Колко щети може да нанесе някой, без да счупи почти нищо? Доста, както изглежда. Откраднати данни за вход могат да отворят врати към няколко системи. Доверена настройка може да бъде използвана, за да заключи потребителите отвън. Дори просто копиране на файл може да достигне до места, където не би трябвало. И докато новите инструменти помагат за по-бързото откриване на пропуски в сигурността, за някои важни системи все още са необходими месеци, а понякога и повече от година, за да получат корекции за сигурност. Не е точно най-добрата комбинация.

По-странната част е колко малко е необходимо за някои атаки в днешно време. Искания за откуп без криптирани файлове. Фалшиви уебсайтове, които изглеждат достатъчно истински, за да крадат пари. Инструменти с изкуствен интелект, които възприемат опасни инструкции, докато се опитват да помогнат. Дори самите атакуващи правят грешки в собствения си код.

Историите от тази седмица са напомняне, че най-големите проблеми невинаги идват от хитри трикове. Понякога лесният начин работи съвсем добре. Ето какво още се случи.

  1. ИИ ускорява откриването на уязвимости от тип нулев ден NCSC предупреждава за атаки, подпомогнати от ИИ Националният център за киберсигурност на Обединеното кралство (NCSC) предупреди, че широката достъпност на киберинструменти, базирани на ИИ, „почти сигурно“ е довела до значително увеличение в откриването на уязвимости от тип нулев ден. „Защитните киберинструменти с ИИ са намалили времевия прозорец за преминаване на дадена уязвимост от нулев ден към n-day уязвимост и са превърнали отстраняването на уязвимости в по-бърз процес“, заявиха от NCSC. „Въпреки това, без правилно и широко разпространено конфигуриране на тази технология, много системи все още са уязвими за атакуващи, използващи киберинструменти с ИИ за идентифициране и експлоатиране на системни слабости. Освен това вътрешните процеси на дадена организация за инсталиране на корекции за сигурност и тестване ще трябва да се развият, за да отговорят на темпото на ускоряващото се откриване на уязвимости. Впоследствие авторите на заплахи проявяват по-малко предпазливост относно загубата на даден достъп за постигане на определена цел, тъй като разходите за замяната му са минимални.“
  2. Критичните системи са изправени пред продължителна експозиция Мрежовите устройства остават повече от година без корекции за сигурност Анализ на приблизително 383 000 CVE, оповестени от 1999 г. до септември 2026 г., установи, че медианното време за отстраняване на уязвимост надвишава една година при мрежовите устройства. Около 2000 CVE (приблизително 0,5%) са свързани с реална експлоатация в реална среда. „Медианната уязвимост се коригира за около две седмици на работни станции с Windows, но за повече от месец на Windows Servers“, заявиха от Microsoft. „Този срок се удължава до 10+ седмици при Linux Servers и за приложения, работещи на macOS, и надхвърля една година при мрежовите устройства. Тази разлика представлява прозорецът за автора на заплахата, който е най-широк при критичните системи, оставащи изложени на риск най-дълго.“ Технологичният гигант също така отбеляза, че атакуващите непропорционално се насочват към недостатъци, които максимизират въздействието и експозицията и позволяват превземане на системата, особено дистанционно изпълнение на код, ескалация на привилегии и заобикаляне на автентикацията.
