Google выпустила новую партию обновлений безопасности для ОС Android, включая две уязвимости, которые, по данным компании, задействовались в реальных условиях.
В общей сложности устранено 107 уязвимостей, затрагивающих различные компоненты, включая Framework, System, Kernel, а также компоненты Arm, Imagination Technologies, MediaTek, Qualcomm и Unison.
Среди упомянутых двух наиболее серьезных недостатков, которые попали под эксплуатацию: CVE-2025-48633 и CVE-2025-48572, которые приводят к раскрытия информации и повышению привилегий в Framework соответственно.
И уже традиционно Google не представила никаких дополнительных подробностей о характере и масштабах замеченных атак, особенностей эксплуатации выявленных проблем и ответственных акторов, за исключением того, что они затрагивают версии Android 13, 14, 15 и 16.
Однако в своем сообщении технологический гигант признал, что существуют признаки того, что они «могут подвергаться ограниченной, целенаправленной эксплуатации».
Учитывая формулировку, по всей видимости, обе уязвимости могли быть использованы поставщиком коммерческого шпионского ПО.
Проблемы были устранены в первой части обновления безопасности Android за декабрь 2025 года, которое поступает на устройства как уровень исправления безопасности 2025-12-01 и содержит исправления для 51 уязвимости в компонентах Framework и System.
Самой серьезной из этих проблем является критическая уязвимость безопасности в компоненте Framework, которая может привести к удаленному отказу в обслуживании без необходимости дополнительных привилегий на выполнение
При этом, как обычно, вторая часть обновления, уровень исправления безопасности 2025-12-05, содержит исправления для всех уязвимостей, устраненных в обновлениях за декабрь 2025 года и предыдущих исправлениях Android.
В общей сложности устранено 107 уязвимостей, затрагивающих различные компоненты, включая Framework, System, Kernel, а также компоненты Arm, Imagination Technologies, MediaTek, Qualcomm и Unison.
Среди упомянутых двух наиболее серьезных недостатков, которые попали под эксплуатацию: CVE-2025-48633 и CVE-2025-48572, которые приводят к раскрытия информации и повышению привилегий в Framework соответственно.
И уже традиционно Google не представила никаких дополнительных подробностей о характере и масштабах замеченных атак, особенностей эксплуатации выявленных проблем и ответственных акторов, за исключением того, что они затрагивают версии Android 13, 14, 15 и 16.
Однако в своем сообщении технологический гигант признал, что существуют признаки того, что они «могут подвергаться ограниченной, целенаправленной эксплуатации».
Учитывая формулировку, по всей видимости, обе уязвимости могли быть использованы поставщиком коммерческого шпионского ПО.
Проблемы были устранены в первой части обновления безопасности Android за декабрь 2025 года, которое поступает на устройства как уровень исправления безопасности 2025-12-01 и содержит исправления для 51 уязвимости в компонентах Framework и System.
Самой серьезной из этих проблем является критическая уязвимость безопасности в компоненте Framework, которая может привести к удаленному отказу в обслуживании без необходимости дополнительных привилегий на выполнение
При этом, как обычно, вторая часть обновления, уровень исправления безопасности 2025-12-05, содержит исправления для всех уязвимостей, устраненных в обновлениях за декабрь 2025 года и предыдущих исправлениях Android.
Один из самых популярных сторонних YouTube-клиентов SmartTube для Android TV был скомпрометирован после того, как злоумышленник получил доступ к ключам подписи разработчика и реализовал вредоносный обновления.
Вскрылось все после того, как несколько пользователей заметили блокировку SmartTube встроенным антивирусным модулем Play Protect в Android на своих устройствах.
В свою очередь, разработчик SmartTube Юрий Юлисков также подтвердил компрометацию своих цифровых ключей в конце прошлой недели, что по итогу и привело к внедрению вредоносного ПО в приложение.
Оперативно старая подпись была отозвана, а разработчик пообещал вскоре опубликовать новую версию с отдельным идентификатором приложения.
После реверса скомпрометированной версии SmartTube 30.51 было установлено, что она включает скрытую нативную библиотеку libalphasdk.so [VirusTotal], которая отсутствует в общедоступном исходном коде.
Библиотека работает в фоновом режиме без взаимодействия с пользователем, считывает отпечатки хост-устройства, регистрирует его на удаленном сервере и периодически отправляет метрики и извлекает конфигурацию через зашифрованный канал связи.
При этом на текущий момент каких-либо доказательств вредоносной активности (включая кражу учётных записей или DDoS) нет, однако потенциальные риски начала ее реализации в любой момент достаточно высока.
К настоящему времени анонсированы безопасная бета-версия и стабильная тестовая сборка, но они пока не добрались до официального репозитория проекта на GitHub.
Кроме того, разработчик толком не представил сообществу полной информации об инциденте.
Но пообещал разобраться со всеми проблемами, как только финальная версия нового приложения будет опубликована на F-Droid.
Так что пользователям рекомендуется оставаться на старых, заведомо безопасных сборках, избегать входа в систему с использованием премиум-аккаунтов и отключать автоматические обновления.
В случае со скомпрометированной версии SmartTube рекомендуется сбросить пароли учетных записей Google, проверить консоль учетной записи на предмет несанкционированного доступа и удалить незнакомые службы.
Правда есть один нюанс - еще неизвестно, когда именно произошла утечка и какие версии SmartTube безопасны.
Как отмечают сами пользователи, Play Protect не детектит версию 30.19 в качестве вредоносной, поэтому ее можно считать условно безопасной.
Сам разработчик узнал о проблеме с вредоносным ПО в версии 30.47, но получая обратную связь от пользователей, полагает, что проблема началась примерно с версии 30.43.
На новый ключ перешел с версии 30.55, ряд сборок также выпустил со старым, но уже в чистой среде.
Вскрылось все после того, как несколько пользователей заметили блокировку SmartTube встроенным антивирусным модулем Play Protect в Android на своих устройствах.
В свою очередь, разработчик SmartTube Юрий Юлисков также подтвердил компрометацию своих цифровых ключей в конце прошлой недели, что по итогу и привело к внедрению вредоносного ПО в приложение.
Оперативно старая подпись была отозвана, а разработчик пообещал вскоре опубликовать новую версию с отдельным идентификатором приложения.
После реверса скомпрометированной версии SmartTube 30.51 было установлено, что она включает скрытую нативную библиотеку libalphasdk.so [VirusTotal], которая отсутствует в общедоступном исходном коде.
Библиотека работает в фоновом режиме без взаимодействия с пользователем, считывает отпечатки хост-устройства, регистрирует его на удаленном сервере и периодически отправляет метрики и извлекает конфигурацию через зашифрованный канал связи.
При этом на текущий момент каких-либо доказательств вредоносной активности (включая кражу учётных записей или DDoS) нет, однако потенциальные риски начала ее реализации в любой момент достаточно высока.
К настоящему времени анонсированы безопасная бета-версия и стабильная тестовая сборка, но они пока не добрались до официального репозитория проекта на GitHub.
Кроме того, разработчик толком не представил сообществу полной информации об инциденте.
Но пообещал разобраться со всеми проблемами, как только финальная версия нового приложения будет опубликована на F-Droid.
Так что пользователям рекомендуется оставаться на старых, заведомо безопасных сборках, избегать входа в систему с использованием премиум-аккаунтов и отключать автоматические обновления.
В случае со скомпрометированной версии SmartTube рекомендуется сбросить пароли учетных записей Google, проверить консоль учетной записи на предмет несанкционированного доступа и удалить незнакомые службы.
Правда есть один нюанс - еще неизвестно, когда именно произошла утечка и какие версии SmartTube безопасны.
Как отмечают сами пользователи, Play Protect не детектит версию 30.19 в качестве вредоносной, поэтому ее можно считать условно безопасной.
Сам разработчик узнал о проблеме с вредоносным ПО в версии 30.47, но получая обратную связь от пользователей, полагает, что проблема началась примерно с версии 30.43.
На новый ключ перешел с версии 30.55, ряд сборок также выпустил со старым, но уже в чистой среде.
GitHub
[BUG]: Google just removed SmartTube from my Android TV Box · Issue #5131 · yuliskov/SmartTube
Checklist I made sure that there are no existing issues - open or closed - which I could contribute my information to. I have read the FAQ and my problem isn't listed. I have taken the time to ...
Аналитики из ИТ-холдинга Т1 выкатили аналитику с оценками динамики рынка ИТ в этом году, соответствующие выводы представили в исследовании ИТ-рынок в России 2025-2026: импульсы, энергия и потенциал.
Отметим главное, прежде всего, по части рынка ИБ:
1. Что происходит?
- Ожидается, что рост ИБ по итогам 2025 года составит около 6 % - рынок не избежал влияния высокой ключевой ставки, что привело к общему снижению крупных инвестиции в ИТ и ИБ в организациях;
- При этом в 2026 году прогнозируют рост рынка +12% - за счёт импортозамещения, ужесточения регуляторных требований, необходимости защищать критическую инфраструктуру и, конечно же, вследствие роста числа хакерских атак;
- Рост количества киберинцидентов в 2025 по оценкам ряда коммерческих компаний имеет разброс - от 2 до 4. Динамика, согласно представленным данным НКЦКИ по итогам SOC-forum, составляет около +35%, и снижения в 2026 году не намечается. И главное, что около половины инцидентов реально ударяют по бизнес-процессам;
- В итоге компании все чаще обращаются к ретроспективному анализу: ищут следы компрометации и злоумышленников внутри своей инфраструктуры.
2. Кто лидирует и куда движется рынок?
- Лидеры по on-prem безопасности (локальные решения): банки, промышленность, телеком, госструктуры;
- Облачная защита набирает обороты среди ИТ-компаний, сервисов для бизнеса и e-commerce. Даже госкомпании начинают использовать облачные ресурсы для обеспечения информационной безопасности;
- Высокая ключевая ставка и сокращение крупных инвестиций толкают бизнес к сервисной модели: в ближайшие 3-5 лет она станет еще более популярной.
3. Ключевые тренды в ИБ на ближайшие годы:
- повсеместное внедрение ИИ;
- безопасная разработка - проведение аудитов, построение конвейеров безопасной разработки для внутреннего ПО;
- рост популярности Zero Trust - контроль удаленного доступа и окружения;
- наличие собственных вычислительных мощностей в компании;
- гарантия безопасной работы с подрядчиками.
Таким образом, в качестве главного итога: в ближайшие 2-3 года ИТ безопасность окончательно перестанет быть «бэк-офисной» функцией и станет стратегической составляющей бизнеса, определяющей его конкурентоспособность.
Отметим главное, прежде всего, по части рынка ИБ:
1. Что происходит?
- Ожидается, что рост ИБ по итогам 2025 года составит около 6 % - рынок не избежал влияния высокой ключевой ставки, что привело к общему снижению крупных инвестиции в ИТ и ИБ в организациях;
- При этом в 2026 году прогнозируют рост рынка +12% - за счёт импортозамещения, ужесточения регуляторных требований, необходимости защищать критическую инфраструктуру и, конечно же, вследствие роста числа хакерских атак;
- Рост количества киберинцидентов в 2025 по оценкам ряда коммерческих компаний имеет разброс - от 2 до 4. Динамика, согласно представленным данным НКЦКИ по итогам SOC-forum, составляет около +35%, и снижения в 2026 году не намечается. И главное, что около половины инцидентов реально ударяют по бизнес-процессам;
- В итоге компании все чаще обращаются к ретроспективному анализу: ищут следы компрометации и злоумышленников внутри своей инфраструктуры.
2. Кто лидирует и куда движется рынок?
- Лидеры по on-prem безопасности (локальные решения): банки, промышленность, телеком, госструктуры;
- Облачная защита набирает обороты среди ИТ-компаний, сервисов для бизнеса и e-commerce. Даже госкомпании начинают использовать облачные ресурсы для обеспечения информационной безопасности;
- Высокая ключевая ставка и сокращение крупных инвестиций толкают бизнес к сервисной модели: в ближайшие 3-5 лет она станет еще более популярной.
3. Ключевые тренды в ИБ на ближайшие годы:
- повсеместное внедрение ИИ;
- безопасная разработка - проведение аудитов, построение конвейеров безопасной разработки для внутреннего ПО;
- рост популярности Zero Trust - контроль удаленного доступа и окружения;
- наличие собственных вычислительных мощностей в компании;
- гарантия безопасной работы с подрядчиками.
Таким образом, в качестве главного итога: в ближайшие 2-3 года ИТ безопасность окончательно перестанет быть «бэк-офисной» функцией и станет стратегической составляющей бизнеса, определяющей его конкурентоспособность.
Российская газета
ИТ-рынок «остывает»: рост замедлился, но курс взят на ИИ и экспорт - Российская газета
В 2025 году рост российского ИТ-рынка исчисляется единицами процентов: после «перегретых» 2023–2024 годов компании перешли от экстренных закупок к более регулярным, приводят в порядок архитектуру, стандартизируют интеграции и оптимизируют стоимость владения.…
Forwarded from Russian OSINT
Как сообщают F6, специалистам удалось получить образец ВПО RatOn и проанализировать его функционал, особенности и перспективы распространения в России.
