Поиск

Если вы активно пользуетесь криптовалютой, но все еще качаете торренты и не представляете, как безопасно хранить сид-фразы, то у нас для вас плохие новости. Мы обнаружили новый троян Efimer, который подменяет адреса криптокошельков прямо в буфере обмена. Один клик — и деньги оказываются в кошельке злоумышленников. Рассказываем, что нужно сделать, чтобы ваша крипта оставалась в безопасности. Как распространяется Efimer Один из каналов распространения Efimer — сайты в системе WordPress. Ко всеобщему несчастью, WordPress — бесплатная и самая популярная система для управления веб-сайтами. Ею пользуются все: небольшие блогеры и бизнесы, крупные СМИ и корпорации. Злоумышленники взламывают плохо защищенные сайты и публикуют на них посты с зараженными торрентами. Как выглядит взломанный сайт на WordPress с Efimer View the full article

Современные злоумышленники всеми силами пытаются выдать свою активность за какие-либо нормальные процессы. Они используют легитимные инструменты, организовывают связь между зловредом и серверами управления через публичные сервисы, маскируют запуск вредоносного кода под действия пользователя. С точки зрения традиционных защитных решений такая активность практически незаметна. Однако если анализировать поведение конкретных пользователей или, например, служебных учетных записей, то можно выявить определенные аномалии. Именно в этом и заключается метод выявления киберугроз под названием UEBA — User and Entity Behavior Analytics (поведенческий анализ пользователей и сущностей). И именно он реализован в последней версии нашей SIEM-системы Kaspersky Unified Monitoring and Analysis Platform. Как работает UEBA в рамках SIEM Согласно определению, UEBA, или «поведенческий анализ пользователей и сущностей», это технология выявления киберугроз, основанная на анализе поведения пользователей, а также устройств, приложений и иных объектов в информационной системе. В принципе, такая технология может работать в рамках любого защитного решения, однако, на наш взгляд, наиболее эффективно ее использование на уровне SIEM-платформы. Используя машинное обучение для установления «нормального поведения» пользователя или объекта (машины, сервиса и так далее), SIEM-система, оснащенная правилами детектирования UEBA, может анализировать отклонения от типичного поведения. Это, в свою очередь, позволит своевременно обнаруживать APT, целевые атаки и инсайдерские угрозы. Именно поэтому мы оснастили нашу SIEM-систему KUMA пакетом правил UEBA, предназначенным для комплексного выявления аномалий в процессах аутентификации, в сетевой активности и при запуске процессов на рабочих станциях и серверах, работающих под управлением Windows. Это позволило сделать систему умнее в плане выявления новых атак, которые сложно обнаружить с помощью обычных правил корреляции, сигнатур или индикаторов компрометации. Каждое правило в пакете правил UEBA основано на профилировании поведения пользователей и объектов. Сами правила делятся на два типа. Статистические правила, которые рассчитываются с использованием межквартильного размаха для выявления аномалий на основе данных о текущем поведении. Правила на основе исторических данных, которые фиксируют отклонения от нормального поведения, определяемого путем анализа опыта предыдущей работы учетной записи или объекта. При обнаружении отклонений от исторических норм или статистических ожиданий происходит генерация алертов, а также повышается риск-оценка соответствующего объекта (пользователя или хоста). О том, каким образом наше SIEM-решение использует ИИ для риск-оценки объектов, можно прочитать в одной из прошлых статей. View the full article

В погоне за безопасностью многие готовы установить любое приложение, которое пообещает надежную защиту от вредоносов и мошенников. Именно этим страхом умело пользуются создатели нового мобильного шпиона LunaSpy, распространяющегося через мессенджеры под видом антивируса. После установки фейковый антивирус имитирует работу настоящего — сканирует устройство и даже выдает пугающее число найденных угроз. На самом деле, никаких угроз он не обнаруживает, а просто шпионит за владельцем зараженного смартфона. Как действует новый зловред и как от него защититься — читайте в нашем материале. Как шпион попадает в телефон Мы обнаружили новую вредоносную кампанию, направленную на пользователей Android в России. Она активна как минимум с конца февраля 2025 года. Шпион попадает на смартфоны через мессенджеры под видом не только антивируса, но и банковских защитников. Выглядеть это может, например, так: «Привет, установи вот эту программу». Потенциальной жертве может прийти сообщение с предложением установить ПО как от незнакомца, так и от взломанного аккаунта человека из контактов — так, например, угоняют аккаунты в Telegram. «Скачайте приложение в нашем канале». В Telegram ежесекундно появляются новые открытые каналы, поэтому вполне можно допустить, что некоторые из них могут распространять вредоносное ПО под видом легитимного. После установки фейковое защитное приложение показывает вымышленное число обнаруженных угроз на устройстве для того, чтобы вынудить пользователя предоставить все возможные разрешения якобы для спасения смартфона. Так жертва собственноручно открывает приложению доступ ко всем личным данным, даже не догадываясь о настоящих мотивах лжезащитника. View the full article

