✔MEGANews. Cамые важные события в мире инфосека за май - «Новости»

Горелкин призвал уходить с GitHub

Пер­вый зам­пред комите­та Гос­думы по инфор­мпо­лити­ке и пред­седатель РОЦИТ Антон Горел­кин заявил, что ком­пания Microsoft, которой при­над­лежит GitHub, «не прос­то ушла из Рос­сии, но занима­ется откро­вен­ным вре­дитель­ством». По его сло­вам, ско­ро GitHub может стать недос­тупен в РФ, поэто­му рос­сий­ским раз­работ­чикам сле­дует как мож­но ско­рее перено­сить свои про­екты на аль­тер­натив­ные пло­щад­ки.

В мае 2026 года рос­сий­ские раз­работ­чики начали мас­сово жаловать­ся на проб­лемы с дос­тупностью GitHub. По сло­вам поль­зовате­лей, чис­ло неудач­ных под­клю­чений к плат­форме начало рас­ти 5 мая, и, по дан­ным OONI, в ито­ге доля ано­маль­ных соеди­нений пре­выси­ла 16%. В час­тнос­ти сооб­щалось о проб­лемах с домена­ми raw.githubusercontent.com и release-assets.githubusercontent.com, которые исполь­зуют­ся для заг­рузки фай­лов и релизов из репози­тори­ев.

При этом, как утвер­жда­ют спе­циалис­ты, проб­лемы наб­людались имен­но у поль­зовате­лей из РФ и в дру­гих стра­нах подоб­ной динами­ки зафик­сирова­но не было.

В начале мая пред­ста­вите­ли Рос­комнад­зора (РКН) со­обща­ли СМИ, что не огра­ничи­вают работу GitHub в Рос­сии. А раз­работ­чики GitHub пи­сали, что проб­лемы в работе плат­формы, воз­никшие в начале месяца, были свя­заны с про­цес­сами по уве­личе­нию мощ­ности и повыше­нию отка­зоус­той­чивос­ти.

Пос­ле это­го ситу­ацию про­ком­менти­ровал Антон Горел­кин. В сво­ем Telegram-канале он еще раз под­чер­кнул, что РКН не огра­ничи­вает работу GitHub, а потому при­чиной сбо­ев может быть «соз­натель­ная дис­кри­мина­ция рос­сий­ских поль­зовате­лей адми­нис­тра­цией плат­формы».

По мне­нию депута­та, проб­лемы мог­ли быть свя­заны с тем, что GitHub уже дав­но при­над­лежит ком­пании Microsoft. Горел­кин пишет:

По­нят­но, что боль­шинс­тво прог­раммис­тов от полити­ки далеки. Воз­можно, они не в кур­се, что GitHub уже дав­но при­над­лежит Microsoft. Эта ком­пания не прос­то ушла из Рос­сии, но занима­ется откро­вен­ным вре­дитель­ством (чего, нап­ример, сто­ит тен­денци­озное «иссле­дова­ние» уров­ня внед­рения ИИ). Так что не нуж­но удив­лять­ся проб­лемам с дос­тупом к GitHub с тер­ритории РФ — думаю, что количес­тво неудач­ных соеди­нений с 16% уже ско­ро дос­тигнет всех 100%.

По­это­му я бы рекомен­довал нашим раз­работ­чикам сроч­но перено­сить свои про­екты на дру­гие Git-репози­тории. Да, за мно­гие годы (и задол­го до при­хода Microsoft) GitHub стал не прос­то отрасле­вым стан­дартом, а цен­траль­ной точ­кой мно­гих сис­тем. Но от этой зависи­мос­ти пора ухо­дить — тем более есть хорошие оте­чес­твен­ные ана­логи (в том чис­ле с ней­росете­выми ассистен­тами не хуже, чем Copilot).

Го­рел­кин полага­ет, что через нес­коль­ко лет фраг­менти­зация интернет‑прос­транс­тва перес­танет вос­при­нимать­ся как неч­то из ряда вон выходя­щее, подоб­ные про­цес­сы будут толь­ко уси­ливать­ся и вмес­то гло­баль­ных плат­форм стра­ны нач­нут активнее раз­вивать собс­твен­ные сер­висы. Депутат зак­лючил:

Пом­ню, как все сме­ялись над Кита­ем, который «изоб­ретал колесо», — но, похоже, такой под­ход прос­то опе­редил свое вре­мя.

Пос­ле этой пуб­ликации, которую широко цитиро­вали СМИ, Горел­кин опуб­ликовал в Telegram вто­рой пост, где пояс­нил, что не называл GitHub вре­дитель­ской плат­формой и вов­се не при­зывал к ее бло­киров­ке.

К сожале­нию, некото­рые медиа отче­го‑то решили, что я при­зываю к бло­киров­ке этой плат­формы, хотя в исходном пос­те даже сло­ва такого нет, — писал Горел­кин. — Я лишь кон­ста­тирую факт дис­кри­мина­ции рос­сий­ских поль­зовате­лей со сто­роны ее вла­дель­цев. И этим занима­ется не толь­ко Microsoft: нап­ример, недав­но ста­ло извес­тно о мас­совом бане акка­унтов из РФ в ней­росети Claude. Мно­гие наши раз­работ­чики потеря­ли там дос­туп к сво­им про­ектам, и тот же сце­нарий может пов­торить­ся уже в гораз­до более серь­езном мас­шта­бе — если Microsoft про­дол­жит свою полити­ку.

И да, я не называл эту плат­форму вре­дитель­ской. Нап­ротив, счи­таю ее чрез­вычай­но цен­ной (почитай­те пер­воис­точник: «GitHub стал не прос­то отрасле­вым стан­дартом, а цен­траль­ной точ­кой мно­гих сис­тем»). Имен­но эта цен­ность, понима­ние важ­ности плат­формы для рос­сий­ско­го ИТ‑сооб­щес­тва, похоже, и раз­дра­жает ее вла­дель­цев с каж­дым днем все боль­ше. И объ­ективные дан­ные говорят о том, что про­цесс огра­ниче­ния дос­тупа к GitHub был ини­цииро­ван с той сто­роны.

