WP2Shell — цепочка CVE-2026-63030 и CVE-2026-60137 в ядре WordPress.

Под угрозой полного удалённого выполнения кода: WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1.

Атака работает без авторизации на стоковой установке без плагинов и тем.

WordPress.org применил редкую меру — принудительные автообновления для уязвимых версий.

Решение: обновиться до 6.9.5, 7.0.2 или 6.8.6 и проверить журналы доступа.

Что такое WP2Shell

WP2Shell — это комбинация двух багов в ядре WordPress, а не в стороннем плагине или теме. CVE-2026-63030 связана с путаницей маршрутов в пакетном endpoint REST API /wp-json/batch/v1. CVE-2026-60137 — SQL-инъекция в параметре author__not_in компонента WP_Query. По отдельности они серьёзны, вместе дают удалённое выполнение кода от анонимного пользователя.

Какие версии под угрозой

Полная цепочка RCE работает на WordPress 6.9.0–6.9.4 и 7.0.0–7.0.1. SQL-инъекция CVE-2026-60137 также присутствует в ветке 6.8.0–6.8.5, но там она не превращается в удалённый шелл, поскольку REST API batch endpoint появился только в 6.9. Исправления — версии 6.9.5, 7.0.2 и 6.8.6.

Масштаб угрозы

По официальной статистике WordPress, уязвимые версии установлены на более чем 400 миллионах сайтов. Исследователь Дэниэл Кард проанализировал выборку около 3500 площадок и оценил долю уязвимых экземпляров менее чем в 15%. Даже при такой оценке речь идёт о десятках миллионах потенциальных жертв.

Что делать

1. Проверить версию WordPress в админ-панели или через WP-CLI.
2. Обновиться до 6.9.5, 7.0.2 или 6.8.6 в зависимости от текущей ветки.
3. Убедиться, что принудительное автообновление действительно применилось.
4. Проверить журналы доступа на обращения к /wp-json/batch/v1.
5. Если обновление невозможно срочно — временно заблокировать endpoint /wp-json/batch/v1 на WAF.

Выводы

Атака не требует предварительных условий и может быть использована анонимным пользователем на стоковой установке WordPress без плагинов.

WP2Shell — редкий случай, когда уязвимость затрагивает ядро CMS, а не стороннее расширение. WordPress.org пошёл на нехарактерный шаг — принудительную доставку патчей, — что говорит о серьёзности угрозы. Если вы администратор сайта на WordPress, обновление до актуальных версий — приоритетная задача.

Источник: Slashdot (цитирует TechCrunch).

В рамках Operation Endgame отключены 106 серверов SocGholish и очищены 14 971 заражённый сайт на WordPress.

SocGholish (он же FakeUpdates) — JavaScript-даунлоудер, активен с 2017 года и доставляет шифровальщиков и шпионское ПО.

Распространяется через скомпрометированные сайты под видом обновлений Chrome, Firefox и популярного софта.

Связан с группами Evil Corp, LockBit, RansomHub, Dridex и Raspberry Robin.

Владельцам сайтов рекомендовано обновить CMS, сменить учётные данные и удалить подозрительные аккаунты.

Операция прошла в рамках инициативы Operation Endgame, запущенной в 2024 году для борьбы с ботнетами и криминальной инфраструктурой. Владельцам очищенных сайтов уже разосланы уведомления: обновить CMS, изменить пароли и удалить подозрительные учётные записи.

SocGholish — один из старейших JavaScript-даунлоудеров. Он заражает компьютеры через взломанные сайты, предлагая посетителям фальшивые обновления браузеров или популярного ПО. После установки малварь открывает начальный доступ к системе, который затем используется для атак шифровальщиками и шпионским ПО.

За годы активности за SocGholish закрепились множество имён: FakeUpdates, Gold Prelude, TA569 и UNC1543. Инфраструктура малвари тесно связана с группами Evil Corp, LockBit, RansomHub, Dridex и Raspberry Robin.

Как защитить свой сайт

• Регулярно обновляйте WordPress, плагины и темы.
• Используйте сложные уникальные пароли и двухфакторную аутентификацию.
• Проверьте список администраторов и удалите подозрительные аккаунты.
• Мониторьте файлы сайта на наличие внедрённого JavaScript-кода.

Operation Endgame называет эту операцию началом дальнейших действий против SocGholish. Хотя часть инфраструктуры отключена, экосистема малвари включает аффилиатов и системы распределения трафика, поэтому угроза сохраняется. Подробности — в первоисточнике на The Hacker News.

• Скомпрометирована одна npm-версия @bitwarden/cli@2026.4.0. Окно атаки — 1 час 33 минуты 22 апреля 2026 года.
• Vault-данные пользователей Bitwarden не затронуты. Пострадал только npm-канал доставки CLI и те, кто успел поставить эту сборку.
• Вектор — скомпрометированный action checkmarx/ast-github-action, который Bitwarden подтягивал в свой CI. По словам исследователей, это первый зафиксированный взлом пакета через npm trusted publishing.
• Малварь таргетит ИИ-ассистенты Claude, Cursor, Codex CLI, Aider и AWS-based Kiro — отдельный модуль собирает их конфиги и API-ключи.
• Если ставили — ротируйте npm/GitHub-токены, SSH-ключи и облачные креденшлы AWS/Azure/GCP; проверьте CI/CD-пайплайны и публичные репозитории со строкой «Shai-Hulud» в имени.

Что случилось с пакетом

По данным The Hacker News, в ночь с 22 на 23 апреля 2026 года в npm-реестре появилась версия @bitwarden/cli@2026.4.0 с дополнительным файлом bw1.js внутри. Сборка была доступна 1 час 33 минуты — с 17:57 до 19:30 по времени Нью-Йорка, — после чего её сняли с публикации. Первыми на неё обратили внимание исследователи Socket, JFrog и OX Security. JFrog описал поведение как «кражу GitHub/npm-токенов, содержимого .ssh, .env, истории shell, секретов GitHub Actions и облачных провайдеров с выгрузкой на внешние домены и в виде коммитов в GitHub».

Bitwarden подтвердил инцидент и уточнил, что «расследование не обнаружило признаков доступа к данным пользовательских хранилищ и компрометации продакшн-систем». По словам компании, доступ нарушителя был отозван, вредоносный релиз помечен как deprecated, по версии 2026.4.0 заводится отдельный CVE. Пострадавшие — только те, кто успел скачать пакет в полуторачасовом окне и выполнил его установку.

Как устроен троян

Механика по отчёту Socket проста, но многоступенчата. В package.json зловредной версии добавлен preinstall-хук, который запускает скрипт bw_setup.js. Тот проверяет наличие Bun — альтернативного JS-рантайма — и, если его нет, скачивает. Затем Bun-ом запускается обфусцированный загрузчик bw1.js. Bun тащат с собой не случайно: на машине жертвы его, скорее всего, нет, а корпоративный EDR (антивирус нового поколения для рабочих станций и серверов) реагирует на неожиданный бинарник хуже, чем на стандартный npm-скрипт. Preinstall-хук при этом срабатывает ещё до того, как код пакета формально «установлен».

• npm- и GitHub-токены из локальных конфигов и переменных окружения;
• приватные SSH-ключи из ~/.ssh;
• содержимое .env-файлов и историю shell (.bash_history, .zsh_history);
• секреты GitHub Actions из переменных окружения CI;
• креденшлы облачных провайдеров — AWS, Azure, Google Cloud;
• конфиги и API-ключи ИИ-ассистентов Claude, Cursor, Codex CLI, Aider и AWS-based Kiro.

Собранные данные шифруются AES-256-GCM и выгружаются двумя каналами. Основной — POST на домен audit.checkmarx[.]cx (конкретно путь /v1/telemetry), который притворяется инфраструктурой Checkmarx. Резервный — малварь создаёт публичные GitHub-репозитории в аккаунте жертвы и кладёт туда зашифрованный payload. В названиях репозиториев встречается строка «Shai-Hulud: The Third Coming» — отсылка к прошлогодней одноимённой кампании в npm. OX Security подчёркивает, что такой тайник (по терминологии безопасников — dead-drop) через GitHub опасен отдельно: утёкшие секреты становятся доступны любому, кто ищет по публичным репозиториям, — а системы защиты почти не следят за исходящим трафиком в GitHub.

Поверх этого в бинарнике есть модуль-червь: с украденным npm-токеном малварь находит все пакеты, которые жертва имеет право публиковать, и вбрасывает в них тот же payload. Endor Labs называет его «CanisterSprawl» и считает один из самых полных npm supply chain-пейлоадов на сегодняшний день: шесть разных поверхностей для сбора секретов, OIDC- и cloud-кража, самораспространение через npm-публикации и отдельный модуль для ИИ-ассистентов.

Отдельный удар по ИИ-ассистентам

Отдельный модуль малвари специально ищет артефакты ИИ-кодеров — API-ключи OpenAI и Anthropic из конфигов Claude, Cursor и Codex CLI, токены Aider, настройки AWS-based Kiro. Endor Labs считает, что это один из первых публично задокументированных случаев, когда supply chain-атака отдельной веткой целится на «кошельки разработчиков у ИИ». Ключ к Anthropic или OpenAI — это не только деньги на балансе аккаунта жертвы, но и возможность с его помощью заставить ИИ-ассистента писать закладки в код при следующих авто-запросах.

Почему малварь пропускает русскую локаль

Малварь завершается без выполнения, если в системе выставлена русская локаль. Socket отмечает три возможных причины: отдельный оператор, использующий общую инфраструктуру, отколовшаяся группа с идеологическими мотивами или эволюция самой кампании. На практике для российских разработчиков это не даёт защиты: большинство dev-машин, серверов и CI-раннеров работают с англоязычной локалью по умолчанию (обычно en_US.UTF-8), поэтому пропуск по локали чаще всего не срабатывает.

Что делать, если могли установить 2026.4.0

• Сначала убедитесь, что пакет действительно попал в ваши машины и раннеры: прогрепайте package-lock.json, pnpm-lock.yaml и yarn.lock на @bitwarden/cli версии 2026.4.0, посмотрите логи npm-установок в ночь на 23 апреля МСК.
• Ротируйте все токены с этих машин: npm-токены, GitHub PAT (включая fine-grained), SSH-ключи, AWS access/secret keys и STS-сессии, Azure SP, GCP service accounts.
• Замените секреты в GitHub Actions и других CI-системах, где пакет мог запускаться, — включая secrets, variables и OIDC-конфигурации.
• Пройдитесь по API-ключам ИИ-ассистентов (Anthropic, OpenAI, Cursor, Aider) и отзовите их в кабинетах провайдеров; сверьте биллинг на предмет аномальных трат.
• Проверьте публичные репозитории в своём GitHub-аккаунте: ищите имена в формате <слово>-<слово>-<3 цифры> (например, fremen-muaddib-042) со строкой «Shai-Hulud» в README и удалите.
• Откатитесь на безопасную версию CLI — 2026.3.x или актуальную стабильную, которую Bitwarden опубликовал после инцидента. Ставьте её через npm i @bitwarden/cli@<версия>, а не через latest или диапазон.

Связь с Checkmarx и первый взлом через npm trusted publishing

Накануне, 21 апреля, Checkmarx раскрыла собственный инцидент — компрометацию KICS Docker-образов, GitHub-расширений и пакета checkmarx/ast-github-action, который используется во многих CI-пайплайнах. По данным Endor Labs, репозиторий Bitwarden подтягивал именно этот action, и через него злоумышленники получили доступ к npm-каналу. Socket приводит прямые пересечения: тот же домен audit.checkmarx[.]cx, тот же паттерн обфускации __decodeScrambled с seed-значением 0x3039 — технический отпечаток, указывающий на одних и тех же авторов, — плюс тот же приём «украсть → выгрузить в GitHub → распространиться дальше».

Исследователь Аднан Хан утверждает, что это первый зафиксированный случай компрометации пакета, использующего npm trusted publishing — механизм OIDC-публикации, при котором GitHub Actions обменивается на короткоживущий npm-токен без долгоживущих секретов в CI. Его как раз продвигали в ответ на регулярные утечки npm-токенов у мейнтейнеров. На деле trusted publishing оказался не панацеей: если нарушитель получает доступ к GitHub Actions-воркфлоу с правом публиковать пакет, OIDC-токен ему выдаёт сам npm. Атрибуция у исследователей — группа TeamPCP, уже засветившаяся на взломах LiteLLM и Trivy. Аккаунт TeamPCP в X на момент выхода материала заблокирован.

Выводы для npm-экосистемы и supply chain

Случай укладывается в серию ударов по цепочке доставки последних двух недель: Trivy и LiteLLM на PyPI, Axios и PyPI, теперь Checkmarx и Bitwarden. Характерная деталь — защитный слой не спасает: trusted publishing, OIDC и короткоживущие токены не помогают, если злоумышленник уже получил доступ к CI-воркфлоу. Практический вывод: pin-версии в лок-файлах, отдельный CI-аккаунт с минимальными правами, еженедельная ревизия CI-секретов и мониторинг собственного GitHub на появление незнакомых публичных репозиториев. Инвентаризация секретов, которые ходят через CI/CD, перестала быть теоретическим упражнением.

EDR — это очень мощное ПО. Можно сказать, что это основа современной безопасности.

Но есть такая техника, при которой EDR лежит кверху лапками, как безобидный щеночек, а не как сторожевой пес размером с трактор. Эта техника называется BYOVD (Bring Your Own Vulnerable Driver), посредством которой злоумышленники проникают в систему, повышают привилегии и потом делают то, что им нужно.

В статье разберу чем опасны BYOVD-атаки и поделюсь готовыми правилами детектирования, которые можно распечатать и всегда держать под рукой.

Теоретическая часть: как работает BYOVD-атака

BYOVD очень опасная техника.

• Программы-вымогатели BlackByte и AvosLocker использовали BYOVD для обхода средств защиты.
• По данным Huntress, в 2024 году значительная доля атак шифровальщиков включала обход EDR — в том числе через уязвимые драйверы.
• BYOVD — типовая фаза ransomware-операций, а ransomware — главная киберугроза для российского бизнеса. В 2024 году шифровальщики парализовали СДЭК на трое суток (300 тыс. посылок в день), положили платёжные терминалы сети «Верный» по всей стране (убытки 120–140 млн руб./день), а в июле 2025-го хакеры уничтожили ИТ-инфраструктуру «Аэрофлота», вынудив отменить более 100 рейсов. Во всех этих инцидентах ключевым этапом было отключение защиты — и именно BYOVD остаётся самой распространённой техникой для этого. По данным Symantec, в 2026 году BYOVD стал наиболее частым методом обхода EDR в ransomware-атаках.
• BYOVD — обязательный компонент в кибершпионаже. К слову, в процессе знаменитой масштабной операции по кибершпионажу, называемой Operation DreamJob, проводимой группировкой Lazarus, использовался BYOVD. Группировка создавала фейковые профили рекрутеров в LinkedIn и рассылала жертвам «вакансии» — ISO-файлы с вредоносной начинкой: многоступенчатой цепочкой загрузчиков (RollFling → RollSling → RollMid → KaolinRAT), финальным звеном которой был FudModule — руткит, работающий на уровне ядра.

Практически во всех крупных ransomware-инцидентах ключевой этап — отключение EDR перед шифрованием. Если описать BYOVD в двух словах, то Bring Your Own Vulnerable Driver (BYOVD) — это техника, при которой злоумышленник использует уязвимость Windows, чтобы обойти EDR и получить привилегированный доступ к системе.

Дело в том, что Windows делит весь исполняемый код на два уровня доверия — в архитектуре x86 они называются кольцами защиты (protection rings): Ring 3 пользовательский режим, и Ring 0 режим ядра.

Обычные программы, вроде браузера, работают в Ring 3 и имеют ограниченный набор привилегий. А в ядре (Ring 0) работают ntoskrnl.exe (само ядро), HAL, файловая система, сетевой стек и все драйверы. А имея доступ к Ring 0 можно модифицировать любые структуры данных, завершать любые процессы и отключать любую телеметрию, что и делают BYOVD программы.