С разницей буквально в несколько дней команда, поддерживающая Python Package Index (каталог программного обеспечения, написанного на Python) и Mozilla (организация, стоящая за разработкой браузера Firefox), выпустили крайне похожие предупреждения о фишинговых атаках. Неизвестные злоумышленники пытаются заманить Python-разработчиков, использующих PyPi и создателей плагинов для Firefox, имеющих аккаунты addons.mozilla.org, на фальшивые сайты площадок, с целью выманить их учетные данные. В связи с чем мы рекомендуем разработчиков ПО с открытым исходным кодом (не только пользователей PyPi и AMO) быть особенно внимательными при переходе по ссылкам из писем. Эти две атаки не обязательно связаны между собой (все-таки методы у фишеров несколько различаются). Однако вместе они демонстрируют повышенный интерес киберпреступников к репозиториям кода и магазинам приложений. Вероятнее всего, их конечная цель — организация атак на цепочку поставок, или перепродажа учетных данных другим преступникам, которые смогут организовать такую атаку. Ведь получив доступ к аккаунту разработчика, злоумышленники могут внедрить вредоносный код в пакеты или плагины. Детали фишинговой атаки на разработчиков PyPi Фишинговые письма, адресованные пользователям Python Package Index, рассылаются по адресам, указанным в метаданных пакетов, опубликованных на сайте. В заголовке находится фраза [PyPI] Email verification. Письма отправлены с адресов на домене @pypj.org, который всего на одну букву отличается от реального домена каталога — @pypi.org, то есть используют строчную j вместо строчной i. В письме говорится, что разработчикам необходимо подтвердить адрес электронной почты, для чего следует перейти по ссылке на сайт, имитирующий дизайн легитимного PyPi. Интересно, что фишинговый сайт не только собирает учетные данные жертв, но и передает их на реальный сайт каталога, так что после завершения «верификации» жертва оказывается на легитимном сайте и зачастую даже не понимает, что у нее только что похитили учетные данные. Команда, поддерживающая Python Package Index, рекомендует всем кликнувшим на ссылку из письма немедленно сменить пароль, а также проверить раздел Security History в своем личном кабинете. View the full article

За X (ex-Twitter) уже давно и прочно закрепилась слава основного источника криптоскама, который активно продвигается в соцсети от лица взломанных или фейковых аккаунтов знаменитостей и крупных компаний. Тем временем платформы Instagram*, Facebook* и WhatsApp, принадлежащие вездесущей Meta**, зарабатывают похожую репутацию в другой категории — инвестиционного мошенничества с дипфейками. Преступники активно используют ИИ-инструменты для создания поддельных видео с людьми, которые обладают репутацией в финансовой сфере, — от известных экономистов и телеведущих до глав правительств. Затем злоумышленники продвигают такие видео в соцсетях с помощью рекламы. В этом посте рассказываем, как устроены эти схемы, куда попадают жертвы после просмотра таких видео, какую роль в них играет WhatsApp — и как не попасться на удочку мошенников. Instagram*, дипфейки и WhatsApp: инвестиционное мошенничество в Канаде Чтобы разобраться в том, как это все работает, мы начнем с недавней мошеннической кампании, нацеленной на клиентов канадских банков. В качестве первого шага злоумышленники запустили рекламу в Instagram* от имени BMO Belski. Аббревиатура BMO использована осознанно: у пользователей из Канады она устойчиво ассоциируется со старейшим банком страны, Bank of Montreal (Банк Монреаля). Упоминание фамилии Бельски также неслучайно: Брайан Бельски является главным инвестиционным стратегом BMO и руководителем группы инвестиционной стратегии банка. В рекламе от лица BMO Belski демонстрируются сгенерированные ИИ дипфейк‑видео с участием самого Бельски, в которых пользователям предлагают присоединиться к «приватной инвестиционной группе в WhatsApp». Расчет преступников состоит в том, что невнимательный канадский пользователь поверит в то, что ему предлагают получить достоверные финансовые и инвестиционные рекомендации от признанного эксперта, — и побежит общаться с мошенниками в WhatsApp. Так выглядит реклама мошеннического инвестиционного клуба с дипфейком Брайана Бельски в Instagram*: пользователей убеждают присоединиться к приватной группе в WhatsApp. Источник Интересная деталь — у аккаунта BMO Belski, распространявшего эту рекламу в Instagram*, вообще не было профиля в этой социальной сети. Реклама запускалась через страницу BMO Belski в Facebook* — компания Meta**, владеющая обеими социальными сетями, позволяет запускать рекламу в Instagram*, используя только бизнес‑страницу в Facebook*, без необходимости создавать отдельный аккаунт в Instagram*. View the full article

Сейчас принято считать, что зумеры — несерьезные сотрудники: не хотят трудиться, ленятся, часто меняют одну работу на другую. А вот статистика говорит об обратном. Почти половина представителей поколения Z переключаются между фуллтаймом, фрилансом и прочими подработками. Злоумышленники это прознали — молодые люди с несколькими работами стали для них удобной мишенью. Наши эксперты провели исследование и выяснили, какие неочевидные угрозы несет этот тренд. В этой статье разбираемся, как зумерам работать в нескольких местах без риска для собственной кибербезопасности. Больше приложений – больше проблем Основная проблема связана с корпоративными приложениями и доступами: звонок в Zoom на основной работе, мессенджер Slack — для другой, а задачки везде ставят в Notion. А между прочим, все эти приложения расширяют возможную поверхность атаки злоумышленников. Негодяи постоянно рассылают фишинговые письма, правдоподобно переписываются от лица работодателей и продвигают вредоносы под видом легитимного ПО для работы. Ставить фейковые поручения якобы от лица босса они тоже могут. В период с последней половины 2024 до первой половины 2025 эксперты «Лаборатории Касперского» зафиксировали 6 млн атак с поддельными платформами. Чаще всего атакующие имитировали приложения из золотой троицы каждого корпоративного работника: Zoom, Microsoft Excel и Outlook. Выглядеть это может так: злоумышленник отправляет письмо якобы от лица Zoom с просьбой обновить приложение. В письме — ссылка, которая ведет на фишинговый сайт, имитирующий оригинальную страницу Zoom и сразу же загружает на устройство фейковое приложение. Оно, в свою очередь, может красть данные контактов жертвы или вовсе получить доступ к рабочему окружению — возможных сценариев много. Фишинговый сайт предлагает как можно скорее установить «новую версию Zoom» View the full article