На этот раз NFCGate интегрирован в многофункциональный банковский троян удаленного доступа RatOn, который позволяет злоумышленникам незаметно похищать деньги с банковского счета и криптокошельков.
Дмитрий Ермаков, руководитель Fraud Protection F6:
Ни одна из предыдущих вредоносных модификаций NFCGate не прошла мимо России. Эта тенденция, а также тот факт, что разработчики предусмотрели для RatOn возможность работать с приложениями на русском языке, указывают на высокий риск дальнейшей модификации этого вредоноса для атак на россиян.
По данным МВД России (источник):
Во второй половине 2025 года на «обратную» версию NCFGate пришлось больше половины случаев заражений мобильных устройств – 52,4%. По данным F6, во второй половине 2025 года количество атак на клиентов российских банков с использованием всех версий NFCGate постепенно растёт: в июле ежедневно в среднем фиксировали не менее 200 устройств, в ноябре – не менее 300, и тенденций к снижению нет. Общее число таких атак на российских пользователей за второе полугодие – не менее 38 тысяч.
👆По данным F6, общий ущерб клиентов российских банков от использования всех вредоносных версий NFCGate за 10 месяцев 2025 года составил не менее
Please open Telegram to view this post
VIEW IN TELEGRAM
Исследователи Лаборатории Касперского обратили внимание на основные пробелы в безопасности NTLM в призме выявленных в 2025 году вредоносных кампаний и новых эксплуатируемых уязвимостей в старой технологии.
В качестве пролога к разбору актуальных связанных с NTLM угроз в ЛК вернулись в 2001 год, когда набирали популярность раскладушки, микромягкие анонсировали Windows XP, а Apple - iPod.
Пользователи только начали осваивать торренты, а Sir Dystic из Cult of the Dead Cow представил практическую реализацию атаки NTLM Relay в виде утилиты SMBRelay, продемонстрировав новый мощный класс эксплойтов для ретрансляции аутентификационных данных.
В общем, слабые места аутентификации через протокол NTLM были очевидны еще тогда.
В последующие годы ландшафт киберугроз пополнялся новыми уязвимостями и все более сложными методами атак.
NTLM является протоколом типа «запрос-ответ», предназначенным для проверки подлинности клиентов и серверов в средах Windows.
Он интегрирован в несколько прикладных протоколов, включая HTTP, MSSQL, SMB и SMTP. Для завершения процесса аутентификации используется трехэтапное рукопожатие между клиентом и сервером.
Microsoft пыталась справиться с проблемой, внедряя меры по снижению рисков и работая над преемником - протоколом Kerberos. И даже вовсе объявила о намерении отказаться от NTLM.
Однако на протяжении более двух десятилетий NTLM все еще остается частью современных ОС и используется в корпоративных сетях, устаревших приложениях и внутренних инфраструктурах, которые до сих пор полагаются на устаревшие механизмы аутентификации.
Учитывая, что NTLM все еще в строю, он остается удобной точкой входа для злоумышленников.
Его уязвимости хорошо изучены и задокументированы, он по-прежнему используется в системах на базе Windows и активно эксплуатируется в современных атаках.
Согласно недавним исследованиям, злоумышленники продолжают изобретать нестандартные способы эксплуатации NTLM в релейных и спуфинговых атаках, в том числе через новые уязвимости.
Более того, находят альтернативные векторы атак, специфичные для протокола.
Подробно описывать не будем, но отметим, что в отчете исследователи ЛК рассматривают эти векторы, раскрывая реальные кампании с описанием наиболее значимых CVE за год. Тут и:
- CVE-2024‑43451 с кампаниями BlindEagle по внедрению Remcos RAT и Head Mare против российских целей;
- CVE-2025-24054/CVE-2025-24071 с распространением троянца AveMaria в России;
- CVE-2025-33073 с выявленной активностью в системе одной из финансовых организаций Узбекистана.
Так что настоятельно рекомендуем ознакомиться.
В качестве пролога к разбору актуальных связанных с NTLM угроз в ЛК вернулись в 2001 год, когда набирали популярность раскладушки, микромягкие анонсировали Windows XP, а Apple - iPod.
Пользователи только начали осваивать торренты, а Sir Dystic из Cult of the Dead Cow представил практическую реализацию атаки NTLM Relay в виде утилиты SMBRelay, продемонстрировав новый мощный класс эксплойтов для ретрансляции аутентификационных данных.
В общем, слабые места аутентификации через протокол NTLM были очевидны еще тогда.
В последующие годы ландшафт киберугроз пополнялся новыми уязвимостями и все более сложными методами атак.
NTLM является протоколом типа «запрос-ответ», предназначенным для проверки подлинности клиентов и серверов в средах Windows.
Он интегрирован в несколько прикладных протоколов, включая HTTP, MSSQL, SMB и SMTP. Для завершения процесса аутентификации используется трехэтапное рукопожатие между клиентом и сервером.
Microsoft пыталась справиться с проблемой, внедряя меры по снижению рисков и работая над преемником - протоколом Kerberos. И даже вовсе объявила о намерении отказаться от NTLM.
Однако на протяжении более двух десятилетий NTLM все еще остается частью современных ОС и используется в корпоративных сетях, устаревших приложениях и внутренних инфраструктурах, которые до сих пор полагаются на устаревшие механизмы аутентификации.
Учитывая, что NTLM все еще в строю, он остается удобной точкой входа для злоумышленников.
Его уязвимости хорошо изучены и задокументированы, он по-прежнему используется в системах на базе Windows и активно эксплуатируется в современных атаках.
Согласно недавним исследованиям, злоумышленники продолжают изобретать нестандартные способы эксплуатации NTLM в релейных и спуфинговых атаках, в том числе через новые уязвимости.
Более того, находят альтернативные векторы атак, специфичные для протокола.
Подробно описывать не будем, но отметим, что в отчете исследователи ЛК рассматривают эти векторы, раскрывая реальные кампании с описанием наиболее значимых CVE за год. Тут и:
- CVE-2024‑43451 с кампаниями BlindEagle по внедрению Remcos RAT и Head Mare против российских целей;
- CVE-2025-24054/CVE-2025-24071 с распространением троянца AveMaria в России;
- CVE-2025-33073 с выявленной активностью в системе одной из финансовых организаций Узбекистана.
Так что настоятельно рекомендуем ознакомиться.
securelist.ru
Как эксплуатируются уязвимости в NTLM в кибератаках 2025 года
В этой статье рассматриваются NTLM Relay, пересылка учетных данных и другие способы эксплуатации уязвимостей в NTLM, а также атаки на NTLM, выявленные в 2025 году.
Подкатили итоги второй атаки Shai-Hulud, раскрывшей в общей сложности более 400 000 необработанных секретов после заражения сотен пакетов в реестре NPM с публикацией украденных данных в 30 000 репозиториях GitHub.
При этом TruffleHog подтвердил подлинность лишь около 10 000 раскрытых секретов, причем, по данным Wiz, по состоянию на 1 декабря более 60% утекших токенов NPM все еще были действительны.
Shai-Hulud появилась в середине сентября, скомпрометировав 187 пакетов NPM с самораспространяющейся полезной нагрузкой, которая идентифицировала токены учетных записей, внедряла вредоносный скрипт в пакеты и автоматически публиковала их на платформе.
Во второй атаке вредоносное ПО поразило более 800 пакетов (включая все зараженные версии пакета) и обзавелось функционалом стирания домашних каталогов жертв при соблюдении определенных условий.
На основании анализа утечки, распространившейся на 30 000 репозиториев GitHub в результате атаки Shai-Hulud 2.0, обнаружили следующие типы секретов:
- Около 70% репозиториев имели файл content.json с именами пользователей и токенами GitHub, а также снимками файлов.
- У половины из них иелся файл truffleSecrets.json с результатами сканирования TruffleHog.
- В 80% репозиториев был найден файл environment.json с информацией об ОС, метаданными CI/CD, пакета npm и учетными данными GitHub.
- Почти 400 репозиториев разместили actionsSecrets.json с секретами рабочего процесса GitHub Actions.
Wiz отмечает, что вредоносная ПО использовала TruffleHog без флага «-only-verified», так что 400 000 раскрытых секретов соответствуют известному формату и могут больше не быть действительными или непригодными для использования.
Тем не менее, несмотря на то, что слитые данные чрезвычайно зашумлены и требуют значительных усилий по дедупликации, они по-прежнему содержат сотни действительных секретов, включая cloud, токены NPM и учетные данные VCS.
На сегодняшний день этот факт реализует серьезные риски дальнейших атак на цепочки поставок. Особенно учитывая, что более 60% украденных токенов NPM всё ещё действительны.
Анализ 24 000 файлов environment.json показал, что примерно половина из них были уникальными, причем 23% соответствовали машинам разработчиков, а остальные принадлежали исполнителям CI/CD и аналогичной инфраструктуре.
Собранные исследователями данные показывают, что большинство зараженных машин (87%) - это системы Linux, при этом большая часть заражений (76%) произошла на контейнерах.
Что касается распределения платформ CI/CD, то с большим отрывом лидирует GitHub Actions, за ним следуют Jenkins, GitLab CI и AWS CodeBuild.
Анализируя распределение заражений, Wiz обнаружила, что лидирующим был postman/tunnel-agent@0.6.7, за которым следовал asyncapi/specs@6.8.3. В совокупности эти два пакета стали причиной более 60% всех заражений.
Собственно, воздействие Shai-Hulud можно было бы значительно уменьшить, если бы несколько ключевых пакетов были нейтрализованы на ранней стадии.
Аналогично, что касается характера заражений, 99% случаев возникло в виду события предварительной установки, запускающего узел setup_bun.js.
В Wiz полагают, что акторы Shai-Hulud, вероятно, продолжат совершенствовать и развивать свои методы, прогнозируя еще больше атак в ближайшей перспективе, прежде всего, за счет использвания массива учетных данных, собранных к настоящему времени.
При этом TruffleHog подтвердил подлинность лишь около 10 000 раскрытых секретов, причем, по данным Wiz, по состоянию на 1 декабря более 60% утекших токенов NPM все еще были действительны.
Shai-Hulud появилась в середине сентября, скомпрометировав 187 пакетов NPM с самораспространяющейся полезной нагрузкой, которая идентифицировала токены учетных записей, внедряла вредоносный скрипт в пакеты и автоматически публиковала их на платформе.
Во второй атаке вредоносное ПО поразило более 800 пакетов (включая все зараженные версии пакета) и обзавелось функционалом стирания домашних каталогов жертв при соблюдении определенных условий.
На основании анализа утечки, распространившейся на 30 000 репозиториев GitHub в результате атаки Shai-Hulud 2.0, обнаружили следующие типы секретов:
- Около 70% репозиториев имели файл content.json с именами пользователей и токенами GitHub, а также снимками файлов.
- У половины из них иелся файл truffleSecrets.json с результатами сканирования TruffleHog.
- В 80% репозиториев был найден файл environment.json с информацией об ОС, метаданными CI/CD, пакета npm и учетными данными GitHub.
- Почти 400 репозиториев разместили actionsSecrets.json с секретами рабочего процесса GitHub Actions.
Wiz отмечает, что вредоносная ПО использовала TruffleHog без флага «-only-verified», так что 400 000 раскрытых секретов соответствуют известному формату и могут больше не быть действительными или непригодными для использования.
Тем не менее, несмотря на то, что слитые данные чрезвычайно зашумлены и требуют значительных усилий по дедупликации, они по-прежнему содержат сотни действительных секретов, включая cloud, токены NPM и учетные данные VCS.
На сегодняшний день этот факт реализует серьезные риски дальнейших атак на цепочки поставок. Особенно учитывая, что более 60% украденных токенов NPM всё ещё действительны.
Анализ 24 000 файлов environment.json показал, что примерно половина из них были уникальными, причем 23% соответствовали машинам разработчиков, а остальные принадлежали исполнителям CI/CD и аналогичной инфраструктуре.
Собранные исследователями данные показывают, что большинство зараженных машин (87%) - это системы Linux, при этом большая часть заражений (76%) произошла на контейнерах.
Что касается распределения платформ CI/CD, то с большим отрывом лидирует GitHub Actions, за ним следуют Jenkins, GitLab CI и AWS CodeBuild.
Анализируя распределение заражений, Wiz обнаружила, что лидирующим был postman/tunnel-agent@0.6.7, за которым следовал asyncapi/specs@6.8.3. В совокупности эти два пакета стали причиной более 60% всех заражений.
Собственно, воздействие Shai-Hulud можно было бы значительно уменьшить, если бы несколько ключевых пакетов были нейтрализованы на ранней стадии.
Аналогично, что касается характера заражений, 99% случаев возникло в виду события предварительной установки, запускающего узел setup_bun.js.