Ос­нователь и ведущий раз­работ­чик Curl Дани­эль Стен­берг (Daniel Stenberg) про­тес­тировал зак­рытую ИИ‑модель Anthropic Claude Mythos, которую называ­ли слиш­ком опас­ной для пуб­лично­го релиза. Mythos про­ана­лизи­рова­ла око­ло 178 тысяч строк кода Curl и обна­ружи­ла толь­ко одну реаль­ную уяз­вимость низ­кой сте­пени серь­езности.

Стен­берг приз­нал, что ИИ уже полезен для поис­ка багов, но не уви­дел в Mythos ничего револю­цион­ного. В сво­ем бло­ге Стен­берг рас­кри­тико­вал ажи­отаж вок­руг модели и при­шел к выводу, что «весь хайп был в пер­вую оче­редь мар­кетин­говым трю­ком»:

Я не вижу никаких доказа­тель­ств того, что эта сис­тема ищет проб­лемы на каком‑то прин­ципи­аль­но более высоком уров­не, чем дру­гие инс­тру­мен­ты до Mythos.

В ито­ге Стен­берг резюми­ровал, что пока ИИ не «изоб­рета­ет» новые клас­сы уяз­вимос­тей, а прос­то луч­ше мас­шта­биру­ет поиск уже извес­тных проб­лем.

18-летняя уязвимость в Nginx

Ис­сле­дова­тели из ком­пании DepthFirst AI обна­ружи­ли в Nginx кри­тичес­кую уяз­вимость CVE-2026-42945, наб­равшую 9,2 бал­ла по шка­ле CVSS. Проб­лема зат­рагива­ет все вер­сии Nginx от 0.6.27 до 1.30.0 и сущес­тво­вала в коде око­ло 18 лет.

Nginx — один из самых популяр­ных веб‑сер­веров и реверс‑прок­си в мире. Его исполь­зуют облачные про­вай­деры, SaaS-ком­пании, бан­ки, ecommerce-пло­щад­ки и Kubernetes-клас­теры. По сути, речь идет об уяз­вимос­ти в инфраструк­турном ПО, на котором дер­жится зна­читель­ная часть интерне­та.

Уяз­вимость пред­став­ляет собой перепол­нение буфера хипа в модуле ngx_http_rewrite_module. Проб­лема воз­ника­ет при исполь­зовании дирек­тив rewrite и set (такая кон­фигура­ция час­то встре­чает­ся в API-шлю­зах и реверс‑прок­си).

Ко­рень проб­лемы кро­ется в некор­рек­тной обра­бот­ке сос­тояния во внут­реннем скрип­товом движ­ке Nginx. Сер­вер сна­чала рас­счи­тыва­ет раз­мер буфера для дан­ных, а затем копиру­ет содер­жимое. Одна­ко спе­циаль­ный флаг is_args пос­ле обра­бот­ки сим­вола ? оста­ется активным, из‑за чего Nginx невер­но оце­нива­ет объ­ем памяти. В резуль­тате объ­ем записы­ваемых дан­ных пре­выша­ет раз­мер выделен­ного буфера, что при­водит к перепол­нению хипа.

Кро­ме того, иссле­дова­тели про­демонс­три­рова­ли PoC-экс­пло­ит, поз­воля­ющий добить­ся уда­лен­ного выпол­нения кода без аутен­тифика­ции. Для это­го они отправ­ляли спе­циаль­но под­готов­ленные HTTP-зап­росы, пов­реждая струк­туры памяти Nginx и зас­тавляя сер­вер выз­вать system() при очис­тке пула памяти.

Од­нако спе­циалис­ты под­черки­вают, что пол­ноцен­ного уда­лен­ного выпол­нения кода уда­лось добить­ся толь­ко в сис­теме с отклю­чен­ной защитой ASLR. Обыч­но эта тех­нология вклю­чена по умол­чанию, но ее иног­да деак­тивиру­ют ради повыше­ния про­изво­дитель­нос­ти.

По­мимо CVE-2026-42945, иссле­дова­тели обна­ружи­ли еще три бага, свя­зан­ных с пов­режде­нием памяти:

• CVE-2026-42946 — проб­лема в модулях SCGI/uWSGI, поз­воля­ющая спро­воци­ровать выделе­ние поч­ти 1 Тбайт памяти и обру­шить worker-про­цесс;
  


• CVE-2026-40701 — use after free при асин­хрон­ной обра­бот­ке OCSP DNS-зап­росов;
  


• CVE-2026-42934 — ошиб­ка типа off-by-one в UTF-8-пар­сере.
  

Раз­работ­чики F5 уже вы­пус­тили пат­чи. Исправ­ления дос­тупны в сос­таве Nginx Open Source 1.31.0 и 1.30.1, а так­же в Nginx Plus R36 P4 и R32 P6. Так­же в бюл­летене безопас­ности ком­пании отме­чает­ся, что уяз­вимос­ти зат­рагива­ли не толь­ко сам Nginx, но и свя­зан­ные про­дук­ты, вклю­чая Nginx Ingress Controller, Nginx App Protect WAF и F5 DoS for Nginx.

Не все спе­циалис­ты сог­ласились с тем, что реаль­ная экс­плу­ата­ция этой проб­лемы прос­та. К при­меру, извес­тный ИБ‑иссле­дова­тель Кевин Бомонт (Kevin Beaumont) пи­шет, что опуб­ликован­ный PoC работа­ет толь­ко при спе­цифи­чес­кой кон­фигура­ции Nginx и отклю­чен­ном ASLR. Ана­логич­ной позиции при­дер­жива­ются и раз­работ­чики AlmaLinux: по их сло­вам, орга­низо­вать ста­биль­ную RCE на защищен­ных сис­темах «не так уж прос­то».

• По дан­ным экспер­тов Digital Budget и Similarweb, в мар­те 2026 года поль­зовате­ли из Рос­сии ска­чали VPN-при­ложе­ния из Google Play более 9,2 мил­лиона раз — в 14 раз боль­ше, чем годом ранее.
  


