Голяма част от новините за сигурността от тази седмица имат един и същ неловок отговор на един въпрос: „Защо това беше позволено да работи?“
Разширение иска достъп и взема твърде много. Доверена услуга става част от фишинг верига. Стар бъг все още носи резултати. Изложена система остава изложена. Пакет изглежда полезен точно до момента, в който вече не е. Различни истории, същият основен проблем: пътят навътре често вече е бил там.
Нищо тук не се е нуждаело от магия. Най-вече достъп, доверие, слаби места и някой, който има желание да продължава да рови. Това е седмицата.
Зловредни разширения крадат данни за криптовалута
Кампания с разширения за множество браузъри води до кражба на сесии за криптовалути и данни от портфейли
Комплект от четири зловредни разширения за Google Chrome и Mozilla Firefox е открит да се насочва към потребители на Axiom Trade и Padre, за да краде токени за сесии и данни за портфейли. Разширенията са J7Tracker (Chrome), VREO (Chrome и Firefox) и Orbit Tracker (Firefox). Докато първите три съдържат един и същ модул за събиране на данни от Axiom и Padre, четвъртото внедрява различен модул за събиране, но се насочва към същите данни, като същевременно запазва някои артефакти от J7Tracker.
„Модулът е идентичен на ниво байтове във всичките три анализирани разширения. Той автоматично извлича информация за удостоверени потребители, данни за пакети, свързани с портфейли, Firebase токени за достъп и състоянието на приложението, след което изпраща информацията към контролирани от автора на заплахата Vercel среди“, заявяват от Socket.
Същият издател в Chrome е проследен до две по-ранни разширения, GhostApe и GhostApe Color, имитиращи търговското допълнение MockApe.
AI агенти автоматизират киберпрониквания
Китайскоезичен субект използва изкуствен интелект за атаки в Азия
Забелязан е китайскоезичен оператор, който използва Anthropic Claude Code, Alibaba Qwen и DeepSeek за автоматизиране на прониквания в правителствени и финансови системи в Афганистан, Тайланд, Тайван и САЩ. Някои от целите включват Архива за историята на партията Гоминдан в Тайван, Министерството на външните работи на Индонезия, правителствени и образователни системи в континентален Китай и промишлени хостове в Дананг, Виетнам.
Твърди се, че атакуващият е използвал SecFlow, рамка за оркестрация на AI, за да преобразува „кампанийните цели в задачи за специализирани AI агенти“ и да им осигури инструменти, информация за целите, споделено хранилище и мрежови маршрути, заявяват от Hunt.io, като добавят, че инструментът „е разделил разузнаването, експлоатацията, събирането на данни и докладването между специализирани работници“.
Някои от уязвимостите, експлоатирани от киберпрестъпника, са Shellshock, Spring4Shell, Ghostcat, Shiro десериализация, Log4Shell, преминаване през директории в Grafana и Nexus, както и заобикаляне на автентикацията в Nacos. Експлоатацията е последвана от внедряване на уеб шелове (web shells), които се генерират чрез специализирана функционалност GLUTTON и се използват за улесняване на последващи действия като разузнаване, ескалация на привилегии, кражба на идентификационни данни и внедряване на персонализирани импланти. Един такъв зловреден софтуер от тип вратичка (backdoor) е SecBox, базирана на Go рамка за отдалечен достъп и пренасочване на мрежов трафик. Подробности за кампанията бяха разкрити за първи път през юли 2026 г.
Shadow AI разкрива чувствителни данни
NCSC на Обединеното кралство предупреждава за рисковете от Shadow AI
Националният център за киберсигурност на Обединеното кралство (NCSC) предупреди, че служителите, използващи неодобрени AI инструменти, могат да изложат на риск чувствителни корпоративни данни и да създадат рискове за сигурността, които организациите трудно биха открили и управлявали.
„Предоставянето на достъп на нерегламентиран AI (shadow AI) до фирмени данни или данни на клиенти вероятно увеличава риска от пробиви на данни, загуба на интелектуална собственост и неспазване на регулаторните изисквания“, заяви NCSC. „Служителите, които прехвърлят чувствителна или конфиденциална информация към AI услуги за крайни потребители, вероятно ще намалят видимостта и контрола на организацията върху тази информация. AI агентите са сложни софтуерни компоненти, които могат да съдържат критични уязвимости в сигурността. Ако атакуващ успешно експлоатира дадена уязвимост, той може да получи достъп до същите данни, услуги и привилегии, до които агентът има легитимен достъп.“
Фалшиви сделки за сливания и придобивания подтикват измами с банков превод
Разкрита кампания за измами с фиктивни сделки
Атакуващи се представят за ръководни кадри и мамят целеви лица в юридически екипи да прехвърлят разговорите в WhatsApp и лични имейли с цел иницииране на международни банкови преводи, използвайки подправени документи за придобиване като част от измама със сливания и придобивания.