В Wiz полагают, что акторы Shai-Hulud, вероятно, продолжат совершенствовать и развивать свои методы, прогнозируя еще больше атак в ближайшей перспективе, прежде всего, за счет использвания массива учетных данных, собранных к настоящему времени.
wiz.io
Shai-Hulud 2.0 Aftermath: Trends, Victimology and Impact | Wiz Blog
A deeper look at the Shai-Hulud 2.0 supply chain attack: reviewing the infection spread, victimology, leaked secrets distribution, and community response so far.
Исследователи предупреждают о новой кампании GlassWorm, которая затронула Microsoft Visual Studio Marketplace и Open VSX с 24 расширениями, мимикрирующими под популярные инструменты и фреймворки для разработчиков Flutter, Vim, Yaml, Tailwind, Svelte, React Native и Vue.
GlassWorm впервые попал в поле зрения в октябре 2025 года и был исследован специалистами Koi Security.
Glassworm представляет собой вредоносную ПО, которая использует невидимые символы Unicode для сокрытия своего кода от проверки, а также задействует блокчейн Solana для C2.
После того, как разработчики устанавливают его в своих средах, он пытается выкрасть учетные записи GitHub, npm и OpenVSX, а также данные криптокошельков из 49 расширений.
Более того, Glassworm использует прокси-сервер SOCKS для маршрутизации вредоносного трафика через компьютер жертвы и устанавливает клиент HVNC, предоставляя операторам скрытый удаленный доступ.
Наиболее важным аспектом кампании является использование украденных учётных данных для компрометации дополнительных пакетов и расширений, что позволяет вредоносному ПО распространяться подобно червю.
Несмотря на усилия Microsoft и Open VSX по устранению из репозиториев расширений, вскоре вредоносное ПО вернулось на оба сайта с новыми расширениями и учетными записями издателей.
Последняя волна кампании GlassWorm, обнаруженная исследователями Secure Annex, включает в себя в общей сложности 24 расширения, охватывающих оба репозитория.
Среди выявленных расширений на VS Code: iconkieftwo.icon-theme-materiall, prisma-inc.prisma-studio-assistance, prettier-vsc.vsce-prettier, flutcode.flutter-extension, csvmech.csvrainbow, codevsce.codelddb-vscode, saoudrizvsce.claude-devsce, clangdcode.clangd-vsce, cweijamysq.sync-settings-vscode, bphpburnsus.iconesvscode, klustfix.kluster-code-verify, vims-vsce.vscode-vim, yamlcode.yaml-vscode-extension, solblanco.svetle-vsce, vsceue.volar-vscode, redmat.vscode-quarkus-pro и msjsdreact.react-native-vsce.
На Open VSX следующие: bphpburn.icons-vscode, tailwind-nuxt.tailwindcss-for-react, flutcode.flutter-extension, yamlcode.yaml-vscode-extension, saoudrizvsce.claude-dev, saoudrizvsce.claude-devsce и vitalik.solidity.
Исследователи отмечают, что после того как пакеты принимаются на торговых площадках, издатели выпускают обновление, которое внедряет вредоносный код, а затем увеличивают количество загрузок, чтобы создать впечатление, что они легитимны и заслуживают доверия.
Кроме того, искусственное увеличение количества загрузок может манипулировать результатами поиска, в результате чего вредоносное расширение оказывается выше в результатах, часто очень близко к легитимным проектам, за которые оно себя выдает.
Новая версия GlassWorm претерпела технические изменения, теперь используя импланты на основе Rust, упакованные в расширения. В некоторых случаях всё ещё используется и приём с Unicode.
GlassWorm впервые попал в поле зрения в октябре 2025 года и был исследован специалистами Koi Security.
Glassworm представляет собой вредоносную ПО, которая использует невидимые символы Unicode для сокрытия своего кода от проверки, а также задействует блокчейн Solana для C2.
После того, как разработчики устанавливают его в своих средах, он пытается выкрасть учетные записи GitHub, npm и OpenVSX, а также данные криптокошельков из 49 расширений.
Более того, Glassworm использует прокси-сервер SOCKS для маршрутизации вредоносного трафика через компьютер жертвы и устанавливает клиент HVNC, предоставляя операторам скрытый удаленный доступ.
Наиболее важным аспектом кампании является использование украденных учётных данных для компрометации дополнительных пакетов и расширений, что позволяет вредоносному ПО распространяться подобно червю.
Несмотря на усилия Microsoft и Open VSX по устранению из репозиториев расширений, вскоре вредоносное ПО вернулось на оба сайта с новыми расширениями и учетными записями издателей.
Последняя волна кампании GlassWorm, обнаруженная исследователями Secure Annex, включает в себя в общей сложности 24 расширения, охватывающих оба репозитория.
Среди выявленных расширений на VS Code: iconkieftwo.icon-theme-materiall, prisma-inc.prisma-studio-assistance, prettier-vsc.vsce-prettier, flutcode.flutter-extension, csvmech.csvrainbow, codevsce.codelddb-vscode, saoudrizvsce.claude-devsce, clangdcode.clangd-vsce, cweijamysq.sync-settings-vscode, bphpburnsus.iconesvscode, klustfix.kluster-code-verify, vims-vsce.vscode-vim, yamlcode.yaml-vscode-extension, solblanco.svetle-vsce, vsceue.volar-vscode, redmat.vscode-quarkus-pro и msjsdreact.react-native-vsce.
На Open VSX следующие: bphpburn.icons-vscode, tailwind-nuxt.tailwindcss-for-react, flutcode.flutter-extension, yamlcode.yaml-vscode-extension, saoudrizvsce.claude-dev, saoudrizvsce.claude-devsce и vitalik.solidity.
Исследователи отмечают, что после того как пакеты принимаются на торговых площадках, издатели выпускают обновление, которое внедряет вредоносный код, а затем увеличивают количество загрузок, чтобы создать впечатление, что они легитимны и заслуживают доверия.
Кроме того, искусственное увеличение количества загрузок может манипулировать результатами поиска, в результате чего вредоносное расширение оказывается выше в результатах, часто очень близко к легитимным проектам, за которые оно себя выдает.
Новая версия GlassWorm претерпела технические изменения, теперь используя импланты на основе Rust, упакованные в расширения. В некоторых случаях всё ещё используется и приём с Unicode.
Secure Annex
Glassworm's resurgence
Glassworm attacks look to take full advantage of the holidays
Microsoft наваливают на пользователей очередные проблемы по части безопасности.
На этот раз локализуемый инцидент связан со сбоем в работе портала Defender XDR, включая оповещения об обнаружении угроз.
Проблему Microsoft описывает как «резкий рост трафика, приведший к высокой загрузке центрального процессора на компонентах, обеспечивающих функциональность портала Microsoft Defender».
Причем в рамках ранжирования проблемы Microsoft отнесла его к категории инцидента - термин, который обычно используется для критических проблем с обслуживанием, оказывающих существенное влияние на пользователя.
Компания приняла меры по смягчению последствий, увеличив пропускную способность обработки.
По данным телеметрии, доступность для некоторых пострадавших клиентов, как заявляется, восстановилась.
В настоящее время Microsoft анализирует следы HTTP-архивов (HAR), предоставленные пострадавшими клиентами, и сообщает, что, помимо блокировки доступа фиксировалось отсутствие оповещений о расширенных угрозах и неотображение устройств.
Так или иначе ряд клиентов компании все еще сталкиваются с проблемой, которую микромягкие усиленно пытаются исправить, запрашивая дополнительные диагностические данные на стороне клиента.
В общем, пока микромягкие как обычно тужатся над своим Defender, разработчики Avast тоже лажали не сидели без дела.
Декабрь для решений Avast - череда критических и серьезных уязвимостей в антивирусом решении для операционных платформ MacOS, Linux и Windows.
Одни из критических ошибок, CVE-2025-3500, имеет CVSS 9 и связана с переполнением целочисленного значения в Avast Antivirus (25.1.981.6) для Windows, реализуя повышение привилегий.
Проблема затрагивает все версии от 25.1.981.6 до 25.3.
Другая уязвимость с той же оценкой, CVE-2025-8351, может привести к локальному выполнению кода или отказу в обслуживании процесса антивирусного ядра при сканировании вредоносного файла.
Она относится к проблемам с переполнением буфера на основе кучи и чтения за пределами выделенного буфера.
Ошибка затрагивает Avast Antivirus на MacOS в версиях 8.3.70.94 и 8.3.70.98.
Высокий уровень серьезности присвоен CVE-2025-10101 (CVSS 8.1) и CVE-2025-7007 (CVSS 7,5).
Последняя затрагивает Avast Antivirus на MacOS, Avast Anitvirus на Linux 16.0.0, Anitvirus: 3.0.3 и приводит к сбою антивирусного процесса при сканировании вредоносного файла.
CVE-2025-10101 в Avast Antivirus на macOS (в версиях 15.7 до 3.9.2025), в свою очередь, приводит к EoP или DoS и вызывается с помощью специально созданного Mach-O-файла.
На этот раз локализуемый инцидент связан со сбоем в работе портала Defender XDR, включая оповещения об обнаружении угроз.
Проблему Microsoft описывает как «резкий рост трафика, приведший к высокой загрузке центрального процессора на компонентах, обеспечивающих функциональность портала Microsoft Defender».
Причем в рамках ранжирования проблемы Microsoft отнесла его к категории инцидента - термин, который обычно используется для критических проблем с обслуживанием, оказывающих существенное влияние на пользователя.
Компания приняла меры по смягчению последствий, увеличив пропускную способность обработки.
По данным телеметрии, доступность для некоторых пострадавших клиентов, как заявляется, восстановилась.
В настоящее время Microsoft анализирует следы HTTP-архивов (HAR), предоставленные пострадавшими клиентами, и сообщает, что, помимо блокировки доступа фиксировалось отсутствие оповещений о расширенных угрозах и неотображение устройств.
Так или иначе ряд клиентов компании все еще сталкиваются с проблемой, которую микромягкие усиленно пытаются исправить, запрашивая дополнительные диагностические данные на стороне клиента.
В общем, пока микромягкие как обычно тужатся над своим Defender, разработчики Avast тоже
Декабрь для решений Avast - череда критических и серьезных уязвимостей в антивирусом решении для операционных платформ MacOS, Linux и Windows.
Одни из критических ошибок, CVE-2025-3500, имеет CVSS 9 и связана с переполнением целочисленного значения в Avast Antivirus (25.1.981.6) для Windows, реализуя повышение привилегий.
Проблема затрагивает все версии от 25.1.981.6 до 25.3.
Другая уязвимость с той же оценкой, CVE-2025-8351, может привести к локальному выполнению кода или отказу в обслуживании процесса антивирусного ядра при сканировании вредоносного файла.
Она относится к проблемам с переполнением буфера на основе кучи и чтения за пределами выделенного буфера.
Ошибка затрагивает Avast Antivirus на MacOS в версиях 8.3.70.94 и 8.3.70.98.
Высокий уровень серьезности присвоен CVE-2025-10101 (CVSS 8.1) и CVE-2025-7007 (CVSS 7,5).
Последняя затрагивает Avast Antivirus на MacOS, Avast Anitvirus на Linux 16.0.0, Anitvirus: 3.0.3 и приводит к сбою антивирусного процесса при сканировании вредоносного файла.
CVE-2025-10101 в Avast Antivirus на macOS (в версиях 15.7 до 3.9.2025), в свою очередь, приводит к EoP или DoS и вызывается с помощью специально созданного Mach-O-файла.
Tenable
CVE-2025-3500
Integer Overflow or Wraparound vulnerability in Avast Antivirus (25.1.981.6) on Windows allows Privilege Escalation.This issue affects Antivirus: from 25.1.981.6 before 25.3.
Ресерчеры Лаборатории Касперского отметили новые элементы в атаках хактивистских группировок 4BID, BO Team и Red Likho, где «один за всех и все за одного».
По данным ЛК, в последние месяцы наблюдается растущая тенденция к синхронным атакам нескольких хактивистов на одни и те же организации.
Подобные кампании уже не являются чем-то необычным и значительно усложняют атрибуцию, поскольку становится сложно идентифицировать TTPs конкретных групп.
В рамках исследования ландшафта киберугроз, нацеленных на российский сегмент, в ЛК подробно изучили серию кампаний, о которых публично заявляла проукраинская группа 4BID.
В системах их жертв удалось задетектить артефакты, связанные с активностью двух других известных групп хактивистов: BO Team и Red Likho.
В частности, в некоторых случаях атакованная 4BID инфраструктура также была заражена бэкдором GoRed, связанным с Red Likho, и ZeronetKit, атрибутированным к BO Team.
Обе группы известны проведением широко масштабных операций в отношении российских компаний.
Исследователи отмечают, что 4BID заявили о себе в начале 2025 года, медийно освещая свои атаки в Telegram-канале.
Злоумышленники атакуют российские организации в сфере промышленности, здравоохранения и госсекторе.
Причем изначально 4BID выбирала цели малого калибра, атакуя небольшие региональные компании, однако позже группа переключилась на более крупные предприятия.