Доступ к Ring 0 можно получить посредством драйвера, потому что драйверы в Windows работают в ring 0 — то есть на уровне ядра, с максимальными привилегиями. Чтобы обезопасить ядро от нелегитимных пользователей, Microsoft ввёл обязательную подпись драйверов (DSE — Driver Signature Enforcement) и в теории, загрузить произвольный код в ядро нельзя — драйвер должен быть подписан сертификатом, которому доверяет Microsoft.

На деле в BYOVD-атаках используются именно легитимные подписанные драйверы, потому что Windows не проверяет списки отзыва сертификатов (CRL) при загрузке драйверов — на этом этапе загрузки ОС сеть ещё недоступна. Например, в феврале 2026 года Huntress обнаружил атаку, где 20-летний драйвер EnCase (драйвер EnCase подписан сертификатом от 15 декабря 2006 года) с отозванным сертификатом мог убивать 59 EDR-процессов.

EDR — это такой гибрид, у которого пользовательский интерфейс работает в Ring 3, а для мониторинга он устанавливает свой kernel-mode драйвер в Ring 0. Мониторинг EDR основан на kernel callbacks — специальных функциях- уведомлениях, которые ядро вызывает при определённых событиях, например, когда создаётся процесс — срабатывает PsSetCreateProcessNotifyRoutine, а когда загружается DLL — PsSetLoadImageNotifyRoutine.

Коллбэки регистрируются EDR-драйвером при загрузке, и ядро хранит их адреса в служебных структурах — таких как CallbackListHead.

Помимо kernel callbacks, EDR перехватывает вызовы API-функций через function-hooking DLL, которая инжектируется в каждый процесс. Эти хуки работают в user mode и подменяют первые байты функций ntdll.dll (например, NtAllocateVirtualMemory) на переход в код EDR.

Поэтому даже после отключения kernel callbacks EDR может получать телеметрию через user-mode хуки — и наоборот. Продвинутые руткиты атакуют оба уровня одновременно.

Если атакующий получает возможность писать в память ядра, он может обнулить адреса коллбэков или флаги их активности — и ядро перестанет уведомлять EDR о любых событиях. Процесс антивируса при этом продолжает работать, но по факту ничего не видит. А дальше можно делать что угодно.

Microsoft поддерживает встроенный блок-лист уязвимых драйверов, но он покрывает лишь малую часть из сотен известных уязвимых драйверов в базе LOLDrivers.

Как так происходит? Есть три подхода к получению kernel-доступа, в том числе через BYOVD и смежные техники.

Подход 1: N-day уязвимости в сторонних драйверах

Атакующий берёт драйвер известного производителя (Dell, Intel, Realtek, MSI и десятки других) с уже обнаруженной уязвимостью. Драйвер подписан валидным сертификатом, DSE его пропускает. Через уязвимость (обычно это IOCTL, который позволяет произвольное чтение/запись физической или виртуальной памяти) атакующий получает примитивы для модификации ядра.

Примечание. Проект LOLDrivers.io на сегодня каталогизирует сотни таких драйверов.

Например, таким образом действовал инструмент FudModule группировки Lazarus (HIDDEN COBRA, APT38) — одной из самых технически продвинутых APT-группировок, связанных с КНДР. Первая версия FudModule (обнаружена ESET в 2022 году) эксплуатировала уязвимость CVE-2021-21551 в драйвере Dell dbutil_2_3.sys. Этот драйвер, предназначенный для обновления BIOS и firmware ноутбуков Dell, содержал критическую уязвимость: он принимал IOCTL-запросы, позволяющие читать и записывать произвольную физическую память без каких-либо проверок вызывающего процесса.

Для атакующего — находка: драйвер подписан Dell, Microsoft ему доверяет, а через IOCTL можно получить полный контроль над памятью ядра. Lazarus сбрасывали этот драйвер на диск, загружали через sc.exe create / sc.exe start и получали примитивы чтения/записи ядра.

Подход 2: Злоупотребление PreviousMode

Через эксплуатацию уязвимости атакующий меняет поле PreviousMode в структуре _KTHREAD текущего потока с UserMode (1) на KernelMode (0). После этого системные вызовы NtWriteVirtualMemory и NtReadVirtualMemory перестают проверять границы памяти и позволяют напрямую модифицировать пространство ядра из user mode.

Подход 3: 0-day в компонентах Windows

Более сложный путь: атакующий находит уязвимость в штатном драйвере операционной системы. Именно так поступила (опять же) группировка Lazarus с CVE- 2024-21338 в appid.sys (компонент AppLocker). В 2024 году группировка обновила FudModule до версии 2.0 и вместо стороннего драйвера Dell они нашли и проэксплуатировали 0-day уязвимость в appid.sys, штатном компоненте Windows, отвечающем за AppLocker.

Уязвимость имеет номер CVE-2024-21338 и её суть в том, что драйвер appid.sys содержал IOCTL, позволяющий вызвать произвольную функцию ядра с частичным контролем над первым аргументом. Для эксплуатации требовался LOCAL_SERVICE account — Lazarus получал его через имперсонацию.

Цепочка эксплуатации выглядела так:

1. Имперсонация LOCAL_SERVICE через стандартные механизмы Windows.
2. Вызов уязвимого IOCTL в appid.sys для исполнения произвольной функции ядра.
3. Через полученный примитив — модификация поля PreviousMode в _KTHREAD текущего потока (с UserMode на KernelMode).
4. Теперь NtWriteVirtualMemory / NtReadVirtualMemory можно вызывать из user mode без проверки границ → полный R/W доступ к памяти ядра.

Преимущество перед классическим BYOVD очевидно: не нужно сбрасывать файл на диск, не нужно загружать сторонний драйвер — appid.sys уже есть в каждой системе с включённым AppLocker. Это существенно снижает IoC и затрудняет детектирование.

Публичные тулкиты: BYOVD для всех

При этом BYOVD — это дешевый вид атаки — в 2024–2025 года готовые инструменты появились как грибы после дождя: на даркнет-форумах за несколько сотен долларов можно купить EDRKillShifter, AuKill, Blackout и прочее ПО для атак.

И при этом нет нужды обладать глубокими знаниями ядра Windows, достаточно скачать готовый тулкит. Поэтому атаки стали повсеместными, что я продемонстрирую на примерах реальных кейсов последних двух лет.

№1. BYOVD встраивается ВНУТРЬ ransomware

В феврале 2026 года Symantec зафиксировал новый паттерн: группировка Reynolds встроила уязвимый драйвер NSecKrnl прямо в payload шифровальщика. Раньше BYOVD-компонент и ransomware были отдельными файлами с временным зазором между ними — этот зазор давал SOC шанс среагировать. Теперь одного бинарника достаточно для отключения EDR и шифрования. По оценке Symantec, BYOVD стал самой частой техникой обхода защиты в ransomware-атаках 2026 года.

№2. POORTRY: кастомный вредоносный драйвер

Ещё интереснее POORTRY (Abyssworker) — не уязвимый легитимный драйвер, а специально написанный вредоносный драйвер, к которому атакующие получили валидную подпись через украденные сертификаты WHCP. Он маскировался под антивирусный компонент (например, драйвер Malwarebytes) и использовался в атаках Medusa и Osiris.

№3. RansomHub и EDRKillShifter

Группировка RansomHub разработала собственный инструмент EDRKillShifter, эксплуатирующий уязвимый драйвер TrueSight.sys. Инструмент стал стандартным компонентом их ransomware-набора и использовался для отключения EDR перед развёртыванием шифровальщика. По данным исследователей, EDRKillShifter применялся в десятках инцидентов в 2024 году.

№4. Kasseika: антивирусный драйвер против антивируса

Группировка Kasseika использовала ироничный подход — уязвимый драйвер антивирусного продукта (Martini.sys от TG Soft’s VirIT) для отключения конкурирующих EDR-решений. Цепочка атаки: через PsExec распространялся загрузчик, который сбрасывал уязвимый антивирусный драйвер, загружал его и через IOCTL завершал процессы защитных решений. После этого развёртывался шифровальщик.

№5. Deadlock: Baidu против безопасности

В декабре 2025 года Cisco Talos задокументировал новый вариант вымогателя Deadlock, использующий уязвимый драйвер Baidu Antivirus (BdApiUtil.sys, CVE- 2024-51324).

Атакующие использовали лоадер EDRGay.exe, который сбрасывал драйвер под именем DriverGay.sys в директорию Videos жертвы. Через IOCTL 0x800024b4 лоадер вызывал ZwTerminateProcess() для завершения всех EDR-процессов. Уязвимость квалифицирована как Improper Privilege Management — непривилегированный пользователь мог завершить любой системный процесс.

№6. BlackByte : систематический подход

BlackByte продемонстрировал системный подход к BYOVD: группировка использовала несколько уязвимых драйверов в разных кампаниях, включая RTCore64.sys и драйверы из базы LOLDrivers. Особенность их подхода — интеграция BYOVD-компонента непосредственно в цепочку развёртывания ransomware, с автоматическим выбором драйвера в зависимости от целевой системы.

Список ransomware-групп, использующих BYOVD, продолжает расти: Qilin (драйверы Zemana и Toshiba), Akira (драйвер Intel), Play, BianLian, Medusa, Rhysida, Cuba, GhostLocker, INC, Interlock (GameDriverx64.sys, CVE-2025- 61155). BYOVD стал стандартной фазой операции ransomware.

Разберём BYOVD-тулкит на примере Blackout

С точки зрения детектирования публичные тулкиты — это одновременно проблема и возможность. Проблема в том, что порог входа для атакующего стал минимальным, а возможность, потому что их поведение предсказуемо и создаёт чёткие IoC: фиксированные хэши драйверов, характерные паттерны создания сервисов, списки процессов для убийства.

Большинство BYOVD-инструментов следуют одному паттерну: сбросить уязвимый драйвер на диск (часто в %TEMP% или %APPDATA%), создать и запустить сервис для его загрузки, через IOCTL получить примитив завершения произвольного процесса и последовательно убить все EDR/AV процессы по списку.

Разберем цепочку событий, которую генерирует типичная BYOVD-атака на примере публичного тулкита Blackout (ZeroMemoryEx) в тестовой среде (даже если атака не завершилась успехом)

Что такое Blackout? Это открытый инструмент на GitHub, реализующий классический паттерн BYOVD: сбросить на диск подписанный уязвимый драйвер, загрузить его через SCM (Service Control Manager) и через IOCTL-запрос завершить целевой процесс из Ring 0. Использование тривиально — достаточно указать PID жертвы:

Blackout.exe -p <PID_процесса>

Запуск в тестовой среде. Находим PID Sysmon и запускаем Blackout:

Blackout успешно создал сервис для загрузки kernel-драйвера,

...но сам драйвер не загрузился, потому что сертификат подписи драйвера (GMEREK Systemy Komputerowe, Польша) отозван Microsoft и внесён в Certificate Trust List операционной системы:

Скриншот cs start — ошибка отзыва сертификата.

Драйвер Blackout.sys подписан валидной цифровой подписью — но Microsoft, узнав об использовании этого драйвера в атаках, отозвал сертификат и добавил его хэш в системный блок-лист (Disallowed Certificate Store). Windows проверяет этот список при каждой загрузке драйвера — даже без доступа к интернету, потому что CTL вшит в ОС.

Это один из механизмов защиты от BYOVD, но с существенным ограничением: он работает только для уже известных драйверов. А база LOLDrivers.io содержит сотни уязвимых драйверов, и Microsoft физически не успевает отзывать все сертификаты. Поэтому атакующие просто берут менее известный драйвер — и блокировка не срабатывает.

Что увидит SOC. Несмотря на неудачную загрузку, попытка атаки оставила чёткие следы в телеметрии:

Event ID 7045 (System log — Service Control Manager).

Это событие — ключевой индикатор. Создание нового сервиса с типом «драйвер режима ядра», где путь к файлу указывает за пределы System32\drivers\ — аномалия, которая должна вызывать алерт максимального приоритета.

Хэш драйвера (SHA256): 18C909A2B8C5E16821D6EF908F56881AA0ECCEEACCB5FA1E54995935FCFD1 2F7

Есть хорошие новости: каждый этап BYOVD оставляет следы — надо знать, куда смотреть. Давайте приступим к финальной части статьи — к выстраиванию эшелонированного детектирования, не привязанного к конкретной SIEM-платформе.

Детектирование BYOVD: что и как мониторить

Правила детектирования BYOVD делятся на два типа.

• Brittle-детекты — ловят конкретные IoC: хэш известного уязвимого драйвера, имя файла, путь. Они дают минимальный false positive, но обходятся простой заменой драйвера.
• Robust-детекты — ловят поведение: цепочка «файл .sys → сервис → завершение EDR» сработает на любой неизвестный тулкит, но может дать ложные срабатывания на легитимную установку драйверов.

Эшелонированная стратегия строится на комбинации обоих типов.

Детект 1. Загрузка известного уязвимого драйвера

MITRE ATT&CK: T1068 (Exploitation for Privilege Escalation), T1562.001 (Impair Defenses: Disable or Modify Tools).

Самый базовый и эффективный детект — сопоставление хэшей загружаемых драйверов с базой LOLDrivers.io. Проект предоставляет актуальный список хэшей (SHA256, MD5, SHA1) всех известных уязвимых и вредоносных драйверов, а также готовые Sigma-правила.

Логика алерта:

Событие: загрузка драйвера (Sysmon Event ID 6 или аналог). Условие: SHA256-хэш загруженного файла совпадает с записью в базе LOLDrivers. Severity: Critical.

Дополнительные индикаторы, усиливающие уверенность:

• Драйвер загружается из нетипичного расположения (%TEMP%, %APPDATA%, %USERPROFILE%, директория Downloads).
• Имя драйвера не соответствует ожидаемому для данной системы (например, Dell dbutil на машине без оборудования Dell).
• Драйвер сбрасывается на диск непосредственно перед загрузкой (создание файла + загрузка драйвера в окне < 60 секунд).
• LOLDrivers.io отдаёт готовые Sigma-правила и CSV с хэшами для импорта в SIEM — не нужно собирать вручную.

Учти ограничение: хэш-детекты обходятся через CVE-2013-3900 (см. ниже).

Ограничение хэш-детектов: CVE-2013-3900 и Authenticode padding

Детект по SHA256 из LOLDrivers — необходимый минимум, но у него есть серьёзная слабость. CVE-2013-3900 — уязвимость в Windows Authenticode, которая позволяет менять байты в PE-файле за пределами подписанной области. Файловый хэш (SHA256) меняется, а подпись остаётся валидной. Windows загрузит такой драйвер без вопросов.

На практике это означает: атакующий берёт уязвимый драйвер из LOLDrivers, меняет пару байт — и получает файл, которого нет ни в одной хэш-базе. Check Point обнаружил более 2500 уникальных вариантов драйвера TrueSight.sys, созданных именно так: все с разными SHA256, все с одной подписью, все рабочие.

Есть два способа бороться с этим:

1. Authentihash — это хэш, который считается только по подписанным областям PE-файла. У всех 2500 вариантов TrueSight.sys один и тот же Authentihash, потому что подписанная часть не менялась. Если SIEM или EDR умеет работать с Authentihash — детект становится устойчивым к CVE-2013-3900.
2. Сертификат подписи — вместо хэша файла можно строить детект на сертификате, которым подписан драйвер (Subject, Issuer, Serial Number). Даже после модификации байтов сертификат остаётся тем же. Для Sysmon EID 6 доступны поля SignatureStatus и Signature — их можно использовать для фильтрации.

В KUMA это реализуется через дополнительную lookup-таблицу с Authentihash-значениями (доступны на LOLDrivers.io в формате CSV) или через проверку сертификата подписи в событиях Sysmon EID 6.

По сертификату подписи:

Митигация CVE-2013-3900 на уровне ОС — включить строгую проверку Authenticode через реестр:

После этого модифицированные драйверы с padding перестанут считаться подписанными. Фикс существует с 2013 года, но не включён по умолчанию — Microsoft боится сломать совместимость.