  3. Разбита мрежа за измами за 4,5 милиона долара Схема за инвестиционни измами е ликвидирана в Европа Властите арестуваха седем души, за които се твърди, че са участвали в схема за инвестиционни измами, засегнала потенциални жертви в над 50 държави, според Европол. Операцията е причинила прогнозни загуби в размер на поне 4,5 милиона долара. Предложението за „престъпление като услуга“ е било управлявано от компания от Кипър и Израел и се твърди, че е предоставяло на киберпрестъпни групи набор от уебсайтове за търговия и измамни кол центрове, чиято задача е била да подмамват жертвите да прехвърлят спестяванията си. Тези кол центрове са оперирали от Албания, Косово и Северна Македония. „Повече от 100 сървъра бяха иззети и седем заподозрени бяха арестувани по време на координирана акция на 3 ноември 2026 г.“, заявиха от Европол. „Властите претърсиха 17 локации и иззеха сървъри, други доказателства и активи.“ Подобно на други измамни инвестиционни схеми, операцията е използвала подвеждащи реклами, за да насочва хората към фалшиви инвестиционни платформи, обещавайки им значителна и бърза доходност от търговия с криптовалути и чуждестранни валути. Въпреки че жертвите са били насърчавани първоначално да преведат малка сума, са им били показвани илюзорни печалби, за да бъдат подтикнати да прехвърлят все по-големи суми. Операторите са прибягвали до тактики за забавяне, за да блокират плащанията, когато жертвите са се опитвали да изтеглят средствата си. „Зад привидно легитимни платформи мними брокери са използвали фиктивни печалби и постоянен психологически натиск, за да убеждават жертвите да инвестират повече“, казаха от Европол. „Личните данни, събрани чрез този процес, са били продавани на престъпни групи, опериращи кол центрове. След това операторите са се свързвали с потенциални жертви с предполагаеми възможности за инвестиции, превръщайки първоначалния им интерес в постоянни искания за пари.“
  4. 250 000 долара награда за критични облачни дефекти Google разширява програмата за възнаграждение за уязвимости в облака Google разшири своята програма за награждаване при уязвимости в облака (Cloud Vulnerability Reward Program – VRP) с нова награда от най-високо ниво за архитектурни недостатъци в сигурността с голямо въздействие, позволявайки на изследователите да спечелят 250 000 долара за Root-in-Cloud грешки, включително заобикаляне на изолацията на наематели (tenant-isolation) и сложни логически дефекти между различни услуги, които позволяват на атакуващите да придобият пълен административен контрол над произволни организации в Google Cloud. „За да спечелите тази първокласна награда, трябва да демонстрирате пълен административен контрол, еквивалентен на 'roles/owner' или пълен IAM контрол, над произволни организации или проекти в Google Cloud без предварителен достъп или специална конфигурация на проекта“, заявиха от Google. „Освен това валидни доклади за уязвимости, демонстриращи дистанционно изпълнение на код (RCE) в базовата производствена инфраструктура на Google (Borg) или постигане на root-in-prod, автоматично ще бъдат оценявани от панела на Google Cloud VRP за допустимост за root-in-cloud.“
  5. Edge блокира злоупотребата с измамни известия Microsoft се заема със спама от известия в Edge Microsoft обяви, че браузърът Edge вече автоматично ще деактивира известията от сайтове, които разпространяват измамнически (scam) или всяващи паника (scareware) известия, като например фалшиви предупреждения за вируси или сигнали за сигурност. „Считано от внедряването на Edge 156 от миналия месец, когато Microsoft Defender SmartScreen или блокерът за Scareware засече измама, разпространявана чрез известие, Edge автоматично ще деактивира известията от сайта, който я е изпратил“, заявиха от Microsoft. „При следващото стартиране на Edge информационна лента обяснява какво се е случило. Ако смятате, че даден сайт е бил блокиран неправилно, можете да прегледате сайтовете с блокирани известия и да ги отблокирате от настройките на Edge, запазвайки пълния си контрол.“
