This2Shell, That2Shell, Everything2Shell. Горе-долу така премина изминалата седмица. Критични грешки, които позволяват на атакуващите да изпълняват код отдалечено, се появяват навсякъде. Хакерите сканират за мишени, някои уязвимости вече се използват при атаки, а екипите по сигурност имат повече спешни корекции за сигурност, отколкото могат да инсталират.

И това дори не е цялата история. Изтекъл ключ доведе до атака по веригата за доставки на софтуер. ИИ агенти биват подмамвани да следват вредни инструкции. Стари уязвимости все още се използват за пробиване в системи, а някои атаки са толкова елементарни, че е трудно да се повярва, че все още работят. Някои уебсайтове дори преустановиха временно работа, за да избегнат рискове.

Седмицата беше тежка за всеки, който се опитва да защити системите. Ето какво се случи.

⚡ Заплаха на седмицата

Уязвимостите PHP2Shell поставят организациите в състояние на повишена готовност — Фондацията PHP пусна корекции за сигурност за две критични уязвимости в PHP, CVE-2026-109618 и CVE-2026-109619, които биха могли да доведат до отдалечено изпълнение на код без автентикация. Пропуските в сигурността получиха кодовото име PHP2Shell. След публичното им оповестяване бяха регистрирани мащабни опити за сканиране, като Cloudflare съобщи, че е засякла милиони опити за експлоатация след разкриването им. Към днешна дата не е наблюдавана успешна експлоатация. Сериозността на уязвимостите, съчетана с масовото присъствие на PHP в мрежата, накара няколко уебсайта да преустановят временно работа като превантивна мярка.

Проучване на Gartner®

Проучване на Gartner® относно приоритизирането на уязвимостите, които атакуващите ще експлоатират

Как етапите на приоритизиране и валидиране в CTEM се съгласуват с четирите елемента на ефективно приоритизиране на експозицията – от анализ на заплахите (threat intelligence) до валидиране на контролите за сигурност – и въпросът, на който всеки от тях отговаря.

