MEGANews. Cамые важные события в мире инфосека за июнь

Взлом CoinMarketCap

По­пуляр­ный сайт для отсле­жива­ния кур­сов крип­товалют CoinMarketCap пос­тра­дал от хакер­ской ата­ки. Зло­умыш­ленни­ки пытались похитить крип­товалю­ту у посети­телей ресур­са.

Все началось с того, что поль­зовате­ли CoinMarketCap замети­ли стран­ные всплы­вающие окна, которые пред­лагали им под­клю­чить кошель­ки к сай­ту. Если люди сле­дова­ли инс­трук­циям, вре­донос­ный скрипт похищал у них крип­товалю­ту.

Вско­ре пред­ста­вите­ли ком­пании под­твер­дили, что зло­умыш­ленни­ки исполь­зовали уяз­вимость в дуд­ле (ани­миро­ван­ном логоти­пе ком­пании) на глав­ной стра­нице сай­та и внед­рили на стра­ницы ресур­са вре­донос­ный JavaScript.

«20 июня 2025 года наша коман­да по безопас­ности обна­ружи­ла уяз­вимость, свя­зан­ную с изоб­ражени­ем дуд­ла на нашей домаш­ней стра­нице. Это изоб­ражение содер­жало ссыл­ку, которая запус­кала вре­донос­ный код через вызов API, что при­води­ло к появ­лению всплы­вающе­го окна при посеще­нии домаш­ней стра­ницы у некото­рых поль­зовате­лей. Обна­ружив это, мы незамед­литель­но уда­лили проб­лемный кон­тент, опре­дели­ли пер­вопри­чину и при­няли ком­плексные меры по изо­ляции и устра­нению проб­лемы. В нас­тоящее вре­мя все сис­темы работа­ют штат­но, а CoinMarketCap безопа­сен для всех поль­зовате­лей», — заяви­ли раз­работ­чики CoinMarketCap.

Как объ­ясни­ли спе­циалис­ты ИБ‑ком­пании c/side, зло­умыш­ленни­ки каким‑то обра­зом изме­нили API, с помощью которо­го сайт заг­ружал дудл для отоб­ражения на глав­ной стра­нице. В под­менен­ный JSON-ответ был добав­лен вре­донос­ный тег script, внед­рявший скрипт для кра­жи крип­товалю­ты из кошель­ков, который под­гру­жал­ся с внеш­него сай­та (static.cdnkit(.)io).

Ког­да поль­зователь заходил на стра­ницу, скрипт выпол­нялся и отоб­ражал фаль­шивое всплы­вающее окно для под­клю­чения кошель­ка, ими­тируя легитим­ный зап­рос на Web3-тран­закцию. Одна­ко на самом деле скрипт был пред­назна­чен для кра­жи акти­вов из под­клю­чен­ных кошель­ков.

«Это была ата­ка на цепоч­ку пос­тавок, то есть взлом был нап­равлен не на собс­твен­ные сер­веры CoinMarketCap, а на сто­рон­ний инс­тру­мент или ресурс, исполь­зуемый CoinMarketCap, — пояс­няют в c/side. — Такие ата­ки слож­но обна­ружить, пос­коль­ку они исполь­зуют доверен­ные эле­мен­ты плат­формы».

Поз­же иссле­дова­тель, извес­тный под ником Rey, поделил­ся деталя­ми этой ата­ки. На опуб­ликован­ных им скрин­шотах вид­но, что в рам­ках ата­ки у 110 жертв было укра­дено 43 266 дол­ларов в крип­товалю­те, а учас­тни­ки ата­ки говори­ли на фран­цуз­ском язы­ке в сво­ем Telegram-канале.

В отли­чие от тра­дици­онно­го фишин­га, крип­товалют­ные дрей­неры чаще все­го прод­вига­ются через пос­ты в соци­аль­ных сетях, рек­ламу, под­дель­ные сай­ты и вре­донос­ные рас­ширения для бра­узе­ров.

Сог­ласно отче­там иссле­дова­телей, толь­ко в 2024 году зло­умыш­ленни­ки похити­ли поч­ти 500 мил­лионов дол­ларов в резуль­тате подоб­ных атак, нацелен­ных более чем на 300 тысяч кошель­ков. Сов­сем недав­но мы пос­вятили этой проб­леме от­дель­ную статью.

Телефоны от Google-аккаунтов

Не­зави­симый иссле­дова­тель обна­ружил уяз­вимость, которая поз­воляла подоб­рать номер телефо­на для любого акка­унта Google. Проб­лема соз­давала серь­езные рис­ки фишин­говых атак и атак на под­мену SIM-карт.

Проб­лему нашел ИБ‑спе­циалист, извес­тный под псев­донимом BruteCat. Напом­ним, что в начале текуще­го года он рас­ска­зывал о дру­гом баге, бла­года­ря которо­му мож­но было узнать адрес элек­трон­ной поч­ты для любого акка­унта на YouTube.

Но­вая ата­ка стро­ится вок­руг исполь­зования уста­рев­шей фор­мы Google с отклю­чен­ным JavaScript (accounts.google(.)com/signin/usernamerecovery), в которой отсутс­тво­вали сов­ремен­ные механиз­мы защиты от зло­упот­ребле­ний.

Эта стра­ница соз­давалась для того, что­бы поль­зовате­ли мог­ли про­верить, свя­зан ли резер­вный адрес элек­трон­ной поч­ты или номер телефо­на с опре­делен­ным отоб­ража­емым име­нем — display name (нап­ример, John Smith).

Как объ­ясня­ет BruteCat в сво­ем отче­те, в ито­ге новая ата­ка поз­воляла узнать номер телефо­на, который человек исполь­зовал, нас­тра­ивая вос­ста­нов­ление для акка­унта Google. В подав­ляющем боль­шинс­тве слу­чаев этот номер сов­пада­ет с основным телефон­ным номером жер­твы.

Ста­рая фор­ма без JavaScript помога­ла узнать, свя­зан ли кон­крет­ный номер телефо­на с акка­унтом Google, с помощью пары зап­росов, осно­выва­ясь на отоб­ража­емом име­ни поль­зовате­ля.

Ис­сле­дова­тель без тру­да обо­шел при­митив­ную защиту от мас­совых зап­росов, реали­зован­ную в этой фор­ме, исполь­зуя ротацию IPv6-адре­сов для генера­ции трил­лионов уни­каль­ных IP через под­сети /64.

Об­мануть CAPTCHA, которая отоб­ражалась при зап­росах, уда­лось, под­ста­вив в параметр bgresponse=js_disabled дей­стви­тель­ный токен BotGuard, взя­тый из фор­мы с под­дер­жкой JS.

В ито­ге спе­циалист соз­дал брут­форс‑инс­тру­мент, который переби­рал диапа­зоны номеров, исполь­зуя фор­маты, харак­терные для раз­ных стран, и отфиль­тро­вывал лож­ные сра­баты­вания.