  6. Обвинения за криптоджакинг в университети САЩ обвиняват двама канадци за хакване на американски университети Двама канадски граждани, Райън Джеймс Роуч (35 г.) и Матю Джеймс Стъбингс (41 г.), са обвинени в САЩ за хакване на множество университети в САЩ и използване на достъпа за добив на криптовалута. И двамата са обвинени в заговор за придобиване на информация от защитен компютър и за причиняване на щети на защитен компютър, придобиване на информация от защитен компютър и умишлено увреждане на защитен компютър, което предвижда максимално наказание от 10 години затвор и глоба от 250 000 долара. „Между юни 2016 г. и декември 2019 г. Роуч и Стъбингс са се сговорили да участват в схема за проникване в компютри, кражба на идентификационни данни за вход и таен добив на криптовалута с цел финансова изгода“, заявиха от Министерството на правосъдието. „Те са използвали виртуални частни сървъри в множество държави, регистрирани под фалшиви имена. Тези сървъри са предавали зловреден софтуер и софтуер за добив към компютрите на жертвите и са съхранявали откраднати идентификационни данни за вход. Жертвите на схемата включват образователни институции в Ню Йорк, Тенеси, Северна Каролина и Масачузетс.“
  1. Изнудване с рансъмуер без криптиране Рансъмуерът PAYLOAD превръща обект на групова политика в Active Directory в оръжие Изследователи по киберсигурност описаха в детайли атака за изнудване без криптиране, включваща рансъмуера PAYLOAD и насочена срещу производствена организация в Близкия изток. „Атакуващият е получил контрол, еквивалентен на администратор на домейн, над средата на Active Directory на организацията и е създал злонамерен обект на групова политика (GPO) с име PAYLOAD, свързвайки го с основата на домейна“, заявиха от Kaspersky. „Чрез този единствен обект атакуващият е доставил бележки за откуп, превзел е тапета на работния плот и заключения екран, наложил е банер при влизане и е деактивирал локалния администраторски акаунт на всяка работна станция с Windows, присъединена към домейна — и всичко това без да разполага изпълним файл на рансъмуер или да криптира каквито и да било данни. Единственият рансъмуер, който открихме при този инцидент, беше проба на PAYLOAD, насочена към ESXi на Linux сървъри.“ Атаката представлява сливане на две тенденции: злоупотреба от тип „living-off-the-land“ с доверена AD инфраструктура и ръст на инцидентите, базирани единствено на изнудване.
  2. Бягство от изолирана среда за изкуствен интелект разкрива чувствителни файлове Уязвимост в Docker Sandboxes позволява на AI агенти да осъществяват достъп и да презаписват файлове извън изолираните работни пространства Уязвимост, засягаща Docker Sandboxes (CVE-2026-103916), е можела да бъде използвана за заобикаляне на ограниченията за достъп до файлове, потенциално излагайки на риск идентификационни данни за облачни услуги и други чувствителни файлове на машината на разработчика чрез рутинна команда за копиране. „Командата, използвана за копиране на файлове между изолирана среда и компютъра на разработчика (sbx cp), не налага тези ограничения за достъп“, посочиха от Endor Labs. „Агент може да се възползва от тази слабост, като използва така наречената символна връзка (symbolic link) — по същество пряк път, който сочи към друг файл или папка. Чрез поставяне на злонамерен пряк път в одобрено работно пространство агентът може да подведе последваща команда за копиране да осъществи достъп до файлове извън одобрените граници на изолираната среда.“ Проблемът е отстранен в Docker Sandboxes версия 0.51.0.
  3. Смарт телевизорите продължават да проследяват дори след отказ Работи ли отказът от ACR? Ново проучване разкри, че смарт телевизори, работещи с операционни системи от Samsung, Vizio и Roku, продължават да предават данни към крайни точки за автоматично разпознаване на съдържание (ACR) дори след като потребителите се откажат от проследяването в настройките на устройствата. „Отказът проработи напълно само при четири операционни системи. При Samsung и Vizio трафикът, съответстващ на ACR, продължи да тече, а отказът при Roku не обхваща собствената му стрийминг услуга“, според група учени от Northeastern University. „VIDAA OS изпраща ACR данни към сървъри, управлявани от Unruly, чрез MQTT без криптиране, така че всеки по мрежовия път между телевизора и тези сървъри може да ги прочете.“