🔔 Водещи новини

  • eMudhra напуска пазара на TLS сертификати след компрометиране на слаби частни ключове — Установено е, че осем междинни CA сертификата от индийската компания за цифрова сигурност eMudhra използват нелепо слаби частни ключове, което потенциално позволява на злонамерени субекти да ги разбият и евентуално да издават доверени сертификати за произволни домейни. Водещите уеб браузъри се намесиха, за да блокират засегнатите сертифициращи органи (CA). „На 19 октомври 2026 г. Apple започна да блокира тези 12 сертификата на устройства на Apple“, заявиха от Apple. „Актуализациите на конфигурационните данни за сертификати се изпращат до устройствата автоматично и при необходимост, така че не е необходимо да инсталирате софтуерно обновяване, за да получите тази промяна. Apple прави допълнителни актуализации на това блокиране, които също ще бъдат доставени автоматично. На 23 октомври 2026 г. Apple започна да блокира и emSign ECC Root CA - G3.“ Python също пусна обновени версии на пакетите certifi, pip, uv, sigstore, conda и pixi, за да премахне root CA сертификата на emSign от пакетите с удостоверителни органи. Развитието на събитията накара eMudhra да прекрати дейността си по издаване на сертификати.
  • Коригирана критична уязвимост в Brotli — Отстранена е сериозна уязвимост в библиотеката за декодиране Brotli на Google (CVE-2026-111497), която би могла да доведе до отдалечено изпълнение на код без автентикация. Дефектът, наричан още Node2Shell и HTTP2Shell, е коригиран и в други популярни библиотеки, които разчитат на Brotli, включително libbrotli, Python, C++, Node.js, Bun, Envoy и Istio. Оповестяването идва след като Ruby пусна версии 4.0.9, 3.4.12 и 3.3.13 за отстраняване на няколко грешки в механизма за регулярни изрази на Ruby, Onigmo (CVE-2026-89078, CVE-2026-93577, CVE-2026-97229 и CVE-2026-110264), които биха могли да се използват за отдалечено изпълнение на код на сървъри на GitLab.
  • Две RCE уязвимости с CVSS 9.0 в Linux KSMBD разкрити преди появата на корекции за сигурност — Сървъри с Linux, работещи с KSMBD (вградения в ядрото SMB сървър), са изложени на два публично докладвани проблема за отдалечено изпълнение на код, проследявани като ZDI-CAN-33774 и ZDI-CAN-33549, както и на уязвимост за локално ескалиране на привилегии, обозначена като ZDI-CAN-33367. На нито една от уязвимостите не е присвоен CVE идентификатор и не са докладвани случаи на експлоатация в реална среда. „Засегнатите организации трябва незабавно да ограничат непривилегированите потребителски пространства от имена и да наложат RuntimeDefault seccomp, където е възможно, да проверят дали ksmbd работи някъде в тяхната инфраструктура и да инсталират корекцията за сигурност за ZDI-CAN-33367 в деня, в който тяхната дистрибуция предостави решението“, заявиха от Sysdig.
  • Уязвимости Plex2Shell се експлоатират в реална среда — Четири уязвимости в Plex Media Server (CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656) се комбинират във верижен експлойт, наречен Plex2Shell, за доставка на софтуер за копаене на криптовалута и прокси софтуер. Агенцията за киберсигурност и сигурност на инфраструктурата на САЩ (CISA) добави и четирите уязвимости към своя каталог с известни експлоатирани уязвимости (KEV).
  • Railway предупреждава за целева кампания — От Railway съобщиха, че са установили „продължителна и целева кампания“ за пробив в тяхната инфраструктура на 20 октомври 2026 г. в 19:53 ч. UTC с цел провеждане на атаки чрез дестилация на модели. „Първоначалните разследвания показват, че тази атака се е опитвала да придобие API ключове за доставчици на изкуствен интелект за извършване на атаки чрез дестилация“, заявиха те. „Първоначалните доказателства ни карат да вярваме, че злонамереният субект е имал достъп до модели без цензура (abliterated) и значителни изчислителни ресурси, което му е позволило да извърши изключително сложни експлойти срещу нашата инфраструктура.“ Платформата за разработчици призовава потребителите да анулират и въведат отново чувствителните променливи на средата, съхранявани в Railway преди 21 октомври 2026 г.
  • Изтекъл главен ключ на LiteLLM доведе до атака по веригата за доставки — От LiteLLM разкриха, че главен ключ за платформата на агенти (Agent Platform master key), публикуван случайно в публично хранилище на GitHub в края на май 2026 г., в крайна сметка е позволил на автора на заплахата да качи злонамерена версия на популярния Python пакет. Файловете, включени във версия 1.107.0 на LiteLLM, са проектирани да се изпълняват автоматично при стартиране на Python, дори ако приложението не е импортирало LiteLLM. Зловредният софтуер съдържа два пътя на изпълнение: модул за събиране на идентификационни данни, насочен към материали за автентикация в инструменти за разработчици, AI приложения, облачни среди и уеб браузъри, и насочена към Unix задна врата, която се стартира като фонов процес за извличане и изпълнение на произволен код, предоставен от атакуващия на всеки час.
  • GitLab коригира още една критична уязвимост — GitLab пусна корекции за сигурност за CVE-2026-110264 (оценка по CVSS: 10.0) — критичен дефект, който „би могъл да позволи на неавтентикиран потребител да изпълни произволен код на сървъра на GitLab поради препълване на целочислени стойности при компилиране на специално създаден регулярен израз“ при определени условия. Проблемът е отстранен във версии 19.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10 и 18.11.13 за GitLab Community Edition (CE) и Enterprise Edition (EE).

️🔥 Актуални CVE

Грешки се появяват всяка седмица, а интервалът между корекцията за сигурност и появата на експлойт се съкращава бързо. Това са най-значимите заплахи за седмицата: с висока степен на критичност, широко разпространени или вече атакувани в реална среда.