Детект 2. Подозрительное создание сервиса для драйвера

MITRE ATT&CK: T1543.003 (Create or Modify System Process: Windows Service)

Загрузка драйвера в Windows происходит через создание сервиса типа «kernel driver». Это генерирует события Windows Security (Event ID 4697 — A service was installed in the system) и System (Event ID 7045 — A new service was installed). Детект фокусируется на аномалиях:

Логика алерта:

Событие: создание нового сервиса с типом kernel driver (Event ID 7045). Условие: ImagePath указывает на файл вне стандартных директорий драйверов.

EID 7045 не содержит информации о родительском процессе — SCM логирует только параметры сервиса. Поэтому детектирование разбито на два правила: первое ловит аномальный путь в самом событии создания сервиса, второе — запуск sc.exe create type=kernel через Sysmon EID 1.

+

Детект 3. Создание символической ссылки на драйверы/файлы security-вендоров

MITRE ATT&CK: T1036 (Masquerading), T1562.001 (Impair Defenses)

Для детектирования техники Symbolic Link + BYOVD необходимо мониторить создание символических ссылок (junction points, reparse points) в системных директориях или указывающих на файлы security-вендоров.

Логика алерта:

Событие создания файла типа symbolic link, где компания-производитель целевого файла — security-вендор, а путь указывает на системную директорию драйверов.

На каком событии строить детект: Sysmon Event ID 11 (FileCreate) — срабатывает при создании файлов, включая reparse points (junction/symlink).

Правило в логическом виде:

Проще говоря: кто-то создал что-то в папке drivers\ и это не установщик драйверов Windows — подозрительно.

Детектирование Symbolic Link + BYOVD возможно на двух уровнях.

Базовый — через Sysmon Event ID 11: любое создание файла в C:\Windows\System32\drivers\ процессом, не являющимся штатным установщиком, генерирует алерт.

Продвинутый — через EDR-телеметрию, где доступен тип файла (symlink) и метаданные целевого объекта (File Company Name). Это позволяет точно детектировать создание символической ссылки, подменяющей компонент security-вендора, с минимальным уровнем false positive.

Логика реализуема в EDR-решениях с расширенной файловой телеметрией (Kaspersky KEDR Expert, BIZONE EDR) где доступны поля типа файла (symlink/junction) и метаданные PE-заголовка целевого объекта (CompanyName, FileDescription).

Детект 4. Исчезновение kernel callbacks / молчание EDR

MITRE ATT&CK: T1562.001 (Impair Defenses: Disable or Modify Tools)

Один из самых сложных, но самых ценных детектов — обнаружение факта отключения kernel callbacks. Прямой мониторинг невозможен (если ETW отключён, события не генерируются), но можно использовать косвенные индикаторы:

• Heartbeat-мониторинг EDR: если EDR-агент перестал отправлять телеметрию (или отправляет, но количество событий аномально снизилось) — это критический индикатор. SOC должен мониторить поток событий от каждого агента.
• ETW consumer watchdog: периодический опрос состояния ETW-сессий через logman query. Если системные ETW-сессии внезапно прекратились — это сигнал.
• Kernel callback verification: специализированные инструменты (или кастомный драйвер мониторинга) могут периодически проверять целостность массивов PspCreateProcessNotifyRoutine и CallbackListHead.

Логика алерта:

Условие: EDR-агент на хосте X не отправлял телеметрию более N минут (порог зависит от нормальной частоты). ИЛИ количество событий от агента снизилось более чем на 90% по сравнению с базовой линией за аналогичный период. Severity: Critical.

В KUMA это реализуется правилом на отсутствие событий: создаём корреляцию с типом «отсутствие события» (absence), где условие — от конкретного хоста не поступало ни одного события Sysmon за последние 10 минут. Порог подбирается под среду: для рабочих станций 10 минут, для серверов с высокой активностью — 5 минут.

Детект 5. Нетипичный процесс открывает хэндл к драйверу

MITRE ATT&CK: T1068 (Exploitation for Privilege Escalation)

При эксплуатации уязвимого драйвера атакующий вызывает CreateFile("\\\\.\\<DeviceName>") для получения хэндла, а затем DeviceIoControl() для отправки IOCTL-команд. В случае успешной загрузки обращение шло бы к устройству \\.\Blackout — объекту, зарегистрированному загруженным драйвером Blackout.sys.

Логика алерта:

Событие: если к устройству драйвера Dell (\\.\DBUtil_2_3) обращается не процесс Dell, а неизвестный бинарник из C:\Users\Downloads\ — это аномалии.

Реализация этого детекта требует расширенной телеметрии: аудита доступа к объектам ядра (Windows Security Policy → Object Access) или EDR с мониторингом device handle operations. Стандартный Sysmon этот уровень не покрывает — это один из аргументов в пользу EDR-решений с kernel-level телеметрией, даже с учётом рисков BYOVD.

В KEDR Expert и BI.ZONE EDR операции DeviceIoControl логируются через kernel-level телеметрию.

Если таких EDR нет — можно включить Object Access Auditing через GPO (Computer Configuration → Windows Settings → Security Settings → Advanced Audit Policy → Object Access → Audit Kernel Object), но это генерирует большой объём событий и требует тщательной фильтрации.

Детект 6. Аномалии PreviousMode

MITRE ATT&CK: T1068 (Exploitation for Privilege Escalation)

Этот детект — скорее гипотеза для threat hunting, чем правило для автоматического алертинга. Прямой мониторинг PreviousMode из user mode невозможен, но косвенные признаки могут указать на эксплуатацию:

PreviousMode это поле в структуре потока, которое говорит ядру: «Этот запрос пришёл из user mode или из kernel mode?»

Lazarus через CVE-2024-21338 менял это значение с 1 на 0. После этого обычный процесс мог вызывать NtWriteVirtualMemory и писать прямо в память ядра — ядро думало что запрос от компонента ядра.

Изменение PreviousMode в _KTHREAD — ключевой примитив атак CVE-2024- 21338 и аналогичных. Напрямую мониторить это из user mode невозможно, но можно детектировать косвенные признаки:

• Процесс из user mode успешно вызывает NtWriteVirtualMemory / NtReadVirtualMemory для адресов пространства ядра системы (> 0x7FFFFFFFFFFF) — это аномалия, которую можно детектировать через ETW-провайдер Microsoft-Windows-Kernel-Audit-API-Calls (если он ещё не отключён)
• Процесс LOCAL_SERVICE внезапно выполняет операции, не характерные для этого аккаунта — например, создаёт файлы, загружает DLL, устанавливает сетевые соединения.

Детект 7. Загрузка драйвера с отозванным или истёкшим сертификатом

MITRE ATT&CK: T1553.002 (Subvert Trust Controls: Code Signing)

Sysmon EID 6 при загрузке драйвера фиксирует статус подписи. Если подпись невалидна, отозвана или просрочена — это повод для алерта.

В конфигурации Sysmon должен быть включён тег <CheckRevocation/>.

Логика алерта:

Событие: загрузка драйвера (Sysmon EID 6). Условие: SignatureStatus не равен 'Valid'.

Дополнительный фильтр для снижения FP: исключить драйверы Microsoft, подписанные в тестовом режиме (если на хосте включён testsigning).

Этот детект ловит атаки типа EnCase BYOVD (Huntress, 2026): драйвер с сертификатом 2010 года, отозванным 15 лет назад, но всё ещё загружаемым Windows.

Детект 8. Комплексный подход: корреляция событий

Самый мощный детект — корреляция слабых сигналов в рамках одного инцидента. Типичная цепочка BYOVD-атаки генерирует следующую последовательность:

1. Файл .sys появляется в нетипичной директории (File Create)
2. Создаётся новый сервис типа kernel driver (Event ID 7045)
3. Загружается драйвер с хэшем из базы LOLDrivers (Sysmon ID 6)
4. Процесс открывает хэндл к устройству драйвера (File/Object Access)
5. Один или несколько EDR/AV процессов завершаются (Event ID 4689) или перестают генерировать телеметрию
6. Загруженный драйвер имеет невалидную, отозванную или просроченную подпись (Sysmon EID 6, SignatureStatus ≠ Valid)

Логика корреляционного правила:

Если на одном хосте в течение 5 минут происходят события #1 + #2 + (#3 ИЛИ #5 ИЛИ #6) — это с высокой вероятностью BYOVD-атака.

Готовые правила для SIEM KUMA

Для тех, кто работает с KUMA — пять правил корреляции, адаптированных под синтаксис платформы. Время внедрения — 15–20 минут на правило.

Правило 1. Загрузка драйвера из нестандартного пути

Тип: простое | Источник: Sysmon | Severity: HIGH | MITRE: T1068, T1543.003

Реакция: проверить хэш на loldrivers.io, найти источник файла (EID 11).

Правило 2. Создание kernel-mode сервиса

Тип: простое | Источник: Windows System Log | Severity: HIGH | MITRE: T1543.003

FP: установка драйверов ПО/принтеров. Коррелировать с EID 6.

Правило 3. sc.exe create type=kernel

Тип: простое | Источник: Windows Security / Sysmon | Severity: HIGH | MITRE: T1543.003

Правило 4. Массовое завершение защитных процессов

Тип: агрегация (count) | Источник: Sysmon | Severity: CRITICAL | MITRE: T1562.001

Реакция: НЕМЕДЛЕННАЯ ИЗОЛЯЦИЯ хоста!

Правило 5. ETW tampering через CLI

Тип: простое | Источник: Windows Security / Sysmon | Severity: HIGH | MITRE: T1562.006

Митигации: как снизить риск BYOVD

BYOVD не закрывается одним патчем — уязвимых подписанных драйверов сотни. Но усложнить атаку можно.

№1. HVCI (Hypervisor-Protected Code Integrity)

HVCI (также известный как Memory Integrity) использует гипервизор для контроля целостности кода ядра. С включённым HVCI загрузка драйверов проверяется на уровне VTL1, что значительно затрудняет эксплуатацию уязвимых драйверов. Ограничение: HVCI может вызывать проблемы совместимости со старым оборудованием и драйверами.

HVCI защищает ключевые структуры ядра, включая ci!g_CiOptions — переменную, контролирующую проверку подписей драйверов. Без HVCI атакующий с BYOVD-примитивом может перезаписать ci!g_CiOptions и загрузить вообще любой неподписанный драйвер. С включённым HVCI эта переменная находится под защитой гипервизора (VTL1), и попытка записи вызовет исключение. Это делает HVCI единственной митигацей, защищающей ci!g_CiOptions на уровне гипервизора.

№2. Microsoft Vulnerable Driver Blocklist

Microsoft поддерживает список заблокированных уязвимых драйверов, который может применяться через WDAC (Windows Defender Application Control) или ASR (Attack Surface Reduction) правила. Важно убедиться, что этот список обновляется регулярно — по умолчанию он обновляется только с крупными обновлениями Windows.

№3. ASR Rules

ASR (Attack Surface Reduction) — это набор правил в Windows Defender, которые блокируют типичные действия атакующих. Одно из правил специально для BYOVD.

Attack Surface Reduction правило «Block abuse of exploited vulnerable signed drivers» (GUID: 56a863a9-875e-4185-98a7-b882c64b5ce5) может блокировать загрузку известных уязвимых драйверов. Рекомендуется включить в режиме аудита, а затем перевести в блокировку после проверки совместимости.

№4. Мониторинг сервисов и драйверов

• Настроить аудит создания сервисов (Event ID 7045, 4697).

• Мониторить загрузку драйверов через Sysmon (Event ID 6) с автоматической проверкой хэшей по LOLDrivers.
• Внедрить EDR heartbeat-мониторинг с алертом на молчание агента.
• Ограничить права на создание сервисов типа kernel driver — минимизировать число учётных записей с привилегией SeLoadDriverPrivilege.

№5. Принцип наименьших привилегий

BYOVD-атака требует привилегий администратора (для загрузки драйвера) или LOCAL_SERVICE (для CVE-2024-21338). Меньше админов на эндпоинтах — меньше шансов у атакующего загрузить драйвер. Audit и контроль использования привилегированных учётных записей (PAM, JIT-доступ) остаются критически важными.

№6 Проактивный аудит: как находить уязвимые драйверы до атакующих

Все детекты и митигации выше работают реактивно — мы ловим атаку, которая уже происходит, или блокируем драйверы, которые уже попали в базы. Но в инфраструктуре любой крупной компании десятки или сотни драйверов от разных вендоров, и далеко не все из них проверены на уязвимости. Промышленные контроллеры, банковское оборудование, принтеры, сканеры, специализированное ПО — всё это ставит свои драйверы, которые работают в Ring 0 и могут содержать IOCTL-обработчики с классическими багами.

В 2023 году исследователи из TeamT5 представили на HITCON инструмент IOCTLance, который решает именно эту задачу: автоматический поиск уязвимостей в WDM-драйверах без необходимости запускать их на реальной системе. За счёт комбинации символьного выполнения и taint-анализа IOCTLance нашёл 117 ранее неизвестных уязвимостей в 26 драйверах, что привело к назначению 41 CVE — среди затронутых вендоров оказались AMD, Dell, IObit, Microsoft (Visual Studio).

Подход работает так. Инструмент берёт бинарник драйвера, находит в нём IOCTL-обработчики и вместо реальных данных подаёт на вход символьные переменные. Затем прослеживает все пути выполнения кода и проверяет, попадают ли контролируемые пользователем данные в опасные функции: MmMapIoSpace (маппинг физической памяти), ZwOpenProcess без OBJ_FORCE_ACCESS_CHECK (открытие хэндла к произвольному процессу), memcpy с контролируемым размером (переполнение буфера), вызов функции по указателю из input buffer (выполнение произвольного кода в ядре) и ещё пять типов уязвимостей. На выходе — конкретный IOCTL-код, адрес уязвимой инструкции и описание, какие именно поля входного буфера контролирует атакующий.

Почему это применимо на практике? База LOLDrivers.io каталогизирует сотни уязвимых драйверов, но покрывает только те, которые уже кто-то исследовал. Драйвер от условного вендора банковских терминалов или системы контроля доступа может содержать точно такие же баги (произвольное чтение/запись памяти через IOCTL), но никто его не проверял, и в LOLDrivers его нет. Атакующий, который получит этот драйвер, сможет использовать его для BYOVD — а детекты по хэшам не сработают, потому что драйвера нет ни в одной базе.

Заключение

BYOVD — это стандартный этап ransomware-операций, доступный через готовые тулкиты и базы уязвимых драйверов, так как публичные инструменты снизили порог входа до минимума.

Для SOC-команд и detection-инженеров это означает необходимость пересмотра подходов к мониторингу:

• Хэш-детектирование загрузки уязвимых драйверов (LOLDrivers.io) — базовый, обязательный детект.
• Мониторинг создания сервисов типа kernel driver из нетипичных источников.
• Heartbeat-мониторинг EDR-агентов с алертом на молчание.
• Корреляция: файл .sys + сервис + завершение EDR = автоматическая изоляция.
• Технические митигации: HVCI, ASR rules, Microsoft Vulnerable Driver Blocklist.

Если ваша стратегия безопасности начинается и заканчивается на EDR, BYOVD-атака может оставить вас полностью слепыми. Сетевой мониторинг, контроль привилегий, HVCI и проверка живости агентов — надёжнее любого отдельного EDR.

Чек-лист: защита от BYOVD

Оставляю чек-лист — распечатайте и держите рядом.

Предотвращение

☐ HVCI (Memory Integrity) включён на рабочих станциях и серверах.

☐ Microsoft Vulnerable Driver Blocklist актуален.

☐ ASR-правило «Block abuse of exploited vulnerable signed drivers» активно.

☐ SeLoadDriverPrivilege ограничена минимальным числом учётных записей.

☐ MFA на VPN и всех внешних точках входа

Обнаружение

☐ Sysmon установлен, EID 6 собирается без агрессивной фильтрации.

☐ <CheckRevocation/> включён в конфигурации Sysmon.