• Сум­марно с мар­та 2025-го по март 2026 года VPN-сер­висы уста­нови­ли 35,7 мил­лиона раз. При­чем основной всплеск при­шел­ся на начало 2026 года: толь­ко за пери­од с янва­ря по март количес­тво заг­рузок дос­тигло 21,27 мил­лиона.
  


• По дан­ным Sensor Tower, к кон­цу 2025 года ауди­тория пяти самых популяр­ных VPN-сер­висов в Рос­сии вырос­ла до 7,3 мил­лиона поль­зовате­лей.
  


• При этом в Рос­комнад­зоре заяв­ляют, что к янва­рю 2026 года в Рос­сии заб­локиро­вали уже 439 сер­висов обхо­да бло­киро­вок (для срав­нения, в октябре 2025 года речь шла о 258 сер­висах).
  

Из Steam удалили игру с малварью

Спе­циалис­ты Valve уда­лили из Steam бес­плат­ный хор­рор Beyond The Dark пос­ле того, как поль­зовате­ли сооб­щили о вре­донос­ном коде в фай­лах игры. Выяс­нилось, что про­ект собирал дан­ные поль­зовате­лей, изу­чал сис­темы жертв и свя­зывал­ся с уда­лен­ной инфраструк­турой сво­их опе­рато­ров.

Пер­вым подоз­ритель­ную активность игры опи­сал YouTube-бло­гер и ИБ‑энту­зиаст Эрик Пар­кер (Eric Parker). По его сло­вам, Beyond The Dark мас­кирова­лась под обыч­ный инди‑хор­рор с коопе­ратив­ным выжива­нием в духе Phasmophobia. Стра­ница игры в Steam выг­лядела впол­не легитим­но, одна­ко ана­лиз показал, что ее основное пред­назна­чение, веро­ятно, зак­лючалось вов­се не в раз­вле­чении поль­зовате­лей.

Про­веряя игру в изо­лиро­ван­ной вир­туаль­ной машине, Пар­кер заметил подоз­ритель­ный сетевой тра­фик прак­тичес­ки сра­зу пос­ле запус­ка. Даль­нейший реверс‑инжи­ниринг показал наличие вре­донос­ной DLL, встро­енной в фай­лы про­екта. Мал­варь собира­ла све­дения о сис­теме, вклю­чая MAC-адре­са, а так­же про­веря­ла уста­нов­ленные рас­ширения бра­узе­ра Chrome (осо­бый инте­рес для зло­умыш­ленни­ков, судя по все­му, пред­став­ляли крип­токошель­ки, такие как MetaMask).

Кро­ме того, игра мог­ла получать допол­нитель­ные коман­ды от управля­юще­го сер­вера и заг­ружать новые вре­донос­ные ком­понен­ты. В час­тнос­ти, иссле­дова­тель обна­ружил механизм дос­тавки ZIP-архи­вов с допол­нитель­ными пей­лоада­ми, которые ска­чива­лись в зависи­мос­ти от того, что имен­но было най­дено на заражен­ной машине.

Как выяс­нилось, Beyond The Dark изна­чаль­но сущес­тво­вала под дру­гим наз­вани­ем — Rodent Race. Игра появи­лась в Steam еще в декаб­ре 2024 года и тог­да выг­лядела совер­шенно ина­че: у нее было дру­гое опи­сание, изоб­ражения и иной гей­мплей.

По информа­ции SteamDB, с 4 мая 2026 года раз­работ­чики рез­ко поменя­ли прак­тичес­ки все метадан­ные про­екта, фак­тичес­ки прев­ратив Rodent Race в Beyond The Dark. Веро­ятно, это была попыт­ка обой­ти про­вер­ки Steam, сна­чала заг­рузив безобид­ную игру и толь­ко пос­ле про­хож­дения модера­ции внед­рив в нее вре­донос­ный код через обновле­ния.

Это не пер­вый слу­чай, ког­да в Steam про­ника­ет мал­варь. Ранее иссле­дова­тели уже находи­ли вре­доно­сов в играх PirateFi, Chemia, Block Blasters и Sniper: Phantom’s Resolution, а вес­ной текуще­го года мал­варью в Steam даже за­инте­ресо­валось ФБР.

В сво­ем рас­сле­дова­нии Пар­кер обра­щает отдель­ное вни­мание на рас­тущее количес­тво низ­кокачес­твен­ных «asset flip» игр и про­ектов, соз­данных с помощью ИИ‑инс­тру­мен­тов и вай­бко­дин­га. По его мне­нию, подоб­ные игры неред­ко выг­лядят как при­митив­ные Unity-заготов­ки и могут исполь­зовать­ся исклю­читель­но как средс­тво дос­тавки мал­вари.

Пред­ста­вите­ли Valve не ком­менти­рова­ли этот инци­дент, одна­ко убра­ли Beyond The Dark из Steam. Поль­зовате­лям, успевшим ска­чать или запус­тить игру, рекомен­дует­ся уда­лить ее, про­верить сис­тему анти­вирус­ным ПО, завер­шить все активные бра­узер­ные сес­сии, а так­же сме­нить пароли от важ­ных акка­унтов, осо­бен­но свя­зан­ных с крип­товалю­тами.

• По дан­ным Positive Technologies, в пер­вом квар­тале 2026 года чис­ло новых образцов вре­донос­ного ПО в ата­ках на рос­сий­ские орга­низа­ции вырос­ло на 38% год к году.
  


• Ана­лити­ки обна­ружи­ли 808 уни­каль­ных образцов мал­вари, свя­зан­ных с деятель­ностью 11 хак­групп.
  


• Поч­ти 72% все­го нового вре­донос­ного ПО приш­лось все­го на четыре груп­пиров­ки: Rare Werewolf, PhaseShifters, PhantomCore и Hive0117.
  