Проверете списъка, инсталирайте корекции за сигурност за това, с което разполагате, и обърнете внимание първо на тези, отбелязани като спешни — CVE-2026-109618, CVE-2026-109619, CVE-2026-115560 (PHP), CVE-2026-97406 (Xerj Console API), CVE-2026-75754 (ASUS Control Center), CVE-2026-76299, CVE-2026-76302, CVE-2026-76531, CVE-2026-76407 (Splunk), CVE-2026-28328 (SolarWinds Observability), CVE-2026-20043, CVE-2026-20236, CVE-2026-20291, CVE-2026-20356, CVE-2026-76466, CVE-2026-76473, CVE-2026-76474, CVE-2026-76475, CVE-2026-76476, CVE-2026-76477, CVE-2026-76478, CVE-2026-76479, CVE-2026-76481 (Cisco), CVE-2026-91403 (Oracle), CVE-2026-82814 (Duplicator and Duplicator Pro WordPress plugins), CVE-2026-113341, CVE-2026-113279, CVE-2026-113072, CVE-2026-113280, CVE-2026-113271, CVE-2026-113303 (Google Chrome), CVE-2026-110264 (GitLab), CVE-2026-77934 (Coze Studio), CVE-2026-77933, CVE-2026-77932 (DB-GPT), CVE-2026-77936, CVE-2026-77937 (Letta), CVE-2026-77930 (EvoScientist), CVE-2026-109443 (JoySafeter), CVE-2026-77926 (Aix-DB ChatBI), CVE-2026-75128 (Langchain-Chatchat), CVE-2026-109442 (piflow), CVE-2026-109444 (OpenSRE), CVE-2026-109440 (LangAlpha), CVE-2026-109437 (Cognition), CVE-2026-108263 (Astron Agent), CVE-2026-77521 (MaxKB), CVE-2026-97693 (Yuxi), CVE-2026-104085 (odt2spip), CVE-2026-49950 (Xorbits Xoscar), CVE-2026-113380 (Signal), CVE-2026-114625 (Arista VeloCloud Orchestrator), CVE-2026-111497 известна още като Node2Shell (Brotli), CVE-2026-112900, CVE-2026-112403, CVE-2026-112393 (Pillow), CVE-2026-77185 (Atlassian Fisheye and Crucible), CVE-2026-65182, CVE-2026-65637, CVE-2026-65905, CVE-2026-68525 (Atlassian Crowd Data Center and Confluence Data Center), CVE-2026-58062 (Atlassian Jira Service Management Data Center), CVE-2026-75595 (Atlassian Bamboo Data Center), CVE-2026-89078, CVE-2026-93577, CVE-2026-97229, CVE-2026-110264 (Ruby), от CVE-2026-79844 до CVE-2026-79895, CVE-2026-79955, CVE-2026-79956, и от CVE-2026-95704 до CVE-2026-95721 (HPE Networking Wireless Operating Systems).

🎥 Уебинари за киберсигурност

  • От уязвимости от тип нулев ден до експлойти за броени минути: Готови ли сте за заплахите от изкуствен интелект? → Кибератаките, задвижвани от изкуствен интелект, се ускоряват, съкращавайки времето, с което разполагат екипите по сигурност за откриване, разследване и реагиране. Готови ли са вашите защити да поддържат това темпо? Включете се в този уебинар, воден от експерти, за да откриете как да подсилите готовността си срещу заплахи от изкуствен интелект, да подобрите видимостта върху повърхността на атака и да изградите по-бързи и устойчиви операции по сигурност, преди атакуващите да вземат надмощие.
  • Научете как да превърнете контекста на идентичността в по-бърз и по-интелигентен отговор на SOC → Вашите инструменти за сигурност могат да засичат подозрителна активност, но без контекст на идентичността критични заплахи могат да останат незабелязани. Докато машинните идентичности и агентите с изкуствен интелект разширяват повърхността на атака, SOC екипите се нуждаят от по-задълбочена видимост, за да реагират ефективно. Включете се в този уебинар, воден от експерти, за да откриете как свързването на разузнавателните данни за идентичността с операциите по сигурност може да помогне за разкриване на скрити рискове, ускоряване на разследванията и по-бързо ограничаване на заплахите.