☐ LOLDrivers-хэши импортированы как lookup-таблица в SIEM

☐ Командная строка логируется в EID 4688 (GPO → Include command line) ☐ Правило на sc.exe create type=kernel в SIEM

☐ Правило на массовое завершение EDR-процессов в SIEM

Контроль

☐ Heartbeat-мониторинг EDR-агентов настроен (алерт при молчании > 5 мин).

☐ Корреляция: файл .sys + сервис + завершение EDR = автоизоляция.

☐ Периодическая проверка целостности ETW-сессий (logman query).

В базе находилось около 8,7 млрд записей, что делает инцидент одной из крупнейших утечек персональных данных за все время наблюдений.

Кластер оставался публично доступным более трех недель, прежде чем был закрыт. За это время данные могли быть полностью скопированы.

Что именно утекло

База состояла из 163 отдельных индексов, каждый из которых содержал данные определенного типа. В совокупности в кластере хранилась информация, характерная сразу для нескольких классов утечек:

• персональные данные: ФИО, дата и место рождения, пол;
• контактная информация: номера телефонов, email-адреса, домашние адреса;
• государственные идентификаторы: национальные ID-номера;
• данные аккаунтов: логины, идентификаторы соцсетей и мессенджеров;
• учетные данные: пароли, в том числе в открытом виде или слабо защищенные;
• корпоративные сведения: регистрационные данные компаний, юридические адреса, представители.

По словам исследователей, речь идет не просто о логах одного сервиса. Они столкнулись с агрегированным массивов данных, собранным из разных источников.

Кому принадлежала база — неизвестно

В кластере не было ни баннера, ни названия организации, ни контактной информации владельца.

Сервер был размещен у провайдера так называемого bulletproof-хостинга — такие площадки часто используются для операций с повышенными юридическими рисками.

По словам исследователей, структура базы и регулярные временные метки (вплоть до конца 2025 года) указывают на долгосрочный сбор данных, а не на случайную ошибку конфигурации.

Сколько людей затронуто

Точное число пострадавших оценить невозможно. Часть записей дублируется между индексами, однако даже с учетом повторов речь может идти о сотнях миллионов человек.

Для сравнения: население Китая — около 1,4 млрд человек. Объем базы существенно превышает это число за счет объединения разных типов данных и исторических записей.

Почему это опасно

Даже если данные не были замечены в активном злоупотреблении, сам факт трехнедельной доступности создает серьезные риски.

Исследователи подчеркивают, что подобные массивы особенно опасны не из-за одной конкретной записи, а из-за возможности склеивать цифровые профили людей на основе множества источников.

Но есть важный момент: причиной стала компрометация инфраструктуры хостинг-провайдера. То есть в самом редакторе уязвимости не было.

Что произошло

Как следует из расследования, злоумышленники получили доступ к shared-серверу, на котором размещался сайт notepad-plus-plus.org и скрипт обновлений.

Они выборочно перехватывали трафик и подменяли ответы сервера обновлений, перенаправляя пользователей на вредоносные файлы. Атака была селективной: зараженные обновления получали не все, а только часть пользователей.

По оценке независимых исследователей, за кампанией могла стоять китайская APT-группа — это объясняет точечный характер атак и длительность операции.

Почему это продолжалось так долго

По данным хостинг-провайдера:

• до 2 сентября 2025 года сервер находился под активным контролем атакующих;
• после обновления ядра и прошивки, прямой доступ был утрачен, но учетные данные внутренних сервисов оставались скомпрометированными;
• из-за этого до 2 декабря 2025 года злоумышленники все еще могли перенаправлять трафик обновлений.

Иными словами, сервер уже считался «чистым», но инфраструктурные ключи — нет.

При чем тут Notepad++ и обновления

Атакующие целенаправленно охотились именно за доменом Notepad++, зная, что в старых версиях механизмы проверки обновлений были недостаточно жесткими. Это позволило подсовывать поддельные манифесты обновлений без немедленного обнаружения.

Разработчик и хостинг-провайдер заявляют, что инцидент полностью закрыт:

Что делать пользователям

Авторы проекта рекомендует:

• скачать v8.9.1 вручную с официального сайта;
• установить ее поверх текущей версии;
• не использовать старые сборки с автообновлением без проверки.

Итог

Это тот редкий, но показательный случай, когда open-source проект пострадал не из-за собственного кода, а из-за слабого звена в цепочке поставки — хостинга. Полгода атака оставалась почти незаметной, потому что работала аккуратно и выборочно.

Разработчик Notepad++ публично извинился перед пользователями и признал, что история стала болезненным, но важным уроком: проверка обновлений — не опция, а обязательный минимум.

Новую волну вредоносных Android-приложений обнаружили специалисты Dr.Web.

Как работают «умные» трояны

В основе новой схемы — TensorFlow.js. Это open-source библиотека от Google, которая позволяет запускать модели машинного обучения прямо в JavaScript. Вместо заранее заданных правил, троян анализирует изображение экрана и сам определяет, куда «нажать».

Сценарий выглядит так:

• троян загружает обученную ML-модель с удаленного сервера;
• открывает сайт с рекламой во встроенном скрытом WebView;
• делает скриншоты виртуального экрана;
• модель распознает нужные элементы (кнопки, видео, баннеры);
• вредоносное ПО имитирует реальные действия пользователя.

За счет визуального анализа, троян лучше адаптируется к современным рекламным форматам: динамической верстке, iframe, видео и постоянно меняющимся шаблонам.

Два режима работы: автономный и ручной

По данным Dr.Web, трояны используют сразу два режима.

Phantom-режим. Это полностью автоматический вариант, когда вредоносный код работает в фоне. Пользователь ничего не видит, а клики по рекламе выглядят максимально естественно.

Signalling-режим. Это уже более опасный вариант, при котором через WebRTC троян транслирует экран виртуального браузера операторам атаки. Злоумышленники могут в реальном времени нажимать, скроллить и вводить текст, управляя устройством удаленно.

Где распространяется вредоносное ПО

Часть зараженных приложений попала даже в Xiaomi GetApps — официальный магазин приложений компании. Схема классическая: сначала на площадку загружается «чистая» игра, а вредоносный функционал появляется позже, через обновление.

Среди выявленных приложений — мобильные игры с десятками тысяч установок. Параллельно трояны активно распространяются через сторонние APK-сайты и «моды» популярных сервисов вроде Spotify и YouTube, а также через Telegram-каналы и Discord-серверы.

Почему это опаснее обычного кликфрода

Формально такие трояны не крадут пароли и не вытаскивают личные данные. Но их скрытность делает их особенно неприятными:

• пользователь не видит подозрительных действий;
• ускоряется разряд батареи и износ устройства;
• растет расход мобильного трафика;
• рекламные системы получают фейковую «человеческую» активность, которую сложнее отфильтровать.

Главное же — это сигнал: ИИ все чаще используют не только для защиты, но и для атак. Вредоносное ПО постепенно перенимает те же инструменты, что и легальные разработчики.

Что делать пользователям

Рекомендации остаются простыми и банальными, но от этого не менее важными:

• не устанавливать APK из сторонних источников;
• избегать модов и бесплатных премиум-версий приложений;
• внимательно относиться даже к альтернативным официальным магазинам;
• регулярно обновлять систему и защитное ПО.

Я, Иван Глинкин, руководитель группы аппаратных исследований в Бастионе, автор канала HydrAttack, продолжаю обучающий цикл для начинающих «белых» хакеров. Мы уже выбрали дистрибутив Линукса для хакинга и успешно установили его — пора начать с ним работать. Сегодня мы научимся пользоваться командной строкой, ведь именно так раскрывается вся сила Линя (Linux). Командная строка в Linux позволяет управлять всей операционной системой: выполнять скрипты, запускать команды, управлять папками и файлами, настраивать систему и пр. Если вы не знаете базовые команды — вы не знаете Linux.

man

Вы наверняка слышали выражение из компьютерной и геймерской культуры «курить маны». Оно используется в шутливом контексте среди сисадминов и программистов в тех случаях, когда кто-то пытается разобраться с трудными техническими аспектами с помощью мануалов. Это своего рода «хакерский» сленг, который обозначает процесс самообучения через официальные документы и инструкции. В Unix-подобных ОС такая документация называется man-страницами.

Программа man (от англ. "manual ", руководство) — это утилита, которая предоставляет доступ к справочной документации по различным командам, программам, системным вызовам и конфигурациям системы. Она предназначена для того, чтобы пользователи могли быстро получить информацию о функциональности и параметрах программ прямо из командной строки.

При вызове программы man пользователь указывает имя команды, по которой он хочет получить справочную информацию, например, man ls:

Если вы не уверены в точном названии команды, можно использовать ключ -k или утилиту apropos, чтобы найти все команды, связанные с определенным ключевым словом: man -k network:

Программа man — мощный инструмент для быстрого поиска справочной информации, он помогает пользователям и администраторам эффективно задействовать системы на базе Linux или других Unix-подобных ОС.

cat

Программа cat (от "concatenate", конкатенация, т.е. сцепление) — это одна из наиболее часто используемых утилит в Linux. Ее основная задача — считывать содержимое одного или нескольких файлов и выводить его в терминал. Имеет также несколько дополнительных функций, которые делают ее полезной в разных сценариях.

cat может соединять несколько файлов в один, что отражает ее название "concatenate":

cat может отображать содержимое файла с нумерацией строк при помощи флага:

Дополнительные опции:

● -n — выводит нумерацию строк;

● -s — подавляет вывод пустых строк;

● -b — нумерует только непустые строки;

● -T — отображает табуляции в виде символов ^I;

● -v — отображает непечатаемые символы.

ls

Команда ls (от "listing", список) — одна из самых часто используемых команд в Linux. Она предназначена для вывода списка содержимого директории, то есть файлов и подкаталогов. Команда ls очень гибкая, она поддерживает множество опций для изменения формата вывода и сортировки данных.

Если не указывать каталог, то по умолчанию ls покажет содержимое текущего рабочего каталога:

Опция -l (long format) выводит информацию о каждом файле или каталоге в более подробном виде, включая права доступа, владельца, группу, размер и время последней модификации:

Файлы и директории, имена которых начинаются с точки (.), считаются скрытыми. Опция -a покажет также и скрытые файлы:

При использовании флага -h с -l размер файлов будет отображаться в более привычном формате (кБ, МБ и т.д.):

Флаг -R позволяет рекурсивно просматривать содержимое подкаталогов:

pwd

Команда pwd (от "print working directory", вывести рабочий каталог) — это утилита, которая выводит полный путь к текущему рабочему каталогу. Она особенно полезна для определения местоположения в файловой системе, когда выполняется работа в командной строке.

Когда вы используете команду pwd, она возвращает полный абсолютный путь к директории, в которой вы находитесь в данный момент.

Команда всегда выводит полный путь, начиная с корневого каталога. Это помогает точно определить текущее местоположение в файловой системе.

cd

Команда cd (от "change directory", смена каталога) — одна из базовых команд, которая используется для перемещения между директориями в файловой системе.

Чтобы перейти в определенный каталог, необходимо указать его путь:

Домашний каталог пользователя — это каталог, в котором пользователь находится при первом входе в систему. Чтобы вернуться в него, достаточно просто ввести команду cd без аргументов или cd ~

Чтобы вернуться на один уровень выше в иерархии каталогов, применяется команда cd ..

mkdir

Команда mkdir (от "make directory", создание каталога) — это утилита для создания новых директорий в файловой системе.

Основная задача команды — создать новый каталог по указанному пути. Например:

Можно создать сразу несколько каталогов, передав их имена через пробел:

Если нужно создать вложенную структуру директорий, а родительские каталоги еще не существуют, флаг -p создаст их автоматически:

rm

Команда rm (от "remove", удалить) — это утилита, которая используется для удаления файлов и директорий. Команда представляет собой мощный инструмент, при неосторожном использовании которого можно случайно уничтожить важные файлы без возможности восстановления.

Для удаления файла просто укажите его имя:

Вы можете удалить несколько файлов сразу, передав их имена через пробел. Для удаления пустого каталога используют флаг -d или отдельную утилиту rmdir:

Для удаления директории с ее содержимым (файлы и подкаталоги) необходимо использовать флаг -r (рекурсивное удаление).

Флаг -f (force) позволяет удалять файлы и директории без запроса на подтверждение, даже если у них установлены ограничения доступа:

rm -rf directory_name

Использовать эту команду надо крайне осторожно, так как она удаляет все файлы и каталоги без предупреждений.

Если вы хотите, чтобы система запрашивала подтверждение перед удалением каждого файла, используйте флаг -i:

which

Команда which (от англ. который, чей) используется для поиска местоположения исполняемых файлов команд. Она выводит путь к файлу, который будет выполнен. Это полезно для выяснения того, где находятся программы или скрипты и какой из нескольких возможных вариантов будет запущен.

Команда which ищет исполняемый файл команды в каталогах, перечисленных в переменной окружения PATH (о ней — позже). Например:

Если одна и та же команда существует в нескольких местах, можно использовать опцию -a, чтобы отобразить все ее возможные местоположения:

Команда which показывает только те команды, которые находятся в каталогах, указанных в переменной окружения PATH. Если команда существует в другом каталоге, который не указан в PATH, which ее не найдет.

whoami, id

Команда whoami (от англ. "who am i" — кто я) выводит имя пользователя, под которым в данный момент выполняется сессия. Это полезно, чтобы узнать, под каким пользователем запущена текущая сессия, особенно, если были выполнены команды для смены пользователя.

Команда id используется для отображения информации о пользователе, включая идентификатор пользователя (UID), идентификатор группы (GID), а также список всех групп, к которым принадлежит пользователь.

При выполнении команды id без опций выводится информация о текущем пользователе.

Можно передать имя пользователя как аргумент, чтобы получить информацию о другом пользователе:

locate

Команда locate (локация) используется для быстрого поиска файлов и каталогов в файловой системе. Она работает на основе предварительно созданной базы данных, которая содержит информацию о расположении файлов на диске.

Команда имеет простой синтаксис:

Поиск не зависит от регистра, т.е. команда locate myfile найдет файлы как с именем myfile, так и с именами MyFile, MYFILE и т.д.

Можно использовать опции для фильтрации результатов. Например, -i для игнорирования регистра или -r для регулярных выражений.

Для обновления базы данных используется команда updatedb, которая обычно выполняется по расписанию с помощью cron, однако вы можете запустить ее вручную, если хотите получить свежие данные.

find

Команда find (найти) используется для поиска файлов и каталогов в файловой системе с учетом различных критериев. Она более мощная и гибкая, чем locate, но может работать медленнее, так как выполняет поиск в реальном времени.

find позволяет использовать различные критерии для поиска, такие как имя файла, тип, размер, дата модификации и права доступа.

Также можно искать файлы, каталоги, символьные ссылки и т.д. с помощью опции -type:

Примеры использования:

● поиск файла по имени: find /path/to/search -name "filename";

● поиск всех текстовых файлов: find . -type f -name "*.txt";

● поиск файлов, измененных за последние семь дней: find /path/to/search -mtime -7.

grep

Команда grep (от "Global regular expression print" — вывод глобальных регулярных выражений) в Linux используется для поиска текстовых строк, соответствующих заданному шаблону, в файлах или входных данных. Это один из самых мощных инструментов для обработки текста и анализа данных.

С помощью опции -i можно игнорировать регистр при поиске:

Опция -n выводит номера строк, в которых найден шаблон:

Опция -r позволяет искать в подкаталогах.

grep поддерживает регулярные выражения, что позволяет создавать сложные шаблоны. Например, grep "^abc" ищет строки, начинающиеся с "abc".

sudo

Команда sudo (от англ. "substitute user and do" — подменить пользователя и выполнить) в Linux используется для выполнения команд с привилегиями суперпользователя (root) или других пользователей, заданных в конфигурационном файле /etc/sudoers. Это позволяет пользователям выполнять административные задачи, не входя в систему как root.

При первом использовании sudo в сессии пользователю будет предложено ввести свой пароль для подтверждения прав.

Конфигурация доступа для пользователей и групп определяется в файле /etc/sudoers. Можно задать, какие команды может выполнять конкретный пользователь или группа. sudo записывает все выполненные команды и их результаты в системные журналы, что помогает отслеживать действия пользователей с повышенными правами.