Переход на ключи доступа (КД, passkeys) сулит организациям экономически эффективный способ надежной аутентификации сотрудников, увеличение продуктивности и достижение регуляторного соответствия. Все за и против этого решения для бизнеса мы подробно разобрали в отдельной статье. Но на успех проекта и саму его возможность влияют технические подробности и особенности реализации технологии в многочисленных корпоративных системах. Поддержка passkeys в системах управления identity Перед тем как решать организационные проблемы и писать политики, стоит разобраться, готовы ли к переходу на КД основные ИТ-системы в организации. Microsoft Entra ID (Azure AD) полностью поддерживает КД и позволяет администраторам выбрать КД в качестве основного метода входа в систему. Для гибридных внедрений, где есть on-prem-ресурсы, Entra ID может генерировать токены Kerberos (TGT), которые затем будет обрабатывать доменный сервер Active Directory. А вот для входа через RDP и VDI и входа в AD, работающую только on-premises, нативной поддержки у Microsoft пока нет. Впрочем, с некоторыми ухищрениями организация может записывать passkey на аппаратный токен, например YubiKey, который будет одновременно поддерживать традиционную технологию PIVKey (смарт-карты) и FIDO2. Также для поддержки этих сценариев есть сторонние решения, но организации потребуется оценить, как их применение влияет на общую защищенность и регуляторное соответствие. В Google Workspace и Google Cloud есть полная поддержка passkeys. Популярные системы управления identity, такие как Okta, Ping, Cisco Duo, RSA ID Plus, поддерживают FIDO2 и все основные формы КД. View the full article

Чаще всего фишинговые письма застревают в папке «Спам», потому что сегодня большинство из них легко распознаются почтовыми защитными системами. Но иногда эти системы ошибаются и в корзину попадают настоящие, не мошеннические сообщения. Сегодня расскажем, как распознать фишинговые письма и что с ними делать. Признаки фишинговых писем Существуют несколько общепринятых признаков, которые могут явно указывать на то, что письмо прислано мошенниками. Вот некоторые из них: Яркий заголовок. Фишинговое письмо, вероятнее всего, будет каплей в море вашего почтового ящика. Именно поэтому мошенники обычно стараются выделиться в наименовании словами-триггерами вроде «срочно», «приз», «деньги», «розыгрыш» и всем похожим, что должно побудить вас как можно скорее открыть письмо. Призыв к действию. Разумеется, в таком письме вас будут просить сделать хотя бы что-то из этого списка: перейти по ссылке, оплатить какую-нибудь ненужную вещь, посмотреть подробности во вложении. Главная цель злоумышленников — выманить жертву из почты в небезопасное пространство и заставить тратить деньги или терять доступы к аккаунтам. «Истекающий» таймер. В письме может быть таймер: «Перейдите по ссылке, она активна в течение 24 часов». Все подобные уловки — чушь, мошенникам выгодно торопить жертву, чтобы она начала паниковать и менее бережно относиться к своим деньгам. Ошибки в тексте письма. В последний год участились случаи, когда фишинговое письмо приходит сразу на нескольких языках, причем со странными ошибками. Странный адрес отправителя. Если вы живете, например, в России и вам пришло письмо с итальянского адреса — это повод насторожиться и полностью проигнорировать его содержимое. Раньше еще одним верным признаком фишингового письма было обезличенное обращение вроде «Уважаемый пользователь», но мошенники сделали шаг вперед. Теперь все чаще письма приходят адресные, с упоминанием имени жертвы. Их тоже нужно игнорировать. View the full article

Технологию ключей доступа (КД, passkeys) рекламируют все ИТ-гиганты как эффективную и удобную замену паролям, которая может покончить с фишингом и утечками учетных данных. Суть в следующем — человек входит в систему при помощи криптографического ключа, сохраненного в специальном аппаратном модуле на его устройстве, а разблокирует эти данные при помощи биометрии или ПИН-кода. Мы подробно разобрали текущее положение дел с passkeys для домашних пользователей в двух статьях (терминология и базовые сценарии использования, сложные случаи), но у компаний к ИБ-технологиям совершенно другие требования и подходы. Насколько хороши ключи доступа и FIDO2 WebAuthn в корпоративной среде? Мотивы перехода на passkeys в компании Как и любая крупная миграция, переход на ключи доступа требует бизнес-обоснования. В теории passkeys решают сразу несколько злободневных проблем: Снижают риски компрометации компании с использованием кражи легитимных учетных записей (устойчивость к фишингу — главное заявленное преимущество КД). Повышают устойчивость к другим видам атак на identity, таким как перебор паролей — brute forcing, credential stuffing. Помогают соответствовать регуляторным требованиям. Во многих индустриях регуляторы обязуют применять для аутентификации сотрудников устойчивые методы, и passkeys обычно признаются таковыми. Снижают затраты. Если компания выбрала passkeys, хранящиеся в ноутбуках и смартфонах, то высокого уровня безопасности можно достичь без дополнительных затрат на USB-устройства, смарт-карты, их администрирование и логистику. Повышают продуктивность сотрудников. Хорошо налаженный процесс аутентификации повседневно экономит время каждому сотруднику и снижает процент неудачных входов в ИТ-системы. Также переход на КД обычно увязывают с отменой всем привычных и ненавистных регулярных смен пароля. Снижают нагрузку на хелпдеск за счет уменьшения числа заявок, связанных с забытыми паролями и заблокированными учетными записями. View the full article