„Атакуващите представиха придобиването като строго контролирана транзакция, координирана от авторитетен консултант, с участието само на малка група хора и бързо наближаващо официално съобщение“, заявяват от Gen Digital. „Организациите и професиите варираха. Целите включваха високопоставени лица в частния капитал, промишленото финансиране, продажбите, минното дело и енергетиката. За всеки от тях сценарият за придобиване или стратегическа инвестиция е бил достатъчно Wi-Fi правдоподобен, за да оправдае първоначалния контакт. Въпреки различното брандиране, документите следваха съществено същата последователност от секции и използваха повторно същия правен език. Всички те налагаха конфиденциалност, насочваха комуникацията към WhatsApp и лични имейли и въвеждаха кратък период между датата на споразумението за конфиденциалност (NDA) и предполагаемото публично обявяване.“
Windows добавя проверки на възрастта със защита на поверителността
Microsoft добавя APIs за разпознаване на възрастта в Windows 11
Microsoft добавя нови APIs за разпознаване на възрастта, наречени Windows Age API, в Windows 11, които ще позволят на приложенията да определят дали даден потребител е дете, тийнейджър или възрастен, без да разкриват точната му дата на раждане.
„Приложенията получават само сигнала, свързан с възрастта, необходим за съответното изживяване, а не чувствителни лични данни като пълната дата на раждане“, заявиха от Microsoft. „Чрез предоставянето на разпознаването на възрастта като платформа функционалност, Windows помага на разработчиците да внедряват защитни механизми още от самото начало, вместо тежестта по управлението на защитата да пада върху децата и семействата приложение по приложение.“
119 хил. домейна захранват фалшиви магазини
DoppelCart управлява мащабна операция от фалшиви магазини
Мащабна операция, наречена DoppelCart, използва над 119 000 домейна за управление на мрежа от фалшиви магазини за електронна търговия, които крадат данни за платежни карти. Сайтовете имитират легитимни бизнеси, като копират продуктови каталози, описания, брандинг и изображения, като понякога дори зареждат ресурси директно от сървърите на истинската компания. Общо магазините имитират 44 182 различни марки с медиана от два клона за всяка.
„Всеки от тях копира снимките и текста на страницата на истинска марка, след което подбива нейните цени“, заявяват от Netby. „Всеки също така публикува повторно собствения адрес за поддръжка на марката, така че хората, които биват таксувани, се оплакват на марката, а не на магазина.“
Chrome ускорява изданията за сигурност
Google преминава към 2-седмичен цикъл на изданията
Google официално премина към двуседмичен цикъл за основните версии на Chrome с седмични актуализации за сигурност в отговор на променящия се пейзаж на киберсигурността в ерата на AI. Промяната е подтикната от подпомогнати от LLM подходи за откриване на уязвимости, които са увеличили обема на корекциите за сигурност и актуализациите в софтуерната екосистема.
„Въпреки че тази драматична промяна в софтуерната сигурност, донесена от LLM, може да изглежда стряскаща, увеличението на намерените и коригирани грешки не е знак за неуспех“, казаха от Google. „Всяка намерена и отстранена уязвимост е с една възможност по-малко за атакуващия. Но откриването и коригирането на грешка е само половината от битката — ние също така трябва да предоставим корекцията и да приложим актуализацията за потребителите по-бързо, отколкото злонамерените субекти могат да я експлоатират.“
Идеята е да се съкрати прозорецът между качването на корекция за сигурност в публичен код и нейното инсталиране при крайните потребители, преди да може да бъде експлоатирана. По-краткият цикъл на издаване би намалил т.нар. „patch gap“ — времевия период между момента, в който една уязвимост в сигурността стане известна, и момента, в който тя бъде отстранена. Google премина към четириседмичен цикъл на издаване на Chrome през 2021 г. (намален от шест седмици). Подобни стъпки са предприети и от други производители на браузъри като Microsoft, Mozilla и Brave.