Так­же BruteCat исполь­зовал решение libphonenumber от Google для генера­ции кор­рек­тных фор­матов номеров, соз­дал базу масок телефон­ных номеров раз­ных стран для опре­деле­ния фор­матов номеров по реги­онам, а так­же написал скрипт для генера­ции токенов BotGuard через headless Chrome.

В резуль­тате получи­лось решение, спо­соб­ное осу­щест­влять перебор со ско­ростью око­ло 40 тысяч зап­росов в секун­ду. Таким обра­зом, на поиск телефон­ных номеров в США тре­бова­лось око­ло 20 мин, в Великоб­ритании — 4 мин, в Нидер­ландах — менее 15 с, а в Син­гапуре — менее 5 с.

Но что­бы про­вес­ти ата­ку на кон­крет­ного челове­ка, тре­бова­лось выпол­нить еще нес­коль­ко допол­нитель­ных шагов. Дело в том, что еще нес­коль­ко лет назад узнать чужой display name не сос­тавля­ло тру­да, но с 2023 года раз­работ­чики Google начали скры­вать отоб­ража­емое имя, если перед этим не было вза­имо­дей­ствия меж­ду жер­твой и ата­кующим, а в 2024 году прак­тичес­ки пол­ностью отклю­чили отоб­ражение display name для боль­шинс­тва сер­висов.

BruteCat обна­ружил, что для обхо­да этих огра­ниче­ний мож­но соз­дать документ Looker Studio и наз­начить жер­тву его вла­дель­цем (исполь­зуя ее адрес на Gmail). В этом слу­чае отоб­ража­емое имя учет­ной записи Google появ­лялось в Looker Studio, где поль­зователь ста­новил­ся вла­дель­цем докумен­та.

Во­ору­жив­шись получен­ной информа­цией, ата­кующий получал воз­можность выпол­нять пов­торя­ющиеся зап­росы, что­бы извлечь все телефон­ные номера, свя­зан­ные с кон­крет­ным display name.

Пос­коль­ку учет­ных записей с оди­нако­выми отоб­ража­емы­ми име­нами мог­ли быть тысячи, иссле­дова­тель сужал круг поис­ка, исполь­зуя час­тичный номер телефо­на цели. Что­бы узнать час­тичный номер телефо­на жер­твы, он вос­поль­зовал­ся фун­кци­ей вос­ста­нов­ления акка­унта Google (https://g(.)co/AccountRecoveryRequest), которая поз­воля­ет уви­деть две пос­ледние циф­ры номера, исполь­зующе­гося для вос­ста­нов­ления (нап­ример, ** ******03).

«Вре­мя брут­форса мож­но зна­читель­но сок­ратить за счет под­ска­зок о номере телефо­на, взя­тых из про­цеду­ры сбро­са пароля в дру­гих сер­висах (нап­ример, PayPal), которые показы­вают еще нес­коль­ко цифр (нап­ример, +14*****1779)», — отме­чает BruteCat.

Ви­деоде­монс­тра­цию экс­плу­ата­ции этой уяз­вимос­ти мож­но уви­деть здесь.

Ис­ходно BruteCat уве­домил Google о проб­леме через прог­рамму bug bounty в апре­ле 2025 года. Одна­ко тог­да раз­работ­чики Google соч­ли рис­ки от уяз­вимос­ти низ­кими, и толь­ко 22 мая 2025 года ком­пания повыси­ла уро­вень опас­ности этой проб­лемы до сред­него и при­мени­ла вре­мен­ные меры для ее устра­нения. В ито­ге BruteCat получил за свою наход­ку воз­награж­дение в раз­мере 5000 дол­ларов.

6 июня 2025 года Google окон­чатель­но зак­рыла дос­туп к уяз­вимому эндпо­инту без JavaScript. То есть осу­щес­твить опи­сан­ную иссле­дова­телем ата­ку уже нель­зя, одна­ко неиз­вес­тно, не исполь­зовались ли обна­ружен­ные BruteCat проб­лемы зло­умыш­ленни­ками ранее.

Новый мощнейший DDoS в истории

• Ком­пания Cloudflare сооб­щила, что еще в мае 2025 года она ней­тра­лизо­вала мощ­ней­шую на дан­ный момент DDoS-ата­ку, пиковая мощ­ность которой дос­тигла 7,3 Тбит/с. Ата­ка была нап­равле­на на неназ­ванно­го хос­тинг‑про­вай­дера.

• Ата­ка на 12% прев­зошла пре­дыду­щий рекорд, уста­нов­ленный в янва­ре текуще­го года и сос­тавляв­ший 5,6 Тбит/с.
• Все­го за 45 с был передан огромный объ­ем дан­ных — 37,4 Тбайт. Это экви­вален­тно при­мер­но 7500 ч потоко­вого HD-вещания или переда­че 12 500 000 фотог­рафий в фор­мате JPEG.
• Ата­ка исхо­дила со 122 145 IP-адре­сов. Основны­ми источни­ками тра­фика ста­ли: Бра­зилия, Вьет­нам, Индо­незия, Китай, Саудов­ская Ара­вия, США, Таиланд, Тай­вань, Укра­ина и Эква­дор.

• Ос­новной объ­ем тра­фика ата­кующих пред­став­лял собой UDP-флуд (99,996% от обще­го объ­ема тра­фика).

Kali Linux 2025.2

Вто­рой в этом году релиз Kali Linux (2025.2) уже дос­тупен для заг­рузки, осна­щен три­над­цатью новыми инс­тру­мен­тами и получил рас­ширен­ные воз­можнос­ти для взло­ма авто­моби­лей.

В этом выпус­ке раз­работ­чики добави­ли мно­жес­тво новых фун­кций и усо­вер­шенс­тво­вали поль­зователь­ский интерфейс. Сре­ди замет­ных изме­нений мож­но выделить:

• пере­име­нова­ние и обновле­ние набора инс­тру­мен­тов для взло­ма авто­моби­лей;
• обновле­ние меню и поль­зователь­ско­го интерфей­са Kali;
• обновле­ние Kali NetHunter;
• новые инс­тру­мен­ты для хакин­га.

С релизом Kali Linux 2025.2 CAN Arsenal был пере­име­нован в CARsenal, что луч­ше отра­жает пред­назна­чение набора инс­тру­мен­тов, ори­енти­рован­ного на взлом авто­моби­лей. Кро­ме того, теперь он обла­дает более удоб­ным интерфей­сом.

В обновлен­ный CARsenal вош­ли сле­дующие новые инс­тру­мен­ты:

• hlcand — модифи­циро­ван­ный slcand для исполь­зования ELM327;
• VIN Info — рас­шифро­выва­ет VIN-номер;
• CaringCaribou — пре­дос­тавля­ет модули Listener, Dump, Fuzzer, Send, UDS и XCP;
• ICSim — симуля­тор VCAN для тес­тирова­ния CARsenal без необ­ходимос­ти исполь­зования аппа­рат­ных средств.