  4. Криптографско доказателство за резултати от изкуствен интелект Anthropic представя прототипа FlashProve Anthropic разкри, че работи върху система с отворен код, наречена FlashProve, за криптографско удостоверяване, че даден отговор от изкуствен интелект произхожда от конкретен модел. „FlashProve е система за доказуемо извеждане (inference) на големи езикови модели от тип Mixture-of-Experts (MoE)“, заявиха от Anthropic. „FlashProve включва две страни: доставчика на модела (доказващ) и потребителя (проверяващ). Тя е разделена на две фази: В офлайн фазата доказващият публикува обвързване (commitment) към теглата на модела, което представлява кратък цифров отпечатък за фиксиране на един точен избор на тегла, докато самите тегла остават скрити. По-късните твърдения за извеждане ще бъдат проверявани спрямо това обвързване, т.е. модела на теглата, фиксиран в тази фаза. В онлайн фазата, при заявки от проверяващия (т.е. промптове и съответните изходни токени), доказващият генерира файл с доказателство, удостоверяващ следното твърдение: Фиксираният модел генерира тези изходни токени при оценка. Всеки, който разполага с обвързването, промпта и отговора, може да го провери без теглата и с ограничена изчислителна мощност и да се увери, че фиксираните тегла, изпълнени върху този промпт, генерират точно тези токени.“
  5. Изложени на риск идентификационни данни за FTP и уеб поща DreamHost потвърждава пробив в сигурността на данните, разкриващ FTP пароли и идентификационни данни за уеб поща DreamHost предупреди за пробив в сигурността на данните, след като неоторизирана трета страна е получила достъп до сървъра, който управлява уеб базирания файлов мениджър (File Manager) на адрес files.dreamhost.com между август и 23 октомври 2026 г. „Неоторизираната трета страна е експлоатирала уязвимост в този софтуер и е успяла да получи достъп до потребителските имена и паролите за FTP/SFTP на лица, които са влизали в този File Manager в периода приблизително между август 2026 г. и 23 октомври 2026 г.“, заявиха от компанията. „Неоторизираната трета страна също така е успяла да достигне до определени системи за уеб поща, което може да е разкрило информация за сесиите (данните, които поддържат потребителя вписан, включително сесийни идентификационни данни) на ограничен брой потребители на уеб поща. Смятаме, че това е била целенасочена атака, и нашият екип работи денонощно за нейното ограничаване.“ От DreamHost посочиха, че атакуващият може да е получил достъп до идентификационните данни, използвани за достъп до File Manager или уеб пощата, заедно със съдържанието на имейли и файлове във FTP/SFTP сървъра. Няма доказателства атакуващият да е получил достъп до данни за вход в контролния панел или информация за фактуриране на клиентите.
  6. Отдалечено изпълнение на код преди удостоверяване и превземане на акаунти Критични уязвимости в Apache OFBiz позволяват неудостоверено отдалечено изпълнение на код и превземане на администраторски акаунти Поддържащите разработчици на Apache OFBiz отстраниха 46 уязвимости в сигурността, включително CVE-2026-68524, която може да доведе до отдалечено изпълнение на код преди удостоверяване, и CVE-2026-109928, която позволява пълно превземане на акаунт поради неправилна имплементация на алгоритъма за удостоверяване. Проблемите са коригирани чрез корекции за сигурност в Apache OFBiz 24.09.08.
  7. Разкрити са слабости в криптирането на рансъмуер Разкрити са слабостите на рансъмуера HYFLOCK Изследователи по киберсигурност разкриха слабости в криптирането в обновените компилации на рансъмуера HYFLOCK. Операцията с рансъмуер започна публично да назовава жертвите си през октомври 2026 г., въпреки че доказателствата сочат, че групата се е появила за първи път в нелегални форуми през март 2026 г. Към момента на писане на статията групата е посочила 13 жертви. „Компилацията от 17 октомври успешно криптираше файлове, регистрираше планирана задача, осъществяваше достъп до споделени мрежови ресурси и се опитваше да попречи на възстановяването на системата“, заявиха от Check Point. „В по-ранна версия от октомври изследователите идентифицираха дефект при обработката, който можеше безвъзвратно да изхвърли части от файл, потенциално възпрепятствайки пълното възстановяване дори с правилния ключ за декриптиране. Компилацията от 17 октомври показа друг проблем. При по-големите файлове се криптираха само първите 4,096 байта, оставяйки допълнителното съдържание достъпно след тази начална секция.“