Наличие в инфраструктуре жертв инструментария сразу нескольких групп (ransomware 4BID, бэкдоры BO Team и Red Likho, а также другие уникальные компоненты) свидетельствует об общем целеполагании и глубокой кооперации проукраинского кластера угроз.
В новом отчете исследователи ЛК раскрывают технические подробности наблюдаемой активности 4BID и ее пересечения с другими хактивистами.
Из наиболее интересных находок - пакет из нескольких файлов, каждый из которых отвечает за определенные задачи и запускает следующий.
Причем первый PowerShell-скрипт Edgeupdate.ps1 ранее не встречался в публичных репозиториях вредоносных ПО и не был замечен в других атаках, что позволяет предположить, что это специализированный инструмент, вероятно, разработанный для конкретной кампании.
Он выполнял ряд скрытых деструктивных операций для защиты от обнаружения и закрепления в системе (ведение журнала, блокировка устройств ввода, создание и добавление пользователя в группу локальных администраторов, загрузка в безопасном режиме с поддержкой сети, отключение протокола ms-contact-support и под завершение - удаление следов своей работы с перезагрузкой и фейковым экраном обновления).
В атаках 4BID также был найден образец новой программы-вымогателя, который назвали Blackout Locker.
Он написан на C/C++ и, несмотря на сходство имени, не имеет ничего общего с шифровальщиком Blackout.
В зависимости от версии, эта программа-вымогатель реализует различные схемы шифрования: некоторые варианты используют простой цикл XOR, другие - шифр AES в режиме GCM.
Кроме того, среди примечательных артфактов - кастомные скрипты (для проверки компьютеров в сети на наличие установленного AnyDesk или решений ЛК, а также непосредственно - для установки первой), пропатченные образцы Process Explorer (загружали Tuoni или Cobalt Strike).
В общем, текущая тенденция указывает на продолжающуюся эволюцию хактивизма и увеличивает вероятность проведения более частых, масштабных и технически сложных кампаний.
Все подробности - в отчете.
По данным ЛК, в последние месяцы наблюдается растущая тенденция к синхронным атакам нескольких хактивистов на одни и те же организации.
Подобные кампании уже не являются чем-то необычным и значительно усложняют атрибуцию, поскольку становится сложно идентифицировать TTPs конкретных групп.
В рамках исследования ландшафта киберугроз, нацеленных на российский сегмент, в ЛК подробно изучили серию кампаний, о которых публично заявляла проукраинская группа 4BID.
В системах их жертв удалось задетектить артефакты, связанные с активностью двух других известных групп хактивистов: BO Team и Red Likho.
В частности, в некоторых случаях атакованная 4BID инфраструктура также была заражена бэкдором GoRed, связанным с Red Likho, и ZeronetKit, атрибутированным к BO Team.
Обе группы известны проведением широко масштабных операций в отношении российских компаний.
Исследователи отмечают, что 4BID заявили о себе в начале 2025 года, медийно освещая свои атаки в Telegram-канале.
Злоумышленники атакуют российские организации в сфере промышленности, здравоохранения и госсекторе.
Причем изначально 4BID выбирала цели малого калибра, атакуя небольшие региональные компании, однако позже группа переключилась на более крупные предприятия.
Наличие в инфраструктуре жертв инструментария сразу нескольких групп (ransomware 4BID, бэкдоры BO Team и Red Likho, а также другие уникальные компоненты) свидетельствует об общем целеполагании и глубокой кооперации проукраинского кластера угроз.
В новом отчете исследователи ЛК раскрывают технические подробности наблюдаемой активности 4BID и ее пересечения с другими хактивистами.
Из наиболее интересных находок - пакет из нескольких файлов, каждый из которых отвечает за определенные задачи и запускает следующий.
Причем первый PowerShell-скрипт Edgeupdate.ps1 ранее не встречался в публичных репозиториях вредоносных ПО и не был замечен в других атаках, что позволяет предположить, что это специализированный инструмент, вероятно, разработанный для конкретной кампании.
Он выполнял ряд скрытых деструктивных операций для защиты от обнаружения и закрепления в системе (ведение журнала, блокировка устройств ввода, создание и добавление пользователя в группу локальных администраторов, загрузка в безопасном режиме с поддержкой сети, отключение протокола ms-contact-support и под завершение - удаление следов своей работы с перезагрузкой и фейковым экраном обновления).
В атаках 4BID также был найден образец новой программы-вымогателя, который назвали Blackout Locker.
Он написан на C/C++ и, несмотря на сходство имени, не имеет ничего общего с шифровальщиком Blackout.
В зависимости от версии, эта программа-вымогатель реализует различные схемы шифрования: некоторые варианты используют простой цикл XOR, другие - шифр AES в режиме GCM.
Кроме того, среди примечательных артфактов - кастомные скрипты (для проверки компьютеров в сети на наличие установленного AnyDesk или решений ЛК, а также непосредственно - для установки первой), пропатченные образцы Process Explorer (загружали Tuoni или Cobalt Strike).
В общем, текущая тенденция указывает на продолжающуюся эволюцию хактивизма и увеличивает вероятность проведения более частых, масштабных и технически сложных кампаний.
Все подробности - в отчете.
securelist.ru
Совместные атаки хактивистов 4BID, BO Team и Red Likho
Хактивистские группы все чаще действуют сообща. Анализируем совместные атаки 4BID, BO Team и Red Likho, их TTP и инструменты, включая новый шифровальщик Blackout Locker.
This media is not supported in your browser
VIEW IN TELEGRAM
Уроки английского для начинающих ИБ-шников на канале SecAtor
Wordfence предупреждает о критической EoP-уязвимости (CVE-2025–8489) в плагине King Addons for Elementor для WordPress, которая позволяет им получить административные разрешения во время процесса регистрации и активно задействуется в реальных атаках.
Активность была замечена 31 октября, всего через день после того, как проблема была публично раскрыта.
К настоящему моменту Wordfence заблокировала более 48 400 попыток реализации эксплойта.
King Addons - это стороннее дополнение для Elementor, популярного плагина визуального конструктора страниц для сайтов на WordPress, предоставляющее дополнительные виджеты, шаблоны и функции.
CVE-2025–8489 была обнаружена исследователем Питером Талейкисом и представляет собой уязвимость в обработчике регистрации плагина, которая позволяет любому зарегистрировавшемуся пользователю указать свою роль пользователя на веб-сайте, включая администратора, без применения каких-либо ограничений.
По данным Wordfence, злоумышленники отправляют специально созданный запрос admin-ajax.php, указав user_role=administrator, для создания подконтрольных учетных записей администраторов на целевых сайтах.
Исследователи отметили пик вредоносной активности между 9 и 10 ноября, при этом наиболее активными были два IP-адреса: 45.61.157.120 (28 900 попыток) и 2602:fa59:3:424::1 (16 900 попыток).
При этом Wordfence раскрывает также полный список вредоносных IP-адресов и рекомендует администраторам сайтов осуществить их поиск в файлах журналов. Наличие новых учётных записей администраторов также является явным признаком взлома.
Безусловно, рекомендуется обновиться до версии 51.1.35 King Addons, которая устраняет уязвимость CVE-2025–8489, выпущенную 25 сентября.
Помимо CVE-2025–8489 исследователи Wordfence также предупреждают о еще одной критической уязвимости в плагине Advanced Custom Fields: Extended, активном на более чем 100 000 сайтов WordPress, которая может быть использована неавторизованным злоумышленником для RCE.
Уязвимость затрагивает версии плагина с 0.9.0.5 по 0.9.1.1 и в настоящее время отслеживается как CVE-2025-13486.
Она была обнаружена и раскрыта польским CERT.
Уязвимость обусловлена тем, что функция принимает пользовательский ввод и затем передает его через call_user_func_array(), что позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере со всеми вытекающими последствиями.
После уведомления о проблеме 18 ноября поставщик плагина устранил ее в версии 0.9.2 Advanced Custom Fields: Extended, выпущенной через день после получения отчета об уязвимости.
Учитывая, что уязвимость может быть использована без аутентификации посредством специально созданного запроса, публичное раскрытие технических подробностей, скорее всего, приведет к вредоносной активности.
Владельцам сайтов рекомендуется как можно скорее перейти на последнюю версию или отключить плагин на своих ресурсах.
Активность была замечена 31 октября, всего через день после того, как проблема была публично раскрыта.
К настоящему моменту Wordfence заблокировала более 48 400 попыток реализации эксплойта.
King Addons - это стороннее дополнение для Elementor, популярного плагина визуального конструктора страниц для сайтов на WordPress, предоставляющее дополнительные виджеты, шаблоны и функции.
CVE-2025–8489 была обнаружена исследователем Питером Талейкисом и представляет собой уязвимость в обработчике регистрации плагина, которая позволяет любому зарегистрировавшемуся пользователю указать свою роль пользователя на веб-сайте, включая администратора, без применения каких-либо ограничений.
По данным Wordfence, злоумышленники отправляют специально созданный запрос admin-ajax.php, указав user_role=administrator, для создания подконтрольных учетных записей администраторов на целевых сайтах.
Исследователи отметили пик вредоносной активности между 9 и 10 ноября, при этом наиболее активными были два IP-адреса: 45.61.157.120 (28 900 попыток) и 2602:fa59:3:424::1 (16 900 попыток).
При этом Wordfence раскрывает также полный список вредоносных IP-адресов и рекомендует администраторам сайтов осуществить их поиск в файлах журналов. Наличие новых учётных записей администраторов также является явным признаком взлома.
Безусловно, рекомендуется обновиться до версии 51.1.35 King Addons, которая устраняет уязвимость CVE-2025–8489, выпущенную 25 сентября.
Помимо CVE-2025–8489 исследователи Wordfence также предупреждают о еще одной критической уязвимости в плагине Advanced Custom Fields: Extended, активном на более чем 100 000 сайтов WordPress, которая может быть использована неавторизованным злоумышленником для RCE.
Уязвимость затрагивает версии плагина с 0.9.0.5 по 0.9.1.1 и в настоящее время отслеживается как CVE-2025-13486.
Она была обнаружена и раскрыта польским CERT.
Уязвимость обусловлена тем, что функция принимает пользовательский ввод и затем передает его через call_user_func_array(), что позволяет неаутентифицированным злоумышленникам выполнять произвольный код на сервере со всеми вытекающими последствиями.
После уведомления о проблеме 18 ноября поставщик плагина устранил ее в версии 0.9.2 Advanced Custom Fields: Extended, выпущенной через день после получения отчета об уязвимости.
Учитывая, что уязвимость может быть использована без аутентификации посредством специально созданного запроса, публичное раскрытие технических подробностей, скорее всего, приведет к вредоносной активности.
Владельцам сайтов рекомендуется как можно скорее перейти на последнюю версию или отключить плагин на своих ресурсах.
Wordfence
Attackers Actively Exploiting Critical Vulnerability in King Addons for Elementor Plugin
Новая угроза нависла над инфосек-сообществом, представители которой активно обсуждают уязвимость максимальной степени серьезности, получившей условное наименование React2Shell.
Речь идет об обнаружении критической CVE-2025-55182 в React, которая может быть использована удаленным неаутентифицированным злоумышленником для удаленного выполнения кода.
React (React.js) - это библиотека JavaScript с открытым исходным кодом, предназначенная для создания пользовательских интерфейсов приложений.
На нём работают миллионы сайтов, он используется популярными онлайн-сервисами (Airbnb, Instagram, Netflix), а его основной пакет NPM в настоящее время еженедельно имеет более 55 млн. загрузок.
В вышедшем вчера бюллетене разработчики React проинформировали пользователей об исправлении CVE-2025-55182, раскрытой 29 ноября Лакланом Дэвидсоном.
Она затрагивает версии 19.0, 19.1.0, 19.1.1 и 19.2.0 и устранена с выпуском 19.0.1, 19.1.2 и 19.2.1.
Уязвимость обусловлена тем, как React декодирует полезные данные, отправляемые на конечные точки функций сервера React.
При этом даже если приложение не реализует какие-либо конечные точки функций сервера React, оно все равно может быть уязвимым, если поддерживаются компоненты сервера React (RSC).
На текущий момент сообщений об эксплуатации уязвимости в реальных условиях не поступало.
Однако менее чем через 24 часа после публикации был разработан как минимум один PoC, а уязвимость была добавлена в сканеры.
Стоит отметить, что фреймворк разработки на основе React Next.js также подвержен CVE-2025-55182.
Vercel, разработчик Next.js, пыталась присвоить собственный идентификатор, CVE-2025-66478, но он был отклонен как дубликат CVE-2025-55182.
По данным Wiz, такие фреймворки, как React Router RSC, плагин Vite RSC, плагин Parcel RSC, RedwoodSDK и Waku, также могут быть уязвимы.
Исследователи считают, что 39% облачных сред содержат уязвимые экземпляры React.
Исследователи полагают, что уязвимость затрагивает стандартные конфигурации, и ее можно легко проэксплуатировать с помощью специально созданных HTTP-запросов.