Ме­ню Kali было реор­ганизо­вано в соот­ветс­твии с MITRE ATT&CK, что дол­жно упростить поиск нуж­ных инс­тру­мен­тов как для крас­ных, так и для синих команд. Ранее струк­тура меню стро­илась на ста­рых сис­темах (WHAX и BackTrack), которые зат­рудня­ли мас­шта­биро­вание и добав­ление новых инс­тру­мен­тов, что вызыва­ло путани­цу при попыт­ке най­ти похожие инс­тру­мен­ты.

«Мы соз­дали новую сис­тему и авто­мати­зиро­вали мно­гие аспекты, что облегча­ет нам управле­ние, а вам — поиск. Все в выиг­рыше. Со вре­менем мы наде­емся добавить все это на сайт kali.org/tools/, — пишут раз­работ­чики Kali Team. — Одна­ко в нас­тоящее вре­мя Kali Purple все еще исполь­зует NIST CSF (National Institute of Standards and Technology Critical Infrastructure Cybersecurity), а не MITRE D3FEND».

Так­же сле­дует отме­тить, что GNOME обно­вил­ся до вер­сии 48, а KDE Plasma — до вер­сии 6.3; поль­зователь­ский интерфейс стал более чет­ким, темы были улуч­шены, а при­ложе­ние для чте­ния докумен­тов Evince замени­ли новым при­ложе­нием Papers.

Что каса­ется новых инс­тру­мен­тов, их в Kali Linux 2025.2 нас­читыва­ется целых три­над­цать:

• azurehound — сбор­щик дан­ных BloodHound из Microsoft Azure;
• binwalk3 — инс­тру­мент для ана­лиза про­шивок;
• bloodhound-ce-python — сбор­щик дан­ных для BloodHound CE на базе Python;
• bopscrk — генера­тор умных и эффектив­ных спис­ков слов;
• chisel-common-binaries — готовые бинар­ники для chisel;
• crlfuzz — быс­трый инс­тру­мент для про­вер­ки CRLF-уяз­вимос­тей, написан­ный на Go (добав­лено @Arszilla);
• donut-shellcode — генера­тор позици­онно незави­симо­го шелл‑кода с запус­ком из памяти;
• gitxray — ска­ниру­ет репози­тории GitHub и кон­трибь­юто­ров для сбо­ра дан­ных (добав­лено @weirdlantern);
• ldeep — ути­лита для глу­бокой эну­мера­ции LDAP;
• ligolo-ng-common-binaries — готовые бинар­ники для Advanced ligolo-ng;
• rubeus — инс­тру­мент для низ­коуров­невых опе­раций с Kerberos и про­веде­ния атак;
• sharphound — сбор­щик для BloodHound CE;
• tinja — CLI-инс­тру­мент для тес­тирова­ния веб‑стра­ниц на пред­мет инъ­екций шаб­лонов.

По­мимо перечис­ленно­го, в Kali Linux 2025.2 появи­лась под­дер­жка бес­про­вод­ных инъ­екций, деаутен­тифика­ции и перех­вата хен­дшей­ков WPA2 для пер­вых смарт‑часов TicWatch Pro 3 (все вари­анты с чип­сетом bcm43436b0).

Кро­ме того, коман­да Kali подели­лась ти­зером, демонс­три­рующим работу Kali NetHunter KeX на голов­ных устрой­ствах Android Auto, и пред­ста­вила новые и обновлен­ные ядра Kali NetHunter, вклю­чая:

• Xiaomi Redmi 4/4X (A13, новое от @MomboteQ);
• Xiaomi Redmi Note 11 (A15, новое от @Madara273);
• Realme C15 (A10) (обновле­ние от @Frostleaft07);
• Samsung Galaxy S10 (A14, A15, exynos9820, обновле­ние от @V0lk3n);
• Samsung Galaxy S9 (A13, exynos9810, обновле­ние от @V0lk3n).

Дуров ответил на обвинения

Па­вел Дуров выс­тупил на кон­ферен­ции, пос­вящен­ной пра­вам челове­ка (орга­низо­вана меж­дународ­ной НКО Human Rights House Foundation, деятель­ность которой приз­нана нежела­тель­ной в РФ).

В начале сво­его выс­тупле­ния осно­ватель Telegram отве­тил на обви­нения в том, что он зависим от той или иной государс­твен­ной струк­туры.

«Я рус­ский и ско­рее умру, чем ста­ну чьим‑либо акти­вом. Полагаю, люди, которые выс­казыва­ют такое мне­ние, мало зна­ют о моем жиз­ненном пути — о том, чем я занимал­ся до Telegram, какую роль „ВКон­такте“ и Telegram сыг­рали в воп­росах защиты сво­боды, выраже­ния мне­ний, сво­боды соб­раний и неп­рикос­новен­ности час­тной жиз­ни в Вос­точной Евро­пе», — заявил Дуров.

Android-малварь с виртуализацией

Но­вая вер­сия Android-мал­вари Godfather соз­дает изо­лиро­ван­ные вир­туаль­ные сре­ды на мобиль­ных устрой­ствах, что­бы похищать дан­ные из бан­ков­ских при­ложе­ний.

Впер­вые Godfather был замечен еще в мар­те 2021 года иссле­дова­теля­ми из ком­пании ThreatFabric. С тех пор бан­кер пре­тер­пел замет­ные изме­нения и силь­но отли­чает­ся от пос­ледне­го образца, изу­чен­ного Group-IB в декаб­ре 2022 года. Тог­да вре­донос ата­ковал 400 крип­товалют­ных и бан­ков­ских при­ложе­ний в 16 стра­нах мира, исполь­зуя HTML-овер­леи.

Как теперь рас­ска­зали спе­циалис­ты Zimperium, нашед­шие новую модифи­кацию Godfather, мал­варь выпол­няет­ся на устрой­стве в кон­тро­лиру­емой вир­туаль­ной сре­де, что поз­воля­ет в режиме реаль­ного вре­мени шпи­онить, похищать учет­ные дан­ные, а так­же манипу­лиро­вать тран­закци­ями, при этом сох­раняя надеж­ную мас­киров­ку.

Впер­вые подоб­ная так­тика была при­мене­на в кон­це 2023 года в мал­вари FjordPhantom для Android, которая тоже исполь­зовала вир­туали­зацию для выпол­нения бан­ков­ских при­ложе­ний внут­ри кон­тей­неров, что­бы избе­жать обна­руже­ния.

Од­нако если FjordPhantom был нацелен толь­ко на поль­зовате­лей из Юго‑Вос­точной Азии, то область атак Godfather гораз­до шире: он нацелен более чем на 500 бан­ков­ских, крип­товалют­ных и e-commerce-при­ложе­ний по все­му миру. В ата­ках Godfather при­меня­ется вир­туаль­ная фай­ловая сис­тема, вир­туаль­ный иден­тифика­тор про­цес­са, под­мена Intent’ов и StubActivity.