Опции:

● -u — позволяет указать, от имени какого пользователя выполнять команду;

● -i — запускает командную оболочку с правами root, аналогично входу в качестве root;

● -s — запускает командную оболочку с сохранением текущих переменных окружения.

su

Команда su (от англ. "substitute user" — подменить пользователя) предназначена для смены пользователя в командной строке. Обычно она используется для входа в систему в качестве суперпользователя (root) или для перехода на другого пользователя без выхода из текущей сессии. При использовании su для переключения на другого пользователя (особенно на root) потребуется ввести пароль этого пользователя.

Можно использовать su для выполнения одной команды от имени другого пользователя, добавив параметр -c.

sed

Команда sed (от "stream editor", редактор потоков) в Linux используется для обработки и трансформации текстовых данных в потоковом режиме. Она особенно полезна для выполнения автоматических замен, редактирования и фильтрации текстовых файлов.

Можно использовать несколько команд, разделяя их точкой с запятой:

Можно выполнять действия только на определенных строках, используя адресацию. Например, чтобы заменить текст только на строке 2:

Примеры использования

● замена текста в файле: sed 's/apple/orange/g' fruits.txt;

● замена текста только в первых 10 строках: sed '1,10s/old/new/g' filename.txt;

● удаление пустых строк: sed '/^$/d' filename.txt.

cut

Команда cut (вырезать) используется для извлечения определенных частей текста из строк файла или стандартного ввода. Она полезна для работы с табличными данными, где информация структурирована в виде строк и столбцов.

Опции

● -d — задает разделитель (по умолчанию — символ табуляции). Например, для запятой: -d “ ,”;

● -f — указывает, какие поля извлекать. Можно указать одно поле, несколько полей или диапазон, например: -f 2;

В данном случае наш разделитель «пробел», и мы извлекаем данные 2 между первым и вторым пробелами.

● -c — извлечение символов по позициям. Например, для извлечения первых пяти символов: -c 1-5.

awk

awk (первые буквы фамилий разработчиков языка: Aho, Weinberger, Kerninghan) — это утилита в Linux, используемая для обработки текстовых данных и автоматизации задач, связанных с анализом и формированием текстов. awk часто применяется для работы с табличными данными, где информация представлена в виде строк и столбцов.

awk поддерживает регулярные выражения, что позволяет отфильтровать строки по шаблону. Имеет несколько встроенных переменных, таких как NR (номер текущей строки) и NF (количество полей в текущей строке).

С помощью функции printf можно форматировать вывод так же, как в языке C.

Вывод первого и третьего полей каждой строки: awk '{print $1, $3}' filename.txt

awk '{printf "Field1: %s, Field2: %s\n", $1, $2}' filename.txt

awk — мощный инструмент для текстовой обработки в Linux, позволяющий выполнять сложные операции с данными, анализировать текстовые файлы и генерировать отчеты.

comm

Команда comm (от англ. "comparison" — сравнение) в Linux используется для сравнения двух отсортированных файлов построчно. Она показывает строки, которые уникальны для каждого из файлов, а также строки, которые присутствуют в обоих файлах. Это полезно для анализа различий и сходств между двумя текстовыми файлами.

comm принимает два отсортированных файла и выводит три колонки:

1. строки, уникальные для первого файла;
2. строки, уникальные для второго файла;
3. строки, общие для обоих файлов.

Опции:

● -1 — не выводить первую колонку (уникальные строки первого файла);

● -2 — не выводить вторую колонку (уникальные строки второго файла);

● -3 — не выводить третью колонку (общие строки);

● -i — игнорировать регистр при сравнении строк.

Вывод только уникальных строк первого и второго файлов:

diff

Команда diff (от англ. "difference" — разница) используется для сравнения файлов и отображения различий между ними. Она может сравнивать как текстовые файлы, так и каталоги. Предоставляет информацию о том, какие строки были добавлены, удалены или изменены.

Для сравнения с контекстом используется ключ -c:

Мы изучили только половину команд, широко применяемых в Linux. Остальные мы рассмотрим следующей части раздела про командную строку, там же будет и домашнее задание по теме. Следите за следующими публикациями и задавайте вопросы в комментариях.

Информация быстро разошлась по форумам и соцсетям, после чего появились сообщения о якобы масштабном взломе сервиса. Поводом для шума стало предупреждение от антивирусной компании Malwarebytes, которая сообщила клиентам о продаже и распространении этих данных.

Но, внезапно, сама *Meta официально заявила, что никакого взлома *Instagram не было. По словам представителей компании, речь идет не о компрометации инфраструктуры, а о другом инциденте, не связанном с утечкой паролей или доступом к аккаунтам.

Позиция *Meta и *Instagram

В комментарии для СМИ, *Meta подтвердила, что недавно исправила баг, позволявший массово отправлять запросы на сброс пароля.

Злоумышленники могли инициировать такие запросы для разных аккаунтов, из-за чего пользователи получали неожиданные письма и SMS с кодами восстановления.

При этом компания подчеркивает: *Instagram не был взломан, а учетные записи остаются защищенными. Пользователям же посоветовали просто игнорировать подобные сообщения, если они не запрашивали восстановление доступа.

Что содержится в слитой базе

Опубликованный датасет включает около 17 млн профилей *Instagram. В нем встречаются имена пользователей, никнеймы, email-адреса, номера телефонов, физические адреса и ID аккаунтов.

При этом набор данных неполный: у некоторых записей есть только ID и имя пользователя, без контактной информации. Важно, что в базе нет паролей.

Да, это снижает риск мгновенного захвата аккаунтов. Но в то же время не делает ситуацию полностью безобидной.

Новая утечка или старые данные

Исследователи по безопасности сомневаются, что речь идет о свежем взломе. По их версии, данные могли быть собраны еще несколько лет назад через API-скрейпинг и затем дополнены из других источников.

*Meta заявила, что не знает о компрометации API ни в 2022, ни в 2024 году.

Стоит напомнить, что *Instagram уже сталкивался с подобными инцидентами. Например, в 2017 году через баг в API были собраны данные миллионов пользователей.

Не исключено, что нынешний слив — это компиляция старых утечек.

Что делать пользователям

Менять пароль необходимости нет, но расслабляться тоже не стоит. Утекшие данные могут использоваться для фишинга, SMS-мошенничества и социальной инженерии.

Если вам приходят письма о сбросе пароля без вашего запроса — их лучше удалить.

*Компания Meta и ее продукты признаны экстремистскими, их деятельность запрещена на территории РФ

Далее его использовали для распространения вредоносных PowerShell-скриптов. В результате на компьютеры с Windows устанавливался троян Cosmali Loader.

Инцидент стал заметен после того, как пользователи MAS начали массово жаловаться на Reddit — на их компьютерах появлялись всплывающие уведомления о заражении.

Одна буква и система скомпрометирована

Атакующие зарегистрировали домен get.activate[.]win, который визуально почти не отличается от легитимного get.activated.win. Разница — всего в одной букве «d».

Этого оказалось достаточно, чтобы часть пользователей вручную ввела неверный адрес и запустила вредоносный код.

После выполнения команды, в системе загружался Cosmali Loader — открытый вредоносный загрузчик, который затем устанавливал дополнительные компоненты.

По данным исследователей, среди полезной нагрузки были криптомайнеры и XWorm RAT — троян удаленного доступа, позволяющий полностью контролировать зараженный компьютер.

Странные предупреждения и «доброжелательный взлом»

Интересная деталь инцидента — сами предупреждения о заражении. Они выглядели как пугающие pop-up сообщения с советом переустановить Windows и проверить диспетчер задач на подозрительные PowerShell-процессы.

По мнению специалистов, эти уведомления мог отправить не сам злоумышленник, а исследователь, получивший доступ к панели управления вредоносным ПО.

Что такое MAS и почему это риск

Microsoft Activation Scripts — это open-source набор PowerShell-скриптов, размещенный на GitHub. Он используется для активации Windows и Office с помощью HWID, эмуляции KMS и других обходных методов.

Microsoft считает MAS пиратским инструментом, т.к он позволяет активировать продукты без покупки лицензии.

Согласно имеющимся данным, злоумышленники проникли во внутренние системы компании и находились там несколько месяцев.

Хакеры утверждают, что получили доступ к исходному коду, технической документации, рабочим перепискам и внутренним сервисам.

Более того, они заявили, что удалили часть инфраструктуры, включая базы данных, которые, по их словам, были связаны с воинским учетом.

Пока не ясно, насколько масштабным было удаление — речь может идти как о фрагментах, так и о значительной части рабочих ресурсов компании.

«Микорд» подтвердил факт взлома, но от комментариев уклонился

По данным СМИ, директор «Микорда» Рамиль Габдрахманов подтвердил факт кибератаки, но отметил лишь, что «подобное случается со многими компаниями». От каких-либо уточнений он отказался.

Эта формулировка оставляет ситуацию неопределенной: нет публичных доказательств масштаба ущерба, но сам факт проникновения подтвержден.

Что известно о самом реестре

Единый цифровой реестр воинского учета создается с 2023 года. В проекте участвуют Минцифры, Ростелеком и подрядчики, среди которых пресса неоднократно упоминала «Микорд».

Ключевые даты:

• апрель 2023 — старт инициативы;
• февраль 2024 — Ростелеком назначен единственным исполнителем госконтракта, срок завершения — 31 декабря 2024 года;
• планировалось запустить систему осенью 2024 года, но полноценный запуск состоялся лишь в 2025-м;
• с октября 2025 года военкоматы десятков регионов начали размещать электронные повестки, а четыре региона полностью отказались от бумажных носителей.

Если данные, действительно удаленные хакерами, были связаны с реестром, это может привести к нарушению процессов уведомления, работе военкоматов и корректности сведений о призывниках.

Автор: Тео Леггетт, международный бизнес-корреспондент, The true cost of cyber attacks - and the business weak spots that allow them to happen

Первый день сентября должен был открыть один из самых активных периодов года для Jaguar Land Rover.

Это был понедельник, и запуск новых номерных знаков серии 75 (в Великобритании номерные серии выходят дважды в год и являются важным фактором спроса, поскольку покупатели хотят машину со свежим номером) предполагал всплеск покупательской активности.

На заводах в Солихалле и Хейлвуде, а также на моторном предприятии в Вулверхэмптоне персонал ожидал работы «в полный оборот».

Однако, когда утренняя смена прибыла на место, её отправили домой. Производственные линии с тех пор остаются остановленными.

Хотя в ближайшие дни заводы, как ожидается, начнут работу, запуск будет происходить медленно и под строгим контролем. Восстановление нормального объёма выпуска может занять ещё месяц. Настолько серьёзным оказался эффект от крупной кибератаки, которая поразила JLR в конце августа.

Компания сотрудничает с разными экспертами по кибербезопасности и полицией для проведения расследования, но финансовый ущерб уже нанесён. Потери мировой выработки за более чем месяц стали фактом.

Аналитики оценивают убытки в 50 млн фунтов стерлингов в неделю.

Для компании, которая получила прибыль в размере 2,5 млрд фунтов стерлингов в прошлом финансовом году и принадлежит индийскому гиганту Tata Group, эти потери, вероятно, будут болезненными, но не смертельными.

Однако JLR — не единственный случай.

С начала этого года произошла целая волна кибератак, нацеленных на крупный бизнес, включая таких розничных ритейлеров, как Marks & Spencer и Co-op, а также поставщика ключевых систем для аэропортов.

Среди других громких жертв оказалась сеть детских садов Kido, а в прошлом году инциденты, связанные с Southern Water и компанией, предоставлявшей услуги по анализу крови для NHS (государственная система здравоохранения Великобритании), вызвали серьёзные опасения по поводу уязвимости критически важной инфраструктуры и услуг (в Великобритании NHS считается «сердцем» госуслуг, поэтому атака на поставщика лабораторных данных воспринимается как угроза национальному масштабу).

В целом, по оценкам государственного опроса о кибернарушениях, 612 000 предприятий и 61 000 благотворительных организаций по всей Великобритании стали целями атак.

Так сколько же стоят такие атаки для бизнеса и экономики?

И может ли быть так, что, как выразился один эксперт, крупные атаки этого года стали результатом накопительного эффекта своеобразного бездействия в области кибербезопасности со стороны государства и бизнеса, который теперь начинает приносить болезненные последствия?

Пирамида затронутых поставщиков

Особенность атаки такого масштаба, как та, что поразила JLR, заключается в том, насколько широко могут распространиться её последствия.

Компания находится на вершине пирамиды поставщиков, в которой — тысячи организаций. Они варьируются от крупных международных корпораций, таких как Bosch, до маленьких фирм с несколькими сотрудниками (в британской автомобильной индустрии множество узкопрофильных производителей деталей работают почти исключительно на одного заказчика), включая компании, полностью зависящие от JLR.

Для многих из этих фирм остановка производств представляла очень реальную угрозу их существованию.

В письме канцлеру от 25 сентября Комитет по бизнесу и торговле предупредил, что у небольших компаний «может остаться в лучшем случае неделя денежного потока для поддержки своей деятельности», тогда как более крупные «могут начать серьёзно испытывать трудности в течение двух недель».

Отраслевые аналитики выразили обеспокоенность тем, что если компании начнут банкротиться, небольшие сбои могут быстро перерасти в массовую волну — потенциально нанеся постоянный ущерб высокотехнологичной инженерной индустрии страны (имеется в виду риск цепной реакции, когда падение одного поставщика срывает производство других, и всё рушится каскадно).

Возобновление производства само по себе не означает, что кризис завершён.

Слишком поздно. Все наши компании прожили шесть недель с нулевыми продажами, но при этом с сохранением всех расходов. Сектор по-прежнему отчаянно нуждается в денежных средствах.

Российские киберпреступники или западные подростки

Недавний отчёт IBM, изучивший утечки данных примерно у 600 организаций по всему миру, показал, что средняя стоимость инцидента составляла 4,4 млн долларов (или 3,3 млн фунтов стерлингов).

Однако JLR далеко не единственный случай крупномасштабных кибератак. Атаки на Marks & Spencer и сеть супермаркетов Co-op в этом году оцениваются в 300 млн и 120 млн фунтов соответственно.

В апреле 2025 года злоумышленникам удалось получить доступ к IT-системам Marks & Spencer через стороннего подрядчика, вынудив компанию отключить некоторые сети (в Великобритании использование subcontractors широко распространено, и цепочка доверия часто становится уязвимостью).

Хакеры заразили сети компании программой-вымогателем (ransomware), которая зашифровала или перемешала (scrambled) данные.

Поначалу казалось, что нарушения будут незначительными — перестали работать системы бесконтактной оплаты, а также клиенты не могли воспользоваться услугой «click and collect» (это популярный формат покупки в британском ритейле: заказ онлайн — получение в офлайн-точке).

Однако спустя несколько дней пришлось остановить всю онлайн-торговлю — а она в обычное время составляет около трети бизнеса компании.

Эта ситуация была описана как «почти как отрубить себе конечность», по выражению Найны МакИнтош, бывшего члена исполнительного комитета Marks & Spencer и основательницы сети Hope Fashion.

Перед компанией встала распространённая на сегодняшний день дилемма: восстановить все компьютерные системы с нуля или заплатить хакерам миллионы фунтов стерлингов выкупа за антидот.

Marks & Spencer отказалась сообщать, выплатила ли она преступникам деньги.

Ущерб был не только финансовый. Позднее ритейлер признал, что в результате атаки были украдены данные клиентов.

Возможно, это включало телефонные номера, домашние адреса и даты рождения, хотя, по словам компании, платёжные реквизиты или данные карт похищены не были (обычно в отчётах такого рода отдельно подчёркивают, что PCI-данные не утекли — чтобы успокоить клиентов и регуляторов).

К дополнительному позору в СМИ Marks & Spencer, хакеры заявили, что отправили требование выкупа напрямую генеральному директору, используя учётную запись одного из сотрудников.