Коригирани 200 уязвимости в Android
Google отстранява 200 уязвимости в Android
Google пусна корекции за 200 уязвимости като част от актуализациите за сигурност на Android за септември 2026 г. Това включва редица критични и с висока степен на опасност уязвимости, включително такива, които биха могли да позволят на атакуващи отдалечено изпълнение на код без взаимодействие с потребителя.
Една от уязвимостите, която заслужава да се отбележи, е CVE-2026-28662 — критична грешка, свързана с Wi-Fi, която потенциално би могла да позволи на атакуващ да постигне отдалечено изпълнение на код. „Най-притеснителна от този списък е CVE-2026-28662, тъй като това е грешка в паметта, свързана с Wi-Fi“, каза Адам Бойнтън, мениджър по корпоративна стратегия в Jamf. „Ако не бъде отстранена чрез инсталиране на корекция, тя би могла да позволи на атакуващи да изпълняват код отдалечено, без никакви допълнителни привилегии или взаимодействие с потребителя, потенциално позволявайки ескалация на привилегии. Тази уязвимост ще продължи да представлява риск, ако устройствата останат без инсталирани корекции за сигурност. От изключително значение е организациите да внедрят актуализациите в своя автопарк от устройства възможно най-скоро.“
Схема със Singpass засегна 170 жертви
Властите в Сингапур арестуваха двама за схема с компрометиране на Singpass
Сингапурските полицейски служители са арестували двама мъже, малайзийци от китайски произход, на възраст 25 и 47 години, за тяхното предполагаемо участие в координирана схема, която е компрометирала профили в Singpass на граждани на Сингапур и притежатели на разрешителни за работа.
„Разследването разкри, че двамата мъже са били служители в магазин за мобилни телефони, намиращ се в Сингапур“, казаха властите. „Твърди се, че те са се възползвали от възможностите, произтичащи от тяхната работа, за достъп до Singpass профилите на клиентите. При един такъв случай, когато клиент е купувал нова SIM карта, един от мъжете уж се е предложил да помогне за актуализирането на мобилния номер, свързан с профила на клиента в Singpass, преди да използва тази възможност да създаде профил в LiquidPay без знанието на клиента.“
Разследванията са разкрили над 170 сингапурски граждани и чуждестранни работници, чиито профили в Singpass са били свързани със същата дейност. Измамните Singpass профили след това са били използвани за регистрация на повече от 160 допълнителни LiquidPay профила.
Пробив в имейл услуга подхранва фишинг за портфейли
Trezor предупреждава за фишинг атаки след пробив при доставчика на имейл услуги
Производителят на хардуерни крипто портфейли Trezor предупреди клиентите да бъдат внимателни за фишинг атаки, след като неговият външен доставчик на имейл услуги Brevo е бил компрометиран. Инцидентът е засегнал 120 профила в Brevo, включително този на Trezor.
„Моля, имайте предвид, че имейлът със заглавие „Critical Security Alert: STM32 Entropy Vulnerability“ не идва от нас и представлява фишинг опит“, заявиха от компанията. „Не натискайте върху никакви връзки. Инцидентът засегна нашата база данни с абонати за бюлетина — приблизително 347 000 имейл адреса. Тези адреси потенциално могат да бъдат използвани за други фишинг атаки в бъдеще.“
Профилът в Brevo е спрян, за да се предотврати злоупотребата от страна на авторите на заплахата за изпращане на фишинг имейли. Фишинг имейлът, изпратен от профила, е съдържал зловредна връзка, която е инструктирала потребителите да изтеглят приложение, искащо от тях да въведат резервното си копие (seed phrase) на портфейла. Домейнът междувременно е свален.
Над 33 хил. Plex сървъра остават уязвими
Над 33 хил. изложени Plex сървъра са уязвими за скорошни пролуки
Данни от Shadowserver Foundation показват, че има над 33 800 достъпни Plex сървъра, поддатливи на наскоро разкрити уязвимости, което е спад от пика от 37 467 на 5 септември 2026 г. Почти 20 000 инстанции са разположени в Северна Америка.