• Ча­ще все­го ата­кам под­верга­лись госс­трук­туры — 17,86% всех инци­ден­тов. Далее сле­дуют финан­совый сек­тор (9,82%), орга­низа­ции граж­дан­ско­го общес­тва (9,82%) и про­изводс­твен­ные ком­пании (8,04%).
  


• Рост ока­зал­ся осо­бен­но заметен к кон­цу квар­тала: если в янва­ре спе­циалис­ты наш­ли 117 новых образцов мал­вари, то в фев­рале — уже 283, а в мар­те — 408.
  


• От­меча­ется, что в ата­ках зло­умыш­ленни­ки активно исполь­зуют легитим­ные сер­висы вро­де GitHub, Firebase и Bitbucket, а так­же вре­донос­ные скрип­ты на PowerShell и AnyDesk. Так­же некото­рые груп­пиров­ки начали при­менять ИИ для генера­ции вре­донос­ного кода.
  

Фальшивый репозиторий OpenAI в Hugging Face

Ис­сле­дова­тели из ком­пании HiddenLayer наш­ли на плат­форме Hugging Face вре­донос­ный репози­торий Open-OSS/privacy-filter, который выдавал себя за легитим­ный про­ект OpenAI Privacy Filter, но на деле рас­простра­нял инфости­лер для Windows. При­меча­тель­но, что до уда­ления репози­торий успел под­нять­ся на пер­вое мес­то в трен­дах плат­формы и его заг­рузили око­ло 244 тысяч раз.

По сло­вам спе­циалис­тов, вре­донос­ный про­ект выг­лядел прав­доподоб­но, так как ата­кующие прак­тичес­ки пол­ностью ско­пиро­вали опи­сание нас­тояще­го Privacy Filter, но вмес­те с «моделью» рас­простра­нял­ся файл loader.py.

Внеш­не скрипт выг­лядел как обыч­ный код, свя­зан­ный с ИИ, одна­ко он отклю­чал SSL-про­вер­ку, декоди­ровал Base64-стро­ку с адре­сом внеш­него ресур­са и заг­ружал JSON-пей­лоад с PowerShell-коман­дой. Та запус­калась в скры­том окне и ска­чива­ла batch-файл start.bat. Затем скрипт повышал при­виле­гии, добав­лял мал­варь в исклю­чения Microsoft Defender и заг­ружал финаль­ный пей­лоад под наз­вани­ем sefirah (написан­ный на Rust инфости­лер).

Мал­варь собира­ла дан­ные из Chromium- и Gecko-бра­узе­ров, вклю­чая cookie, сох­ранен­ные пароли, клю­чи шиф­рования и токены сес­сий. Так­же сти­лер инте­ресо­вали токены Discord, крип­токошель­ки, SSH-, FTP- и VPN-кон­фигура­ции, фай­лы FileZilla, seed-фра­зы и дру­гие локаль­ные сек­реты. Вдо­бавок вре­донос делал скрин­шоты всех под­клю­чен­ных монито­ров и собирал информа­цию о сис­теме.

Все похищен­ные таким обра­зом дан­ные архи­виро­вались и отправ­лялись на управля­ющий сер­вер — recargapopular[.]com.

В HiddenLayer отме­чают, что вре­донос обла­дает серь­езным набором фун­кций, свя­зан­ных с анти­ана­лизом. Так, сти­лер про­верял наличие вир­туаль­ных машин, песоч­ниц, отладчи­ков и иссле­дова­тель­ских инс­тру­мен­тов, ста­раясь избе­жать обна­руже­ния.

Ре­аль­ные мас­шта­бы этой вре­донос­ной кам­пании пока неяс­ны. Иссле­дова­тели полага­ют, что зна­читель­ная часть из 667 лай­ков, получен­ных репози­тори­ем, при­над­лежала авто­мати­чес­ки соз­данным акка­унтам, а счет­чик заг­рузок мог быть искусс­твен­но нак­ручен.

Ана­лиз инфраструк­туры ата­кующих при­вел спе­циалис­тов и к дру­гим вре­донос­ным репози­тори­ям с тем же заг­рузчи­ком. Кро­ме того, иссле­дова­тели обна­ружи­ли пересе­чения с вре­донос­ной npm-кам­пани­ей, через которую ранее рас­простра­нял­ся вре­донос WinOS 4.0.

Поль­зовате­лям, которые ска­чива­ли фай­лы из фаль­шивого репози­тория, рекомен­дует­ся пол­ностью пере­уста­новить сис­тему, сме­нить все учет­ные дан­ные и seed-фра­зы, соз­дать новые крип­токошель­ки, а так­же завер­шить все активные сес­сии в бра­узе­рах.

Ли­нус Тор­валь­дс (Linus Torvalds) пожало­вал­ся, что рас­сылку по безопас­ности ядра Linux завали­ли сге­нери­рован­ными ИИ отче­тами об уяз­вимос­тях. По его сло­вам, проб­лема не в самих инс­тру­мен­тах, а в том, что иссле­дова­тели мас­сово при­сыла­ют бес­полез­ные дуб­ли, не раз­бира­ясь в най­ден­ных багах:

ИИ‑инс­тру­мен­ты — это отлично, но толь­ко если они дей­стви­тель­но помога­ют, а не соз­дают ненуж­ную голов­ную боль и бес­смыс­ленную ими­тацию работы. Поль­зуйтесь ими, но делай­те это про­дук­тивно и так, что­бы от это­го ста­нови­лось луч­ше всем.

Ес­ли вы наш­ли баг с помощью ИИ‑инс­тру­мен­тов, велика веро­ятность, что кто‑то дру­гой тоже нашел его. Если хотите реаль­но при­нес­ти поль­зу — про­читай­те докумен­тацию, под­готовь­те патч и добавь­те что‑то цен­ное поверх того, что уже сде­лал ИИ. Не будь­те тем челове­ком, который прос­то отправ­ляет слу­чай­ные отче­ты без какого‑либо понима­ния проб­лемы.