📰 Около киберсвета

  • CrowdStrike заяви, че е разкрила четири непознати досега автори на заплахи, организиращи кампании, в които се използва Claude Code за вземане на решения и изпълнение на команди, демонстрирайки как агентният изкуствен интелект превръща в масов инструмент базовите нападателни кибероперации. Това включва испано/англоговорящ оператор, който е компрометирал поне 15 здравни заведения в Аржентина и е източил идентификационни данни и медицински досиета от поне една жертва; китаезичен оператор, който е проникнал в държавни структури на две държави и е взел на прицел субекти от частния сектор в Бразилия и САЩ; индонезийскоезичен злонамерен субект, използващ 819 умения за проникване в домейни на правителството на Индонезия и няколко предприятия от частния сектор; както и група рускоезични лица, които са източили корпоративни клиентски данни от базиран в САЩ доставчик на системи за управление на взаимоотношенията с клиенти (CRM) и са компрометирали няколко SaaS доставчици и центрове за данни от частния сектор, базирани в Русия, Киргизстан и САЩ.
  • Медицинският център Johns Hopkins Bayview предупреждава 3182 пациенти, че тяхната лична здравна информация може да е била изложена на риск, след като служител е качил електронна таблица с данни за пациенти във външна платформа с изкуствен интелект, която не е била одобрена за използване. Информацията включва пациенти, приети и лекувани между май 2026 г. и септември 2026 г., включително техните имена, дати на прием и лечение, номера на медицински досиета, номера на сметки, отделението, което ги е лекувало, приложените лекарства и имената на лекуващите специалисти. Базираната в САЩ болница съобщи, че се е свързала с доставчика на AI платформата с искане данните да бъдат изтрити.
  • Anthropic съобщи, че е използвала Claude за анализ на 25 основни проекта с отворен код, написани на C, C++, Java, PHP и Python, и е открила 493 проблема. Това включва конфигурационен дефект, останал незабелязан в неуточнен софтуер в продължение на 21 години. В отделен доклад Anthropic заяви, че големите езикови модели (LLM) правят „формалната проверка на софтуер осъществима в много по-голям мащаб“, позволявайки кодът да бъде преведен в математически модел и да се докаже, че той „винаги спазва определен набор от правила за сигурност“. Компанията за изкуствен интелект посочи, че водещите модели вече могат напълно автономно да генерират доказателства за коректност на реално функциониращ софтуер.
  • Разработчикът на софтуера за отдалечен достъп MeshCentral призовава потребителите да обновят до версия 1.3.1. „Има активен експлойт/хакер, атакуващ сървърите на MeshCentral и поемащ контрол над тях и отдалечените клиенти“, заяви разработчикът.
  • Наблюдава се, че авторите на заплахи правят опити да експлоатират CVE-2026-25243 — дефект с повреждане на динамичната памет (heap memory-corruption) в командата RESTORE на Redis, започвайки около 16 октомври. „Един източник порази примамката пет пъти по таймер с идентичен зловреден код: снемане на цифров отпечатък от сървъра, форматиране на динамичната памет (heap) с 26 записа на ключове, задействане на единична деформирана RESTORE команда за zipmap, която предизвиква документираното препълване на буфера при четене (over-read), стартиране на еднократен Lua изчислителен тест, последвано от изпълнение на FLUSHALL върху пространството от ключове, унищожавайки данните и собствените си артефакти при всяко стартиране. Имайте предвид, че дефектът изисква достъп до команди, за да бъде експлоатиран“, заявиха от Defused Cyber.
  • Изследователят по сигурност Патрик Уордъл подробно описа Heartbreaker — образец на рансъмуер за macOS, базиран на Rust, който беше качен във VirusTotal през май 2025 г. Зловредният софтуер се опитва да настрои LaunchAgent за персистентност и след това криптира файловете в потребителската папка Downloads. „Малко вероятно е Heartbreaker да представлява сериозна реална заплаха в сегашния си вид“, каза Уордъл. „Той засяга само файлове под ~/Downloads, няма представа за защитите на поверителността в macOS, вгражда универсален ключ за възстановяване, зависи от вече недостъпна рамка за компилиране и извършва изключително шумен процес по инсталиране и компилиране на Rust. Неговият деактивиран бутон ‚Decrypt Files‘ също реално не възстановява нищо. Heartbreaker демонстрира необичаен подход към метаморфизма в macOS. Вместо да декриптира или пренаписва машинния си код в паметта, той носи собствен изходен код на Rust, трансформира този код, извиква локалната среда от инструменти за компилиране и се опитва да се замени с получения резултат. Тъй като всяко поколение вгражда своя новотрансформиран изходен код, този модел по принцип може да продължи да функционира през отделните изпълнения.“