В резуль­тате, по сло­вам экспер­тов, поль­зователь видит толь­ко реаль­ный интерфейс при­ложе­ния, а защит­ные механиз­мы Android не замеча­ют вре­донос­ной активнос­ти, пос­коль­ку в манифес­те заяв­лены толь­ко дей­ствия хост‑при­ложе­ния.

Godfather рас­простра­няет­ся в фор­мате APK-фай­ла, содер­жащего встро­енный фрей­мворк вир­туали­зации. Мал­варь исполь­зует в работе такие опен­сор­сные инс­тру­мен­ты, как VirtualApp и Xposed для перех­вата вызовов.

Пос­ле акти­вации на устрой­стве жер­твы вре­донос про­веря­ет наличие уста­нов­ленных целевых при­ложе­ний и, если они най­дены, помеща­ет их в свою вир­туаль­ную сре­ду, исполь­зуя StubActivity для запус­ка внут­ри хост‑кон­тей­нера.

StubActivity фак­тичес­ки явля­ется пус­тышкой, под­став­ной Activity, встро­енной во вре­донос­ный APK с движ­ком вир­туали­зации. Она не име­ет UI или собс­твен­ной логики — слу­жит лишь прок­си, соз­дает кон­тей­нер и запус­кает нас­тоящие Activity из целевых (нап­ример, бан­ков­ских) при­ложе­ний внут­ри вир­туаль­ной сре­ды. Тем самым Godfather обма­ныва­ет Android, зас­тавляя сис­тему счи­тать, что запус­кает­ся легитим­ное при­ложе­ние, тог­да как на самом деле мал­варь перех­ватыва­ет и кон­тро­лиру­ет его.

Ког­да поль­зователь запус­кает нас­тоящее бан­ков­ское при­ложе­ние, Godfather, ранее получив­ший раз­решение на исполь­зование Accessibility Service, перех­ватыва­ет Intent и перенап­равля­ет его в StubActivity внут­ри хост‑при­ложе­ния. В ито­ге вир­туали­зиро­ван­ная копия бан­ков­ско­го при­ложе­ния запус­кает­ся внут­ри кон­тей­нера. Таким обра­зом, поль­зователь видит реаль­ный интерфейс при­ложе­ния, но все свя­зан­ные с ним кон­фиден­циаль­ные дан­ные могут быть лег­ко перех­вачены.

Упо­мяну­тый выше Xposed при­меня­ется для API-хукин­га, и Godfather получа­ет воз­можность сох­ранять учет­ные дан­ные, пароли, PIN-коды, отсле­живать касания и получать отве­ты от бан­ков­ско­го бэкен­да.

Кро­ме того, в клю­чевые момен­ты мал­варь отоб­ража­ет под­дель­ный овер­лей, что­бы обма­ном вынудить жер­тву ввес­ти PIN-код или пароль.

Пос­ле сбо­ра и переда­чи всех дан­ных сво­им опе­рато­рам Godfather ожи­дает даль­нейшей коман­ды от хакеров, что­бы раз­бло­киро­вать устрой­ство, совер­шить опре­делен­ные опе­рации с поль­зователь­ским интерфей­сом, открыть при­ложе­ние и осу­щес­твить пла­теж или перевод из нас­тояще­го бан­ков­ско­го при­ложе­ния.

При­чем поль­зователь в это вре­мя видит фаль­шивый экран «обновле­ния» или чер­ный экран, что­бы подоз­ритель­ная активность не прив­лекла его вни­мание.

Хо­тя обна­ружен­ная Zimperium кам­пания нацеле­на толь­ко на ряд турец­ких бан­ков­ских при­ложе­ний, иссле­дова­тели пре­дуп­режда­ют, что дру­гие опе­рато­ры Godfather могут выб­рать любые под­мно­жес­тва из 500 целевых при­ложе­ний для ата­ки на дру­гие реги­оны.

Трафик Cloudflare снизился на 30%

• С начала июня 2025 года тра­фик Cloudflare в Рос­сии сни­зил­ся при­мер­но на треть.

• При этом более 40% сай­тов в Рунете исполь­зуют Cloudflare (око­ло 300 тысяч ресур­сов), и око­ло 45% сай­тов малого и сред­него биз­неса исполь­зуют бес­плат­ные сер­тифика­ты Let’s Encrypt от Cloudflare.
• Хо­тя ранее Рос­комнад­зор при­зывал вла­дель­цев рос­сий­ских интернет‑ресур­сов отка­зать­ся от исполь­зования сер­виса, сей­час в ведомс­тве объ­ясни­ли сни­жение объ­емов тра­фика проб­лемами у «отдель­ных зарубеж­ных хос­тинг‑про­вай­деров».

Проблемы udisks

Две све­жие уяз­вимос­ти локаль­ного повыше­ния при­виле­гий могут исполь­зовать­ся для получе­ния root-при­виле­гий в сис­темах, работа­ющих под управле­нием популяр­ных дис­три­бути­вов Linux.

Пер­вая ошиб­ка (CVE-2025-6018) была обна­руже­на в кон­фигура­ции фрей­мвор­ка Pluggable Authentication Modules (PAM) в openSUSE Leap 15 и SUSE Linux Enterprise 15. Проб­лема поз­воля­ет локаль­ным ата­кующим получить при­виле­гии поль­зовате­ля allow_active.

Вто­рая ошиб­ка (CVE-2025-6019) обна­руже­на в libblockdev и поз­воля­ет поль­зовате­лю allow_active получить пра­ва root через демон udisks (служ­ба управле­ния хра­нени­ем дан­ных, которая по умол­чанию исполь­зует­ся в боль­шинс­тве дис­три­бути­вов Linux).

Хо­тя объ­еди­нение этих уяз­вимос­тей в цепоч­ку local-to-root поз­воля­ет зло­умыш­ленни­кам быс­тро получить root-при­виле­гии и пол­ностью зах­ватить кон­троль над сис­темой, под­черки­вает­ся, что проб­лема libblockdev/udisks чрез­вычай­но опас­на даже сама по себе.

«Хотя фор­маль­но для экс­плу­ата­ции уяз­вимос­ти тре­буют­ся при­виле­гии allow_active, по умол­чанию udisks вхо­дит в сос­тав поч­ти всех дис­три­бути­вов Linux, поэто­му прак­тичес­ки любая сис­тема уяз­вима, — объ­ясни­ли экспер­ты Qualys Threat Research Unit, обна­ружив­шие обе проб­лемы. — Тех­ники получе­ния прав allow_active, вклю­чая рас­кры­тую выше проб­лему с PAM, еще боль­ше сни­жают этот барь­ер. Зло­умыш­ленник может исполь­зовать эти уяз­вимос­ти для немед­ленной ком­про­мета­ции сис­темы с минималь­ными уси­лиями».

Спе­циалис­ты Qualys соз­дали PoC-экс­пло­иты и успешно при­мени­ли уяз­вимость CVE-2025-6019 для получе­ния root-прав в сис­темах под управле­нием Ubuntu, Debian, Fedora и openSUSE Leap 15.