GitHub взломали из-за ошибки разработчика

Пред­ста­вите­ли GitHub пре­дуп­редили, что ком­пания пос­тра­дала от ата­ки на цепоч­ку пос­тавок. Ком­про­мета­ция зат­ронула при­мер­но 3800 внут­ренних репози­тори­ев. Ата­ка про­изош­ла пос­ле того, как один из сот­рудни­ков GitHub уста­новил вре­донос­ное рас­ширение для Visual Studio Code.

Сог­ласно офи­циаль­ному заяв­лению GitHub, неназ­ванное заражен­ное рас­ширение было уда­лено с мар­кет­плей­са VS Code, а ском­про­мети­рован­ное устрой­ство раз­работ­чика изо­лиро­вано. В ком­пании заяви­ли, что зло­умыш­ленни­ки получи­ли дос­туп толь­ко к внут­ренним репози­тори­ям GitHub, так как не уда­лось обна­ружить приз­наки ком­про­мета­ции поль­зователь­ских дан­ных, хра­нящих­ся за пре­дела­ми этих репози­тори­ев.

Как сооб­щило изда­ние BleepingComputer, ответс­твен­ность за этот взлом взя­ла на себя груп­пиров­ка TeamPCP. На форуме Breached хакеры заяви­ли, что похити­ли исходный код GitHub и око­ло 4000 при­ват­ных репози­тори­ев. Зло­умыш­ленни­ки писали, что готовы про­дать эти дан­ные минимум за 50 тысяч дол­ларов США в крип­товалю­те. Они утвер­жда­ют, что не собира­ются шан­тажиро­вать ком­панию, и, если покупа­тель не най­дет­ся, хакеры готовы опуб­ликовать дамп в сети бес­плат­но.

В GitHub отме­тили, что заяв­ления зло­умыш­ленни­ков о ком­про­мета­ции при­мер­но 3800 репози­тори­ев «в целом соот­ветс­тву­ют» резуль­татам внут­ренне­го рас­сле­дова­ния. Так­же в ком­пании отме­тили, что уже про­вели ротацию кри­тичес­ки важ­ных сек­ретов и учет­ных дан­ных, начиная с наибо­лее при­ори­тет­ных.

На­пом­ним, что груп­пиров­ку TeamPCP уже свя­зыва­ли с ата­ками на GitHub, PyPI, npm и Docker, а так­же с рас­простра­нени­ем чер­вя Shai-Hulud, ата­ки которо­го зат­ронули в том чис­ле сот­рудни­ков ком­пании OpenAI.

• По дан­ным Мин­цифры и Рос­ста­та, инвести­ции в основной капитал ком­паний из сфе­ры информа­ции и свя­зи в 2025 году сос­тавили 1,8 трил­лиона руб­лей. По срав­нению с 2020 годом рост дос­тиг 37,4%, хотя влас­ти ожи­дали показа­тель на уров­не 46,7%.
  


• За год объ­ем инвести­ций уве­личил­ся на 2%, или при­мер­но на 35,7 мил­лиар­да руб­лей.
  


• В Мин­цифры объ­ясня­ют замед­ление высокой клю­чевой став­кой, эффектом «высокой базы» в ИТ‑сек­торе и общей мак­роэко­номи­чес­кой неоп­ределен­ностью.
  

Хакеры шантажируют Grafana Labs

Ха­керы получи­ли дос­туп к GitHub-инфраструк­туре Grafana Labs с помощью похищен­ного токена и укра­ли исходные коды ком­пании. Пос­ле это­го зло­умыш­ленни­ки попыта­лись шан­тажиро­вать раз­работ­чиков, угро­жая пуб­ликаци­ей укра­ден­ных дан­ных, но в Grafana отка­зались пла­тить выкуп.

О взло­ме пред­ста­вите­ли Grafana со­общи­ли в соц­сети X. По их сло­вам, рас­сле­дова­ние показа­ло, что ата­кующие получи­ли дос­туп к GitHub-окру­жению через ском­про­мети­рован­ный токен. Под­черки­вает­ся, что пос­ле обна­руже­ния инци­ден­та в ком­пании наш­ли источник утеч­ки учет­ных дан­ных, отоз­вали все укра­ден­ные сек­реты и внед­рили допол­нитель­ные меры защиты.

При этом в Grafana утвер­жда­ют, что ата­ка не зат­ронула кли­ентов: не было обна­руже­но сле­дов ком­про­мета­ции поль­зователь­ских дан­ных, пер­сональ­ной информа­ции или вли­яния на инфраструк­туру заказ­чиков.

По­хитив исходные коды, ата­кующие пот­ребова­ли у ком­пании выкуп, угро­жая в про­тив­ном слу­чае опуб­ликовать укра­ден­ные дан­ные. Одна­ко в ком­пании решили не идти на перего­воры со зло­умыш­ленни­ками. Пред­ста­вите­ли Grafana сос­лались на рекомен­дации ФБР США, которое дав­но совету­ет жер­твам вымога­тель­ства не пла­тить прес­тупни­кам, так как это не гаран­тиру­ет воз­врат дан­ных и лишь мотиви­рует зло­умыш­ленни­ков про­дол­жать ата­ки.

В ком­пании заяви­ли:

Ис­ходя из нашего опы­та и позиции ФБР, которое пря­мо ука­зыва­ет, что вып­лата выкупа не гаран­тиру­ет воз­врат дан­ных и лишь сти­мули­рует подоб­ную прес­тупную активность, мы решили не пла­тить.

Ког­да имен­но про­изош­ла ата­ка, спе­циалис­ты Grafana не рас­кры­вают. Неиз­вес­тно и то, сколь­ко вре­мени зло­умыш­ленни­ки про­вели внут­ри инфраструк­туры ком­пании и какие имен­но исходни­ки были похище­ны.

Учи­тывая, что мно­гие про­дук­ты Grafana име­ют откры­тый исходный код, часть дан­ных и так мог­ла находить­ся в откры­том дос­тупе. То есть мож­но пред­положить, что хакеры тре­буют выкуп, так как похити­ли некие при­ват­ные репози­тории или внут­ренние ком­понен­ты.