По единогласному мнению мнению представителей индустрии, эксплуатация React2Shell в реальных условиях неизбежна.
В Palo Alto Networks описывают уязвимость как «мастер-эксплойт, достигаемый не за счет сбоя системы, а за счет злоупотребления ее доверием к входящим структурам данных».
Система выполняет вредоносную полезную нагрузку с той же эффективностью, что и легитимный код, поскольку она работает именно так, как задумано, но при наличии вредоносных входных данных.
Исследователи заявляют о более чем 968 000 серверов с фреймворками React и Next.js и уязвимости почти 40% облачных сред.
Так что вопрос, по их мнению, даже не в том, что CVE-2025-55182 воспользуются злоумышленники, а как широко эксплуатация затронет среды.
Так или иначе Google Cloud развернула правила WAF для обнаружения и блокирования попыток эксплуатации уязвимости CVE-2025-55182.
AWS также выпустила новые правила WAF для блокировки атак, информируя клиентов о том, что они не затронуты и не требуют никаких действий.
Cloudflare также не осталась в стороне и выкатила средства защиты в своей сети, которые автоматически защищают всех клиентов, пока трафик их приложений React передается через Cloudflare WAF.
Netlify выпустила исправления React для предотвращения эксплуатации уязвимостей на веб-сайтах клиентов, а в F5 пока изучают потенциальное влияние на свои решения.
Свои меры по обнаружению уязвимых экземпляров и защите от потенциальных попыток эксплуатации также приняли Akamai, Orca Security, Tenable, Aikido и Miggo.
С другой стороны, Кевин Бомонт считает, что уязвимость ограничена более новой версией 19 и затрагивает только приложения, использующие React Server, который он назвал новой функцией.
Но будем посмотреть.
Речь идет об обнаружении критической CVE-2025-55182 в React, которая может быть использована удаленным неаутентифицированным злоумышленником для удаленного выполнения кода.
React (React.js) - это библиотека JavaScript с открытым исходным кодом, предназначенная для создания пользовательских интерфейсов приложений.
На нём работают миллионы сайтов, он используется популярными онлайн-сервисами (Airbnb, Instagram, Netflix), а его основной пакет NPM в настоящее время еженедельно имеет более 55 млн. загрузок.
В вышедшем вчера бюллетене разработчики React проинформировали пользователей об исправлении CVE-2025-55182, раскрытой 29 ноября Лакланом Дэвидсоном.
Она затрагивает версии 19.0, 19.1.0, 19.1.1 и 19.2.0 и устранена с выпуском 19.0.1, 19.1.2 и 19.2.1.
Уязвимость обусловлена тем, как React декодирует полезные данные, отправляемые на конечные точки функций сервера React.
При этом даже если приложение не реализует какие-либо конечные точки функций сервера React, оно все равно может быть уязвимым, если поддерживаются компоненты сервера React (RSC).
На текущий момент сообщений об эксплуатации уязвимости в реальных условиях не поступало.
Однако менее чем через 24 часа после публикации был разработан как минимум один PoC, а уязвимость была добавлена в сканеры.
Стоит отметить, что фреймворк разработки на основе React Next.js также подвержен CVE-2025-55182.
Vercel, разработчик Next.js, пыталась присвоить собственный идентификатор, CVE-2025-66478, но он был отклонен как дубликат CVE-2025-55182.
По данным Wiz, такие фреймворки, как React Router RSC, плагин Vite RSC, плагин Parcel RSC, RedwoodSDK и Waku, также могут быть уязвимы.
Исследователи считают, что 39% облачных сред содержат уязвимые экземпляры React.
Исследователи полагают, что уязвимость затрагивает стандартные конфигурации, и ее можно легко проэксплуатировать с помощью специально созданных HTTP-запросов.
По единогласному мнению мнению представителей индустрии, эксплуатация React2Shell в реальных условиях неизбежна.
В Palo Alto Networks описывают уязвимость как «мастер-эксплойт, достигаемый не за счет сбоя системы, а за счет злоупотребления ее доверием к входящим структурам данных».
Система выполняет вредоносную полезную нагрузку с той же эффективностью, что и легитимный код, поскольку она работает именно так, как задумано, но при наличии вредоносных входных данных.
Исследователи заявляют о более чем 968 000 серверов с фреймворками React и Next.js и уязвимости почти 40% облачных сред.
Так что вопрос, по их мнению, даже не в том, что CVE-2025-55182 воспользуются злоумышленники, а как широко эксплуатация затронет среды.
Так или иначе Google Cloud развернула правила WAF для обнаружения и блокирования попыток эксплуатации уязвимости CVE-2025-55182.
AWS также выпустила новые правила WAF для блокировки атак, информируя клиентов о том, что они не затронуты и не требуют никаких действий.
Cloudflare также не осталась в стороне и выкатила средства защиты в своей сети, которые автоматически защищают всех клиентов, пока трафик их приложений React передается через Cloudflare WAF.
Netlify выпустила исправления React для предотвращения эксплуатации уязвимостей на веб-сайтах клиентов, а в F5 пока изучают потенциальное влияние на свои решения.
Свои меры по обнаружению уязвимых экземпляров и защите от потенциальных попыток эксплуатации также приняли Akamai, Orca Security, Tenable, Aikido и Miggo.
С другой стороны, Кевин Бомонт считает, что уязвимость ограничена более новой версией 19 и затрагивает только приложения, использующие React Server, который он назвал новой функцией.
Но будем посмотреть.
react.dev
Critical Security Vulnerability in React Server Components – React
The library for web and native user interfaces
Aisuru продолжает лютовать: всего за три месяца реализовал более 1300 распределенных DDoS-атак, одна из которых обновила рекорд, достигнув пика в 29,7 терабит в секунду.
Aisuru представляет собой ботнетов-сервис, включающий целую армию маршрутизаторов и IoT-устройств, скомпрометированных с помощью известных уязвимостей и брута слабых учетных данных.
По оценкам Cloudflare, ботнет использует от одного до четырех млн. зараженных хостов по всему миру.
В третьем квартале компания отбила самую масштабную гиперобъемную атаку с устройств Aisuru.
Предыдущая рекордная DDoS-атака достигла пика в 22,2 Тбит/с, также была отражена Cloudflare и со средней степенью уверенности была приписана Aisuru.
Недавно Microsoft сообщала, что тот же ботнет атаковал её сеть Azure, организовав массированную DDoS-атаку мощностью 15 Тбит/с с 500 000 IP-адресов.
Cloudflare отмечает, что с начала года ей удалось отразить 2867 атак Aisuru, почти 45% из которых были гиперобъемными - атаки, превышающие 1 Тбит/с или 1 млрд. пакетов в секунду (Bpps).
Цель рекордного инцидента не названа, но известно, что атака длилась 69 секунд и достигла пиковой скорости 29,7 Тбит/с.
В ней использовалась ковровая бомбардировка UDP для направления «мусорного» трафика в среднем на 15 000 портов назначения в секунду.
Еще одна масштабная DDoS-атака, отраженная компанией, достигала мощности 14,1 млрд пакетов в секунду.
Тем не менее Cloudflare полагает, что атаки Aisuru могут быть весьма разрушительными, а объем трафика способен вывести из строя интернет-провайдеров (ISP), даже если они не подвергаются прямым атакам.
Причем телеметрия Cloudflare четко показывает, что в этом году наблюдается устойчивый рост числа масштабных DDoS-атак со стороны ботнета Aisuru, фиксируя 1304 инцидента только за третий квартал.
По словам исследователей, Aisuru нацелен на компании из различных секторов, включая игровую индустрию, хостинг-провайдеров, телеком и финансы
Количество DDoS-атак, превышающих 100 Мбит/с, увеличилось на 189% по сравнению с предыдущим кварталом, а количество DDoS-атак, превышающих 1 Тбит/с, увеличилось более чем вдвое (на 227%) по сравнению с предыдущим кварталом.
По данным Cloudflare, большинство атак завершаются менее чем за 10 минут, практически не оставляя времени для реагирования.
Краткосрочная атака может продлиться всего несколько секунд, но ущерб может быть серьезным, а восстановление займет много времени.
По количеству DDoS-атак прошедший квартал не достиг уровня первого квартала, однако статистика 2025 года по-прежнему опережать по показателям предыдущие годы, и это без учета ноября и декабря.
В целом, Cloudflare в третьем квартале отражала в среднем 3780 DDoS-атак каждый час, большинство из которых исходили из Индонезии, Таиланда, Бангладеш и Эквадора и были направлены на Китай, Турцию, Германию, Бразилию и США.
Aisuru представляет собой ботнетов-сервис, включающий целую армию маршрутизаторов и IoT-устройств, скомпрометированных с помощью известных уязвимостей и брута слабых учетных данных.
По оценкам Cloudflare, ботнет использует от одного до четырех млн. зараженных хостов по всему миру.
В третьем квартале компания отбила самую масштабную гиперобъемную атаку с устройств Aisuru.
Предыдущая рекордная DDoS-атака достигла пика в 22,2 Тбит/с, также была отражена Cloudflare и со средней степенью уверенности была приписана Aisuru.
Недавно Microsoft сообщала, что тот же ботнет атаковал её сеть Azure, организовав массированную DDoS-атаку мощностью 15 Тбит/с с 500 000 IP-адресов.
Cloudflare отмечает, что с начала года ей удалось отразить 2867 атак Aisuru, почти 45% из которых были гиперобъемными - атаки, превышающие 1 Тбит/с или 1 млрд. пакетов в секунду (Bpps).
Цель рекордного инцидента не названа, но известно, что атака длилась 69 секунд и достигла пиковой скорости 29,7 Тбит/с.
В ней использовалась ковровая бомбардировка UDP для направления «мусорного» трафика в среднем на 15 000 портов назначения в секунду.
Еще одна масштабная DDoS-атака, отраженная компанией, достигала мощности 14,1 млрд пакетов в секунду.
Тем не менее Cloudflare полагает, что атаки Aisuru могут быть весьма разрушительными, а объем трафика способен вывести из строя интернет-провайдеров (ISP), даже если они не подвергаются прямым атакам.
Причем телеметрия Cloudflare четко показывает, что в этом году наблюдается устойчивый рост числа масштабных DDoS-атак со стороны ботнета Aisuru, фиксируя 1304 инцидента только за третий квартал.
По словам исследователей, Aisuru нацелен на компании из различных секторов, включая игровую индустрию, хостинг-провайдеров, телеком и финансы
Количество DDoS-атак, превышающих 100 Мбит/с, увеличилось на 189% по сравнению с предыдущим кварталом, а количество DDoS-атак, превышающих 1 Тбит/с, увеличилось более чем вдвое (на 227%) по сравнению с предыдущим кварталом.
По данным Cloudflare, большинство атак завершаются менее чем за 10 минут, практически не оставляя времени для реагирования.
Краткосрочная атака может продлиться всего несколько секунд, но ущерб может быть серьезным, а восстановление займет много времени.
По количеству DDoS-атак прошедший квартал не достиг уровня первого квартала, однако статистика 2025 года по-прежнему опережать по показателям предыдущие годы, и это без учета ноября и декабря.
В целом, Cloudflare в третьем квартале отражала в среднем 3780 DDoS-атак каждый час, большинство из которых исходили из Индонезии, Таиланда, Бангладеш и Эквадора и были направлены на Китай, Турцию, Германию, Бразилию и США.
The Cloudflare Blog
Cloudflare's 2025 Q3 DDoS threat report -- including Aisuru, the apex of botnets
Welcome to the 23rd edition of Cloudflare’s Quarterly DDoS Threat Report. This report offers a comprehensive analysis of the evolving threat landscape of Distributed Denial of Service (DDoS) attacks based on data from the Cloudflare network. In this edition…
Исследователи Лаборатории Касперского вновь накинули информативной отраслевой статистики, анонсировав Kaspersky Security Bulletin 2025, который охватывает период с ноября 2024 года по октябрь 2025 года.
В качестве основных исследователи выделяют следующие тренды:
- 48% пользователей Windows и 29% пользователей macOS столкнулись с киберугрозами.
- 27% всех пользователей решений Лаборатории Касперского столкнулись с веб-угрозами, а 33% пользователей пострадали от угроз на устройствах.
- Наибольшая доля пользователей, пострадавших от веб-угроз, пришлась на СНГ (34%), а локальные угрозы чаще всего обнаруживались в Африке (41%).
- Решения Лаборатории Касперского позволили предотвратить почти в 1,6 раза больше атак по краже паролей, чем в предыдущем году.
- В Азиатско-Тихоокеанском регионе количество обнаружений кражи паролей выросло на 132% по сравнению с предыдущим годом.
- Решения Лаборатории Касперского обеспечили выявление в 1,5 раза больше атак шпионского ПО, чем в предыдущем году.
Подробную годовую статистику по киберугрозам рекомендуем изучить, ознакомившись с полным отчетом.
Кроме того, не можем не отметить отчет по эксплойтам и уязвимостям в третьем квартале 2025 года, в котором исследователи ЛК рассматривают наиболее распространённые проблемы, затрагивающие Windows и Linux, а также уязвимости, используемые в APT-атаках.