Когда была атакована сеть супермаркетов Co-op, ответственность взяла на себя та же группа хакеров.

Как они утверждали, это была попытка вымогательства: заражение сетей компании вредоносным ПО, чтобы вынудить её заплатить за восстановление.

Однако IT-сети были отключены достаточно быстро, чтобы избежать значительных повреждений.

По словам преступников, которые с раздражением описали это в разговоре с BBC, «они сами выдернули свой шнур — обрушив продажи, они сожгли логистику и подорвали стоимость акций» (здесь видно злорадство — хакеры подчеркивают, что даже без их действий компания бы пострадала, пытаясь защититься).

По словам Джейми МакКолла, эксперта по кибербезопасности из исследовательской группы Королевского института объединённых служб (RUSI), нет ничего удивительного в том, что крупные бизнесы становятся мишенью.

Он объясняет, что хакерам стало очень легко получить доступ к программам-вымогателям (ransomware), которые могут блокировать или шифровать сети жертвы до тех пор, пока не будет выплачен выкуп.

Слабые места крупного бизнеса

Уязвимость таких компаний, как Jaguar Land Rover и Marks & Spencer, во многом объясняется тем, как работают их цепочки поставок.

Автопроизводители давно используют так называемую систему «just-in-time delivery» (поставки точно в срок), при которой запчасти не хранятся на складе, а поступают от поставщиков ровно в тот момент, когда они нужны на производственной линии.

Это снижает затраты на хранение и минимизирует потери, но требует точной координации всех аспектов цепочки поставок. Если компьютерные системы выходят из строя, последствия оказываются крайне разрушительными (поскольку весь поток связан, каждый простой мгновенно «замикается» в производственную остановку).

Аналогично, такой ритейлер, как Marks & Spencer, опирается на тщательно скоординированную цепочку поставок, чтобы гарантировать наличие нужного количества свежих продуктов в нужных магазинах — что делает систему столь же уязвимой (к примеру, если прогнозируемые объёмы поставок «замораживаются» из-за недоступности IT-систем, логистика теряет способность перераспределять товар вовремя).

(Прим. перевода: в британской торговле отказ IT-систем часто приводит не только к отсутствию товара на полках, но и мгновенным финансовым потерям из-за штрафов логистическим партнёрам.)

Другие отрасли также применяют эту модель: электроника и высокие технологии, поскольку хранение продукции в запасе дорого и рискованно из-за её быстрого устаревания. То же самое касается других промышленных компаний, таких как аэрокосмические. Поэтому они в некоторой степени более уязвимы к сбоям в цепочке поставок, вызванным кибератаками.

Однако она отмечает, что это не характерно, например, для фармацевтической отрасли, где регуляторы требуют от компаний поддерживать минимальный уровень запасов (поэтому такие компании менее чувствительны к краткосрочным сбоям).

Накопительный эффект бездействия

В конце сентября атака с использованием программы-вымогателя на американскую компанию Collins Aerospace, занимающуюся авиационными технологиями, вызвала серьёзные проблемы в ряде европейских аэропортов, включая лондонский Heathrow, после того как были выведены из строя системы регистрации пассажиров и обработки багажа.

Проблему удалось решить относительно быстро, но до этого значительное количество рейсов пришлось отменить.

Отраслевые источники предупреждают, что воздушное пространство Европы и ключевые аэропорты настолько перегружены, что нарушение в одной зоне может быстро распространиться на другие — и затраты при этом накапливаются стремительно (например, задержки рейсов в одном аэропорту приводят к сбоям в расписании множества авиалиний).

Но эта ситуация указывает на более серьёзный вопрос: что произойдёт, если кибератака на критическую инфраструктуру парализует финансовые системы, транспорт или энергетические сети, потенциально приведя к огромным экономическим убыткам — или даже к более тяжёлым последствиям?

Я думаю, худший сценарий, вероятно, связан с чем-то, что затрагивает финансовые услуги или энергоснабжение, из-за потенциального каскадного эффекта в одной из этих двух сфер. Хорошая новость заключается в том, что финансовый сектор является наиболее регулируемой отраслью в Великобритании с точки зрения кибербезопасности. И, как мне кажется, показательно, что практически не было очень серьёзных кибератак на западный банк.

Какой будет результат атаки на энергетическую отрасль, не совсем ясно.

Исследование, проведённое Lloyds Bank в 2015 году под названием «Business Blackout», моделировало последствия гипотетической атаки на энергосистему США и пришло к выводу, что экономические потери могут превысить 1 трлн долларов (742 млрд фунтов стерлингов).

Тем не менее МакКолл считает, что в Великобритании, вероятно, есть достаточный запас мощности в энергосистеме для того, чтобы справиться с киберинцидентом (речь идёт о наличии резервных ресурсов, которые можно включить при частичной потере управления системой).

Реакция правительства, угрозы ИИ и скрытые точки отказа

Джейми Макколл считает, что за последние 15 лет в Великобритании наблюдался «довольно попустительский подход (laissez-faire) к кибербезопасности», и сменявшие друг друга правительства уделяли этому вопросу мало внимания. Он полагает, что крупные атаки этого года могут быть «накопительным эффектом бездействия в сфере кибербезопасности как со стороны правительства, так и со стороны бизнеса, и теперь это начинает по-настоящему сказываться».

В мае Национальный центр кибербезопасности (NCSC), входящий в состав GCHQ (Центра правительственной связи Великобритании), опубликовал отчет, в котором предупредил о растущем влиянии киберугроз со стороны хакеров, использующих инструменты на основе искусственного интеллекта.

Однако больше всего Джейми Макколла беспокоят те виды атак, от которых мы еще не придумали, как защититься.

Меня бы больше беспокоила компания, которая является единственным поставщиком определенной услуги, но о которой мы мало что знаем, и которая не регулируется как критическая национальная инфраструктура. Атака на одну из этих менее гламурных, но ключевых для экономики точек может иметь огромные последствия для всей экономики. Вот что не дает мне спать по ночам. Единственная точка отказа, о которой мы пока не подозреваем.

Если вам был интересен этот перевод и тема кибератак в бизнесе зацепила — расскажите, что думаете об ответственности компаний за безопасность. Обсудим в комментариях.

Мошенники рассылают фейковые приглашения на работу от имени «ИИ-стартапа DLMind», предлагая пройти «техническое тестовое задание». На деле за этим стоит многоступенчатая вредоносная атака, получившая название BeaverTail.

Сообщение выглядит безобидно: кандидат получает письмо от якобы HR-специалиста Тима Моренка (Tim Morenc, CEDS) с предложением выполнить задание в GitHub-репозитории проекта AI-Healthcare. В инструкции сказано:

«Клонируйте репозиторий, установите зависимости и запустите сборку. Затем поделитесь впечатлениями от кода»

Но при запуске скрипта выполняется скрытый бэкдор, который устанавливает вирусную цепочку из пяти стадий.

Как работает атака

BeaverTail выглядит как реальный Next.js-проект, однако внутри скрыт код, который:

• сканирует .env и конфигурационные файлы на предмет API-ключей и токенов;
• крадет сохраненные пароли и cookie браузеров;
• перехватывает буфер обмена и клавиатуру;
• создает скрытое подключение к управляющему серверу через WebSocket;
• устанавливает AnyDesk-бэкдор для удаленного доступа.

Малварь разворачивается в несколько этапов: сначала загружается JavaScript-стилер, затем — Python-компоненты с функциями кейлоггера и удаленного управления.

На финальной стадии система заражается модифицированной версией AnyDesk, которая дает злоумышленникам полный визуальный контроль над устройством.

Почему это опасно

BeaverTail рассчитан на доверчивость разработчиков.

Хакеры тщательно выстроили легенду — LinkedIn-профиль «рекрутера» выглядит профессионально, с фото, описанием опыта и общими контактами.

GitHub-репозиторий оформлен как реальный проект с документацией и README.

Эксперты по кибербезопасности предупреждают: атака направлена не только на кражу личных данных, но и на компрометацию корпоративных инфраструктур, если жертва использует рабочие аккаунты или VPN-доступ.

Что делать

Если вы получили сообщение от Тима Моренка или приглашение от компании DLMind, не переходите по ссылкам и не запускайте код из их репозиториев. Рекомендуется проверить систему на вирусы, сменить пароли и аннулировать токены API-доступа.

По данным, поданным в Комиссию по ценным бумагам и биржам США (SEC), злоумышленникам удалось похитить исходный код флагманской платформы BIG-IP и документы с описанием нераскрытых уязвимостей.

Атака была обнаружена 9 августа 2025 года, однако властям США позволили компании временно не разглашать детали, чтобы не помешать расследованию.

Что известно о взломе

По данным F5, киберпреступники, предположительно связанные с «государственными структурами», длительное время сохраняли доступ к сегменту сети, связанному с разработкой и распространением обновлений BIG-IP.

Эти устройства используются 48 из 50 крупнейших корпораций мира для управления интернет-трафиком и защиты приложений.

Известно, что хакеры похитили часть файлов, включая:

• исходные коды отдельных модулей BIG-IP;
• данные о частных, еще не исправленных уязвимостях;
• конфигурации и сведения о внедрении решений у «небольшого процента клиентов».

F5 утверждает, что нет доказательств вмешательства в цепочку поставок ПО — исходники и сборочные конвейеры остались нетронутыми, а продукты NGINX, Silverline и F5 Distributed Cloud не пострадали.

Реакция компании

После инцидента F5 выпустила пакет патчей для 44 уязвимостей, часть которых фигурировала среди украденных данных, и настоятельно рекомендовала клиентам обновить все системы.

Обновления уже доступны для BIG-IP, F5OS, BIG-IP Next для Kubernetes, BIG-IQ и APM-клиентов.

Компания также опубликовала руководство по защите инфраструктуры, включая рекомендации:

• включить потоковую передачу событий BIG-IP в SIEM;
• настроить удаленные syslog-сервера;
• отслеживать неудачные входы и изменения привилегий.

Что говорят эксперты

Инцидент стал ударом по репутации F5, поставщика решений для защиты корпоративных сетей.

Однако эксперты отмечают: компания действует прозрачно и уже устранила последствия, не обнаружив признаков активной эксплуатации утечек.

🔐 Что изменилось в Apple Security Bounty

Программа действует с 2020 года и за это время выплатила исследователям уже $35 миллионов, в среднем — по $43 750 каждому из более чем 800 специалистов. Теперь Apple значительно увеличила размеры выплат и расширила список категорий уязвимостей:

Apple отмечает, что программа теперь охватывает более широкий спектр угроз, включая уязвимости в WebKit, механизмы защиты macOS и бета-версии iOS и iPadOS.

🧠 Почему это важно

Обновлённая программа помогает Apple защищать пользователей от атак высшего уровня — таких, что используются в дорогостоящем наёмном шпионском ПО.

За последние годы компания:

• внедрила Lockdown Mode, блокирующий большинство векторов атак;
• переработала систему защиты Safari;
• добавила Memory Integrity Enforcement в чипах серии A19, которая предотвращает уязвимости, связанные с повреждением памяти.

По словам Apple, сегодня лишь единичные iOS-атаки происходят на уровне системы, и они стоят миллионы долларов в разработке.

С ростом числа киберугроз и шпионских атак Apple активно позиционирует себя как лидера в области приватности и защиты данных. Повышенные награды отражают стратегию компании — поощрять белых хакеров и опережать киберпреступников на шаг.

Что произошло

По данным, опубликованным BleepingComputer, злоумышленники утверждают, что взломали Zendesk-инстанс, который Discord использует для поддержки клиентов.

Они заявляют, что получили 1,6 ТБ данных — это около 8,4 миллиона тикетов поддержки, затрагивающих 5,5 миллиона уникальных пользователей.

Discord в ответ пояснил, что речь идёт не о взломе платформы, а о компрометации стороннего сервиса, связанного с техподдержкой:

«Это не взлом Discord, а инцидент с участием стороннего поставщика, который помогает нам обрабатывать запросы пользователей», — говорится в официальном заявлении компании.

Что могли украсть

Хакеры утверждают, что получили доступ к внутреннему инструменту Zenbar, позволявшему:

• просматривать e-mail и номера телефонов пользователей;
• отключать двухфакторную аутентификацию (MFA);
• просматривать внутренние тикеты и обращения.

По их словам, среди украденных данных есть:

• адреса электронной почты и Discord ID;
• номера телефонов;
• частичная платёжная информация;
• даты рождения;
• данные MFA и статусы активности;
• переписки с техподдержкой.

Особенно тревожная часть — это фотографии удостоверений личности, которые пользователи отправляли для проверки возраста. Discord признаёт, что утечка затронула около 70 000 пользователей, а не 2,1 миллиона, как утверждают хакеры.

Что говорит Discord

Компания заявила, что не будет выплачивать выкуп, назвав цифры злоумышленников «преувеличенными» и частью попытки вымогательства.

«Мы не собираемся вознаграждать тех, кто нарушает закон.

Количество затронутых пользователей сильно завышено», — подчеркнули представители Discord.

Как произошёл взлом

Хакеры утверждают, что получили доступ через аккаунт сотрудника аутсорсинговой компании (BPO), которая занимается поддержкой пользователей Discord.

Доступ сохранялся в течение 58 часов — с 20 по 22 сентября 2025 года.

Такие компании нередко становятся уязвимым звеном: атакующие получают доступ не напрямую к IT-инфраструктуре бренда, а через подрядчиков.

Попытка вымогательства

По данным BleepingComputer, злоумышленники потребовали $5 миллионов, позднее снизив сумму до $3,5 млн. Переговоры шли до 2 октября, но после официального отказа Discord платить, группа заявила о намерении слить данные в открытый доступ.

Пока достоверность образцов данных, предоставленных хакерами, не подтверждена.

Что делать пользователям

Эксперты советуют:

• обновить пароль Discord и включить двухфакторную аутентификацию;
• не переходить по подозрительным ссылкам, даже если они приходят от знакомых аккаунтов;
• при совпадении e-mail с утекшими адресами — проверить их через Have I Been Pwned;
• следить за сообщениями от поддержки Discord о возможных уведомлениях безопасности.

Северокорейские хакерские группы украли более $2 млрд в криптовалюте с начала 2025 года — это рекорд, который превысил все предыдущие показатели, сообщает Elliptic. Исследователи проанализировали паттерны отмывания средств, транзакционные цепочки и разведданные и пришли к выводу, что кибероперации Пхеньяна стали одной из ключевых статей госфинансирования. Значительная часть украденных активов, по данным аналитиков, уходит на программы вооружений и ракетные разработки.

Большая часть суммы пришлась на взлом криптобиржи Bybit в феврале — $1,46 млрд. Это один из крупнейших инцидентов в истории цифровых активов. Трассировка средств показала знакомые методы Lazarus Group — подразделения, которое США и их союзники напрямую связывают с правительством КНДР. Остальные атаки были распределены по более чем 30 инцидентам, включая взломы LND.fi, WOO X и Seedify.

Для сравнения: в 2022 году КНДР похитила около $1,35 млрд, в 2024-м — $660 млн. Эксперты отмечают, что нынешний всплеск связан с сменой тактики. Если раньше упор был на уязвимости в DeFi и мостах, то теперь — на социальную инженерию. Хакеры целенаправленно охотятся на держателей крупных кошельков, добывая приватные ключи через фишинг, поддельные предложения о работе и другие схемы обмана.

Эксперты считают, что слабым звеном криптобезопасности снова стал человек. Пока инфраструктура крупных платформ усиливает мониторинг и защиту мостов, личные аккаунты топ-менеджеров и трейдеров остаются куда менее защищёнными.

Параллельно эволюционирует и отмывание средств. Lazarus Group всё активнее использует многоступенчатые кроссчейн-переводы, миксеры и малопопулярные блокчейны, чтобы запутать следы. Несмотря на это, аналитические инструменты становятся точнее: правоохранительные органы всё чаще успевают отследить и заморозить часть средств — но окно возможностей крайне короткое.

Речь идёт о баге CVE-2025-61882 с оценкой CVSS 9.8 — максимальной степенью критичности.