От­ветс­твен­ность за инци­дент взя­ла на себя вымога­тель­ская груп­па CoinbaseCartel. Информа­ция о ком­про­мета­ции Grafana появи­лась на сай­те груп­пиров­ки, но укра­ден­ные дан­ные пока не опуб­ликова­ны.

По информа­ции экспер­тов из ком­паний Halcyon и Fortinet FortiGuard Labs, CoinbaseCartel активна с сен­тября 2025 года, но уже успе­ла ата­ковать более 170 орга­низа­ций из раз­ных сфер, вклю­чая здра­воох­ранение, ИТ, тран­спорт и про­мыш­ленность. В отли­чие от клас­сичес­ких вымога­тель­ских груп­пировок, CoinbaseCartel спе­циали­зиру­ется не на шиф­ровании дан­ных жертв, а на кра­же информа­ции и пос­леду­ющем шан­таже.

ИБ‑спе­циалис­ты полага­ют, что зло­умыш­ленни­ки свя­заны с груп­пиров­ками ShinyHunters, Scattered Spider и LAPSUS$. По сло­вам иссле­дова­телей, хакеры активно исполь­зуют соци­аль­ную инже­нерию, фишинг и укра­ден­ные учет­ные дан­ные для получе­ния пер­воначаль­ного дос­тупа.

При этом пос­ле пуб­ликации матери­алов о взло­ме пред­ста­вите­ли ShinyHunters пос­пешили заявить СМИ, что не име­ют отно­шения к CoinbaseCartel или взло­му Grafana Labs.

• Ана­лити­ки Adobe под­счи­тали, что в пер­вом квар­тале 2026 года объ­ем перехо­дов из ИИ‑сер­висов на сай­ты ретей­леров в США вырос на 393% год к году. В Рос­сии динами­ка схо­жа: по дан­ным StormWall, с янва­ря по апрель 2026 года ИИ‑тра­фик на e-commerce-сай­ты вырос в 1,7 раза.
  


• В Ozon сооб­щили, что в апре­ле — мае 2026 года тра­фик из ИИ‑ассистен­тов и LLM-плат­форм уве­личил­ся в че­тыре раза по срав­нению с кон­цом 2025 года. В «Яндексе» тоже фик­сиру­ют рост: перехо­ды из «Али­сы AI» на сай­ты магази­нов и мар­кет­плей­сов уве­личи­лись на 159% за пер­вые четыре месяца 2026 года.
  


• Ре­тей­леры отме­чают, что ИИ‑тра­фик луч­ше кон­верти­рует­ся в покуп­ки, пос­коль­ку поль­зовате­ли при­ходят с уже сфор­мирован­ным зап­росом.
  

Защитные механизмы в Android 17

В Android 17 по­явит­ся сис­тема, которая смо­жет рас­позна­вать под­дель­ные звон­ки яко­бы «из бан­ка» и авто­мати­чес­ки раз­рывать соеди­нение. Так­же раз­работ­чики Google рас­ширя­ют защиту от шпи­онско­го ПО, кра­жи OTP-кодов и дру­гих атак на устрой­ства.

Од­ним из глав­ных новов­ведений Android 17 ста­нет защита от мошен­ников. Речь идет о рас­простра­нен­ной схе­ме, ког­да зло­умыш­ленни­ки под­меня­ют caller ID и выда­ют себя за сот­рудни­ков бан­ка, вынуж­дая жер­тву перевес­ти день­ги или рас­крыть дан­ные акка­унта.

Но­вая фун­кция будет работать в связ­ке с бан­ков­ски­ми при­ложе­ниями. Так, если на устрой­ство пос­тупа­ет зво­нок, который выг­лядит как вызов от бан­ка, Android про­верит его через уста­нов­ленное бан­ков­ское при­ложе­ние. Если при­ложе­ние под­твер­дит, что банк в этот момент не пыта­ется свя­зать­ся с кли­ентом, сис­тема авто­мати­чес­ки завер­шит вызов.

Кро­ме того, бан­ки смо­гут помечать некото­рые номера как «толь­ко для вхо­дящих звон­ков». Если мошен­ники попыта­ются исполь­зовать такой номер для звон­ков поль­зовате­лям, Android тоже немед­ленно завер­шит вызов.

Пер­выми под­дер­жку новой фун­кции получат Revolut, бра­зиль­ский Itaú Unibanco и Nubank. Хотя новов­ведение дебюти­рует вмес­те с Android 17, впос­ледс­твии в Google обе­щают рас­простра­нить его и на более ста­рые устрой­ства под управле­нием Android 11 и новее.

Еще одно важ­ное изме­нение будет свя­зано с Live Threat Detection — механиз­мом, который Android исполь­зует для обна­руже­ния подоз­ритель­ного поведе­ния при­ложе­ний.

Те­перь сис­тема смо­жет выяв­лять не толь­ко стал­кер­ское ПО, но и мал­варь, которая зло­упот­ребля­ет пере­адре­саци­ей SMS, нак­ладыва­ет скры­тые овер­леи поверх интерфей­са, мас­киру­ет свои икон­ки или запус­кает­ся в фоновом режиме без ведома поль­зовате­ля. Имен­но такие тех­ники час­то при­меня­ют Android-бан­керы для кра­жи учет­ных дан­ных и OTP-кодов.

Так­же Google рас­ширит режим Advanced Protection, ори­енти­рован­ный на ком­плексную защиту людей из групп повышен­ного рис­ка, которые могут стать жер­тва­ми слож­ных шпи­онских атак. В час­тнос­ти, в Android зап­ретят дос­туп к API Accessibility Services для при­ложе­ний, которые не обоз­начены как инс­тру­мен­ты для помощи людям с огра­ничен­ными воз­можнос­тями, отклю­чат device-to-device unlocking и под­дер­жку WebGPU в Chrome, а в уве­дом­лени­ях чатов появит­ся встро­енное обна­руже­ние мошен­ничес­тва.