  1. Достъп до идентификационни данни на клиенти DigiCert разкрива неразрешен достъп до бизнес система DigiCert заяви, че е идентифицирала инцидент, свързан с неразрешен достъп до една от нейните бизнес системи, която съхранява информация, споделена от представители на клиенти за потвърждаване на тяхната самоличност. Компанията посочи, че нейните операции по издаване на сертификати не са засегнати. „По-голямата част от данните беше ограничена до служебна информация за контакт с клиенти: имена, служебни имейл адреси, телефонни номера и служебни адреси“, заяви DigiCert. „Незначително малка част от клиентските акаунти включваха допълнителни лични данни под формата на документ, предоставен от клиента, като шофьорска книжка, паспорт, сметка за комунални услуги или друг документ с име и адрес. Достъпът не е позволявал записване на данни, одобряване на валидиране или издаване на сертификати.“
  2. Компрометиране на DeFi източва $138 000 Хакери компрометират DeFi уебсайтове, регистрирани в Name.com Атакуващи са компрометирали малко над дузина DeFi уебсайтове, регистрирани в Name.com, включително Flap, Kintsu, Pickle Finance и Origami Finance, като в крайна сметка са откраднали активи на стойност около $138 000. Установено е, че сайтовете са били манипулирани с комплект от зловреден софтуер, който подвежда посетителите да одобрят преводи от портфейлите си, след като ги свържат с компрометирания сайт. От Vercel заявиха, че са запознати с девет засегнати домейна, свързани с платформата. „В рамките на около 45 минути на 31 октомври (UTC), акаунт в рамките на свързан екип за поддръжка е направил промени в неймсървърите, свързани с 15 домейна, регистрирани в name.com“, посочи Name.com в анализ след инцидента. „Домейните са били насочени към злонамерена страница, хостваща зловредния софтуер Step Drainer.“
  3. Злоупотреба с откраднати идентификационни данни за облачни приложения Регистрирани злонамерени влизания чрез Entra Service Principal Todyl разкри, че неизвестен атакуващ злоупотребява с откраднати идентификационни данни за приложения в Microsoft Entra ID и самоличности в Azure DevOps, за да получи достъп до Microsoft 365 и Azure средите на доставчици на управлявани услуги (MSP), достигайки до поне 27 организации. „Бяха таргетирани около 45 регистрации на приложения в приблизително 18 организации, като над 33 от тях са се автентикирали успешно“, съобщи Todyl. „Чрез тези приложения злонамереният субект до момента е достигнал до 27 организации, включително крайни клиенти на доставчиците на управлявани услуги в секторите държавно управление, енергетика, храни и селско стопанство, транспорт, строителство и инженерство, право, образование и организации с нестопанска цел. Той е извършил търсения в около 25 тенанта, изтеглил е 81 файла и е осъществил достъп до около 2279 пощенски елемента.“ Дейността по влизане е произтекла от IP адреса 199.19.77[.]84.
  4. Сирийски хакер получи 42 месеца Сириец е осъден за хакерски заговор Ахмад Умар Ага (познат като Th3Pr0), сирийски гражданин, свързан със Сирийската електронна армия (SEA), беше осъден на 42 месеца затвор в САЩ за участието си в мащабен хакерски заговор, организиран и ръководен от членове на режима на бившия сирийски президент Башар ал-Асад между август 2011 г. и януари 2014 г. „За да разпространява пропагандата на бившето сирийско правителство, Ага е хакнал приблизително 47 западни медии, предприятия, неправителствени организации (НПО), както и правителствени структури на САЩ и техни съюзници“, заяви Министерството на правосъдието. „В един от случаите действията на Ага предизвикаха светкавичен срив на фондовия пазар в САЩ, довел до временна загуба от 136 милиарда долара в стойността на акциите, съставляващи Dow Jones Industrial Average.“ На Ага и неговия предполагаем съучастник Фирас Дардар за първи път бяха повдигнати обвинения през юни 2014 г. Дардар остава на свобода.
