свою эффективность вопреки массовому внедрению многофакторной аутентификации (MFA) и инвестициям в антиспам-фильтрацию.
https://habr.com/ru/companies/pt/articles/1020880/
#фишинг #mfa #phaas #парсинг #aitm #dkim #dmark #seg #ocr #вредоносное_по
Призрачный Gist
В марте специалисты киберразведки PT ESC зафиксировали активность группировки Rare Werewolf (Rezet, Librarian Ghouls). На этот раз был обнаружен архив data.zip , содержащий следующую структуру файлов. Под катом разбор вредоносных файлов, их структуры и назначения.
https://habr.com/ru/companies/pt/articles/1020534/
#escalator #pt_esc #группировка #gist #хакеры #кибератаки #вредоносное_по #malware #вредоносы
ClearWater — обзор нового шифровальщика
Приветствую, сегодня я расскажу про новый шифровальщик, который мне удалось обнаружить на просторах Интернета. Первые упоминания ClearWater появились ещё в январе 2026 года. Исследуя всемирную паутину, я ещё не находил ни одной нормальной статьи по этому вредоносу, поэтому решил сам написать такую. Данный шифровальщик не отличается какой-то технической сложностью или необычными приемами поэтому его обзор несёт больше информативный характер и предназначен для Malware и TI-аналитиков.
https://habr.com/ru/articles/1018822/
#ClearWater #шифровальщик #вредонос #вредоносное_по #реверсинжиниринг #реверс #анализ_вредоносов #yara #mitre
Mustard Tempest и многоступенчатая цепочка доставки вредоносного ПО
В конце 2025 года группа киберразведки зафиксировала кампанию хакерской группировки Cloud Atlas, нацеленную на российские организации из сферы промышленности и военно-промышленного комплекса. Для первичного проникновения использовалась электронная почта: рассылка велась от имени реального контрагента через скомпрометированный почтовый ящик.
https://habr.com/ru/companies/pt/articles/1017942/
#mustard_tempest #вредоносное_по #фишинг #webdav #pdns #cms #tld #cloud_atlas #cybersecurity #кибератаки
Искусственный интеллект как мультипликатор силы: хакеры внедряют нейросети на всех этапах кибератак
Компания Microsoft опубликовала масштабный отчет по киберугрозам, в котором констатировала фундаментальный сдвиг в тактике злоумышленников. Хакеры больше не рассматривают искусственный интеллект как экспериментальную технологию, а активно интегрируют его во все фазы своих операций — от первичной разведки и фишинга до разработки вредоносного программного обеспечения и закрепления в скомпрометированных системах. Эксперты охарактеризовали генеративные нейросети как «мультипликатор силы», который радикально снижает технические барьеры и позволяет даже низкоквалифицированным преступникам проводить атаки на недоступных ранее скоростях. Если раньше использование ИИ сводилось к написанию убедительных фишинговых писем, то теперь это непрерывный конвейер. Северокорейский хакер маскирует акцент нейросетью прямо во время онлайн-собеседования в западную корпорацию, а после успешного найма поручает языковой модели общаться с коллегами, переводить документацию и писать код, чтобы стабильно выполнять KPI, не вызывая подозрений службы безопасности.
https://habr.com/ru/articles/1008024/
#кибербезопасность #кибератаки #социальная_инженерия #вредоносное_ПО #фишинг #инсайдерские_угрозы #нейросети #дипфейки #хакеры #фиктивное_трудоустройство
Эволюция загрузки вредоносных файлов или как хакеры перешли из файловой системы в оперативную память
Стандартная обфускация больше не спасает от систем защиты. Сегодня битва за скрытность идет на уровне системных вызовов и манипуляций с библиотеками в реальном времени. В этой статье мы проследим динамику развития обходов: от классического патчинга AMSI до современных методов уклонения от EDR.
https://habr.com/ru/companies/hex_team/articles/995320/
#amsi #amsi_bypass #EDR #пентест #обход_защиты #вредоносное_по #Загрузка_в_память