Уязвимость обнаружена в компоненте BI Publisher Integration продукта Oracle Concurrent Processing и позволяет злоумышленникам выполнять удалённый код без аутентификации — то есть без логина и пароля.

«Эта уязвимость эксплуатируется по сети без необходимости входа в систему. При успешной атаке возможен полный удалённый захват системы», — говорится в официальном уведомлении Oracle.

Компания подтвердила, что под угрозой находятся версии Oracle EBS 12.2.3–12.2.14.

Исправление уже выпущено, но для его установки необходимо сначала применить Critical Patch Update за октябрь 2023 года.

Clop эксплуатирует уязвимость в масштабных атаках

Хакерская группировка Clop, известная по атакам на MOVEit Transfer и Accellion, уже активно использует уязвимость Oracle.

По данным Mandiant (Google Cloud), Clop применил несколько эксплойтов для взлома серверов Oracle EBS в августе 2025 года, включая как июльские патчи, так и свежий баг CVE-2025-61882.

«Clop эксплуатировал несколько уязвимостей в Oracle EBS, чтобы похитить большие объёмы данных у компаний-жертв,» — подтвердил Чарльз Кармакал, CTO Mandiant.

Жертвам начали поступать письма-шантажи с угрозами опубликовать украденные документы вместе с содержимым корпоративных ERP-систем Oracle.

Формулировка типичного письма:

Мы — команда CLOP. Мы взломали вашу Oracle E-Business Suite и скопировали множество документов. Все файлы теперь в нашем распоряжении.

Clop — одна из самых агрессивных вымогательских групп мира, специализирующаяся на zero-day-атаках на корпоративные системы.

За последние годы они использовали уязвимости:

• Accellion FTA (2020),
• SolarWinds Serv-U (2021),
• GoAnywhere MFT (2023),
• MOVEit Transfer (2023),
• Cleo MFT (2024).

Общее число пострадавших компаний в мире от атак Clop превышает 3000 организаций.

Атака на Oracle EBS — первый случай компрометации ERP-платформы такого масштаба.

Утечка эксплойта и исходного кода Oracle

Интересно, что утечка эксплойта произошла не от Clop напрямую, а через другую кибергруппу — Scattered Lapsus$ Hunters, которая утверждает, что объединяет участников из Lapsus$, Scattered Spider и ShinyHunters.

6 октября на Telegram-каналах появились два архива:

• GIFT_FROM_CL0P.7z — содержит исходный код Oracle Cloud, предположительно похищенный в феврале 2025 года;
• ORACLE_EBS_NDAY_EXPLOIT_POC_SCATTERED_LAPSUS_RETARD_CL0P_HUNTERS.zip — архив с эксплойтом для уязвимости CVE-2025-61882.

BleepingComputer подтвердил, что именно этот архив совпадает с индикаторами компрометации, опубликованными Oracle.

Внутри находились Python-скрипты exp.py и server.py, позволяющие:

• выполнять произвольные команды на уязвимом сервере,
• или открывать обратную shell-сессию к серверу злоумышленников.

ShinyHunters, связанный с утечкой, заявил в интервью BleepingComputer, что эксплойт принадлежал ему и был утерян — предположительно, передан или продан Clop:

Это был мой эксплойт, как и уязвимости в SAP. Его украли и использовали другие. Мы решили просто выложить его в открытый доступ. Никакой вражды к Clop.

Oracle пока не прокомментировала возможную связь между группами, но подтвердила подлинность хэшей утёкших файлов.

Что делать администраторам Oracle

• Немедленно установить патч CVE-2025-61882 после обновления Critical Patch Update 10/2023.
• Проверить журналы активности на наличие подключений с IP 200.107.207.26 и 185.181.60.11.
• Изолировать серверы E-Business Suite, доступные из интернета.
• Включить мониторинг сетевых соединений и запусков shell-команд.
• Проверить наличие файлов exp.py и server.py в системе.

CVE-2025-61882 — одна из самых опасных уязвимостей 2025 года, поскольку:

• позволяет удалённое выполнение кода без аутентификации,
• эксплойт уже утёк в открытый доступ,
• атаки уже происходят в реальном времени.

Oracle настоятельно рекомендует администраторам немедленно обновить системы, пока Clop и Scattered Lapsus$ Hunters продолжают расширять кампанию атак.

Пользователи по всему миру жаловались на невозможность войти в аккаунты, открыть магазин и подключиться к серверам. По данным DownDetector, количество жалоб от игроков в пиковые часы превысило 34 000.

Проблемы не только у геймеров

Сбой затронул не только игровую индустрию. В тот же промежуток времени перебои наблюдались у T-Mobile, GitLab, RingCentral, Google, Microsoft и других крупных компаний.

Массовый и синхронный характер инцидента заставил экспертов заподозрить координированную кибератаку.

Подозревают ботнет Aisuru

По данным ITHome и TheGamePost, за атакой может стоять ботнет под названием Aisuru — одна из крупнейших сетей зараженных устройств.

Она способна генерировать трафик мощностью до 29,7 Тбит/с, перегружая серверы и выводя их из строя. Именно этот ботнет, по словам специалистов, мог стать причиной обрушения игровых и облачных сервисов.

Реакция компаний

Пока Valve (владелец Steam) и Riot Games не выпустили официальных заявлений.

В Riot лишь временно отключили рейтинговые режимы в League of Legends и VALORANT, чтобы избежать сбоев матчей.

Эксперты предупреждают, что подобные атаки могут повториться — ботнеты вроде Aisuru становятся все мощнее, а их операторы все чаще тестируют границы устойчивости мировых сетей.

Начнём с установки открытого ПО для виртуализации от Oracle — VirtualBox. Он создаёт виртуальные машины (VM), которые эмулируют различные аппаратные конфигурации — это позволяет устанавливать и одновременно использовать сразу несколько операционных систем без необходимости в дополнительном оборудовании. Затем научимся устанавливать Kali Linux разными способами.

Чем хорош VirtualBox? У него есть несколько весомых преимуществ:

● обладает кроссплатформенностью — работает на Windows, macOS, Linux и Solaris, поддерживая запуск различных операционных систем как гостевых;

● позволяет делать снимки системы — сохранять состояние виртуальной машины и возвращаться к нему в любое время, что упрощает тестирование ПО;

● портативный — виртуальные машины могут переноситься с одного физического компьютера на другой;

● широкая поддержка оборудования — он эмулирует различные аппаратные компоненты, такие как процессоры, сетевые адаптеры и устройства хранения.

Давайте установим его на ваш компьютер.

УстанавливаемVirtualBox

Зайдите на сайт программы и перейдите на вкладку Downloads (скачать).

Выберите вашу хостовую систему. С учётом того, что подавляющее большинство пользователей в России используют Windows, мы будем показывать процесс установки именно на этой ОС. Кликаем на Windows hosts и качаем установщик. Прямая ссылка на скачивание находится здесь.

После скачивания кликаем дважды на файл и запускаем установщик.

Большая часть установки и выбора функционала у нас будет стандартной, поэтому можно использовать правило «Next->Next->Next». В первый раз давайте пройдемся по вопросам. Что от нас хотят?

Во-первых, у нас спрашивают, какие компоненты мы желаем установить и куда это все ставить. Выбираем все компоненты, а вот по поводу расположения — выбор за вами. По умолчанию это будет C:\Program Files.

Далее нас предупреждают, что во время установки будут перезагружены наши сетевые интерфейсы и возможна кратковременная потеря доступа к сети и Интернету. Ничего страшного, продолжаем.

Следующее предупреждение будет о том, что у нас отсутствуют зависимости Python и нужно бы их сначала поставить — хорошо, мы не против.

Следующий шаг — выбор создания ярлыков запуска. По умолчанию выбраны все, но я предпочитаю не засорять свой Launch Bar, поэтому не дал соответствующее разрешение.

После выбора функционала установки приступаем непосредственно к установке VirtualBox на компьютер -> Install.

В процессе программа может задавать дополнительные вопросы об установке дополнительного программного обеспечения, необходимого для правильной работы системы — соглашаемся.

Установщик уведомит нас о завершении процесса и предложит запустить программу — снова даем свое согласие.

Однако в нашем случае что-то пошло не так. При запуске приложения выдается ошибка и система виртуализации не запускается.

Это нормальная практика: вы, как хакер, будете постоянно сталкиваться с проблемами совместимости, старыми и новыми версиями и т.д. Например, после перехода с Python2 на Python3 и прекращения поддержки старых версий множество питоновских скриптов перестало работать, а новые библиотеки взамен старых не выпускаются. Другой яркий пример — процессор Apple Silicon серии М. Ряд приложений до сих пор не поддерживают эту архитектуру и откажутся запускаться. Тот же VirtualBox не работает на macOS нового поколения.

Чем вызвана наша текущая проблема, мы можем только догадываться. Могу предложить, что с учетом не совсем свежего «железа» ноутбука и Windows 7, новая версия VirtualBox не хочет совмещаться.

Давайте проверим это предположение и скачаем предыдущую версию VirtualBox. Предлагаю перейти по ссылке, скачать версию 6.1 и попробовать установить по ранее описанному сценарию, который является аналогичным.

Как мы можем видеть, старая версия не только успешно установилась, но и запустилась. Отлично, теперь мы можем устанавливать Kali Linux.

УстанавливаемKali Linux стандартным методом

Перейдем на сайт разработчика и выберем разрядность системы (64-bit, 32-bit или Apple Silicon ARM64). Если вы не знаете разрядность своей системы — это не беда. Если у вас не macOS и компьютер/ноутбук куплен в течение последних 5 лет, то смело можете выбирать 64-битную и качать именно ее.

Пока качается образ, нам нужно подготовить VirtualBox для установки виртуальной машины. Переходим в программу и кликаем на кнопку «Создать». В появившемся окне назначаем имя системы, выбираем папку хранения файлов, а также тип и версию системы.

Указываем объем виртуальной памяти – чем больше, тем лучше.

Создаем новый виртуальный жесткий диск.

Указываем тип виртуального жесткого диска.

Формат я предлагаю так же оставить «По умолчанию». Если вдруг по каким-то причинам ваша системапамять вашей системы забьется, динамический виртуальный жесткий диск автоматически увеличится в объемах.

Выбираем минимальный размер файла.

Все – наша машина готова к установке.

Выбираем нашу Kali и кликаем по кнопке «Запустить». Система предложит выбрать загрузочный диск. Выбираем только что скачанный образ kali-linux-2024.3-installer-amd64.iso и кликаем «Продолжить».

Так как это ваш первый опыт установки, выбираем графическую установку.

При выборе языка системы предлагаю оставить английский — так удобнее.

После этого Kali начнет предустановку и загрузку дополнительных файлов.

Следующим шагом нам будет предложено выбрать имя нашего виртуального компьютера. Я предлагаю не изобретать велосипед и остановится на kali.

Далее имя пользователя и пароль. Пользователь, конечно, hacker, но пароль остается за вами.

Следующим шагом будет логическая разбивка диска на части. Что это такое?

Вы наверняка помните, когда ранее устанавливали Windows и у вас был только один физический диск, вы делили его на диск C, куда устанавливали систему и важные программы, и диск D, где будет находиться все остальное.

В Linux устроено так же, но намного более гибко относительно выбора разделов. В настоящее время с учетом того, что мы устанавливаем виртуальную машину и нет необходимости делении на части, мы оставим все как есть. Выбираем первую опцию – «Использовать весь диск».

Нам предлагают записать все файлы в один раздел – давайте согласимся с разработчиками.

Важный шаг: когда нас спрашивают о том, согласны ли мы с выбором, то по умолчанию указано «Нет». Давайте перенесем выбор на «Да» и продолжим установку.

Далее нас просят выбрать графическое окружение, то есть то, как красиво будет выглядеть наш Linux. Оставляем по умолчанию xfce, так как он самый легковесный.

Следующий выбор: GRUB-загрузчик. Обязательно устанавливаем.

Вот здесь предельно внимательно. По умолчанию выбрано «Выберите устройство вручную». Но так как у нас уже указан /dev/sda, выбираем его, иначе Kali не запустится.

После окончания установки и перезагрузки нас приветствует экран загрузки.

Отлично, мы установили нашу Kali Linux!

УстанавливаемKali быстрым методом

После того, как мы прошли весь путь установки Kali с нуля, можно немного расслабиться и перейти к более быстрому и простому способу — установке с помощью предустановленной системы. Для этого давайте снова перейдем на страницу вендора для скачивания дистрибутива Кали, но в этот раз перейдем на вкладку Pre-built VMs.

На странице будут представлены сборки для разного виртуального окружения. Однако с учетом того, что мы используем VirtualBox, выбираем именно этот пункт и качаем образ.

После скачивания и разархивирования архива у нас появятся два файла. Дважды кликаем на первый — синий с типом данных VirtualBox Machine Definition.

В нашем окне VirtualBox моментально появится еще одна предустановленная система.

Выбираем ее и запускаем. Kali сразу начинает запускаться.

После ввода стандартных логина (kali) и пароля (kali) система нас запускает.

Как так быстро получилось? Разработчик за нас уже установил систему со стандартными настройками и сохранил этот образ. После этого мы его скачали и просто подгрузили в нашу систему. Обязательно смените пароль, установленный по умолчанию, если не хотите быть взломанным.

Сегодня мы установили VirtualBox — ПО для создания виртуальных машин, которые эмулируют процессоры, сетевые адаптеры и устройства хранения, что позволяет устанавливать и использовать одновременно несколько ОС. Это нам нужно для того, чтобы установить Linux на Windows, а возможно это только через ВМ. Затем мы научились устанавливать Kali Linux двумя способами: стандартным и ускоренным.

Не пропустите следующую статью цикла и пишите ваши впечатления и вопросы в комментариях.

Дистрибутив — это набор программного обеспечения, который включает ядро операционной системы и другие компоненты, предназначенные для установки и использования на компьютере. Чтобы его подобрать, стоит определиться с ОС. Тут исходят из личных предпочтений, а также из того, какую систему будут атаковать. Например, если мы ломаем Windows, то для того чтобы «говорить с ней на одном языке», очевидным выбором будет дистрибутив Windows. Однако для веба, мобильных приложений и хардвера можно просто использовать то, что больше по душе.

Основной вопрос — в наличии ПО для той или иной ОС. Например, если мы говорим про SDRSharp (SDR#) — ПО для работы с SDR и анализом радиоволн — или Xgpro — ПО для снятия прошивок с микросхем, — то данное ПО разработано только для Windows и в качестве атакующей ОС нужно использовать его. Если мы говорим про John the Ripper или Fast-Google-Dorks-Scaner, то указанные приложения разрабатывались под Linux, и вашей основной системой для взлома будет именно он.

Однако с учётом развития языка программирования Python, на котором написана львиная доля хакерских приложений, контейнеризации Docker и кроссплатформенного ПО, выбор ОС уже не становится таким критическим. Кроме того, хорошим тоном считается наличие на хостовой системе таких виртуализаций, как VirtualBox, VMWare или Hyper-V с установленными виртуальными машинами для хакинга. В виртуализации можно делать снапшоты системы, не переживая за её работоспособность в случае поломки.

Windows

Обычно в качестве хакерской Windows-ОС выбирают Windows Server, так как у него есть ряд преимуществ: встроенный функционал работы с доменом, возможность установить из коробки ISS и предустановленная система виртуализации Hyper-V. Однако хакерское ПО там не предустановлено, поэтому придется вручную его поискать, скачать и установить.

Специально для ленивых айтишников ребята из команды Mandiant разработали аддон для Windows под названием CommandoVM, который устанавливает все необходимые программы. Вот, что они пишут про себя:

«Complete Mandiant Offensive VM («CommandoVM») — это комплексный и настраиваемый дистрибутив безопасности на базе Windows для тестирования на проникновение и Red Teaming. CommandoVM поставляется с различными наступательными инструментами, не включенными в Kali Linux, которые подчеркивают эффективность Windows как платформы для атак».