  • Axios съобщи, че водещи банки в САЩ засичат неоторизирани AI агенти на трети страни, опериращи в клиентски сметки, като някои от тях правят опити за действия, които изглеждат независими от инструкциите на потребителя. Въпреки че агентите влизат с разрешението и идентификационните данни на потребителя, проблемът се състои в разграничаването между реален човек и неоторизиран бот. „Някои банки са проследили активност, при която агенти — програмирани да изпълняват заявки или да изпълняват задачи от името на потребителя — се свързват с кол центрове или предприемат действия, независещи от инструкциите на потребителя“, съобщава Axios. Банките реагират на заплахата, като или ги ограничават, или им разрешават достъп само за четене.
  • При нова атака Forever Security обяви, че е открила злонамерен файл с markdown инструкции AGENTS.md в папката Downloads на клиент, който е подвел AI агент за програмиране да инсталира зловреден npm пакет на име „function-color“, идентифициран като част от кампания за атака срещу веригата за доставки на софтуер с кодово име MALFEX. „AGENTS.md е файл, който агентът за писане на код е създаден да възприема с доверие и да изпълнява, а ~/Downloads е единствената папка, в която даден уебсайт може да пусне файл без кликване и без разрешение“, заявиха от Forever Security. „Взети заедно, това позволява на мрежата да задава команди, които вашият собствен агент изпълнява. Markdown е новият изпълним файл. Подхвърленият файл кара агента да пренапише собствената си конфигурация. Оттам той може да инсталира зловреден софтуер (дистанционно изпълнение на код) или да предаде собствения си токен за вход (превземане на профил).“ Не е ясно как злонамереният файл с инструкции е попаднал в папката Downloads на мишената, въпреки че е възможно киберпрестъпниците да подмамят потребителя да го изтегли просто чрез посещение на специално създадена уебстраница.
  • Съобщава се, че високоорганизирана престъпна банда е пробила защитата на Staples, издала е ваучери за подарък на стойност милиони долари и е започнала масово пазаруване в САЩ, съобщи 404 Media. През октомври 2025 г. Unit 42 на Palo Alto Networks описа подробно група на заплаха, наречена Jingle Thief, която е атакувала облачни среди на организации в секторите на търговията на дребно и потребителските услуги с цел измами с карти за подарък.
  • Анализаторът на блокчейн системи под псевдоним ZachXBT (известен още като Закари Уолк) разкри, че китайски организиран престъпен синдикат е изпрал над 1 милиард долара, откраднати при множество експлоатации на криптовалути за севернокорейската група Lazarus. ZachXBT заяви, че се е представил за плащащ клиент, за да се инфилтрира в мрежата за пране на пари през февруари 2025 г., в дните след мащабния хакерски удар срещу Bybit, което е довело до идентифицирането на клъстер от средства, свързани с Bybit, на стойност над 12 милиона долара. Около 442 000 USDT, свързани с клъстера, по-късно бяха замразени от Tether.
  • Федералните разследващи органи подозират, че поне един ръководен служител в базирана в САЩ консултантска фирма е помагал за управлението на Shinywire — вече несъществуващ сайт на ShinyHunters, използван за оказване на натиск върху близо 100 хакнати организации с цел плащане на откуп, според журналиста по киберсигурност Брайън Кребс. Съобщения в Signal, до които властите са получили достъп при задържането на заподозрения за участие в ShinyHunters Пепейн ван дер Стап в Нидерландия, показват чести контакти с канадския ръководител по киберсигурност Едуард Дубровски и поне един изпълнителен директор в американска консултантска фирма, който понякога е научавал за нови жертви преди самите потърпевши, позовавайки се на неназован източник. „Чатовете на нидерландския хакер показват, че г-н Дубровски е знаел, че ShinyHunters са откраднали силно чувствителни данни от сървъри на ФБР, и че никога не е информирал бюрото за пробива в сигурността, преди ShinyHunters да заплатят в Twitter/X с публикуване на дълбоко личните кадрови досиета на агенцията“, заяви Кребс.