Злоумышленники используют истекшие и удаленные ссылки-приглашения Discord для распространения вредоносных программ: AsyncRAT — для удаленного управления зараженным компьютером и Skuld Stealer — для кражи данных криптокошельков. Для этого преступники эксплуатируют уязвимость в механизме создания ссылок-приглашений Discord, которая позволяет незаметно перенаправлять пользователей с доверенных источников на вредоносные серверы. В ходе атаки они используют технику ClickFix, многоступенчатые загрузчики и отложенное выполнение, чтобы обойти защиту и незаметно доставить вредоносное ПО. В этом посте расскажем подробно, как именно злоумышленники эксплуатируют механизм создания ссылок-приглашений, что такое ClickFix, почему преступники используют эту технику и, самое главное, — как не стать жертвой данной схемы. Как работают ссылки-приглашения в Discord Для начала нам придется разобраться в том, как работают ссылки-приглашения Discord и чем они различаются между собой. Это необходимо для того, чтобы понять, каким образом злоумышленники научились эксплуатировать механизм их создания. Ссылки-приглашения в Discord — это специальные URL, с помощью которых пользователи могут присоединяться к серверам. Их создают администраторы, чтобы упростить доступ к сообществу без необходимости добавлять участников вручную. Ссылки-приглашения в Discord имеют два альтернативных формата: https://discord.gg/{код_приглашения} https://discord.com/invite/{код_приглашения} Уже сам факт того, что формат не единственный, а в одном из вариантов используется «мемный» домен, — говорит о том, что это не самое удачное решение с точки зрения безопасности, поскольку приучает пользователей к путанице. Но это еще не все. Помимо этого, у ссылок-приглашений есть еще и три типа, которые заметно отличаются друг от друга по своим свойствам: временные ссылки-приглашения; постоянные ссылки-приглашения; персональные ссылки-приглашения (vanityURLs). View the full article

Перемещения людей и животных в доме — и даже незначительные жесты вроде помахивания рукой — возможно отслеживать при помощи Wi-Fi. Теоретически об этом известно давно, но сейчас технологию поставили на коммерческие рельсы. Ее стали предлагать провайдеры домашнего Интернета и производители оборудования. В будущем эта функция может быть даже закреплена в новом стандарте Wi-Fi, поэтому важно понимать достоинства и недостатки вайфай-детектирования. Давайте разберемся, как работает технология, можно ли ее использовать без рисков для конфиденциальности и как ее отключить при необходимости. Принцип работы Wi-Fi sensing Эта функция появилась как побочный эффект борьбы за ускорение Wi-FI. Современные роутеры умеют «фокусировать» сигнал на устройствах, с которыми обмениваются данными, чтобы сделать связь быстрее и надежнее. Это называется Wi-Fi beamforming и требует от роутера детально измерять параметры радиосигнала, оценивая не только его силу, но и особенности распространения в пространстве. Проведя оценку, роутер изменяет свои параметры передачи так, чтобы радиоволны преимущественно шли в сторону устройства. Состояние соединения постоянно отслеживается и корректируется роутером (CSI, Channel-State Information). Если при обмене данными с устройством между ним и роутером возникла или исчезла помеха, например прошел человек или даже пробежала собака, характер радиосигнала немного изменится. Роутер достаточно чувствителен, чтобы это обнаружить. Чем не датчик движения? Дальше дело за малым — разработать математические алгоритмы, умеющие определять движение в доме по изменениям CSI, и внедрить их в прошивку роутера. Ну а чтобы получать аналитику и сигналы о произошедшем движении, роутер должен общаться с мобильным приложением на смартфоне владельца — для этого используется фирменный облачный сервис. Здесь нет никаких отличий от умных дверных звонков или видеонянь. View the full article

При знакомстве с рейтингом CVSS (Common Vulnerability Scoring System) многим кажется, что он прекрасно подходит для сортировки уязвимостей и их приоритизации: если больше цифра рейтинга, значит уязвимость важнее. На практике этот подход не срабатывает. Уязвимостей с высоким рейтингом каждый год становится все больше, закрывать их все команды ИБ не успевают, при этом львиная доля этих дефектов никогда не эксплуатируется в реальных атаках. В то же время злоумышленники то и дело используют менее броские уязвимости с невысоким рейтингом. Есть и другие подводные камни — от чисто технических (конфликтующие оценки CVSS) до концептуальных (отсутствие бизнес-контекста). Считать это недостатками самого рейтинга CVSS нельзя, нужно просто применять этот инструмент правильно: в рамках более сложного и комплексного процесса управления уязвимостями. Разночтения CVSS Иногда одна и та же уязвимость получает разную оценку критичности в доступных источниках: у исследователя ИБ, который ее нашел; у производителя уязвимого ПО; в национальном реестре уязвимостей. Кроме банальных ошибок у этих разночтений может быть и более серьезная причина — разные эксперты могут расходиться в оценках контекста эксплуатации: например, о том, с какими привилегиями выполняется уязвимое приложение, доступно ли оно из Интернета, и так далее. Производитель может ориентироваться здесь на свои рекомендации лучших практик, а исследователь ИБ — на то, как приложения настроены в реальных организациях. Один исследователь может оценить сложность эксплуатации как высокую, а другой — как низкую. Все это далеко не редкость. В исследовании VulnCheck, проведенном в 2023 году, подсчитали, что 20% уязвимостей из NVD содержат два рейтинга CVSS3 из разных источников и 56% этих парных оценок конфликтуют между собой. View the full article