Отмечается, что ежемесячное количество уязвимостей, опубликованных в третьем квартале 2025 года, остаётся выше показателей, зафиксированных в предыдущие годы.
Анализ ежемесячного распределения уязвимостей, оцененных как критические при регистрации (CVSS > 8,9), показывает, что этот показатель в третьем квартале был незначительно ниже показателя за 2024 год.
В части эксплуатации, в третьем квартале 2025 года, как и прежде, наиболее распространенными атаками были атаки на уязвимые продукты Microsoft Office (CVE-2018-0802, CVE-2017-11882 и CVE-2017-0199).
В этом квартале злоумышленники злоумышленники активно эксплуатировали уязвимости Directory Traversal, возникающие при распаковке архивов в WinRAR, адаптировав их для своих нужд (CVE-2023-38831, CVE-2025-6218 и CVE-2025-8088).
Для устройств Linux наиболее часто обнаруживались эксплойты для следующих уязвимостей ядра ОС (CVE-2022-0847, CVE-2019-13272 и CVE-2021-22555).
Примечательно, что в третьем квартале 2025 года, как и во втором, новых публичных эксплойтов для продуктов Microsoft Office не появилось.
Однако были опубликованы PoC-тесты уязвимостей в Microsoft SharePoint.
В третьем квартале 2025 года в APT-атаках преобладали 0-day, обнаруженные в ходе расследований отдельных инцидентов. После их публичного раскрытия следовали мощные волны эксплуатации.
Metasploit, доля которого увеличилась по сравнению со вторым кварталом, возглавляет список наиболее распространённых C2-фреймворков за последний квартал. За ним следуют Sliver и Mythic.
Фреймворк Empire также вновь появился в списке после неактивности в предыдущий отчётный период.
Примечательно, что Adaptix C2, несмотря на свою относительно новую версию, практически сразу же был принят злоумышленниками в реальных сценариях.
Подробная инфографика и статданные, а также разбор наиболее трендовых уязвимостей - в отчете.
В качестве основных исследователи выделяют следующие тренды:
- 48% пользователей Windows и 29% пользователей macOS столкнулись с киберугрозами.
- 27% всех пользователей решений Лаборатории Касперского столкнулись с веб-угрозами, а 33% пользователей пострадали от угроз на устройствах.
- Наибольшая доля пользователей, пострадавших от веб-угроз, пришлась на СНГ (34%), а локальные угрозы чаще всего обнаруживались в Африке (41%).
- Решения Лаборатории Касперского позволили предотвратить почти в 1,6 раза больше атак по краже паролей, чем в предыдущем году.
- В Азиатско-Тихоокеанском регионе количество обнаружений кражи паролей выросло на 132% по сравнению с предыдущим годом.
- Решения Лаборатории Касперского обеспечили выявление в 1,5 раза больше атак шпионского ПО, чем в предыдущем году.
Подробную годовую статистику по киберугрозам рекомендуем изучить, ознакомившись с полным отчетом.
Кроме того, не можем не отметить отчет по эксплойтам и уязвимостям в третьем квартале 2025 года, в котором исследователи ЛК рассматривают наиболее распространённые проблемы, затрагивающие Windows и Linux, а также уязвимости, используемые в APT-атаках.
Отмечается, что ежемесячное количество уязвимостей, опубликованных в третьем квартале 2025 года, остаётся выше показателей, зафиксированных в предыдущие годы.
Анализ ежемесячного распределения уязвимостей, оцененных как критические при регистрации (CVSS > 8,9), показывает, что этот показатель в третьем квартале был незначительно ниже показателя за 2024 год.
В части эксплуатации, в третьем квартале 2025 года, как и прежде, наиболее распространенными атаками были атаки на уязвимые продукты Microsoft Office (CVE-2018-0802, CVE-2017-11882 и CVE-2017-0199).
В этом квартале злоумышленники злоумышленники активно эксплуатировали уязвимости Directory Traversal, возникающие при распаковке архивов в WinRAR, адаптировав их для своих нужд (CVE-2023-38831, CVE-2025-6218 и CVE-2025-8088).
Для устройств Linux наиболее часто обнаруживались эксплойты для следующих уязвимостей ядра ОС (CVE-2022-0847, CVE-2019-13272 и CVE-2021-22555).
Примечательно, что в третьем квартале 2025 года, как и во втором, новых публичных эксплойтов для продуктов Microsoft Office не появилось.
Однако были опубликованы PoC-тесты уязвимостей в Microsoft SharePoint.
В третьем квартале 2025 года в APT-атаках преобладали 0-day, обнаруженные в ходе расследований отдельных инцидентов. После их публичного раскрытия следовали мощные волны эксплуатации.
Metasploit, доля которого увеличилась по сравнению со вторым кварталом, возглавляет список наиболее распространённых C2-фреймворков за последний квартал. За ним следуют Sliver и Mythic.
Фреймворк Empire также вновь появился в списке после неактивности в предыдущий отчётный период.
Примечательно, что Adaptix C2, несмотря на свою относительно новую версию, практически сразу же был принят злоумышленниками в реальных сценариях.
Подробная инфографика и статданные, а также разбор наиболее трендовых уязвимостей - в отчете.
Securelist
Kaspersky Security Bulletin 2025. Statistics
Kaspersky Security Bulletin contains statistics on various cyberthreats for the period from November 2024 to October 2025, which are based on anonymized data voluntarily provided by Kaspersky users via Kaspersky Security Network (KSN).
Microsoft вновь уличили в «тихом устранении» серьезной уязвимости Windows LNK, которая задействовалась в атаках продвинутых акторов в качестве 0-day.
CVE-2025-9491 позволяет скрывать вредоносные команды в LNK-файлах, которые могут использоваться для развертывания вредоносного ПО на скомпрометированных устройствах.
Однако для реализации атак требуется взаимодействие с пользователем, поскольку жертва должна открыть вредоносные файлы Windows Shell Link (.lnk), которые злоумышленники обычно распространяют в ZIP или других архивах.
Уязвимость связана с тем, как Windows обрабатывает LNK, позволяя злоумышленникам использовать способ их отображения.
Для уклонения от обнаружения и выполнения кода на уязвимых устройствах без ведома пользователя, поле «target» в файлах LNK Windows заполняется пробелами, что позволяет скрыть вредоносные аргументы командной строки.
Таким образом в свойствах поля файла будут отображаться только первые 260 символов в виду добавленных пробелов, поэтому пользователи не смогут увидеть фактическую команду, выполняемую открытии LNK.
Исследователи Trend Micro в марте 2025 года обнаружили, что CVE-2025-9491 уже широко использовалась 11 APT и такими группировками, как Evil Corp, Bitter, APT37, APT43 (Kimsuky), Mustang Panda, SideWinder, RedHotel, Konni и др.
Аналогичную эксплуатацию наблюдали и в Arctic Wolf Labs.
Правда в Microsoft, вероятно, были не в курсе и в марте заявили, что «рассмотрят возможность устранения» этой 0-day, но она «не достигла уровня немедленного устранения».
В ноябре компания также не считала CVE-2025-9491 уязвимостью «в виду взаимодействия с пользователем и того факта, что система уже предупреждает пользователей о том, что этот формат ненадежен», несмотря на возможности обхода Mark of the Web.
Но что-то пошло не так и, как заметили в ACROS Security, Microsoft все же незаметно поработала над LNK в ноябрьских обновлениях, очевидно, пытаясь смягчить уязвимость CVE-2025-9491.
После установки обновлений прошлого месяца пользователи теперь видят все символы в поле при открытии свойств LNK-файлов, а не только первые 260.
Однако это в ACROS Security полагают, что принятые меры недостаточны, ведь вредоносные аргументы, добавленные в LNK-файлы, не будут удалены, и пользователь не получит предупреждения при открытии LNK-файлов со строкой Target, превышающей 260 символов.
Так что, как обычно, спецам ACROS Security пришлось проделать всю работу самим пока микромягкие в очередной раз тормозят с адекватным исправлением.
Компания выпустила неофициальный патч через свою платформу микропатчей 0Patch, который ограничивает длину всех строк ярлыков до 260 символов и предупреждает пользователей о потенциальной опасности открытия ярлыков с необычно длинными строками.
Неофициальное исправление для CVE-2025-9491 доступно для пользователей 0patch, использующих версии Windows, поддержка которых прекращена (Windows 7 - Windows 11 22H2 и Windows Server 2008 R2 – Windows Server 2022).
CVE-2025-9491 позволяет скрывать вредоносные команды в LNK-файлах, которые могут использоваться для развертывания вредоносного ПО на скомпрометированных устройствах.
Однако для реализации атак требуется взаимодействие с пользователем, поскольку жертва должна открыть вредоносные файлы Windows Shell Link (.lnk), которые злоумышленники обычно распространяют в ZIP или других архивах.
Уязвимость связана с тем, как Windows обрабатывает LNK, позволяя злоумышленникам использовать способ их отображения.
Для уклонения от обнаружения и выполнения кода на уязвимых устройствах без ведома пользователя, поле «target» в файлах LNK Windows заполняется пробелами, что позволяет скрыть вредоносные аргументы командной строки.
Таким образом в свойствах поля файла будут отображаться только первые 260 символов в виду добавленных пробелов, поэтому пользователи не смогут увидеть фактическую команду, выполняемую открытии LNK.
Исследователи Trend Micro в марте 2025 года обнаружили, что CVE-2025-9491 уже широко использовалась 11 APT и такими группировками, как Evil Corp, Bitter, APT37, APT43 (Kimsuky), Mustang Panda, SideWinder, RedHotel, Konni и др.
Аналогичную эксплуатацию наблюдали и в Arctic Wolf Labs.
Правда в Microsoft, вероятно, были не в курсе и в марте заявили, что «рассмотрят возможность устранения» этой 0-day, но она «не достигла уровня немедленного устранения».
В ноябре компания также не считала CVE-2025-9491 уязвимостью «в виду взаимодействия с пользователем и того факта, что система уже предупреждает пользователей о том, что этот формат ненадежен», несмотря на возможности обхода Mark of the Web.
Но что-то пошло не так и, как заметили в ACROS Security, Microsoft все же незаметно поработала над LNK в ноябрьских обновлениях, очевидно, пытаясь смягчить уязвимость CVE-2025-9491.
После установки обновлений прошлого месяца пользователи теперь видят все символы в поле при открытии свойств LNK-файлов, а не только первые 260.
Однако это в ACROS Security полагают, что принятые меры недостаточны, ведь вредоносные аргументы, добавленные в LNK-файлы, не будут удалены, и пользователь не получит предупреждения при открытии LNK-файлов со строкой Target, превышающей 260 символов.
Так что, как обычно, спецам ACROS Security пришлось проделать всю работу самим пока микромягкие в очередной раз тормозят с адекватным исправлением.
Компания выпустила неофициальный патч через свою платформу микропатчей 0Patch, который ограничивает длину всех строк ярлыков до 260 символов и предупреждает пользователей о потенциальной опасности открытия ярлыков с необычно длинными строками.
Неофициальное исправление для CVE-2025-9491 доступно для пользователей 0patch, использующих версии Windows, поддержка которых прекращена (Windows 7 - Windows 11 22H2 и Windows Server 2008 R2 – Windows Server 2022).
0Patch
Microsoft Silently Patched CVE-2025-9491 - We Think Our Patch Provides More Security
Patching What You See vs. Patching What You Execute Summary : Trend Micro discovered that attackers have long been using a trick to hide wha...
Как и предполагалось, затрагивающая React и Next.js React2Shell (CVE-2025-55182) максимального уровня серьезности уже начала эксплуатироваться связанными с Китаем злоумышленниками.
React2Shell - это уязвимость десериализации в протоколе Flight компонентов React Server Components (RSC).
React и Next.js выпустили обновления, но уязвимость легко эксплуатируется без аутентификации и в конфигурации по умолчанию, позволяя удалённо выполнять код JavaScript в контексте сервера.
Для фреймворка Next.js существует идентификатор CVE-2025-66478, но номер отслеживания был отклонен в списке CVE как дубликат CVE-2025-55182.
Уязвимость затрагивает несколько версий широко используемой библиотеки, потенциально подвергая риску тысячи зависимых проектов.
По данным Wiz, 39% облачных сред подвержены атакам React2Shell.
Задетектить первые попытки боевой эксплуатации React2Shell смогли в Amazon Web Services (AWS), которая связала их с Earth Lamia и Jackpot Panda.
По данным AWS, хакеры начали эксплуатировать React2Shell практически сразу после публичного раскрытия информации 3 декабря 2025 года.
Honeypot-системы AWS также зафиксировали активность, не атрибутированную ни одному из известных кластеров, но по-прежнему исходящую из инфраструктуры, расположенной в Китае.
Многие из атакующих кластеров используют одну и ту же инфраструктуру анонимизации, что еще больше усложняет индивидуальное отслеживание и конкретную атрибуцию.