В сво­ем отче­те коман­да Qualys Security Advisory подели­лась бо­лее под­робной тех­ничес­кой информа­цией об уяз­вимос­тях, а ссыл­ки на исправ­ления мож­но най­ти в Openwall.

«Учи­тывая пов­семес­тное рас­простра­нение udisks и прос­тоту экс­плу­ата­ции, орга­низа­ции дол­жны рас­смат­ривать эту уяз­вимость как кри­тичес­кий и пос­тоян­ный риск и незамед­литель­но раз­вернуть исправ­ления», — говорят экспер­ты.

Cookie в даркнете

• Ана­лити­ки NordVPN под­счи­тали, что в дар­кне­те и в Telegram про­дают­ся мил­лиар­ды укра­ден­ных фай­лов cookie. Око­ло 7–9% этих cookie все еще активны и могут исполь­зовать­ся зло­умыш­ленни­ками.
• Сум­марно прес­тупни­кам дос­тупны для покуп­ки более 93,7 мил­лиар­да фай­лов cookie.
• По­дав­ляющее боль­шинс­тво укра­ден­ных cookie (90,25%) содер­жат дан­ные, которые пред­назна­чены для иден­тифика­ции поль­зовате­лей и дос­тавки целевой рек­ламы.
• Так­же cookie могут содер­жать име­на, домаш­ние адре­са и адре­са элек­трон­ной поч­ты, дан­ные мес­тополо­жения, пароли, номера телефо­нов. Но такая информа­ция при­сутс­тву­ет толь­ко в 0,5% всех укра­ден­ных cookie.

• Еще сookie могут содер­жать све­дения о сеан­сах поль­зовате­лей. Более 1,2 мил­лиар­да таких фай­лов все еще активны (при­мер­но 6% от обще­го чис­ла).
• Ча­ще все­го cookie попада­ют в руки зло­умыш­ленни­ков бла­года­ря инфости­лерам. Лидером в этой области иссле­дова­тели наз­вали сти­лер Redline (с ним были свя­заны 44% всех обна­ружен­ных фай­лов cookie). Вто­рое, третье и чет­вертое мес­та в спис­ке занима­ют Vidar, LummaC2 и Meta.

Рекомендуем почитать:

Хакер #314. Разведка по плану

• Содержание выпуска
• Подписка на «Хакер»-60%

Уничтожение активов Nobitex

Про­изра­иль­ская хак­груп­па Predatory Sparrow взя­ла на себя ответс­твен­ность за взлом круп­ней­шей иран­ской крип­тобир­жи Nobitex. Хакеры похити­ли более 90 мил­лионов дол­ларов в крип­товалю­те и умыш­ленно «сож­гли» эти средс­тва.

«Сегод­ня утром 19 июня наша тех­ничес­кая коман­да обна­ружи­ла приз­наки несан­кци­они­рован­ного дос­тупа к час­ти нашей инфраструк­туры и горяче­му кошель­ку, — гла­сит офи­циаль­ное сооб­щение Nobitex. — Сра­зу же пос­ле обна­руже­ния инци­ден­та все дос­тупы были отоз­ваны, и наши внут­ренние спе­циалис­ты по безопас­ности тща­тель­но рас­сле­дуют мас­шта­бы инци­ден­та».

Вско­ре пос­ле это­го груп­пиров­ка Predatory Sparrow взя­ла на себя ответс­твен­ность за ата­ку. В соц­сети X хакеры пообе­щали вско­ре опуб­ликовать исходные коды Nobitex и внут­реннюю информа­цию, похищен­ную в резуль­тате взло­ма. Ата­кующие пре­дуп­режда­ют, что пос­ле пуб­ликации дан­ных любые акти­вы, которые оста­нут­ся на Nobitex, «будут под угро­зой».

«Бир­жа Nobitex явля­ется сер­дцем уси­лий режима по финан­сирова­нию тер­рора по все­му миру, а так­же любимым инс­тру­мен­том режима для наруше­ния сан­кций», — заяви­ли Predatory Sparrow.

Блок­чейн‑ана­лити­ки из ком­пании Elliptic рас­ска­зали, что из кошель­ков Nobitex было укра­дено более 90 мил­лионов дол­ларов в крип­товалю­те, пос­ле чего эти средс­тва нап­равились на адре­са, кон­тро­лиру­емые хакера­ми.

Но похоже, Predatory Sparrow не пыталась извлечь выгоду из это­го взло­ма. Дело в том, что хак­груп­па отпра­вила поч­ти всю крип­товалю­ту на vanity-адре­са с анти­ислам­ски­ми сооб­щени­ями (нап­ример, F%ckIRGCterrorists).

Ис­сле­дова­тели объ­ясни­ли, что для соз­дания таких адре­сов тре­буют­ся огромные вычис­литель­ные мощ­ности и соз­дание столь длин­ных строк в vanity-адре­сах невоз­можно тех­ничес­ки. То есть хакеры намерен­но «сож­гли» крип­товалю­ту, что­бы ник­то не смог получить к ней дос­туп.

«Эта ата­ка не выг­лядит финан­сово мотиви­рован­ной, — пишут в Elliptic. — Vanity-адре­са, исполь­зован­ные хакера­ми, генери­руют­ся пос­редс­твом брут­форса — с помощью соз­дания боль­шого количес­тва пар крип­тогра­фичес­ких клю­чей, пока одна из них не будет содер­жать нуж­ный текст. Но соз­дание vanity-адре­сов с такими длин­ными тек­сто­выми стро­ками, какие исполь­зовались в этом слу­чае, невыпол­нимо с вычис­литель­ной точ­ки зре­ния».

Сто­ит отме­тить, что за день до ата­ки Nobitex груп­пиров­ка Predatory Sparrow взло­мала иран­ский банк Bank Sepah. Эта ата­ка тоже была ори­енти­рова­на на наруше­ние работы бан­ка и нанесе­ние ущер­ба, и хакеры не прес­ледова­ли финан­совую выгоду.

Шадаев о кадрах в ИТ

Выс­тупая на форуме на TAdviser Summit, министр циф­рового раз­вития свя­зи и мас­совых ком­муника­ций Мак­сут Шада­ев рас­ска­зал, что чис­ло ИТ‑спе­циалис­тов в Рос­сии пре­выси­ло мил­лион человек и спрос на них сох­раня­ется, хотя сей­час вос­тре­бова­ны более опыт­ные кад­ры.

«Пока мы не видим какой‑то тоталь­ной замороз­ки най­ма и того, что ком­пании, условно, уволь­няют айтиш­ников, потому что искусс­твен­ный интеллект пишет код и они боль­ше не нуж­ны. Нам кажет­ся, что здесь такой ажи­отаж нем­ножко раз­дутый. За пять лет количес­тво сот­рудни­ков ИТ‑ком­паний уве­личи­лось на 50%. Их было 990 тысяч на конец 2024 года, а сей­час мы, оче­вид­но, перешаг­нули мил­лион. В целом, я счи­таю, спрос оста­ется.