В этом году исполнилось 20 лет системе CVSS — Common Vulnerability Scoring System, ставшей общепризнанным стандартом описания уязвимостей. Несмотря на десятилетия использования и четыре поколения стандарта (на сегодня внедрена версия 4.0), рейтингом CVSS продолжают пользоваться неправильно, а вокруг самой системы порой бушуют серьезные споры. Что важно знать о CVSS для эффективной защиты своих ИТ-активов? База CVSS Как пишут в документации CVSS разработчики системы, CVSS — инструмент описания характеристик и серьезности уязвимостей в программном обеспечении. CVSS поддерживается форумом специалистов по ИБ и реагированию на инциденты (FIRST) и была создана для того, чтобы эксперты говорили об уязвимостях на одном языке, а данные о программных дефектах было легче обрабатывать автоматически. Практически каждая уязвимость, опубликованная в реестрах уязвимостей (CVE, БДУ, EUVD, CNNVD), содержит оценку серьезности по шкале CVSS. Эта оценка состоит из двух основных компонентов: числовой рейтинг (CVSS score), отражающий серьезность уязвимости по шкале от 0 до 10, где 10 — максимально опасная, критическая уязвимость; вектор — стандартизованная текстовая строка, описывающая основные характеристики уязвимости: можно ли ее эксплуатировать по сети или только локально, нужны ли для этого повышенные привилегии, насколько сложно эксплуатировать уязвимость, на какие характеристики уязвимой системы влияет эксплуатация уязвимости (доступность, целостность конфиденциальность) и так далее. Вот как выглядит в этой нотации опасная и активно эксплуатировавшаяся уязвимость CVE-2021-44228 (Log4Shell): Base score 10.0 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H). View the full article

Фальшивые SMS от банков, служб доставки и городских учреждений — излюбленный мошенниками способ выманить финансовые данные и пароли. Эту разновидность фишинга часто называют smishing (SMS phishing). Опасные SMS фильтруют почти все сотовые операторы, и лишь малая часть доходит до получателей. Но мошенники придумали нечто новое. За последний год в Великобритании, Таиланде и Новой Зеландии были задержаны злоумышленники, которые рассылали сообщения, минуя сотового оператора, прямо на телефоны жертв. Эта технология получила название SMS blaster. Что такое SMS blaster «Бластер» притворяется базовой станцией сотовой сети. Он выглядит, как утыканная антеннами коробка размером с системный блок старого компьютера; мошенники кладут ее в багажник автомобиля или в рюкзак. Включенный «бластер» побуждает все телефоны поблизости подключиться к нему как к самой мощной базовой станции с наилучшим сигналом. Когда это происходит — присылает подключенному телефону фальшивое SMS. В зависимости от модели «бластера» и условий приема, радиус рассылки SMS составляет 500–2000 метров, поэтому злодеи предпочитают проводить свои операции в многолюдных районах. Риск максимален в популярных туристических, торговых и деловых центрах — там и зафиксированы все известные атаки. При этом мошенники не имеют никаких ограничений: не платят за SMS, могут подписывать SMS любым отправителем и включать в него любые ссылки. Злоумышленникам не надо знать номера телефонов жертв — любой телефон получит сообщение, если подключится к их «сотовой вышке». View the full article

Наши исследователи обнаружили в магазине Open VSX несколько поддельных расширений, адресованных разработчикам на Solidity, с вредоносной нагрузкой внутри. Как минимум одна компания стала жертвой злоумышленников, распространяющих эти расширения, и потеряла криптоактивы на сумму около $500 000. Об угрозах, связанных с распространением зловредов в open-source-репозиториях, известно давно. Несмотря на это, пользователи редакторов кода с поддержкой искусственного интеллекта — таких как Cursor и Windsurf — вынуждены использовать магазин open-source-решений Open VSX, поскольку другого источника необходимых расширений для этих платформ у них нет. Однако в Open VSX расширения не проходят такие же тщательные проверки, как в Visual Studio Code Marketplace, и это дает злоумышленникам возможность распространять под видом легитимных решений зловредное ПО. В этом посте мы расскажем подробности об исследованных экспертами «Лаборатории Касперского» вредоносных расширениях из Open VSX и о том, как предотвратить подобные инциденты в вашей организации. Чем рискуют пользователи расширений из Open VSX В июне 2025 года блокчейн-разработчик, у которого злоумышленники похитили криптоактивы на сумму около $500 000, обратился к нашим экспертам с просьбой расследовать инцидент. В процессе изучения образа диска с зараженной системой исследователи обратили внимание на компонент расширения Solidity Language для среды разработки Cursor AI, который запускал PowerShell-скрипт — явный признак наличия вредоносной активности. Это расширение было установлено из магазина Open VSX, где оно имело десятки тысяч загрузок (предположительно такое количество объясняется накруткой). Согласно описанию, оно якобы помогало оптимизировать работу с кодом на языке для смарт-контрактов Solidity. Однако анализ расширения показал, что никакой полезной функциональности у него не было вообще. Установившие его разработчики посчитали невыполнение заявленных функций багом, не стали разбираться с ним сразу и продолжили работать. View the full article

