НеИБи

ИИ-сапожник без ИБ-сапог Стартап Cathedral, которому несколько месяцев, за 12 часов работы ИИ-агентов нашёл ходы во внутренние системы Anthropic через уязвимости в стороннем софте для администрирования и продаж. По черновику отчёта, исследователи добрались до транскриптов встреч, зарплат и офферов, а также переписки в Slack о передовых моделях. Anthropic подтверждает доступ к «ограниченному набору» систем продаж, HR и IT, контактам части клиентов и партнёров и базовым учёткам. Промпты, ответы Claude, исходники и веса, по словам компании, не затронуты. Тест шёл в рамках bug bounty. Anthropic…

Опять MFA подвел Huntress десять недель наблюдала за кампанией против Microsoft 365. С 14 июля по 22 сентября 2026 года атакующие успешно вошли в 79 организаций, совершив 497 входов, и зарегистрировали как минимум 48 поддельных устройств в Entra ID. При этом пароли они не подбирали. Техника называется token spraying и заключается в распыляют украденные сессионные токены по множеству аккаунтов, надеясь, что хоть один еще жив. Чтобы вектор сработал, сначала жертву ловят на поддельной странице входа (adversary-in-the-middle). Прокси-сервер пропускает через себя настоящую страницу Microsoft и за…

PHP встал на паузу Прошло два дня с момента экстренного релиза патчей для критических уязвимостей ядра PHP. ИБ-сообщество замерло в ожидании первых крупных инцидентов, однако хакеры, похоже, пока демонстрируют больше усердия, чем результативности. По данным профильных мониторинговых агентств, число попыток сканирования и атак по всему миру уже исчисляется миллионами. Любопытно, что при такой плотности огня эксперты ИБ до сих пор не зафиксировали ни одного подтвержденного случая успешного взлома реальных систем. Тем не менее, наиболее консервативные зарубежные структуры, от азиатских больниц д…

Иггдрасиль пустил вредоносные корни ESET опубликовала разбор прошлогодней атаки на украинскую компанию по логистике зерна. И это первый задокументированный случай, когда государственная группировка использовала mesh-сеть Yggdrasil для сокрытия командного сервера. Атака началась 16 июля 2025 года с фишингового письма, а закончилась 17 сентября уничтожением данных через легитимную утилиту Microsoft SDelete. Yggdrasil — это экспериментальная децентрализованная сеть, которая строит зашифрованный слой поверх обычного интернета. Узлы соединяются напрямую, без центрального сервера, а трафик шифрует…

Итоги найденных уязвимостей в PHP. @antiinfosec

Рыба в банке Российский DevSecOps-вендор Swordfish Security заполучил мощного инвестора. ЗПИФ Pre-IPO 2 под управлением АО «ВИМ Инвестиции» купил 42,15% компании. Сумму не раскрыли, но рынок оценивает сделку примерно в 1,8–2,7 млрд рублей. Основатели Александр Пинаев и Юрий Сергеев сохранили по 28,92%. И это, честно говоря, повод для поздравления. Swordfish работает на рынке с 2013 года, выросла из консалтинга в группу с продуктами для безопасной разработки и защиты ИИ, а по итогам 2025 года увеличила выручку на 52% — до 2,1 млрд рублей. В эпоху, когда «AI Security» иногда означает просто Po…

ИИ-агент сказал «нет» OpenCode, открытый ИИ-агент для кодинга, который обычно используют как бесплатную альтернативу Claude Code, на прошлых выходных попал под атаку. Злоумышленники долбили его системы 48 часов подряд, в результате чего утекли API-ключи части клиентов, включая ключи для сервисов OpenAI, Anthropic и Google. Компания заявила, что инцидент связан с «крупномасштабной атакой дистилляции» и затронул 1,4% пользователей. Чтобы отбиться и разобраться в произошедшем, команда держала собственных ИИ-агентов включенными круглосуточно. Но тут начался бунт. Соучредитель OpenCode Дакс Раад…

Клю4 от всех дверей Индийский CA eMudhra попал в неприятную историю. Исследователь Flüpke показал, что приватные ключи восьми его промежуточных TLS-сертификатов можно восстановить почти мгновенно. Да-да, те промежуточные сертификаты, с которыми сейчас проблемы у российских сайтов. Впрочем, кажется индийский удостоверяющий центр в этой возне с отзывом не участвовал. Если его ключ eMudhra утек не в исследовательские руки, злоумышленник теоретически может выпустить поддельный HTTPS-сертификат для любого домена и убедить браузер, что перед вами настоящий банк, почта или корпоративный портал.…

Хешем единым 19 октября в официальном репозитории гитхаба CLI OVHcloud полтора часа раздавался стилер. Но самое неприятное в этой истории не то, что хакер подменил бинарники, а то, что заметил это не вендор, а клиент. Атакующий получил доступ к GitHub-аккаунту разработчика OVHcloud под ником HassenBF и заменил архивы в уже опубликованных релизах (с v0.11.0 по v0.15.0). Новых версий не выпускал, теги не трогал. Просто взял и перезаписал файлы поверх старых, обновив заодно checksums.txt, чтобы хеши на странице релиза выглядели легитимно. Окно, в которое стилер мог разлететься по машинам разра…

Хакеры взломали хостинг-провайдера FirstVDS через уязвимость в VMmanager 6, системе управления виртуализацией от ISPsystem (ГК «Астра»). На части узлов они запустили стилер, который подключал диски клиентских VDS и копировал с них SSH-ключи, API- и облачные токены, конфиги, историю команд, криптокошельки и пользовательские файлы. Всё уходило на сервер атакующих. Диски монтировались только на чтение, поэтому ничего не сломалось, и клиенты могли вообще ничего не заметить. FirstVDS пострадал не один: о взломе предупредили сразу несколько хостеров, среди них ForestNet Cloud, MHost, HSH Network и…