По­мимо это­го, раз­работ­чики уси­лива­ют защиту устрой­ств от кра­жи. Фун­кция Mark as lost («Отме­тить как потерян­ное») теперь поз­волит бло­киро­вать смар­тфон с помощью биомет­рии. Пос­ле акти­вации режима про­падет дос­туп к Quick Settings, а зло­умыш­ленник не смо­жет вклю­чить Wi-Fi или Bluetooth и отклю­чить отсле­жива­ние устрой­ства, даже если зна­ет PIN-код.

Кро­ме того, Android 17:

• нач­нет про­верять APK-фай­лы в поис­ках извес­тной мал­вари перед уста­нов­кой из сто­рон­них источни­ков;
  


• ус­ложнит перебор PIN-кодов и уве­личит задер­жку меж­ду неудач­ными попыт­ками раз­бло­киров­ки;
  


• бу­дет скры­вать коды под­твержде­ния, получен­ные в SMS, от боль­шинс­тва при­ложе­ний в течение трех часов;
  


• по­лучит защит­ные механиз­мы на осно­ве пост­кван­товой крип­тогра­фии;
  


• поз­волит вре­мен­но выдавать при­ложе­ниям дос­туп толь­ко к отдель­ным кон­тактам и геоло­кации.
  

Так­же в этом месяце Google анон­сирова­ла фун­кцию Intrusion Logging, которая соз­давалась сов­мес­тно с Amnesty International и «Репор­терами без гра­ниц» (вне­сены в реестр нежела­тель­ных орга­низа­ций в РФ). Она будет работать на устрой­ствах под управле­нием Android 16 и новее и пред­назна­чена преж­де все­го для жур­налис­тов, пра­воза­щит­ников и дру­гих поль­зовате­лей, которые опа­сают­ся целевых атак с исполь­зовани­ем ком­мерчес­кой спай­вари.

Intrusion Logging пред­став­ляет собой сис­тему форен­зик‑логиро­вания, соз­данную спе­циаль­но для рас­сле­дова­ния слож­ных атак шпи­онско­го ПО. Она поз­волит фик­сировать активность при­ложе­ний, сетевые под­клю­чения, изме­нения в сис­темных сер­тифика­тах, уста­нов­ку APK и дру­гие сис­темные события. Зашиф­рован­ные логи будут хра­нить­ся на сер­верах Google до 12 месяцев.

В ком­пании под­черки­вают, что сот­рудни­ки Google и третьи лица не будут иметь дос­тупа к этим дан­ным, так как логи защище­ны паролем от учет­ной записи Google и учет­ными дан­ными, исполь­зующи­мися для раз­бло­киров­ки экра­на.

• Спе­циалис­ты «Лабора­тории Кас­пер­ско­го» изу­чили более 231 мил­лиона уни­каль­ных паролей, утек­ших в сеть с 2023-го по 2026 год. Иссле­дова­тели приш­ли к выводу, что поч­ти полови­ну паролей мож­но подоб­рать менее чем за минуту.
  


• Для тес­тирова­ния исполь­зовалась виде­окар­та RTX 5090, спо­соб­ная переби­рать до 220 мил­лиар­дов хешей в секун­ду. Это на 34% быс­трее RTX 4090, исполь­зовав­шей­ся в ана­логич­ном иссле­дова­нии два года назад. При этом зло­умыш­ленни­кам не обя­затель­но покупать дорогое железо: облачная арен­да GPU обхо­дит­ся все­го в нес­коль­ко дол­ларов в час.
  


• Ес­ли в 2024 году менее чем за минуту взла­мыва­лись 45% паролей, то теперь этот показа­тель вырос до 48%.
  

• При этом 60,2% паролей мож­но взло­мать при­мер­но за час, а 68,2% — менее чем за сут­ки. Даже сре­ди паролей дли­ной 15 сим­волов более 20% под­дают­ся взло­му мень­ше чем за минуту.
  

• Бо­лее 53% утек­ших паролей закан­чивались циф­рами, а еще 17% начина­лись с чисел. Поч­ти 12% ком­бинаций содер­жали пос­ледова­тель­нос­ти, похожие на даты (нап­ример, годы с 1950 по 2030).
  


• Са­мыми популяр­ными пат­терна­ми оста­ются ком­бинации вида «сло­во + циф­ры + спец­символ». При­чем сим­вол @ встре­чает­ся при­мер­но в каж­дом десятом пароле.
  


• В чис­ле популяр­ных пат­тернов оста­ются и пос­ледова­тель­нос­ти вро­де 1234, qwerty и йцу­кен. При­чем кла­виатур­ные ком­бинации встре­чались при­мер­но в 3% всех паролей.
  


• Так­же иссле­дова­тели отме­чают рост популяр­ности мемов и трен­дов в паролях. Так, исполь­зование сло­ва Skibidi с 2023-го по 2026 год вырос­ло в 36 раз.
  

YellowKey и GreenPlasma

Не­доволь­ный дей­стви­ями ком­пании Microsoft ИБ‑иссле­дова­тель Chaotic Eclipse (он же Nightmare-Eclipse) выложил на GitHub два экс­пло­ита для неп­ропат­ченных на тот момент уяз­вимос­тей. Речь идет о YellowKey — обхо­де BitLocker — и GreenPlasma — проб­леме повыше­ния при­виле­гий до уров­ня SYSTEM.

В апре­ле 2026 года иссле­дова­тель уже пуб­ликовал экс­пло­иты BlueHammer, RedSun и UnDefend, заяв­ляя, что дела­ет это в знак про­тес­та про­тив того, как спе­циалис­ты Microsoft Security Response Center (MSRC) обра­щают­ся с ИБ‑спе­циалис­тами. По его сло­вам, пред­ста­вите­ли Microsoft угро­жали ему и обе­щали «раз­рушить его жизнь».

Так­же в сво­ей прош­лой пуб­ликации Chaotic Eclipse угро­жал, что про­дол­жит пуб­ликовать экс­пло­иты для уда­лен­ного выпол­нения кода (RCE) пос­ле любого пат­ча, выпущен­ного Microsoft, и намерен сде­лать каж­дую сле­дующую пуб­ликацию «еще более веселой».