Дру­гое дело, что ажи­отаж при­вел к тому, что очень мно­гие пош­ли в эту про­фес­сию, прош­ли кур­сы онлайн, сей­час они джу­ны, которые говорят, что они все уме­ют, а ком­пани­ям нуж­ны мид­лы, нуж­ны силь­ные раз­работ­чики. В этом есть проб­лема.

(Все боль­ше) людей хочет устро­ить­ся в индус­трию, но качес­тво их под­готов­ки пока не соот­ветс­тву­ет ожи­дани­ям наших круп­ных ком­паний, потому что они как раз идут в сто­рону все более слож­ных раз­работок.

Но пот­ребность в кад­рах в моем понима­нии оста­ется. И я при­зываю молодое поколе­ние свя­зывать свою судь­бу с ИТ. Толь­ко чуть‑чуть надо сме­щать­ся в сто­рону робото­тех­ники, ИИ — это более слож­ные спе­циаль­нос­ти, но прог­ресс неос­тановим», — заявил Шада­ев.

ChatGPT запомнит все

Поль­зовате­лей OpenAI обес­поко­ило пос­танов­ление суда, в котором ком­панию обя­зали сох­ранять жур­налы чатов с ChatGPT, вклю­чая уда­лен­ные. Ком­пания уже подала апел­ляцию на пос­танов­ление, утвер­ждая, что оно зат­рагива­ет лич­ную жизнь сотен мил­лионов поль­зовате­лей ChatGPT по все­му миру.

В офи­циаль­ном заяв­лении COO OpenAI Брэд Лай­ткэп (Brad Lightcap) объ­яснил, что пос­танов­ление суда было вынесе­но по иску The New York Times и дру­гих новос­тных орга­низа­ций. Истцы утвер­жда­ют, что уда­лен­ные беседы с чат‑ботом могут содер­жать доказа­тель­ства того, что поль­зовате­ли побуж­дали ChatGPT генери­ровать тек­сты, в которых мог­ли вос­про­изво­дить­ся фраг­менты ста­тей, защищен­ных автор­ским пра­вом (нап­ример, матери­алы новос­тных изда­ний).

Де­ло в том, что, по заяв­лени­ям истцов, OpenAI неп­равомер­но исполь­зовала их матери­алы для обу­чения сво­их моделей. В ито­ге модели могут генери­ровать очень близ­кие к ори­гина­лу тек­сты и выдавать целые отрывки из защищен­ных автор­ским пра­вом пуб­ликаций.

Ре­шение суда о сох­ранении логов было вынесе­но пос­ле того, как новос­тные орга­низа­ции вырази­ли обес­поко­енность тем, что люди, исполь­зующие ChatGPT для обхо­да плат­ного дос­тупа, могут быть напуга­ны ходом раз­биратель­ства и «уда­лят все свои поис­ковые зап­росы и пром­пты, что­бы замес­ти сле­ды».

Что­бы выпол­нить судеб­ное пред­писание, OpenAI обя­зана «хра­нить весь поль­зователь­ский кон­тент в течение неоп­ределен­ного пери­ода вре­мени», осно­выва­ясь на пред­положе­нии, что истцы могут най­ти в логах «что‑то, под­твержда­ющее их доводы», объ­ясня­ют в ком­пании.

Пос­танов­ление зат­рагива­ет все чаты поль­зовате­лей ChatGPT Free, Plus и Pro, а так­же поль­зовате­лей API OpenAI. При этом под­черки­вает­ся, что пос­танов­ление не каса­ется кли­ентов ChatGPT Enterprise или ChatGPT Edu, а так­же всех, кто зак­лючил сог­лашение Zero Data Retention (по сути, спе­циаль­ный режим работы с API ком­пании, при котором дан­ные поль­зовате­ля вооб­ще не сох­раня­ются и не исполь­зуют­ся ни для ана­лиза, ни для обу­чения моделей).

В OpenAI сооб­щают, что уже подали ходатай­ство о при­оста­нов­лении исполне­ния пос­танов­ления. Одна­ко в нас­тоящее вре­мя ком­пания вынуж­дена отсту­пить от «дав­но усто­явшихся норм кон­фиден­циаль­нос­ти» и осла­бить пра­вила, на которые опи­рают­ся поль­зовате­ли в соот­ветс­твии с усло­виями пре­дос­тавле­ния услуг ChatGPT.

Кро­ме того, в заяв­лении ком­пании отме­чает­ся, что теперь OpenAI не уве­рена в том, что смо­жет соб­люсти стро­гий закон ЕС о защите дан­ных — General Data Protection Regulation (GDPR), который пре­дос­тавля­ет поль­зовате­лям «пра­во на заб­вение».

«Мы твер­до убеж­дены, что The New York Times выходит за рам­ки, — заяв­ляет Лай­ткэп. — Мы будем работать над обжа­лова­нием это­го пос­танов­ления, что­бы и даль­ше ста­вить ваше доверие и кон­фиден­циаль­ность на пер­вое мес­то».

К сво­ему заяв­лению OpenAI при­ложи­ла FAQ, в котором объ­ясня­ет, какие имен­но дан­ные поль­зовате­лей ком­пания хра­нит и как они могут быть рас­кры­ты. Нап­ример, как уже отме­чалось выше, пос­танов­ление не зат­рагива­ет биз­нес‑кли­ентов OpenAI API и поль­зовате­лей, зак­лючив­ших сог­лашения Zero Data Retention, пос­коль­ку их дан­ные не сох­раня­ются вооб­ще.

Что каса­ется всех осталь­ных, OpenAI заяв­ляет, что дос­туп к уда­лен­ным чатам поль­зовате­лей дей­стви­тель­но может быть получен, одна­ко они «не будут авто­мати­чес­ки переда­ны The New York Times». Вмес­то это­го дан­ные будут «хра­нить­ся в отдель­ной защищен­ной сис­теме», и к ним нель­зя будет получить дос­туп или исполь­зовать в иных целях, кро­ме выпол­нения юри­дичес­ких обя­затель­ств.

В ком­пании успо­каивают поль­зовате­лей, под­черки­вая, что «толь­ко неболь­шая, про­верен­ная коман­да юрис­тов и сот­рудни­ков служ­бы безопас­ности OpenAI смо­жет получить дос­туп к этим дан­ным, если это будет необ­ходимо для выпол­нения наших юри­дичес­ких обя­затель­ств».

Ошибка ботнета DanaBot

Эк­спер­ты рас­ска­зали об уяз­вимос­ти в DanaBot, которая появи­лась в коде мал­вари еще в июне 2022 года. Этот баг поз­волил иссле­дова­телям выявить опе­рато­ров DanaBot, предъ­явить им обви­нения, а так­же нарушить работу бот­нета в мае 2025 года.