  • Твърди се, че армията на САЩ разработва програма за разгръщане на автономни AI агенти, които да могат да навигират в цифровите и мрежови инфраструктури на нейните противници и да ги „неутрализират“, съобщи The Intercept. Зараждащата се програма с кодово име ECHOTRIBBLE е фокусирана предимно върху нападателни мисии с цел „напълно или временно обезвреждане на заплахата, заличавайки я от целевия обект“. Освен това системата „би функционирала почти като компютърен червей, тихо навигирайки в чужда мрежа и прехвърляйки се от устройство на устройство, докато открие мишената на армията, поразявайки цели както в облака, така и в напълно изолирани физически системи (air-gapped), които нямат никаква мрежова свързаност. След като задачата ѝ приключи, агентите на ECHOTRIBBLE ефективно биха се самоунищожили, в идеалния случай без изобщо да бъдат забелязани от мишената.“
  • Група учени от Университета на Британска Колумбия представи подробно ICS-Sniper — атака за доказателство на концепцията (PoC), насочена към промишлени съоръжения, които разчитат на хоствани в облака SCADA системи. Тя се описва като „целева атака тип черна дупка (blackhole attack), която анализира метаданните на VPN трафика (размери, посока, времеви интервали на пакетите), за да идентифицира тесни времеви прозорци, наречени критични суперпериоди, по време на които трафикът между обекта и SCADA системата най-вероятно съдържа команди или данни от критично значение.“ Атакуващ, притежаващ контрол върху рутер по мрежовия път, би могъл да изследва размера, посоката и времевото разпределение на шифрованите през VPN пакети, за да предвиди кога има вероятност да се обменят критични команди или данни, след което да достави злонамерен код в тези времеви интервали. „След анализа, в последващ оперативен цикъл, ICS-Sniper изпуска малък набор от носещи зловреден код пакети в критичните суперпериоди, за да наруши работата на промишлената система за управление (ICS)“, се казва в изследването. При тестове върху емулирани версии на тестова площадка за инсталация за пречистване на вода (SWaT), атаката е забавила стартирането на изпомпването на чиста вода с около 15 минути и е задържала отворен клапан с повече от девет минути по-дълго от предвиденото.
  • Нов зловреден софтуер за Windows, наречен SiriusQT, предлага разнородни възможности в един пакет: отдалечен достъп, HVNC, браузърна автоматизация, кражба на идентификационни данни, събиране на портфейли за криптовалута, наблюдение на клипборда, запис на клавиши (keylogging), инжектиране в процеси, персистентност, проверки против анализ и персонализиран криптиран трафик за командване и контрол. SiriusQT се рекламира от продавач с псевдоним GhostKernel във форуми в тъмната мрежа от април 2026 г. Негов автор е Amonus. Поне 30 потребители са закупили валиден лиценз, съобщиха от Group-IB. Доживотен абонамент струва 500 долара, но се твърди, че кракнати версии на програмата се споделят от множество злонамерени субекти. Кампании, използващи зловредния софтуер, са насочени срещу Обединеното кралство, Германия, Франция, Испания, Италия и Нидерландия. GhostKernel също така е забелязан да рекламира BTMob v4.0, троянски кон за Android, в своя Telegram канал.
  • Регистрирани са цели 2894 атаки с рансъмуер през третото тримесечие на 2026 г., което представлява скок от близо 50% спрямо периода отпреди година, предвождани от The Gentlemen (383) и Qilin (363). „И двете групи проникват чрез откраднати идентификационни данни и изложени на риск VPN мрежи, и двете удрят много от едни и същи отрасли“, посочват от Nord Security. „Сега Qilin използва изкуствен интелект, за да захранва персонализирани фишинг кампании бързо и в голям мащаб, както и автоматично да генерира скриптове, които деактивират резервните копия. Все повече групи за изнудване се отказват от шифроването, като вместо това избират да крадат данни и да заплашват с изтичането им.“
  • Rapid7 посочва в своя тримесечен доклад за ландшафта на заплахите, че средното време между публичното оповестяване на уязвимост с висока критичност и нейната експлоатация вече е три дни. Нещо повече, 80% от проследените експлоатации са извършени в рамките на 14 дни, а 90% — в рамките на 30 дни. През този период в 8% от докладите за заплахи изкуственият интелект е посочен като оперативен компонент. „Проучването отчита изместване от използването на AI предимно за помощ при изготвяне на съдържание или код към подпомагане на тактически решения и изпълнение в рамките на атакуващи кампании“, отбелязва Rapid7.