Многие современные компании поддерживают политику BYOD (Bring Your Own Device) — то есть разрешают сотрудникам использовать собственные устройства для служебных нужд. Особенно эта практика распространена в организациях, приветствующих удаленный формат работы. У BYOD есть масса очевидных преимуществ, однако внедрение подобной политики создает новые риски для кибербезопасности компании. Для предотвращения угроз ИБ-отделы часто выдвигают требование наличия защитного решения в качестве обязательного условия для использования собственного устройства для работы. В то же время некоторые сотрудники — особенно продвинутые и уверенные в себе технические специалисты — могут считать, что антивирус вряд ли может быть полезен и, скорее всего, будет усложнять им жизнь. Это не самое разумное мнение, но переубедить таких людей может быть не так уж просто. Главная проблема состоит в том, что уверенные в своей правоте сотрудники могут найти способ обмануть систему. Сегодня в рамках рубрики «Предупрежден — значит вооружен» мы расскажем об одном из них: о новом исследовательском проекте под названием Defendnot, который позволяет отключать Microsoft Defender на устройствах с Windows, регистрируя фальшивый антивирус. Как эксперимент с no-defender показал, что Microsoft Defender можно отключить с помощью поддельного антивируса Чтобы разобраться в том, как работает Defendnot, нам придется перенестись на год назад. Тогда исследователь с Twitter-ником es3n1n, который является автором этого инструмента, опубликовал первую версию проекта на GitHub. Он назывался no-defender, и его задачей также являлось отключение встроенного антивируса Windows Defender. Для выполнения этой задачи es3n1n эксплуатировал специальный программный интерфейс Windows под названием WSC API (Windows Security Center — Центр безопасности Windows). Через него антивирусное ПО сообщает системе о том, что оно установлено и берет на себя защиту устройства в режиме реального времени. Получив такое сообщение, Windows автоматически отключает Microsoft Defender, чтобы избежать конфликтов при одновременной работе нескольких защитных решений на одном устройстве. На основе кода существующего защитного решения исследователь смог создать свой поддельный «антивирус», который регистрировался в системе и проходил все проверки Windows. После этого Microsoft Defender отключался, а устройство оставалось незащищенным, поскольку no-defender на практике не имел никаких защитных функций. Проект no-defender достаточно быстро набрал популярность на GitHub и успел получить 2 тысячи звезд от благодарных пользователей. Однако компания-разработчик антивируса, чей код использовал исследователь, отправила на него жалобу о нарушении Закона об авторском праве в цифровую эпоху (DMCA). Поэтому es3n1n удалил код проекта из GitHub, оставив только страничку с описанием. View the full article

7 июля 2025 года Google выпустила обновление Gemini, которое дает AI-помощнику доступ к приложениям Phone, Messages, WhatsApp и Utilities на Android-устройствах. Компания анонсировала это событие e-mail-рассылкой пользователям своего чат-бота, которых просто поставили перед фактом: «Мы упростили взаимодействие Gemini с вашим устройством… Gemini скоро сможет помочь вам использовать «Телефон», «Сообщения», WhatsApp и «Утилиты» на вашем телефоне, независимо от того, включена ли ваша активность приложений Gemini или нет». С точки зрения Google, обновление улучшает приватность, поскольку теперь пользователям доступны функции Gemini без необходимости включать Gemini Apps Activity. Удобно, не правда ли? View the full article

Присутствие в Интернете сегодня неизбежно. Все больше и больше повседневных процессов происходят онлайн, и, если вы не моряк и не лесничий, жить в офлайне теперь — привилегия. По примерным оценкам, каждый из нас генерирует ежечасно от двух до трех гигабайт данных — через смартфоны, IoT-устройства и онлайн-сервисы. При этом 71% тех же американцев обеспокоены сбором информации государством, а 81% — корпорациями. Сегодня мы разберем обычный день современного человека, чтобы понять, где и как мы оставляем цифровые следы привычными действиями и что с этим делать. Утренние ритуалы: как следят смартфон и браузер Вы встали, узнали погоду на сегодня, полистали рилсы, что-то полайкали, вбили свой маршрут на работу и выяснили, через какие пробки вам придется продираться. С настройкой приватности в соцсетях все очевидно: ее надо подкрутить, чтобы подписанные на вас родители и коллеги не поседели от вашего чувства юмора, и поможет в этом наш сайт Privacy Checker. Сложнее с геопозицией, которую любят собирать все кому не лень. Мы уже подробно рассказывали о том, как смартфоны собирают на вас досье, и о том, кто такие брокеры данных геолокации и что происходит, когда они «протекают». Только представьте: около половины популярных Android-приложений запрашивают геолокацию там, где она не нужна. А браузеры Chrome и Safari по умолчанию разрешают кросс-доменное отслеживание cookies, что позволяет рекламным сетям строить детальные профили пользователей под персонализированную рекламу. В ход идет почти вся телеметрия смартфона, позволяющая составлять детальный портрет потребителя без кастдевов и фокус-групп. Лучший маркетолог — у вас в кармане, только вот работает он не на вас. Как быть? View the full article

По данным исследовательской компании Juniper Research, оборот электронной торговли в 2024 году превысил 7 триллионов долларов и, по прогнозам, вырастет в полтора раза за следующие пять лет. Но интерес злоумышленников к этой сфере растет еще быстрее. В прошлом году потери от мошенничества превысили $44 млрд, а за пять лет вырастут до $107 млрд. Онлайн-площадка любого размера, работающая в любой сфере, может стать жертвой — будь это маркетплейс контента, магазин стройматериалов, бюро путешествий или сайт аквапарка. Если вы принимаете платежи, ведете программу лояльности, поддерживаете личный кабинет клиента — к вам обязательно придут мошенники. Какие схемы атаки наиболее популярны, что за потери несет бизнес и как все это прекратить? Кража аккаунтов Благодаря инфостилерам и различным утечкам баз данных у злоумышленников на руках есть миллиарды пар e-mail+пароль. Их можно по очереди пробовать на любых сайтах с личным кабинетом, небезосновательно надеясь, что жертва атаки везде использует один и тот же пароль. Эта атака называется credential stuffing, и, если она будет успешна, злоумышленники смогут от имени клиента оплачивать заказы привязанной к аккаунту кредитной картой или использовать баллы лояльности. Также мошенники могут использовать аккаунт для махинаций с покупкой товаров и оплатой сторонними банковскими картами. View the full article