Бот­нет DanaBot по­явил­ся еще в 2018 году. Изна­чаль­но вре­донос был нацелен на Укра­ину, Поль­шу, Авс­трию, Ита­лию, Гер­манию и Авс­тра­лию, но вско­ре рас­ширил­ся и на Север­ную Аме­рику.

Он рас­простра­нял­ся по модели MaaS (malware-as-a-service, «мал­варь как услу­га») и сна­чала был бан­ков­ским тро­яном, поз­воляв­шим похищать кон­фиден­циаль­ные дан­ные из заражен­ных сис­тем. Одна­ко поз­же он прев­ратил­ся в плат­форму рас­простра­нения и заг­рузчик для дру­гих семей­ств вре­донос­ных прог­рамм, вклю­чая вымога­тель­ское ПО.

Кро­ме того, поз­же адми­нис­тра­торы DanaBot соз­дали вто­рую вер­сию сво­его бот­нета для кибер­шпи­она­жа, нацелен­ную на воен­ные, дип­ломати­чес­кие и пра­витель­ствен­ные орга­низа­ции в Север­ной Аме­рике и стра­нах Евро­пы.

Спе­циалис­ты ком­пании Zscaler, обна­ружив­шие в коде мал­вари уяз­вимость, которая получи­ла наз­вание DanaBleed, объ­ясня­ют, что эта утеч­ка памяти поз­воляла про­ник­нуть во внут­ренние опе­рации зло­умыш­ленни­ков и узнать, кто за ними сто­ит.

Бла­года­ря уяз­вимос­ти была соб­рана цен­ная информа­ция о кибер­прес­тупни­ках, что поз­волило пра­воох­ранитель­ным орга­нам про­вес­ти опе­рацию «Энд­шпиль» и вывес­ти инфраструк­туру DanaBot из строя, а так­же выдать орде­ра на арест шес­тнад­цати граж­дан Рос­сии, которые яко­бы свя­заны с активностью мал­вари.

По сло­вам спе­циалис­тов, проб­лема DanaBleed появи­лась в коде вре­доно­са в июне 2022 года, в вер­сии 2380, куда был добав­лен новый C&C-про­токол. Ошиб­ка в логике нового про­токо­ла ока­залась свя­зана с механиз­мом генера­ции отве­тов сер­вера кли­ентам. Так, сер­вер дол­жен был вклю­чать в отве­ты слу­чай­но сге­нери­рован­ные бай­ты (padding bytes), одна­ко не ини­циали­зиро­вал для них недав­но выделен­ную память.

В ито­ге иссле­дова­тели Zscaler смог­ли соб­рать и про­ана­лизи­ровать боль­шое количес­тво C&C-отве­тов, которые из‑за бага содер­жали фраг­менты дан­ных из памяти сер­вера. Проб­лема получи­ла наз­вание DanaBleed, так как напоми­нала уяз­вимость HeartBleed, обна­ружен­ную в 2014 году и зат­ронув­шую OpenSSL.

С помощью DanaBleed иссле­дова­тели соб­рали широкий спектр дан­ных, вклю­чая:

• информа­цию об учас­тни­ках груп­пиров­ки (име­на поль­зовате­лей, IP-адре­са);
• дан­ные о бэкенд‑инфраструк­туре (IP-адре­са, домены управля­ющих сер­веров);
• дан­ные о жер­твах (IP-адре­са, учет­ные дан­ные, похищен­ная информа­ция);
• логи вне­сен­ных в мал­варь изме­нений;
• при­ват­ные крип­тогра­фичес­кие клю­чи;
• SQL-зап­росы и жур­налы отладки;
• фраг­менты HTML и веб‑интерфей­са панели управле­ния C&C.

Бо­лее трех лет DanaBot оста­вал­ся уяз­вимым, а раз­работ­чики и кли­енты мал­вари даже не подоз­ревали, что все это вре­мя за ними вни­матель­но наб­люда­ют ИБ‑спе­циалис­ты.

Пос­ле опе­рации «Энд­шпиль» подоз­рева­емым были предъ­явле­ны лишь заоч­ные обви­нения, и арес­тов не пос­ледова­ло. Иссле­дова­тели полага­ют, что кон­фиска­ция сер­веров, 2650 доменов и поч­ти 4 мил­лионов дол­ларов в крип­товалю­те поз­волит вре­мен­но ней­тра­лизо­вать угро­зу. Одна­ко не исклю­чает­ся, что в будущем DanaBot вновь вер­нется в строй и возоб­новит активность.

Сколько стоят данные

Спе­циалис­ты ком­пании F6 пред­ста­вили резуль­таты иссле­дова­ния дар­кне­та, про­ана­лизи­ровав кри­миналь­ные сдел­ки по про­даже дос­тупа к кор­поратив­ным сетям, БД и вре­донос­ных прог­рамм.

• Де­шев­ле все­го на хакер­ских форумах сто­ят учет­ные записи — в сред­нем от 10 дол­ларов за шту­ку.
• До­роже все­го обхо­дят­ся дос­тупы в пар­тнерские прог­раммы вымога­телей — до 100 тысяч дол­ларов, а так­же 0-day-уяз­вимос­ти, цена которых доходит до 250 тысяч дол­ларов.

• Кро­ме того, вос­тре­бован­ными у зло­умыш­ленни­ков ока­зались дос­тупы к кор­поратив­ным сетям. Их сто­имость начина­ется от 100–200 дол­ларов, но может доходить до 10 тысяч дол­ларов в зависи­мос­ти от мас­шта­ба орга­низа­ции, отрасли и уров­ня дос­тупа.

Атака на Cock.li

Поч­товый хос­тинг‑про­вай­дер Cock.li пос­тра­дал от утеч­ки дан­ных. Хакеры вос­поль­зовались уяз­вимос­тями в Roundcube Webmail и похити­ли более мил­лиона поль­зователь­ских записей.

Ин­цидент зат­ронул всех поль­зовате­лей, которые заходи­ли в поч­товый сер­вис с 2016 года (сог­ласно под­сче­там, это 1 023 800 человек). Так­же были рас­кры­ты кон­так­тные дан­ные еще 93 тысяч поль­зовате­лей.

Cock.li — это рас­положен­ный в Гер­мании бес­плат­ный поч­товый хос­тинг‑про­вай­дер, ори­енти­рован­ный на кон­фиден­циаль­ность. Сер­вис сущес­тву­ет с 2013 года, и им управля­ет единс­твен­ный адми­нис­тра­тор, извес­тный под псев­донимом Вин­сент Кен­филд (Vincent Canfield). Сер­вис рек­ламиру­ется как аль­тер­натива обыч­ным поч­товым про­вай­дерам и под­держи­вает стан­дар­тные про­токо­лы, вклю­чая SMTP, IMAP и TLS.

В основном Cock.li исполь­зуют люди, которые не доверя­ют круп­ным про­вай­дерам, а так­же чле­ны ИБ- и опен­сорс‑сооб­ществ. Кро­ме того, сер­вис весь­ма популя­рен сре­ди кибер­прес­тупни­ков, нап­ример свя­зан­ных с вымога­тель­ски­ми груп­пиров­ками Dharma и Phobos.