Что касается двух выявленных групп угроз, Earth Lamia фокусируется на эксплуатации уязвимостей веб-приложений.
Ее типичными целями являются компании в сфере финансов, логистики, торговли, ИТ, образования и госсектор в Латинской Америке, на Ближнем Востоке и в Юго-Восточной Азии.
Типичные жертвы Jackpot Panda обычно располагаются в Восточной и Юго-Восточной Азии, а ее атаки направлены на сбор разноплановой разведывательной информации.
В ближайшее время к ним присоединятся и другие акторы, ведь к настоящему времени уже опубликовано несколько PoC-эксплойтов.
Несмотря на то, что Лаклан Дэвидсон, обнаруживший React2Shell, предупреждал о фейковых эксплойтах, циркулирующих в интернете, эффективность ряда эксплойтов, появившихся на GitHub, подтверждена исследователями Rapid7 и Elastic Security.
В атаках, наблюдавшихся AWS, задействовалось сочетание общедоступных эксплойтов, в том числе и неработающих, а также итеративное ручное тестирование и устранение неполадок в реальном времени в целевых средах.
Наблюдаемая активность включала в себя повторные попытки с различными полезными нагрузками, выполнение команд Linux (whoami, id), попытки создания файлов (/tmp/pwned.txt) и попытки чтения /etc/passwd/.
Так что злоумышленники не просто запускают автоматизированное сканирование, но и активно отлаживают и совершенствуют свои методы эксплуатации уязвимостей на реальных целях.
Учитывая надвигающуюся эскалацию угроз, Assetnote выпустила на GitHub сканер React2Shell, который можно использовать для определения уязвимости среды.
Однако вряд ли это существенно изменить быстро деградирующую ситуацию.
React2Shell - это уязвимость десериализации в протоколе Flight компонентов React Server Components (RSC).
React и Next.js выпустили обновления, но уязвимость легко эксплуатируется без аутентификации и в конфигурации по умолчанию, позволяя удалённо выполнять код JavaScript в контексте сервера.
Для фреймворка Next.js существует идентификатор CVE-2025-66478, но номер отслеживания был отклонен в списке CVE как дубликат CVE-2025-55182.
Уязвимость затрагивает несколько версий широко используемой библиотеки, потенциально подвергая риску тысячи зависимых проектов.
По данным Wiz, 39% облачных сред подвержены атакам React2Shell.
Задетектить первые попытки боевой эксплуатации React2Shell смогли в Amazon Web Services (AWS), которая связала их с Earth Lamia и Jackpot Panda.
По данным AWS, хакеры начали эксплуатировать React2Shell практически сразу после публичного раскрытия информации 3 декабря 2025 года.
Honeypot-системы AWS также зафиксировали активность, не атрибутированную ни одному из известных кластеров, но по-прежнему исходящую из инфраструктуры, расположенной в Китае.
Многие из атакующих кластеров используют одну и ту же инфраструктуру анонимизации, что еще больше усложняет индивидуальное отслеживание и конкретную атрибуцию.
Что касается двух выявленных групп угроз, Earth Lamia фокусируется на эксплуатации уязвимостей веб-приложений.
Ее типичными целями являются компании в сфере финансов, логистики, торговли, ИТ, образования и госсектор в Латинской Америке, на Ближнем Востоке и в Юго-Восточной Азии.
Типичные жертвы Jackpot Panda обычно располагаются в Восточной и Юго-Восточной Азии, а ее атаки направлены на сбор разноплановой разведывательной информации.
В ближайшее время к ним присоединятся и другие акторы, ведь к настоящему времени уже опубликовано несколько PoC-эксплойтов.
Несмотря на то, что Лаклан Дэвидсон, обнаруживший React2Shell, предупреждал о фейковых эксплойтах, циркулирующих в интернете, эффективность ряда эксплойтов, появившихся на GitHub, подтверждена исследователями Rapid7 и Elastic Security.
В атаках, наблюдавшихся AWS, задействовалось сочетание общедоступных эксплойтов, в том числе и неработающих, а также итеративное ручное тестирование и устранение неполадок в реальном времени в целевых средах.
Наблюдаемая активность включала в себя повторные попытки с различными полезными нагрузками, выполнение команд Linux (whoami, id), попытки создания файлов (/tmp/pwned.txt) и попытки чтения /etc/passwd/.
Так что злоумышленники не просто запускают автоматизированное сканирование, но и активно отлаживают и совершенствуют свои методы эксплуатации уязвимостей на реальных целях.
Учитывая надвигающуюся эскалацию угроз, Assetnote выпустила на GitHub сканер React2Shell, который можно использовать для определения уязвимости среды.
Однако вряд ли это существенно изменить быстро деградирующую ситуацию.
Amazon
China-nexus cyber threat groups rapidly exploit React2Shell vulnerability (CVE-2025-55182) | Amazon Web Services
Within hours of the public disclosure of CVE-2025-55182 (React2Shell) on December 3, 2025, Amazon threat intelligence teams observed active exploitation attempts by multiple China state-nexus threat groups, including Earth Lamia and Jackpot Panda. This critical…
Вышло масштабное совместное расследование на базе Intellexa Leaks от Inside Story, Haaretz и WAV Research Collective, в котором раскрываются особенности шпионского ПО Predator от Intellexa и механизм ZeroClick-заражения через вредоносную рекламу, получивший название Aladdin.
Как сообщается, Aladdin был впервые развернут в 2024 году, до сих пор функционирует и активно развивается.
Он задействует коммерческую систему мобильной рекламы для доставки вредоносного ПО.
Механизм принудительно показывает вредоносную рекламу определенным целям, идентифицированным по их публичному IP и другим идентификаторам через размещение посредством Demand Side Platform (DSP) на любом сайте, участвующем в рекламной сети.
Как отмечает Amnesty International, эта вредоносная реклама может быть размещена на любом веб-сайте, включая новостной портал или мобильное приложение, и выглядит так же, как и любая другая реклама, которую может увидеть получатель.
При этом для заражения целевого устройства достаточно простого просмотра рекламы и нет необходимости кликать по ней. Однако подробностей того, как именно реализуется заражение нет.
Очевидно, что реклама вызывает перенаправление на серверы доставки эксплойтов Intellexa.
Подобные рекламные объявления распространяются через сложную сеть маркетинговых фирм, разбросанных по разным странам, включая Ирландию, Германию, Швейцарию, Грецию, Кипр, ОАЭ и Венгрию.
Признанная желательной в России Recorded Future более подробно изучила рекламную сеть, связав воедино ключевых персон, компании и инфраструктуру, назвав некоторые из них в своем отчете.
Защититься от заражения практически невозможно, но блокировка рекламы в браузере станет хорошим подспорьем.
Еще одной потенциальной мерой защиты могла бы стать настройка браузера на сокрытие публичного IP от трекеров.
Однако просочившиеся документы показывают, что Intellexa по-прежнему может получать информацию от местных операторов мобильной связи в странах дислокации своих клиентов.
Еще одним важным открытием стало подтверждение другого вектора доставки под названием Triton, который реализует атаки на устройства Samsung Exynos с помощью эксплойтов в базовой полосе частот, вызывая понижение сети до 2G, что создает условия для заражения.
В Amnesty International не уверены в том, используется ли этот вектор до сих пор, и отмечают, что существуют два других, возможно, похожих механизма доставки под кодовыми названиями Тор и Oberon, которые, как считается, связаны с радиосвязью или физическим доступом.
исследователи Google также окрестили Intellexa одним из самых высокоуровневых поставщиков коммерческого spyware с точки зрения эксплуатации 0-day.
На него пришлось 15 из 70 случаев эксплуатации нулей, обнаруженных и задокументированных TAG с 2021 года.
Google полагает, что Intellexa разрабатывает собственные эксплойты, а также приобретает цепочки эксплойтов у сторонних организаций для большего охвата всего спектра возможных атак.
По данным Amnesty International, несмотря на санкции и продолжающиеся расследования в отношении Intellexa в Греции, оператор шпионского ПО по-прежнему активен.
Поскольку Predator становится все более агрессивным и скрытным, пользователям рекомендуется рассмотреть возможность включения дополнительной защиты на своих мобильных устройствах, например, Advanced Protection на Android и Lockdown Mode на iOS.
Как сообщается, Aladdin был впервые развернут в 2024 году, до сих пор функционирует и активно развивается.
Он задействует коммерческую систему мобильной рекламы для доставки вредоносного ПО.
Механизм принудительно показывает вредоносную рекламу определенным целям, идентифицированным по их публичному IP и другим идентификаторам через размещение посредством Demand Side Platform (DSP) на любом сайте, участвующем в рекламной сети.
Как отмечает Amnesty International, эта вредоносная реклама может быть размещена на любом веб-сайте, включая новостной портал или мобильное приложение, и выглядит так же, как и любая другая реклама, которую может увидеть получатель.
При этом для заражения целевого устройства достаточно простого просмотра рекламы и нет необходимости кликать по ней. Однако подробностей того, как именно реализуется заражение нет.
Очевидно, что реклама вызывает перенаправление на серверы доставки эксплойтов Intellexa.
Подобные рекламные объявления распространяются через сложную сеть маркетинговых фирм, разбросанных по разным странам, включая Ирландию, Германию, Швейцарию, Грецию, Кипр, ОАЭ и Венгрию.
Признанная желательной в России Recorded Future более подробно изучила рекламную сеть, связав воедино ключевых персон, компании и инфраструктуру, назвав некоторые из них в своем отчете.
Защититься от заражения практически невозможно, но блокировка рекламы в браузере станет хорошим подспорьем.
Еще одной потенциальной мерой защиты могла бы стать настройка браузера на сокрытие публичного IP от трекеров.
Однако просочившиеся документы показывают, что Intellexa по-прежнему может получать информацию от местных операторов мобильной связи в странах дислокации своих клиентов.
Еще одним важным открытием стало подтверждение другого вектора доставки под названием Triton, который реализует атаки на устройства Samsung Exynos с помощью эксплойтов в базовой полосе частот, вызывая понижение сети до 2G, что создает условия для заражения.
В Amnesty International не уверены в том, используется ли этот вектор до сих пор, и отмечают, что существуют два других, возможно, похожих механизма доставки под кодовыми названиями Тор и Oberon, которые, как считается, связаны с радиосвязью или физическим доступом.
исследователи Google также окрестили Intellexa одним из самых высокоуровневых поставщиков коммерческого spyware с точки зрения эксплуатации 0-day.
На него пришлось 15 из 70 случаев эксплуатации нулей, обнаруженных и задокументированных TAG с 2021 года.
Google полагает, что Intellexa разрабатывает собственные эксплойты, а также приобретает цепочки эксплойтов у сторонних организаций для большего охвата всего спектра возможных атак.
По данным Amnesty International, несмотря на санкции и продолжающиеся расследования в отношении Intellexa в Греции, оператор шпионского ПО по-прежнему активен.
Поскольку Predator становится все более агрессивным и скрытным, пользователям рекомендуется рассмотреть возможность включения дополнительной защиты на своих мобильных устройствах, например, Advanced Protection на Android и Lockdown Mode на iOS.
inside story
Intellexa Leaks: Νέα θύματα του Predator παρά τις αμερικανικές κυρώσεις
Στοιχεία που έρχονται σήμερα για πρώτη φορά στη δημοσιότητα στο πλαίσιο διεθνούς έρευνας αποκαλύπτουν νέες επιθέσεις. Ακόμα, ρίχνουν φως σε μέχρι πρότινος άγνωστες πτυχές των δυνατοτήτων της Intellexa να έχει πρόσβαση σε συστήματα πελατών της και ευαίσθητες…
Преждевременно упоминать об утечке в ASUS не стали, пока компания сама ее не подтвердила.
Впервые о взломе сообщила банда вымогателей Everest, которая также намекает на аналогичные инциденты в ArcSoft и Qualcomm.
2 декабря 2025 года Everest добавила ASUS на свой DLS в Tor.
По сообщению хакеров, им удалось достать широкий спектр данных, включая модули двоичной сегментации, исходный код и исправления, модели ИИ, внутренние инструменты и прошивки OEM, тестовые видео, информацию по двух камерам, различные журналы и отчеты, тестовые APK и др.
В общей сложности, Everest заявила о краже базы данных объемом 1 ТБ, опубликовав образцы некоторых украденных документов в качестве доказательств взлома.
В свою очередь, ASUS утверждает, что утечка данных третьей стороной (взлом поставщика) привела к раскрытию исходного кода камеры телефона, но не затронула продукцию, внутренние системы или пользовательские данные.
Однако, как бы то ни было, не стоит недооценивать косвенное влияние инцидента, ведь риск заключается не в самой «камере», а в возможности того, что это уязвимое место может стать точкой входа для эксплойтов в драйверах, прошивках, обновлениях или сторонних интеграциях.
Но будем посмотреть.
Впервые о взломе сообщила банда вымогателей Everest, которая также намекает на аналогичные инциденты в ArcSoft и Qualcomm.