Ис­сле­дова­тель сдер­жал это обе­щание и пос­ле май­ско­го «втор­ника обновле­ний» обна­родо­вал экс­пло­иты еще для двух 0-day. Он писал:

Я заметил, что Microsoft тихо испра­вила уяз­вимость RedSun, без CVE, без все­го, прос­то незамет­ное обновле­ние. Неуди­витель­но, ведь они никог­да не приз­нают сво­их оши­бок, но, учи­тывая, что уяз­вимость активно экс­плу­ати­рова­лась, отсутс­твие каких‑либо уве­дом­лений — это прос­то неверо­ятно.

Chaotic Eclipse наз­вал новую проб­лему YellowKey одним из сво­их «самых безум­ных откры­тий». Экс­пло­ит зат­рагива­ет Windows 11 и Windows Server 2022/2025 и поз­воля­ет получить дос­туп к защищен­ному BitLocker дис­ку пос­редс­твом Windows Recovery Environment (WinRE).

Суть ата­ки сво­дит­ся к раз­мещению спе­циаль­но под­готов­ленных фай­лов FsTx на USB-накопи­теле или EFI-раз­деле. Пос­ле заг­рузки WinRE и нажатия кла­виши CTRL зло­умыш­ленник получа­ет шелл с дос­тупом к рас­шифро­ван­ному дис­ку. Иссле­дова­тель утвер­жда­ет, что проб­лема свя­зана с осо­бен­ностя­ми обра­бот­ки NTFS-тран­закций в WinRE.

Из­вес­тный ИБ‑спе­циалист и ведущий ана­литик по уяз­вимос­тям в ком­пании Tharros Уилл Дор­манн (Will Dormann) под­твер­дил работос­пособ­ность ата­ки с USB-накопи­телем и пояс­нил, что Windows Recovery авто­мати­чес­ки вос­про­изво­дит NTFS-логи из катало­гов ystem Volume InformationFsTx. В ито­ге вмес­то штат­ной сре­ды вос­ста­нов­ления запус­кает­ся cmd.exe, пока диск оста­ется раз­бло­киро­ван­ным.

Не­зави­симый ИБ‑иссле­дова­тель Кевин Бомонт (Kevin Beaumont) так­же под­твер­дил, что экс­пло­ит работа­ет, и рекомен­довал исполь­зовать PIN-код для BitLocker вмес­те с паролем BIOS. Прав­да, сам Chaotic Eclipse утвер­жда­ет, что уяз­вимость яко­бы экс­плу­ати­рует­ся даже в кон­фигура­циях TPM + PIN, хотя PoC для такого сце­нария он пока не пуб­ликовал.

Спе­циалис­ты под­черки­вают: текущая вер­сия YellowKey не поз­воля­ет прос­то под­клю­чить укра­ден­ный диск к дру­гому ПК и получить дос­туп к дан­ным. Экс­пло­ит работа­ет толь­ко на ори­гиналь­ном устрой­стве, где TPM хра­нит клю­чи рас­шифров­ки BitLocker.

Вто­рой экс­пло­ит — GreenPlasma — свя­зан с локаль­ным повыше­нием при­виле­гий через механизм CTFMON. Эта уяз­вимость поз­воля­ет обыч­ному поль­зовате­лю соз­давать про­изволь­ные объ­екты раз­делов памяти в дирек­тори­ях, дос­тупных SYSTEM. Это потен­циаль­но откры­вает путь к манипу­ляции сер­висами и драй­верами, доверя­ющи­ми таким путям.

При этом опуб­ликован­ный PoC для GreenPlasma неполон и не поз­воля­ет получить пол­ноцен­ный SYSTEM-шелл «из короб­ки». Одна­ко Chaotic Eclipse пишет, что опыт­ный ата­кующий без тру­да смо­жет дорабо­тать экс­пло­ит.

Спе­циалис­ты пре­дуп­режда­ют, что подоб­ные баги осо­бен­но опас­ны на эта­пе пос­тэкс­плу­ата­ции. Получив пер­воначаль­ный дос­туп к сис­теме, зло­умыш­ленни­ки исполь­зуют подоб­ные уяз­вимос­ти для кра­жи учет­ных дан­ных, переме­щения по сети и под­готов­ки вымога­тель­ских атак.

Пред­ста­вите­ли Microsoft заяви­ли, что ком­пания рас­сле­дует сооб­щения об уяз­вимос­тях, что­бы «как мож­но ско­рее обно­вить зат­ронутые устрой­ства для защиты кли­ентов».

Ис­прав­лений пока нет ни для YellowKey, ни для GreenPlasma. А Chaotic Eclipse обе­щает устро­ить «сюр­приз» к сле­дующе­му «втор­нику обновле­ний» и утвер­жда­ет, что про­дол­жит и далее пуб­ликовать 0-day-экс­пло­иты для Windows.

• 
  Пра­воох­раните­ли зак­рыли сер­вис First VPN
  


• 
  Microsoft кон­фиско­вала домен сер­виса, который исполь­зовал­ся для под­писи вре­донос­ного ПО
  


• 
  С начала апре­ля через сайт DAEMON Tools рас­простра­нялась мал­варь
  


• 
  Опе­рато­ры «боль­шой чет­верки» под­клю­чат Max к сер­висным уве­дом­лени­ям
  


• 
  Ата­ка Megalodon зат­ронула более 5500 репози­тори­ев на GitHub
  


• 
  Тай­вань­ский сту­дент взло­мал желез­ную дорогу и оста­новил поез­да
  


• 
  Мал­варь fast16 была нацеле­на на саботаж раз­работ­ки ядер­ного ору­жия
  


• 
  В «Рос­телеко­ме» соз­дали сис­тему «Леший кон­нект» для уда­лен­ного управле­ния роуте­рами
  


• 
  Фи­шеры соз­дают вре­донос­ные QR-коды из букв и сим­волов
  


• 
  Влас­ти решили отло­жить вве­дение пла­ты за VPN-тра­фик