  5. Злонамерени резултати от търсене с ИИ крадат криптовалута Кражба на криптовалута от ИИ агенти, сърфиращи в мрежата Нов зловреден софтуер е забелязан да атакува ИИ агенти, създаващи портфейли за криптовалута. „Хранилище в GitHub, представящо се за начален помощен пакет (starter kit) за Solana, което се класира като водещ резултат, когато агент търси такъв, съдържа зловреден софтуер, осигуряващ на атакуващия отдалечен контрол върху машината на жертвата, включително върху криптопортфейлите в нея“, заявиха от AIR Security. Дейността получи кодовото име SolanaCry. Атаката стъпва върху концепцията Web Hole, при която ИИ агент, в стремежа си да намери отговори на проблем, може неволно да изпълни команда, предложена от атакуващ, и да извърши злонамерени действия. „За да вкара зловреден код в резултатите от търсенето, атакуващият има две възможности“, поясняват от AIR. „Първата е да създаде собствен сайт и да развива репутацията му чрез SEO, обратни връзки, съдържание и време, докато търсачката не започне да го третира като релевантен и надежден. След като се класира, съдържанието се променя и се вмъква зловредният код. Втората е по-лесна: откриване на неактивни сайтове, които все още се появяват сред класираните резултати, и използването им за неговото разпространение.“
  6. Банков зловреден софтуер за Android се разпространява Троянецът Mirax Android RAT атакува региона META Хиляди телефони с Android, принадлежащи на клиенти на банкиране на дребно в региона на Близкия изток, Турция и Африка (META), са били компрометирани с троянеца Mirax между март и септември 2026 г., което е довело до очаквани загуби на стойност милиони щатски долари. „Там, където бяха докладвани неразрешени международни преводи, средствата са били изпратени към сметки в чужбина, част от които се подозира, че са сметки на финансови мулета“, съобщи Group-IB. „Кампанията използва динамично генерирани имена на пакети и се представя за ‚Google Play Services‘, за да избегне подозренията на потребителите и детекцията, базирана на сигнатури.“ Подобно на повечето зловредни софтуери за Android, Mirax се използва за улесняване на измами с поемане на контрол над устройството (DTO) чрез злоупотреба с услугите за достъпност (accessibility services) на Android. „С него атакуващият може да вижда и контролира компрометираното устройство в реално време: да чете идентификационни данни, да прихваща еднократни кодове, да записва ПИН кода за отключване на устройството по-късно, да отваря банково приложение и да превежда пари към новодобавени бенефициенти и сметки на мулета в чужбина“, заяви Group-IB. Кампаниите, използващи Mirax, се приписват на Aquafina – автор на заплахата, за когото е известно, че е активен от 16 март 2026 г.
  7. ИИ модел заобикаля инструкциите на задачите GLM-5.3 нарушава инструкциите, за да достигне до правилни отговори Оценката на Irregular за модела с отворени тегла GLM-5.3 на Zhipu AI в 13 офанзивни киберсценария с помощта на CyScenarioBench установи, че моделът „не е отказал нито една от тестваните офанзивни задачи“ и „многократно е достигал до правилни отговори, нарушавайки изричните инструкции на задачите“. Компанията за сигурност на изкуствения интелект посочи, че тези нарушения могат да се интерпретират като форма на reward hacking. „Зачитането единствено на отговора би могло да подведе оценките на възможностите и решенията за внедряване, докато възнаграждаването му по време на обучението би могло да затвърди тези нарушения на инструкциите“, добавиха от компанията.

Едно нещо прави впечатление тази седмица: атакуващите не винаги трябва да са по-умни от системите, които са взели на прицел. Нужно е просто да открият онова, което е било пропуснато, оставено отворено или с твърде голямо гласувано доверие. А с изкуствения интелект, който улеснява част от това търсене, времето между откриването на даден проблем и неговото използване става все по-кратко. Инсталирането на корекции за сигурност все още има значение, но също толкова важно е и да се проверява дали вече въведените мерки за контрол действително работят.

Това е всичко за тази седмица. Някои от тези проблеми имат решения и корекции за сигурност. Други изискват по-внимателен поглед върху това как е позволено на хората, инструментите и системите да си взаимодействат. Следващото голямо главоболие може изобщо да не дойде от нов софтуерен дефект. То може да бъде нещо, което е стояло скрито години наред, чакайки някой да го забележи. До следващата седмица.