Верига от EtherRAT завършва с криптовирус
EtherRAT и TukTuk C2 водят до The Gentlemen Ransomware
Открита е кампания за атаки, която инсталира EtherRAT чрез зловреден MSI инсталатор, маскиран като инструмент Sysinternals, доставяща генерирана от AI рамка за зловреден софтуер, наречена TukTuk, и GoTo Resolve. Използвайки достъпа, предоставен от софтуера за отдалечен достъп, се твърди, че авторът на заплахата успешно е източил данни към облачна услуга и е внедрил рансъмуера The Gentlemen.
„TukTuk може да използва Arweave като dead-drop resolver“, се казва в доклада на DFIR. „В този режим имплантът прави запитване към блокчейна Arweave за конкретен Drive-Id, след което извлича шифрован конфигурационен блок (blob). Този blob съдържа пула от идентификационни данни за всички поддържани C2 транспорти. След изпълнението на TukTuk, извършителят на заплахата е започнал интерактивни действия, Kerberoasting операции и откриване на идентификационни данни, насочени към административни профили. След това той е използвал компрометирани идентификационни данни за сервизни профили, за да внедри инструмента за отдалечено управление GoTo Resolve странично (laterally) в множество системи, включително сървъри и контролери на домейни.“
CISA актуализира насоките за вътрешни заплахи
CISA публикува актуализирано ръководство за намаляване на вътрешните заплахи
Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) публикува актуализирана версия на своето Ръководство за смекчаване на вътрешните заплахи (Insider Threat Mitigation Guide), за да подчертае „нарастващото въздействие, което вътрешните заплахи оказват върху критичната инфраструктура, динамичната и развиваща се оперативна среда, както и да предостави нови казуси в подкрепа на организациите за справяне с нови предизвикателства“.
Някои от основните актуализации се отнасят до нововъзникващите тенденции на работното място, като увеличената хибридна и отдалечена работа, използването на изкуствен интелект за манипулация и измама, контрола на достъпа и проверката на посетителите.
Злоупотребата с AI води до 15-годишна присъда
Мъж от Кълъмбъс е осъден на 15 години затвор за некоректни AI порно видеоклипове
Джеймс Щралер II, на 37 години, от Кълъмбъс, е осъден в САЩ на 15 години затвор за използване както на реални, така и на генерирани от AI сексуално явни изображения и за сплашване на жертви със заплахи за насилие.
„Подсъдимият е инсталирал повече от 24 AI платформи и над 100 уеб-базирани AI модела на своя телефон“, съобщиха от Министерството на правосъдието. „Подсъдимият е използвал телефонни обаждания, гласови пощи, текстови съобщения и публикации в уеб, за да провежда кампания на тормоз срещу своите жертви. От декември 2024 г. до юни 2025 г. Щралер е изпращал тормозещи съобщения на най-малко шест пълнолетни жени жертви. Тези съобщения са съдържали голи снимки на жертвите, както реални, така и генерирани от AI. Щралер също така е публикувал онлайн генерирани от AI неприличности на деца, които сам е създал.“
Твърди се, че подсъдимият е създал повече от 700 изображения както на реални жертви, така и на анимирани лица, и ги е публикувал в уебсайт, посветен на сексуална злоупотреба с деца. Той е арестуван през юни 2025 г.
Заподозрян за превземане на банкови профили е екстрадиран
Руски гражданин е екстрадиран в САЩ заради обвинения в измама
Сергей Анатолиевич Филимонов, 36-годишен руски гражданин и уеб разработчик, е екстрадиран в САЩ във връзка с транснационален заговор за киберизмами, отговорен за мащабни атаки с превземане на банкови профили.
„Филимонов и неговите съучастници са осъществили сложна схема, включваща фалшифицирани домейни, които имитират уебсайтовете на федерално осигурени финансови институции“, съобщиха от Министерството на правосъдието. „Заговорниците са купували спонсорирани връзки в търсачките, за да пренасочват нищо неподозиращи банкови клиенти към фалшиви страници за вход, където жертвите са въвеждали своите идентификационни данни. Заговорниците са използвали откраднатите данни за достъп до банкови сметки, преглед на баланси и иницииране на неоторизирани банкови преводи с цел кражба на средства.“
Филимонов е обвинен и в разработването и поддръжката на онлайн инфраструктура, поддържаща операцията, включително интерактивни бази данни, съхраняващи над 5 000 откраднати идентификационни данни за вход, и софтуер, предназначен за събиране и предаване на чувствителни данни за автентикация. Един от бекенд домейните, свързани със схемата, бе конфискуван от американските власти през декември 2025 г. Филимонов се е признал за невинен по обвиненията.