В прош­лом у плат­формы уже воз­никали юри­дичес­кие проб­лемы: в 2015 году немец­кие пра­воох­раните­ли кон­фиско­вали сер­вер и жес­ткие дис­ки Cock.li пос­ле того, как неиз­вес­тный разос­лал в учеб­ные учрежде­ния США пись­ма с лож­ным сооб­щени­ем о заложен­ной бом­бе.

Те­перь же работа Cock.li неожи­дан­но прер­валась в начале июня, и какое‑то вре­мя поль­зовате­ли мог­ли толь­ко гадать, что про­изош­ло.

Од­нако вско­ре на хак­форуме XSS появи­лось сооб­щение от зло­умыш­ленни­ка, который заявил, что про­дает две базы дан­ных с дам­пом Cock.li, содер­жащие кон­фиден­циаль­ную информа­цию о поль­зовате­лях. Хакер оце­нил дамп как минимум в один бит­коин (око­ло 104 тысяч дол­ларов по кур­су на момент раз­мещения пос­та).

Лишь нес­коль­ко дней спус­тя на сай­те Cock.li было опуб­ликова­но офи­циаль­ное заяв­ление, под­твержда­ющее факт взло­ма. Выяс­нилось, что хакерам дей­стви­тель­но уда­лось похитить информа­цию для 1 023 800 учет­ных записей, вклю­чая:

• адре­са элек­трон­ной поч­ты;
• вре­мен­ные мет­ки пер­вого и пос­ледне­го вхо­да в сис­тему;
• дан­ные о неудач­ных попыт­ках вхо­да и их количес­тве;
• язы­ковые нас­трой­ки;
• сери­али­зован­ный блоб нас­тро­ек Roundcube и email-под­пись;
• име­на кон­тактов (толь­ко для 10 400 акка­унтов);
• email-адре­са кон­тактов (толь­ко для 10 400 акка­унтов);
• vCards (толь­ко для 10 400 акка­унтов);
• ком­мента­рии (толь­ко для 10 400 акка­унтов).

В заяв­лении под­черки­валось, что пароли поль­зовате­лей, содер­жимое писем и IP-адре­са не были ском­про­мети­рова­ны, пос­коль­ку их не было в укра­ден­ных БД. Так­же сооб­щалось, что 10 400 поль­зовате­лей, у которых похити­ли кон­так­тную информа­цию треть­их лиц, получат отдель­ные уве­дом­ления.

В ито­ге всем, кто поль­зовал­ся сер­висом с 2016 года, рекомен­дует­ся как мож­но ско­рее сбро­сить пароли для сво­их учет­ных записей.

В Cock.li полага­ют, что дан­ные были укра­дены с помощью ста­рой уяз­вимос­ти SQL-инъ­екций в Roundcube Webmail (CVE-2021-44026). При этом незадол­го до взло­ма пред­ста­вите­ли сер­виса изу­чали более све­жую RCE-уяз­вимость в Roundcube (CVE-2025-49113), которая уже при­меня­ется в ата­ках. По резуль­татам это­го ана­лиза, в июне 2025 года Roundcube был пол­ностью уда­лен с плат­формы.

«Cock.li боль­ше не будет пред­лагать поль­зовате­лям Roundcube Webmail, — пишут пред­ста­вите­ли сер­виса. — Неваж­но, была ли наша вер­сия уяз­вима, мы узна­ли о Roundcube дос­таточ­но, что­бы нав­сегда от него отка­зать­ся. Мы опре­делен­но рас­смат­рива­ем воз­можность исполь­зования дру­гой веб‑поч­ты, но это не явля­ется при­ори­тет­ной задачей».

В офи­циаль­ном сооб­щении упо­мина­лось, что более эффектив­ные методы обес­печения безопас­ности мог­ли бы пре­дот­вра­тить взлом и утеч­ку поль­зователь­ских дан­ных. Так­же пред­ста­вите­ли сер­виса приз­нали, что «Cock.li вооб­ще не сто­ило исполь­зовать Roundcube».

Те­перь ИБ‑спе­циалис­ты полага­ют, что эта утеч­ка может ока­зать­ся цен­ным матери­алом для иссле­дова­телей и пра­воох­ранитель­ных орга­нов. Дело в том, что рас­кры­тая информа­ция может помочь получить допол­нитель­ные дан­ные о зло­умыш­ленни­ках, исполь­зующих эту плат­форму.

Отказ от устаревших драйверов

Ком­пания Microsoft объ­яви­ла, что будет пери­оди­чес­ки уда­лять уста­рев­шие драй­веры из катало­га Windows Update, что­бы сни­зить рис­ки и улуч­шить сов­мести­мость.

«Целью этой ини­циати­вы явля­ется пре­дос­тавле­ние опти­маль­ного набора драй­веров в Windows Update для раз­личных аппа­рат­ных решений в эко­сис­теме Windows, а так­же обес­печение безопас­ности Microsoft Windows, — гла­сит сооб­щение ком­пании. — Эта ини­циати­ва пред­полага­ет пери­оди­чес­кую очис­тку драй­веров в Windows Update, в резуль­тате чего некото­рые драй­веры не будут пре­дос­тавлять­ся сис­темам в нашей эко­сис­теме».

Как уточ­нили в ком­пании, пер­вый этап про­цеду­ры «очис­тки» зат­ронет драй­веры, для которых в Windows Update уже име­ются более новые аль­тер­нативы.

Под «очис­ткой» понима­ется уда­ление при­вяз­ки драй­веров с истекшим сро­ком дей­ствия к ауди­тори­ям в Windows Update, в резуль­тате чего они не будут пред­лагать­ся ни одной сис­теме под управле­нием Windows. Это будет реали­зова­но путем уда­ления соот­ветс­тву­ющих наз­начений ауди­торий ста­рых драй­веров в Hardware Development Center.

Так­же сооб­щает­ся, что в будущем Microsoft рас­ширит перечень катего­рий, которые могут быть исклю­чены из Windows Update ради повыше­ния безопас­ности. Отме­чает­ся, что при этом пар­тне­ры по‑преж­нему смо­гут пов­торно пуб­ликовать драй­веры, уда­лен­ные Microsoft, если пре­дос­тавят для это­го биз­нес‑обос­нование.

«Уда­ление уста­рев­ших драй­веров из Windows Update — это про­активная мера ком­пании Microsoft, нап­равлен­ная на обес­печение безопас­ности и повыше­ние качес­тва драй­веров для поль­зовате­лей Windows, — добав­ляют раз­работ­чики. — В даль­нейшем сле­дует ожи­дать, что очис­тка ста­нет обыч­ной прак­тикой, а так­же будут вве­дены новые рекомен­дации по пуб­ликации, которые помогут всем поль­зовате­лям Windows под­держи­вать свои сис­темы в безопас­ном и надеж­ном сос­тоянии».