2 декабря 2025 года Everest добавила ASUS на свой DLS в Tor.
По сообщению хакеров, им удалось достать широкий спектр данных, включая модули двоичной сегментации, исходный код и исправления, модели ИИ, внутренние инструменты и прошивки OEM, тестовые видео, информацию по двух камерам, различные журналы и отчеты, тестовые APK и др.
В общей сложности, Everest заявила о краже базы данных объемом 1 ТБ, опубликовав образцы некоторых украденных документов в качестве доказательств взлома.
В свою очередь, ASUS утверждает, что утечка данных третьей стороной (взлом поставщика) привела к раскрытию исходного кода камеры телефона, но не затронула продукцию, внутренние системы или пользовательские данные.
Однако, как бы то ни было, не стоит недооценивать косвенное влияние инцидента, ведь риск заключается не в самой «камере», а в возможности того, что это уязвимое место может стать точкой входа для эксплойтов в драйверах, прошивках, обновлениях или сторонних интеграциях.
Но будем посмотреть.
Исследователи Лаборатории Касперского в новом отчете представили результаты своих исследований в отношении недавней громкой атаки на цепочку поставок Shai Hulud 2.0.
Впервые Shai-Hulud попал в заголовки новостей в сентябре, в которых обращалось внимание на распространение вредоносного ПО через скомпрометированные пакеты Node Package Manager (npm).
Тогда ЛК опубликовала её подробный анализ, недавно появилась новая версия.
Как отмечают в ЛК, Shai Hulud 2.0 - это тип двухэтапного червеобразного вредоносного ПО, которое распространяется путём компрометации токенов npm для повторной публикации доверенных пакетов с вредоносным содержимым.
Более 800 пакетов npm заразились этой версией червя.
По данным телеметрии, жертвами этой кампании стали отдельные лица и организации по всему миру, при этом больше всего случаев заражения зафиксировано в России, Индии, Вьетнаме, Бразилии, Китае, Турции и Франции.
Когда разработчик устанавливает зараженный пакет npm, скрипт setup_bun.js запускается на этапе предустановки, как указано в измененном файле package.json.
Причем setup_bun.js намеренно не обфусцирован и хорошо документирован, чтобы замаскироваться под безобидный инструмент для установки легитимной среды выполнения Bun JavaScript.
Он проверяет распространённые пути установки Bun и, если среда выполнения отсутствует, устанавливает её из официального источника в соответствии с платформой, реализуя подготовку среды выполнения для последующих этапов вредоносной ПО.
Затем установленная среда выполнения Bun запускает полезную нагрузку второго этапа, bun_environment.js, вредоносный скрипт размером 10 МБ, обфусцированный с помощью инструмента, похожего на obfuscate.io (фактически основная вредоносная активность).
Shai Hulud 2.0 создан для сбора секретов из различных сред.
После запуска он немедленно ищет конфиденциальные данные в нескольких источниках: секреты GitHub, учетные данные облака AWS, Azure и Google Cloud, локальные файлы (с помощью сканирования TruffleHog).
Затем все извлеченные данные отправляются по установленному каналу связи через публичный репозиторий GitHub с помощью токена доступа жертвы.
После этого вредоносная ПО создаёт репозиторий со случайно сгенерированным 18-символьным именем и маркером в описании, который затем служит хранилищем данных, куда загружаются все украденные учётные данные и системная информация.
Если токен не найден, скрипт пытается получить ранее украденный токен у другой жертвы, выполняя поиск в репозиториях GitHub на наличие тех, в описании которых содержится текст «Sha1-Hulud: The Second Coming».
Для последующей саморепликации посредством встраивания в пакеты npm скрипт сканирует файлы конфигурации npmrc в домашнем каталоге и текущем каталоге в попытке найти токен авторизации реестра npm.
Если это удается, он проверяет токен, отправляя запрос на проверку к конечной точке API npm /-/whoami, после чего скрипт извлекает список из 100 пакетов, поддерживаемых жертвой.
Для каждого пакета он внедряет вредоносные файлы setup_bun.js и bun_environment.js через bundleAssets и обновляет конфигурацию пакета, устанавливая setup_bun.js в качестве предустановочного скрипта и увеличивая версию пакета.
Изменённый пакет затем публикуется в реестре npm.
Если вредоносная ПО не может получить токен npm и GitHub, что делает кражу данных невозможной, она запускает разрушительную полезную нагрузку, которая стирает пользовательские файлы, в первую очередь те, которые находятся в домашнем каталоге.
С сентября этого года Лаборатория Касперского заблокировала более 1700 атак Shai Hulud 2.0 на компьютеры пользователей.
Из них 18,5% затронули пользователей в России, 10,7% - в Индии и 9,7% - в Бразилии.
В ЛК продолжают отслеживать вредоносную активность, предоставляя актуальную информацию через Kaspersky Open Source Software Threats Data Feed, которая включает все пакеты, затронутые Shai-Hulud, а также информацию о других опенсорс-компонентах с вредоносным поведением.
Впервые Shai-Hulud попал в заголовки новостей в сентябре, в которых обращалось внимание на распространение вредоносного ПО через скомпрометированные пакеты Node Package Manager (npm).
Тогда ЛК опубликовала её подробный анализ, недавно появилась новая версия.
Как отмечают в ЛК, Shai Hulud 2.0 - это тип двухэтапного червеобразного вредоносного ПО, которое распространяется путём компрометации токенов npm для повторной публикации доверенных пакетов с вредоносным содержимым.
Более 800 пакетов npm заразились этой версией червя.
По данным телеметрии, жертвами этой кампании стали отдельные лица и организации по всему миру, при этом больше всего случаев заражения зафиксировано в России, Индии, Вьетнаме, Бразилии, Китае, Турции и Франции.
Когда разработчик устанавливает зараженный пакет npm, скрипт setup_bun.js запускается на этапе предустановки, как указано в измененном файле package.json.
Причем setup_bun.js намеренно не обфусцирован и хорошо документирован, чтобы замаскироваться под безобидный инструмент для установки легитимной среды выполнения Bun JavaScript.
Он проверяет распространённые пути установки Bun и, если среда выполнения отсутствует, устанавливает её из официального источника в соответствии с платформой, реализуя подготовку среды выполнения для последующих этапов вредоносной ПО.
Затем установленная среда выполнения Bun запускает полезную нагрузку второго этапа, bun_environment.js, вредоносный скрипт размером 10 МБ, обфусцированный с помощью инструмента, похожего на obfuscate.io (фактически основная вредоносная активность).
Shai Hulud 2.0 создан для сбора секретов из различных сред.
После запуска он немедленно ищет конфиденциальные данные в нескольких источниках: секреты GitHub, учетные данные облака AWS, Azure и Google Cloud, локальные файлы (с помощью сканирования TruffleHog).
Затем все извлеченные данные отправляются по установленному каналу связи через публичный репозиторий GitHub с помощью токена доступа жертвы.
После этого вредоносная ПО создаёт репозиторий со случайно сгенерированным 18-символьным именем и маркером в описании, который затем служит хранилищем данных, куда загружаются все украденные учётные данные и системная информация.
Если токен не найден, скрипт пытается получить ранее украденный токен у другой жертвы, выполняя поиск в репозиториях GitHub на наличие тех, в описании которых содержится текст «Sha1-Hulud: The Second Coming».
Для последующей саморепликации посредством встраивания в пакеты npm скрипт сканирует файлы конфигурации npmrc в домашнем каталоге и текущем каталоге в попытке найти токен авторизации реестра npm.
Если это удается, он проверяет токен, отправляя запрос на проверку к конечной точке API npm /-/whoami, после чего скрипт извлекает список из 100 пакетов, поддерживаемых жертвой.
Для каждого пакета он внедряет вредоносные файлы setup_bun.js и bun_environment.js через bundleAssets и обновляет конфигурацию пакета, устанавливая setup_bun.js в качестве предустановочного скрипта и увеличивая версию пакета.
Изменённый пакет затем публикуется в реестре npm.
Если вредоносная ПО не может получить токен npm и GitHub, что делает кражу данных невозможной, она запускает разрушительную полезную нагрузку, которая стирает пользовательские файлы, в первую очередь те, которые находятся в домашнем каталоге.
С сентября этого года Лаборатория Касперского заблокировала более 1700 атак Shai Hulud 2.0 на компьютеры пользователей.
Из них 18,5% затронули пользователей в России, 10,7% - в Индии и 9,7% - в Бразилии.
В ЛК продолжают отслеживать вредоносную активность, предоставляя актуальную информацию через Kaspersky Open Source Software Threats Data Feed, которая включает все пакеты, затронутые Shai-Hulud, а также информацию о других опенсорс-компонентах с вредоносным поведением.
Securelist
Nothing to steal? Let’s wipe. We’re analyzing the Shai Hulud 2.0 npm worm
Kaspersky researchers uncover a new version of the Shai Hulud npm worm, which is attacking targets in Russia, India, Brazil, China, and other countries, and has wiper features.
Весьма серьезную проблематику подсветил один из наших уважаемых читателей - спец по анализу защищенности, исследователь Кумуржи Георгий.
В конце октября, выступая на Standoff Talks 2025 с докладом Я тебе LoGiN, а ты мне креды? Пошло? Или почему мы до сих пор уязвимы перед CitrixBleed2, он рассказал о личном опыте обнаружения и эксплуатации трендовой Citrix Bleed 2 (CVE‑2025‑5777), отгремевшей этим летом.
Краткий обзор обнаруженных исследователем на практике основных моментов эксплуатации Citrix Bleed 2 - здесь, полная запись доклада - здесь.
Связанная с ней проблема, по мнению исследователя, заключается в недостаточном публичном информировании по части важных особенностей эксплуатации критической баги, что повлекло за собой массовую выработку вендорами малоэффективных WAF-правил для проактивной защиты.
На практике ему удалось столкнуться с работой различных WAF и SIEM крупных отечественных компаний, - во всех случаях получилось реализовать успешную утечку памяти из Citrix Netscaler (с последующей кражей сессий).
Многие вендора не в полной мере смогли разобраться с полным спектром технических особенностей уязвимости и выкатили правила WAF/SIEM, ограничивающийся одним из нескольких вариантов эксплуатации (и как следует соответствующие рекомендации по защите).
В целом, по мнению исследователя, ситуация с CVE-2025-5777 неоднозначная и многие отечественные компании до сих пор находятся в зоне риска компрометации своих систем.
Возможным вариантом нивелирования проблемы, предлагаемый исследователем, может стать более широкое освещение наиболее важных аспектов эксплуатации трендовых уязвимостей, что позволит вендорам или их клиентам оперативно «докрутить» правила.
Собственно, с чем мы согласны, и со своей стороны - обращаем внимание нашей аудитории на затронутую проблематику в части Citrix Bleed 2.
В конце октября, выступая на Standoff Talks 2025 с докладом Я тебе LoGiN, а ты мне креды? Пошло? Или почему мы до сих пор уязвимы перед CitrixBleed2, он рассказал о личном опыте обнаружения и эксплуатации трендовой Citrix Bleed 2 (CVE‑2025‑5777), отгремевшей этим летом.
Краткий обзор обнаруженных исследователем на практике основных моментов эксплуатации Citrix Bleed 2 - здесь, полная запись доклада - здесь.
Связанная с ней проблема, по мнению исследователя, заключается в недостаточном публичном информировании по части важных особенностей эксплуатации критической баги, что повлекло за собой массовую выработку вендорами малоэффективных WAF-правил для проактивной защиты.
На практике ему удалось столкнуться с работой различных WAF и SIEM крупных отечественных компаний, - во всех случаях получилось реализовать успешную утечку памяти из Citrix Netscaler (с последующей кражей сессий).
Многие вендора не в полной мере смогли разобраться с полным спектром технических особенностей уязвимости и выкатили правила WAF/SIEM, ограничивающийся одним из нескольких вариантов эксплуатации (и как следует соответствующие рекомендации по защите).
В целом, по мнению исследователя, ситуация с CVE-2025-5777 неоднозначная и многие отечественные компании до сих пор находятся в зоне риска компрометации своих систем.
Возможным вариантом нивелирования проблемы, предлагаемый исследователем, может стать более широкое освещение наиболее важных аспектов эксплуатации трендовых уязвимостей, что позволит вендорам или их клиентам оперативно «докрутить» правила.
Собственно, с чем мы согласны, и со своей стороны - обращаем внимание нашей аудитории на затронутую проблематику в части Citrix Bleed 2.
Telegram
KGM's notes
Важные нюансы эксплуатации Citrix Bleed 2 (CVE‑2025‑5777):
1. Пути, по которым могут бить атакующие:
/p/u/doAuthentication.do
/nf/auth/doAuthentication.do
2. В теле POST-запроса будет единственный параметр без знака равенства и значения:
login
3.* В случае…
1. Пути, по которым могут бить атакующие:
/p/u/doAuthentication.do
/nf/auth/doAuthentication.do
2. В теле POST-запроса будет единственный параметр без знака равенства и значения:
login
3.* В случае…