В нашем блоге мы постоянно рассказываем о всевозможных кибератаках и их неприятных последствиях: будь то кража криптовалюты или утечки личных данных в Интернет. Однако есть и другая категория крупных взломов: когда хакеры не гонятся за наживой, а устраивают смешные и достаточно безобидные для большинства проделки просто для веселья. Сегодня мы расскажем про пять таких случаев — и поговорим о том, какой урок из них можно вынести. Они повсюду! Когда даже светофоры разговаривают с тобой голосами Цукерберга и Маска Весной 2025 года неизвестные взломали аудиокнопки светофоров в Кремниевой долине. Подобные аудиокнопки широко используются в светофорах на пешеходных переходах на всей территории США. Как нетрудно догадаться, предназначены они для людей с нарушениями зрения: их основная задача — воспроизводить голосовые сообщения, позволяющие плохо видящим пешеходам понять, когда можно безопасно переходить дорогу. В нескольких городах Кремниевой долины неизвестные заменили стандартные голосовые сообщения на собственные тексты, озвученные голосами, чрезвычайно похожими на голоса вездесущих техномиллиардеров, Марка Цукерберга и Илона Маска. Видео, снятые местными жителями, показывают, как взломанные кнопки воспроизводят следующие сообщения. Голос «Марка Цукерберга»: Это нормально испытывать дискомфорт или ощущать нарушение ваших личных границ от того, что мы насильно внедряем ИИ во все грани вашего сознательного опыта. Я просто хочу заверить вас, что вам не нужно беспокоиться, поскольку вы абсолютно ничего не можете сделать для того, чтобы это остановить. View the full article

Цифровизация бизнеса, особенно малого и среднего, позволяет быстро его масштабировать, повысить комфорт клиентов и выйти на новые рынки. Одновременно цифровизация увеличивает ущерб бизнесу в случае кибератаки и усложняет процедуры восстановления после нее. Ресурсы компании всегда ограничены — от каких атак следует защищаться прежде всего? Чтобы ответить на этот вопрос, мы изучили отчет INTERPOL’s 2025 Africa Cyberthreat Assessment Report. Он удобен тем, что в нем объединены полицейская статистика киберпреступности и данные ИБ-компаний, включая «Лабораторию Касперского», что позволяет сопоставить количество и виды проведенных атак с тем, какой реальный ущерб они принесли. Эти данные помогут выстраивать ИБ-стратегию компании. Рейтинг типов киберпреступлений по заявленному финансовому ущербу в африканских субрегионах на основе данных стран-участниц Интерпола. Источник View the full article

Отказаться от паролей и цифровых кодов по SMS, подтверждать вход в приложения и на сайты простым отпечатком пальца или улыбкой в камеру — именно так звучит обещание passkeys. А еще passkeys, в отличие от паролей, устойчивы к краже, поэтому новости об утечках вроде недавней, на 16 миллиардов учетных записей, можно будет читать, не хватаясь за сердце. Под разными названиями этот способ входа на сайты настойчиво рекомендуют WhatsApp, Xbox, Microsoft 365, YouTube и десятки других популярных сервисов. Но как выглядит использование пасскеев, они же ключи доступа, они же ключи входа, на практике? Мы подробно писали об этом в приложении к аккаунтам Google, а сегодня разберем, как поддерживают passkeys другие сервисы и платформы. В первом посте мы расскажем об основах использования passkeys на одном или нескольких устройствах, а во втором — разберем более сложные случаи, когда нужно войти в свой аккаунт на чужом компьютере, использовать Linux или же хранить ключи доступа на аппаратном брелоке-токене. Что такое passkey Passkey — это уникальный цифровой ключ входа, созданный для конкретного сайта или приложения. Он безопасно хранится на вашем устройстве: смартфоне, компьютере или специальном USB-брелоке (аппаратном токене) вроде YubiKey или Google Titan Security Key. В момент логина ваше устройство с помощью биометрии или ПИН-кода проверяет, что входите действительно вы. После этого оно отправляет сайту защищенный ответ, созданный на базе этого уникального ключа. Этот механизм хорошо защищает от кражи учетных записей, возможных при использовании паролей, обоими популярными способами — и через фишинговые атаки, и через взлом сайтов. Passkeys работают на устройствах Apple, Google и Microsoft, а при использовании облачной синхронизации в теории доступны на всех ваших устройствах. Подробнее о внутреннем устройстве passkeys — в предыдущем посте про ключи доступа. View the full article

Исследователи опубликовали технические детали и код, демонстрирующий эксплуатацию уязвимости (PoC) CVE-2025-6019 в библиотеке libblockdev, которая позволяет атакующему получить права root в большинстве дистрибутивов Linux. На данный момент эксплуатация этой уязвимости в реальных атаках не замечена, однако поскольку PoС опубликован, злоумышленники могут взять ее на вооружение в любой момент. При каких условиях эксплуатируется CVE-2025-6019? Библиотека libblockdev служит для низкоуровневых операций с блочными устройствами (например, с жесткими дисками) в Linux. Эксплуатации уязвимости CVE-2025-6019 происходит при обращении к демону udisks2 (служащему для управления накопителями), при условии что злоумышленникам удалось получить привилегии активного пользователя, присутствующего у компьютера (allow_active). Почти все современные популярные сборки Linux включают udisks — энтузиасты уже проверили возможность эксплуатации уязвимости CVE-2025-6019 на Ubuntu, Debian, Fedora и openSUSE. В теории привилегии allow_active могут быть только у пользователя, физически пользующегося компьютером. Однако по факту в арсенале атакующего могут быть средства, позволяющие получить allow_active удаленно. Например, нашедшие CVE-2025-6019 исследователи изначально продемонстрировали ее в цепочке эксплуатации, где права allow_active получают через еще одну уязвимость, CVE-2025-6018, которая содержится в конфигурации подключаемых модулей аутентификации (PAM). CVE-2025-6018 присутствует как минимум в openSUSE Leap 15 и SUSE Linux Enterprise 15, но может быть релевантна и для других сборок. View the full article