Организаторът на крипто кражба за 245 млн. долара се призна за виновен
Сингапурският лидер зад крипто обира за $245M се призна за виновен
Малон Лам (известен още като Anne Hathaway, $$$, и King Greavy), на 22 години, гражданин на Сингапур и скорошен жител на Маями, се призна за виновен в САЩ за ролята си на „лидер на международен заговор за киберпрестъпления“, който е използвал социално инженерство за кражба и пране на криптовалута на стойност над 245 милиона долара.
„Престъпното предприятие е започнало не по-късно от октомври 2023 г. и е продължило поне до май 2025 г.“, казаха от Министерството на правосъдието. „Схемата се е развила чрез връзки, създадени в платформи за онлайн игри, и е била съставена от лица, базирани в Калифорния, Кънектикът, Ню Йорк, Флорида и чужбина. Заговорът по RICO е използвал социално инженерство и епизодични влизания с взлом в домове, за да получи информация, която е позволила на заговорниците да изпразнят крипто портфейлите на своите жертви.“
Лам е обвинен в организирането на предприятието, идентифицирането на целевите жертви и координацията с различни съучастници. Откраднатите активи са били използвани за закупуване на услуги в нощни клубове, луксозни чанти, висок клас часовници и дрехи, наеми на жилища, наеми на частни самолети, екип от частна охрана и автопарк от екзотични автомобили.
Teams ще скрива външни QR кодове
Microsoft планира защити за QR кодове в Teams
Microsoft заяви, че ще осигури допълнителна защита за QR кодове, споделени от външни потребители в съобщения в Teams.
„Изображенията, съдържащи QR кодове от външни податели, ще бъдат скрити по подразбиране и ще изискват от потребителите да ги разкрият, преди да ги прегледат или сканират“, заявиха от компанията. „Това помага за намаляване на риска от фишинг и измами, като насърчава по-съзнателно взаимодействие със съдържанието на QR кода.“
Очаква се функционалността да започне да се внедрява следващия месец.
Услугите на Google са използвани за фишинг препращане
Глобална фишинг кампания превръща инфраструктурата на Google в доверено прокси
Новооткрита фишинг кампания е забелязана да пренасочва „жертвите през умишлена верига от легитимни услуги на Google, преди да ги заведе на страници за събиране на идентификационни данни или да внедри инструменти за отдалечен достъп“, според KnowBe4 Threat Lab. Необичайното в атаката е, че тя злоупотребява с шест отделни услуги на Google (Meet, Search, DoubleClick, Programmable Search Engine, Image Search и Tag Manager) през пренасочващ път с множество преходи, за да заобиколи филтрите за сигурност на имейла.
„Страницата извлича лога на компании на живо от Clearbit, екранни снимки на уебсайтове в реално време от външен API за екранни снимки и използва публичния DNS на Google, за да валидира корпоративния имейл домейн на жертвата“, добавят оттам.
Неотдавнашни фишинг кампании също все повече експлоатират .vu, националния домейн от първо ниво на Вануату, за настройка на зловредна инфраструктура. От KnowBe4 заявиха, че са регистрирали 159% увеличение на фишинг сайтовете, 1 660 уникални домейна и над 28 000 зловредни имейла от април до юли 2026 г. „Доставчиците на решения за сигурност исторически почти не са виждали трафик към .vu, така че в повечето емисии за заплахи няма изграден сигнал за риск на ниво TLD“, каза компанията.
Друга фишинг атака от тип „iCloud Sign-In Alert“ е намерена да открива операционната система и да сервира инструмент за отдалечен достъп за потребителите на Windows и страница за събиране на идентификационни данни за потребителите на Apple. „Всички останали биват прекарвани през фалшив вход за Microsoft, докато оператор-человек наблюдава пристигането на данните в Telegram в реално време“, заявяват от KnowBe4.
Твърдения за поверителността на Smart TV предизвикват проверки
LG попадна под критики заради събиране на данни от телевизори
LG отнася критики заради твърдения от YouTube канала Gamers Nexus, че нейните смарт телевизори събират обширна информация за потребителите и тяхното обкръжение, за да захранват рекламния си бизнес. Екипът на канала заяви, че е наблюдавал как телевизорът прихваща IP адреси, данни за местоположението, както и имената, силата на сигнала и номерата на каналите на близките Wi-Fi мрежи.