  • Нов софтуерен зареждач на зловреден код (malware loader), наречен Spectator Loader, се рекламира от киберпрестъпник с име „Madrex“ с вградени функции за избягване на откриване и защита срещу анализ.
  • Неизвестна досега модулна платформа за фишинг като услуга (PhaaS), наречена Athena StealthRoute, предлага инструменти за подготовка, доставка и прикриване на фишинг атаки, вместо директно извършване на кражба на идентификационни данни или токени. „Платформата предоставя пазар за материали за кампании, заедно с управление на домейни и връзки и контроли за филтриране на трафика, предназначени да отклоняват скенерите за сигурност далеч от злонамерените дестинации, като същевременно разчита на отделни съпътстващи услуги за събиране на идентификационни данни и токени“, съобщиха от Abnormal AI. Услугата също така интегрира работни процеси за генериране на съдържание, подпомогнати от изкуствен интелект чрез AI Studio, за създаване на персонализирани съобщения, теми на писма и прикачени файлове, надграждайки върху установения си пазар, управление на връзки и възможности за маскиране (cloaking). Инфраструктура, свързана с Athena StealthRoute, беше идентифицирана за първи път през август 2026 г. През шестте месеца до 9 октомври 2026 г. са наблюдавани 89 700 съобщения, маркирани като атаки и съвпадащи с характерния модел на връзките на платформата, в приблизително 2280 организации в САЩ и ЕС.
  • Фишинг кампания, имитираща работен процес за подписване на документи, е забелязана да доставя Windows агента за Zecurit — легитимна платформа за дистанционно наблюдение и управление. „Кампанията не се нуждаеше от персонализиран троянски кон за отдалечен достъп“, заявиха от ZeroBEC. „Тя използваше надеждна облачна пощенска услуга, убедителна история с DocuSign, два слоя на потвърждение в браузъра и цифрово подписан административен инструмент, за да премине от достъп до входящата поща към потенциален пълен контрол върху крайната точка без надзор.“
  • OpenAI подозираше Джасмин Уанг, Томек Корбак и Микита Балесни — тримата изследователи по безопасност на изкуствения интелект, които бяха уволнени по-рано този месец — в изтичане на вътрешни архитектури на модели към изследователя по безопасност на AI Райън Грийнблат, работещ по това време в Redwood Research, включително чрез изчезващи съобщения в Signal, според нов доклад на The Wall Street Journal. И тримата изследователи твърдят, че никога не са споделяли поверителна информация на OpenAI с никого извън компанията, добавяйки, че „никога не са получавали писмено обяснение с каква чувствителна информация се твърди, че са злоупотребили“.
  • Зловреден софтуер за Android, наречен GhostBat RAT, беше проследен до по-широка екосистема, контролирана от оператор, известна като GhostX. GhostBat RAT се разпространява предимно чрез съобщения за смишинг, съдържащи злонамерени връзки. „Най-новият вариант на GhostBat RAT представлява значителна еволюция както във възможностите за доставка, така и в действията след компрометиране“, казаха от Cyble. „Зловредният софтуер вече злоупотребява с услугата за достъпност на Android (Android Accessibility Service), за да поддържа Ghost Overlay и по-широко прихващане на въвеждането на ПИН/клавиши, насочено към финансови приложения, използвани в цяла Индия. Ghost Overlay прозрачно прихваща взаимодействията с цифровата клавиатура за ПИН в Google Pay и MobiKwik. Той повтаря същите докосвания в легитимното приложение, което позволява на зловредния софтуер да заснеме ПИН информацията, без да показва конвенционален фишинг интерфейс. Вариантът също така е насочен към 60 банкови, UPI, портфейлни, финтех и платежни приложения за по-широко прихващане на ПИН кодове.“
  • Друг зловреден софтуер за Android, който попадна във фокуса на вниманието, е YuanKong RAT, който позволява на киберпрестъпниците да контролират дистанционно заразените устройства, да крадат чувствителни данни и потенциално да прехващат банкови трансакции. Подобно на случая с RedHook и RatHat, YuanKong RAT активира безжично отстраняване на грешки (Wireless Debugging) и се сдвоява със собствения adbd на устройството, за да придобие привилегии на ниво команден ред (shell).