В современном мире постоянно оставаться онлайн — не просто привычка, а насущная потребность. Мы привыкли делиться фото с морских берегов в соцсетях, держать связь с близкими из другого часового пояса и решать рабочие вопросы из любой точки мира. Все это возможно, если в смартфоне надежный Интернет. Долгое время главными барьерами к беззаботной связи за границей оставались стоимость роуминга и сложности с физическими SIM-картами, которые надо было искать, покупать, активировать, менять и для которых нужно было находить варианты пополнения, — с риском потерять родную SIM-карту. С изобретением eSIM (встроенных цифровых SIM-карт), поддерживаемых большинством современных смартфонов, возня с физическими «симками» осталась в прошлом, но по-прежнему приходилось искать подходящую для нужного региона одноразовую eSIM и для каждой поездки делать это заново. К тому же из-за санкций со стороны международных платежных систем российские пользователи вынуждены были искать нетривиальные способы оплаты eSIM зарубежных операторов, что жизнь тоже не упрощало. Новый Kaspersky eSIM Store меняет подход к мобильному Интернету, предоставляя простой способ найти, оплатить и активировать доступные тарифные планы от местных операторов связи по всему миру. При этом вам не придется каждый раз приобретать и активировать новую eSIM — установив ее один раз, вы можете пользоваться ею сколь угодно долго, подключая к ней тарифные планы для разных регионов с нужным вам объемом трафика через удобное приложение или веб-сайт. При этом на бессрочных тарифах оплаченный трафик не «сгорает», а значит, неиспользованные гигабайты останутся у вас до следующей поездки. Но обо всем — подробнее. Что такое eSIM Для начала давайте вспомним, или узнаем, что такое eSIM (embedded — встроенная — SIM) и чем она отличается от обычных физических SIM-карт. Во всех мобильных телефонах есть один или несколько слотов для мини-, микро- или нано-SIM. Этот кусочек пластика с контактами и чипом — по сути дела, микрокомпьютер — хранит ключи идентификации для GSM-сети, по которым сеть определяет абонента. Также на «симке» могут храниться ваши контакты, SMS-ки, списки входящих/исходящих/пропущенных вызовов и предустановленные приложения оператора связи. Но объем памяти SIM-карт обычно невелик, поэтому функциональность ее ограничена. Но почему бы не извлечь чип из пластика и не установить его непосредственно в телефон? Именно так в 2016 году появился eSIM. Данные, идентифицирующие абонента, теперь не зашиваются в чип SIM-карты при ее производстве, а передаются оператором абоненту в зашифрованном виде и записываются в eSIM на его устройстве. За счет большего объема памяти eSIM может хранить несколько профилей операторов — так в вашем телефоне может поселиться сразу несколько виртуальных «симок». Однако это не означает, что все они будут работать одновременно — чаще всего вы можете хранить несколько профилей и переключаться между ними, зато вам не приходится возиться с заменой крошечного куска пластика с риском его потерять. В зависимости от смартфона одновременно могут быть активны один или несколько профилей. View the full article

Приложения с открытым исходным кодом используются уже в 96% компаний. Широкий выбор, возможность доработок и нулевая стоимость лицензии очень привлекательны, но более половины фирм, опрошенных в рамках отчета 2025 State of Open Source, испытывают серьезные проблемы с их сопровождением. 63% не успевают обновлять решение и применять патчи, немногим меньше проблем с кибербезопасностью, регуляторным соответствием и наличием open-source-софта с истекшим сроком службы (EOL, более неподдерживаемым). Как минимизировать вероятность возникновения этих проблем и куда смотреть еще на этапе выбора open-source-приложения для внедрения? Обновления и патчи Поскольку своевременные обновления — самая широко распространенная проблема, смотреть на приложение-кандидата с этой точки зрения нужно особенно внимательно. Прямо в публичном репозитории приложения несложно проверить частоту и масштабность обновлений, а также их состав. Обращать внимание нужно на то, насколько хорошо задокументированы обновления; какого рода проблемы в них решаются и какие функции добавляются; часты ли ситуации, когда следом за выходом новой версии через несколько дней или недель выходят мелкие фиксы; насколько быстро закрываются запросы, связанные с устранением ошибок? Ответить на эти вопросы помогут стандартные инструменты вроде GitHub Insights, а также вспомогательные сервисы, например Is it maintained, Repology, Libraries.io. Последний сразу отображает, какие устаревшие зависимости используются в текущей версии. Отдельное внимание стоит уделять обновлениям, связанным с безопасностью. Выходят они отдельным треком или их выпускают вместе с функциональными обновлениями? Как правило, разработчики идут по второму пути, и тогда надо разобраться, долго ли обновления безопасности ждали своего выпуска. Также надо оценить, насколько сложна установка обновлений. Для этого недостаточно официальной документации и помощи (хотя с ее изучения можно начать). Но тут скорее поможет внимательное изучение отзывов в сообществах пользователей. View the full article