Потребителският хардуер също така е изброил устройства в локалната мрежа, които не са били сдвоени с него, включително смартфони, часовници, рутери, термостати, пречистватели на въздух, контролери за управление на дънни платки на сървъри (BMC) и компютри. Ходът бе описан като „грубо нарушение на поверителността“.
В изявление, споделено с The Register, компанията заяви, че твърденията не отговарят на истината. „Телевизорите на LG обработват гласови данни само когато бутонът за гласово управление на дистанционното управление бъде натиснат и задържан, или когато дума за събуждане като „Hi LG“ бъде разпозната, след като потребителят е активирал функцията за гласово разпознаване от далечно разстояние (Far-Field)“, казаха от компанията. „Освен в тези случаи, телевизорите не събират и не записват фонови разговори. Ако думата за събуждане не бъде разпозната, никакви гласови данни не се предават към сървъра; откриването на думата за събуждане се обработва локално на устройството и се изтрива незабавно. Освен това, за да осигурят функционалности за Smart TV, телевизорите на LG имат способността да сканират и да се свързват с близки устройства в същата мрежа. Това е стандартна функция, която е често срещана при смарт телевизорите и устройствата за интелигентен дом.“
Зловредни npm пакети компрометират портфейли
Открити са 13 зловредни npm пакета за портфейли
Комплект от 13 зловредни пакета за портфейли е открит в npm регистъра. Според InstallSafe техните имена препращат към портфейли, подписване, анализи, Solana, Base или мобилни компоненти.
„Всеки компютър, на който е инсталиран или се изпълнява този пакет, трябва да се счита за напълно компрометиран“, предупреждава GitHub в консултативен доклад. Всички тайни и ключове, съхранявани на този компютър, трябва незабавно да бъдат променени от друг компютър. Пакетът трябва да бъде премахнат, но тъй като на външен субект може да е предоставен пълен контрол върху компютъра, няма гаранция, че премахването на пакета ще отстрани целия зловреден софтуер, резултат от инсталирането му.
Blob URLs крият фишинг страници
Фишинг атака генерира страници вътре в браузъра на жертвата
Barracuda разкри подробности за кампания на атаки с тема DocuSign, която заменя традиционния фишинг сайт с фишинг страница, генерирана вътре в браузъра на жертвата чрез blob URLs.
„Жертвите биват пренасочвани през легитимни услуги на Microsoft, което прави атаката да изглежда надеждна и намалява честите предупредителни знаци“, съобщават от компанията за киберсигурност. „Тъй като страницата съществува само в рамките на тази сесия на браузъра, няма персистентен фишинг URL адрес, който инструментите за сигурност да извлекат, анализират или да добавят в черен списък предварително. Тъй като видимата навигация остава в рамките на доверените услуги на Microsoft, вероятността потребителите и автоматизираните скенери да идентифицират дейността като зловредна е по-малка.“
5 400 хакнати сайта захранват EtherHiding
Над 5 400 хакнати сайта доставят зловреден код от тип EtherHiding
Повече от 5 400 компрометирани уебсайта са използвани за извършване на EtherHiding атаки. „Компрометираните уебсайтове нямат много общо помежду си, освен че са малки бизнеси (клиники, водопроводчици, магазини за електронна търговия) без обща индустрия, регион или собственик“, заявяват от Netskope. „Тези компрометирани сайтове включват или вграден скрипт (inline script), или фалшифициран пакет, който извиква тестовата мрежа на BSC и изтегля ClickFix овърлей като следваща стъпка от атаката, която инструктира посетителите да изпълнят команда на своя компютър.“
Открит е друг вариант на атаката, който отваря скрит WebRTC канал за данни за командване и контрол (C2), вместо да сервира ClickFix овърлея, и го използва за получаване и изпълнение на произволен JavaScript код.
ЕГН данни на ръководители заливат пазарите в Dark Web
Пазарите в Dark Web търгуват с ЕГН/SSN на ръководни кадри
Rapid7 заяви, че е идентифицирала 476 случая на компрометирани номера на социално осигуряване (SSN/ЕГН) при 395 уникални корпоративни служители от началото на 2026 г.