  • Kaspersky разкри уязвимости в баркод скенери, които потенциално биха могли да послужат като входна точка към мрежа за оперативни технологии (OT) в складови бази. „Атакуващ в обхват би могъл да инжектира натискания на клавиши в свързаното устройство и потенциално да постигне дистанционно изпълнение на код, без да се изисква взаимодействие от страна на потребителя“, посочват от Kaspersky. „При хипотетична атака потребителят може да изпълнява нормалната си ежедневна работа, използвайки безжичен баркод скенер, свързан към базова станция, докато нападателят придобива Bluetooth адреса на базовата станция, например чрез пасивно подслушване на Bluetooth трафика. Чрез установената Bluetooth връзка атакуващият изпраща злонамерен код към базовата станция, симулирайки натискания на клавиши от клавиатура. Базовата станция препраща тези натискания към свързания компютър, където те се интерпретират като легитимно потребителско въвеждане и могат да бъдат използвани за изпълнение на неоторизирани команди.“
  • Самостоятелен рускоезичен оператор, действащ от един нает сървър, е бил открит да атакува два украински хоста, свързани с правителствената платформа за обмен на данни между май и септември 2026 г. „Отправната точка беше публичен списък с украински IP диапазони, изтеглен, преименуван на cidr-ua.txt и преброен, преди да се стартира каквото и да било друго“, съобщиха от Hunt.io. „Операторът е отправил заявки към всеки един от 7576-те хоста през HTTPS на порт 5000, по 60 едновременно, и е запазил само тези, чийто отговор съдържа ‚UXP Verifier‘.“ Нискобюджетната кампания е успяла да постигне изпълнение на код на поне два хоста, отговарящи на критериите. На един от хостовете — сървър на Graylog — се посочва, че киберпрестъпникът е злоупотребил с верига за експлоатация чрез Java десериализация/JNDI, свързана с техниките на Log4Shell. Крайната цел се оценява като събиране на данни.
  • Фалшифицирани имейл съобщения, приканващи получателите да прегледат документ със заявка за предложение (RFP) или фактура за плащане, са били използвани за задействане на фишинг процес за код на устройство (device-code phishing), изграден върху обновена версия на PhaaS панел, наречен ARToken. „Вградената връзка водеше към компрометиран SharePoint tenant, хостващ .URL файл, който сочеше към съдържание в Google Sites“, казаха от ZeroBEC. „След това тази страница пренасочваше жертвите към URL адрес, хостван на Cloudflare Workers, предоставящ финалната фишинг примамка с код за устройство. Анализът на обфускирания JavaScript на примамката разкри проверки против анализ, предназначени да засичат виртуализирани и автоматизирани среди за сърфиране, твърдо кодиран URL адрес, сочещ към бекенд панела на ARTokens, и вариант на пътя за периодични заявки (polling path), който се различава от крайните точки, описани в по-ранните доклади.“
  • Твърди се, че руските власти са задържали трима заподозрени членове на финансово мотивираната хакерска група DataSuckers след кибератака срещу популярна верига пицарии, при която са изтекли огромни количества клиентска информация. Сред тях е 19-годишният Денис Фридман, заедно с две неустановени лица. Четвърти член на групата остава на свобода, според руския вестник „Комерсант“.
  • Джън Джао, 44-годишен китайски гражданин, беше екстрадиран от Нидерландия в САЩ заради предполагаемата си роля в международна конспирация за инвестиционни измами с криптовалута, ръководена от центрове за измами в Камбоджа, засегнала 174 американски жертви. „Твърди се, че Джао е бил част от международна престъпна мрежа, която е подтиквала жертви от САЩ да превеждат средства по сметки, контролирани от съучастници, които след това са изпирали парите на жертвите чрез фиктивни компании в САЩ, международни банкови сметки и портфейли за цифрови активи“, заяви Министерството на правосъдието на САЩ. През август 2025 г. срещу Джао бяха повдигнати обвинения в заговор за пране на пари. Ако бъде признат за виновен, той е заплашен от максимално наказание от 20 години затвор. Отделно Министерството на правосъдието обяви, че са извършени десетки арести и са свалени 3,7 милиона фалшиви профила, страници и групи в социалните мрежи Facebook и Instagram, свързани с мрежи за измами, опериращи от Западна Африка, като част от координираната инициатива Joint Disruption Week.