„Над 73% от тези изтичания са били пряко насочени към висшето ръководство, като C-suite ръководителите представляват 44,6% от засегнатите профили, а президентите правят други 28,6%“, заявиха оттам. „Очаквано, предвид географското естество на SSN, 95,6% от тези изтичания произтичат от организации със седалище в САЩ, силно концентрирани във високостойностни сектори като финанси (над 25%) и промишленост (17%).“
Пазари като Xilo, Bankom и PeopleFinder заедно представляват 81,5% от всички изтичания на ръководни SSN в техния набор от данни, водени от Xilo с 40,8%, Bankom с 21,8% и PeopleFinder с 18,9%.
MCP инструменти разкриват рискови вериги за атака
Притеснения за сигурността при изграждането на MCP сървъри
Анализ на 33 563 публикувани MCP сървърни реализации, съдържащи 475 865 инструмента, установи, че 2 от всеки 5 сървърни реализации включват инструмент, който има достъп до чувствителни данни или извършва действия с сериозни последствия, а 1 от 13 съдържа примитив за изпълнение на код или команди.
„Когато MCP хост прави инструмент достъпен за даден модел, описанието на инструмента може да влезе в контекста на модела“, заявяват от Island. „След като инструментът бъде извикан, върнатият от него текст също може да влезе в този контекст. Моделът може да интерпретира и двете като указания, а не просто като документация. На атакуващия може да не му е необходим зловреден бинарен файл. Един параграф на естествен език може да бъде напълно достатъчен.“
Това превръща „веригата за доставка на инструкции“ в критична повърхност за атака, позволявайки на злонамерени субекти да вграждат скрити инструкции в описанията на инструментите и в подканите (prompts), които моделът може да прочете и да задейства непредвидени действия, без да се изисква зловреден изпълним код.
„Екипите по сигурността се нуждаят от контролна равнина, която да управлява инструмента от откриването до изпълнението: да инспектира неговия код и инструкции, да ограничава възможностите му, да проверява промените в конфигурацията и да оценява всяко действие в контекста на изпълнението“, казаха от Island. „Одобрението не може да бъде еднократна оценка на пакета; то трябва да отчита версията на инструмента, агента и потребителя, който го извиква, дестинацията, обхванатите данни и опитваното действие.“
PhaaS за заобикаляне на MFA засяга 40+ държави
BigBear 2.0: PhaaS операция срещу Microsoft 365
Стотици организации в повече от 40 държави са били обект на атака от BigBear 2.0 — ребрандирана операция за фишинг като услуга (PhaaS) срещу Microsoft 365, базирана на Evilginx2. Откраднатите записи са свързани с 461 организации.
CloudSEK, които са успели да получат администраторски достъп до панела на автора на заплахата, заявиха, че операцията е „източила 5 137 записа с идентификационни данни — включително 474 пълни автентикации със заобиколен MFA, 1 032 пароли в чист текст и 4 148 бисквитки за сесия — засягайки 3 331 уникални IP адреса на жертви в над 40 държави“. Многопотребителският PhaaS панел е бил отдаден под наем на поне петима партньорски оператори досега.
„Основната използвана техника е фишинг от тип „посредник в атаката“ (adversary-in-the-middle или AitM)“, казаха от CloudSEK. „За разлика от класическия фишинг, който прихваща само пароли, обратният прокси (reverse proxy) на Evilginx2 препредава цялата сесия.“
ФБР представи първата си киберстратегия
ФБР публикува нова киберстратегия
Федералното бюро за разследване на САЩ (ФБР) очерта първата си по рода си киберстратегия, заявявайки, че „ще открива промени в намеренията и възможностите на противника, ще неутрализира способността му да печели или да работи необезпокоявано, ще разкрива неговия занаят и подпомагащи лица, ще изправя извършителите пред правосъдието с местни и международни партньори и ще предоставя доказателствата и разузнавателните данни, които стоят в основата на санкции, дипломатически действия и действия на партньорските правоприлагащи органи.“
Агенцията също така има за цел да приписва с увереност зловредната кибердейност на конкретни извършители, да подпомага жертвите след прониквания, да споделя приложими разузнавателни данни и да се партнира със съюзниците на САЩ и частния сектор за увеличаване на въздействието. Освен това агенцията заяви, че „ще приеме автономен AI (agentic AI) по начини, които сигурно да мащабират защитата и неутрализирането, и ще внедри базирани на AI инструменти за откриване, пренасочване и заблуда на авторите на заплахи, където това е оперативно уместно.“