CommandoVM включает в себя более 140 инструментов, нацеленных на этичное хакерство. Уникальные инструменты в CommandoVM в значительной степени сосредоточены на эксплуатации Windows в средах Active Directory. Некоторые из значимых приложений включают:

• ILSpy — браузер и декомпилятор сборок .NET;
• Covenant — фреймворк команд и управления .NET;
• EvilClippy — инструмент для создания вредоносных документов Microsoft Office;
• WMIOps и WMImplant — инструменты для использования инструментария управления Windows (WMI) для удаленного управления системой;
• GhostPack — набор таких инструментов, как Seatbelt, SharpDPAPI и SharpRoast, предназначенных для различных задач после эксплуатации в Windows;
• Mimikatz и SharpSploit — популярные инструменты для сбора и эксплуатации учетных данных;
• CrackMapExec — универсальный инструмент для перечисления и эксплуатации AD (также доступен в Linux как Python-приложение);
• BloodHound — мощный инструмент для сопоставления среды Active Directory (также доступен в Linux).

Кроме того, буквально несколько лет назад Microsoft внедрила в ОС Windows Subsystem for Linux (WSL), позволяющую имитировать Linux. Вот, что про это говорит сам разработчик:

«Подсистема Windows для Linux — это функция Windows, которая позволяет вам запускать среду Linux на вашей машине Windows без необходимости в отдельной виртуальной машине или двойной загрузке. WSL разработана для бесперебойного и продуктивного опыта для разработчиков, которые хотят использовать Windows и Linux одновременно».

Лично я с этой функцией не работал, но слышал разное — в том числе и не самые положительные отзывы: упоминается ограниченный функционал, нестабильная работа и невысокая скорость. Тем не менее, не хочу делать преждевременные выводы — если вам интересно, лучше попробовать и оценить самостоятельно.

MacOS

Как пользователь Mac, могу сказать, что хакерский функционал и потенциал здесь огромен. Это и не удивительно, ведь MacOS построен на базе UNIX, равно как и Linux. Системы имеют одинаковые консоль, команды, практически те же приложения и ту же файловую иерархию.

Однако, в MacOS есть и существенных минус — ты не хозяин своего компьютера, так как здесь очень серьезные правила защиты. Чтобы запустить стороннее приложение, нужно залезть в системные настройки безопасности и разрешить запуск именно этого файла. Ряд привычных линуксоиду приложений жестко порезаны, например, netcat не имеет фичи ключей -e и -с, необходимые для запуска ПО, а установить традиционный netcat родными способами нельзя.

Вместе с тем, для установки сторонних приложений разработаны Homebrew и MacPorts. Просто загружаем их в систему, а затем через командную строку устанавливаем почти все те же хакерские приложения, только вместо apt-get install пишем brew install. Через Homebrew можно установить и традиционный Netcat с полным функционалом, и Nmap для сканирования сети, и SQLmap для проведения атаки на базы данных, и взломщик паролей John The Ripper, и HackRF для компрометации радиоволн и вообще почти все известные приложения для хакинга.

Обобщая две операционные системы, отметим, что давние и крупные приложения уже давно имеют кроссплатформенность. Wireshark, BurpSuite, анализатор сигналов, Universal Radio Hacker, Nmap, Metasploit и другие приложения уже давно имеют поддержку любой из этих трех ОС.

Linux

Из-за своей легкости и гибкости, возможности настройки под себя, полного контроля системы, скорости работы и написания за 5 минут своих скриптовых решений, Linux как основная рабочая система остается лидером среди системных администраторов, разработчиков железа и мобильных телефонов, хакеров, девелоперов и остальных IT-специалистов. Эта ОС имеет свои недостатки, но сильные стороны существенно превалируют.

По данным Hosting Canada, в 2023 году в почти 90% случаев ОС является Linux. В основном это связано с использованием мобильных телефонов, так как подавляющее большинство (70.87%) использует Android. Не забывайте и про свой роутер, а также роутеры соседей, да и в принципе почти всё сетевое оборудование, IoT и другие умные вещи, которые в качестве рабочей системы используют ОС Linux. Поэтому хакеру важно знать, что такое Linux и как он работает.

Теперь давайте поговорим о том, какие дистрибутивы есть у Linux. В настоящее время в мире их порядка 1000. Это не Windows ХР, 7, 10 и потом 11. Это не Mac, который обновляется бесплатно и с периодичностью.

Полный список дистрибутивов можно найти тут.

С первого взгляда глаза разбегаются, и вы не знаете, какой дистрибьютор подобрать под свои задачи. На самом деле все не так сложно. Как правило, в качестве основы используется определенный дистрибутив, на который затем устанавливаются дополнительные компоненты и расширения. Самый распространенный дистрибутив для модификации — Debian, который выступает родителем более половины всех остальных. Это значит, что при работе с Debian, Kali, Ubuntu или Parrot незаметна почти никакая разница: те же команды, то же рабочее окружение, те же программы. Разница только в наполнении и используемых репозиториях.

Так какой же дистрибутив выбрать для хакинга? Если говорить о Linux, то все разнообразие вариантов ОС объясняется тем, что каждый создается для решения определенных задач. В мире Linux нет лучшего дистрибутива, но есть наиболее подходящий для цели.

Лично я в основном использую почти универсальный Ubuntu, равно как и большинство всех хакеров; приверженцы Offensive Security выбирают Kali Linux, который ранее назывался BackTrack Linux. В нем предустановлено более 600 инструментов для тестирования на проникновение; фанаты Hack The Box используют Parrot OS. Однако все названные мною ОС объединяет одно — Debian.

В рамках данного обучения мы будем использовать Kali Linux, так как он содержит в себе почти все необходимые приложения для хакинга, и у нас не будет необходимости дополнительно что-то искать и устанавливать.

Мы бегло рассмотрели дистрибутивы для хакинга под основные ОС: Windows, MacOS и Linux. Теперь вы имеете некоторое представление о том, какая между ними разница, если ориентироваться на цели этичного взлома. Они бывают разные, и об этом мы поговорим позже.

Но, конечно, чтобы определиться с выбором, надо попробовать все своими руками, ведь именно практика превращает теоретические знания в профессиональный инструмент.

Следите за следующими статьями и пишите ваши вопросы и впечатления в комментариях.

Как работает атака

Жертвы получают «уведомление» о списании $599 через PayPal. В письме указывается номер телефона для «отмены платежа». При звонке злоумышленники убеждают пользователя, что его аккаунт взломан, и предлагают установить ПО для удалённого доступа — чтобы украсть деньги или данные.

Фишинговый текст встраивается в поле «Заметки» календарного события. Приглашения рассылаются через Microsoft 365-адреса, что усиливает легитимность.

«Здравствуйте, клиент! С вашего счёта PayPal был списан счёт на сумму 599,00 долларов США. Мы подтверждаем получение вашего последнего платежа. Если вы хотите обсудить этот платёж или внести в него изменения, свяжитесь с нашей службой поддержки по телефону +1 (786) 902-8579. Чтобы отменить платёж, позвоните нам по телефону +1 (786) 902-8579», — говорится в электронном письме.

Почему это опасно

• Письмо выглядит как отправленное от Apple.
• Проходит все стандартные проверки безопасности.
• Маскируется под обычное календарное приглашение.

Эксперты отмечают: подобная схема повышает вероятность того, что пользователи воспримут письмо как подлинное.

Приманка в этом письме — типичная фишинговая афера с обратным вызовом , но странность заключалась в том, что письмо было отправлено с адреса noreply@email.apple.com, пройдя проверки безопасности электронной почты SPF, DMARC и DKIM, что означало, что оно действительно пришло с почтового сервера Apple.

Как видно из приведенного выше фишингового письма, это письмо на самом деле является приглашением в iCloud Calendar, где злоумышленник включил фишинговый текст в поле «Заметки», а затем пригласил адрес электронной почты Microsoft 365, который он контролировал.

При создании события в Календаре iCloud и приглашении внешних пользователей с серверов Apple по адресу email.apple.com от имени владельца Календаря iCloud отправляется электронное приглашение с адресом «noreply@email.apple.com».

В электронном письме, с которым ознакомился BleepingComputer, приглашение адресовано учетной записи Microsoft 365: «Billing3@WilliamerDickinsonerLTD.onmicrosoft.com».

Что делать пользователям

• Игнорировать неожиданные приглашения в календарь с подозрительным текстом.
• Никогда не звонить по указанным номерам.
• Не устанавливать ПО по просьбе «службы поддержки».

BleepingComputer сообщает, что направил запрос в Apple о мерах против мошенничества, но ответа пока не получил.

Мой путь в кибербезопасности начался с пентеста и анализа защищённости, а последние два года я погрузился в мир компилируемых языков и разработки ИИ-агентов для защиты систем. На OFFZONE я не был с 2023 года, возвращение сюда оказалось особенно ценным: индустрия как всегда перевернулась несколько раз, приятно оказаться в гуще событий вновь. Атмосфера узнаваемая — всё в лучших традициях конференции.

День первый

21 августа 2025 года. Просыпаться в восемь утра человеку, чьи ночи принадлежат ошибкам компилятора, http-прокси и коротким видео в интернете, — жест аскетизма, достойный античного стоика. Чтобы избежать очередей, я вошёл через журналистский бейдж.

Бейдж OFFZONE — отдельная история. Это программируемое устройство: через коннекторы подключаешь модули — хоть фонарик, хоть динамик. Зарабатываешь офкоины, взламывая стенды или решая квесты, а потом тратишь на мерч. Инструмент для погружения, где мерцающий светодиод напоминает: ты внутри.

У каждого на OFFZONE своя цель: доклады, живое общение со спикерами, встреча коллег с прошлых проектов или адреналин от взлома стендовых систем. Ну и, конечно, соревнование «Hack in 15 minutes», где за ошибки наливают «горячительные напитки», а ведущие едко (но метко) шутят над участниками.

Атмосфера

Оформление OFFZONE в этом году напоминало секретные архивы и закрытые исследовательские центры: печатные машинки, засекреченные досье, строки, закрашенные чёрным маркером. Всюду штампы «Секретно», ощущение тайного НИИ или новой реинкарнации марфинской шаражки, где ведут странные эксперименты. Главный маскот — Куб — выглядел как объект испытаний в лаборатории, к которому подпускают только по спецдопуску. Атмосфера будто ты стал участником секретного проекта, а сама конференция — это рассекреченный на пару дней доступ в закрытый мир.

Стоит рассказать и про OFFSTORE — фирменный магазин мерча. Лично мне, да и многим другим, он нравится именно потому, что тут делают не проходной ширпотреб, а реально качественные вещи с глубоким дизайном, вплетённым в тему года. Каждая коллекция вдохновлена атмосферой OFFZONE и продолжает её стиль, а не сводится к банальному логотипу на китайском рюкзаке. Материалы крепкие, от стирки не умирают, и смотрятся эти вещи не как «мерч для галочки», а как редкая и стильная шмотка, которую приятно носить и вне конференции.

О выборе докладов и CFP

OFFZONE декодируется как OFFENSIVE ZONE — и это чувствуется. Я пообщался с Михаилом Сидоруком, руководителем управления анализа защищенности BI.ZONE, директором по контенту конференции OFFZONE, и он рассказал, как отбирают доклады: оценивают новизну, глубину и наличие PoC. Фильтр жёсткий: отбрасывают маркетинг, «википедийные» доклады и серые обзоры. Шансы повышает уникальность темы, личный опыт или созданный автором рабочий инструмент — будь то утилита, скрипт или методика, которую можно использовать на практике.

Доклады: от гипервизоров до дипфейков

Не обошлось без фаззинга embedded-систем, графовых баз для анализа логических уязвимостей и новых методов SSTI-атак и серверных инъекций кода. А ещё — дипфейки, которые атакуют не только медиа, но и системы авторизации. После каждого выступления я ловил спикеров в кулуарах, чтобы спросить: как интегрировать их наработки в мой SAST/DAST, какие библиотеки выбрать, и где искать вдохновение для новых фич.

Тренды этого года — LLM и их применение, как контейнеризация когда-то. Кажется, все уже внедрили языковые модели в свои процессы, но спикеры показали, как выжать из них максимум: от автоматического поиска багов до генерации эксплойтов. Но на основной сцене были и классические темы наступательной кибербезопасности — и это радует. Глубокий разбор и критичность находок по-прежнему лучший способ эскалации рисков в ИБ.

Первым делом я попал на открытие — выступал Евгений Касперский — основатель и генеральный директор «Лаборатории Касперского». Если коротко, Kaspersky OS предлагают как способ логичного выхода из незавидного положения с безопасностью конечных устройств. Под капотом — изоляция процессов и приложений, что делает нерелевантными 99% типовых атак и даёт безопасную архитектуру для разработки ПО.

Медиа-зона и квест для прессы

После открытия меня проводили в отдельную комнату для прессы — уютное место, где я познакомился с другими представителями СМИ. На столах стояли кофе и закуски, но, как это обычно бывает, руки до них так и не дошли. Вместо этого нас ждал специальный квест: мы разделились на команды и отправились за баллами. Первое испытание — припаять светодиоды к маске анонимуса, превратив её в модуль для бейджа. Справился без проблем, даже сфоткался в специально выделенной зоне. На часы взглянул — пора на доклады. Чуть позже узнал, что наша команда пришла к разгадке первой.

LLM и реверс

Дальше я попал на доклад о LLM-агентах для реверса от Владислава Тушканова, руководителя группы Kaspersky MLTech, «Лаборатории Касперского». Один из наиболее интересных для меня: коллеги описали процесс разработки агентов на LangChain и smolagents. Сравнили результаты SaaS-нейросетей в прохождении crackme-лабораторий. Многие нейронки читерят, подсматривая ответы в интернете, но при помощи жёстко заданных инструкций это можно обойти. Определённо стоящий подход, достойный внедрения. 10 задач AI-агенты смогли решить. А у вас лично какой результат?

Был и доклад Руслана Махмудова, эксперта-исследователя по развитию сервисов анализа защищенности, BI.ZONE про использование графовых баз данных для RAG и поиска логических уязвимостей в веб-приложениях. BOLA и подобные баги часто доходят до продакшена. Масса многоступенчатых запросов с подписью затрудняет анализ, но LLM плюс графовые БД позволяют автоматизировать тестирование или подсветить потенциальный вектор атаки. Я и сам перевёз свой RAG с PostgreSQL на Neo4j сразу после OFFZONE.

Особо запомнился доклад Владислава Корчагина, независимого исследователя про SSTI-уязвимости и инструмент SSTImap. Простые на вид техники оказываются разрушительными. Инструмент автор интегрировал в AppSec и CI/CD для своевременного поиска багов, позволяющих выполнять команды на сервере.

День второй: когда пентестерское нутро побеждает благие намерения

Проснувшись ближе к обеду, я прибыл на конференцию и пошёл на самые жёсткие темы. Сначала — эскалация привилегий через забытую WinAPI-функцию, признанную уязвимостью за пару дней до доклада. Потом — фаззинг гипервизоров: QEMU, VirtualBox, KVM, разбор уязвимостей от автора CVE. Финал — классический дамп LSASS через физическую память в духе Physmem2profit. PoC не ждите, но техника жива и бодра.

Отдельно отмечу доклад Павла Блинникова, руководителя группы исследования уязвимостей, BI.ZONE: разбор фаззеров для гипервизоров и примеры эксплуатации заставили задуматься, сколько проектов можно было бы закрыть заранее. После такого даже VirtualBox выглядит как дверь с табличкой «ломайте здесь» — если знать, куда бить.

Составил два списка докладов с которыми стоит ознакомиться для разработчиков и пентестеров, но рекомендую читателям составить свой собственный список, без оглядки на меня.

Доклады для разработчиков

• «LLM для автоматизации ИБ-экспертизы: обнаружение вредоносного кода» — как встроить модели в пайплайн code-review.
• «Как научить AI понимать контекст приложения: новый подход к поиску уязвимостей бизнес-логики в API» — graphRAG и поиск BOLA.
• «Как мы сделали один из лучших SAST на LLM» — генерация PoC и фиксов прямо из кода.
• «Эволюция платформы анализа кода: от ручной загрузки до ML-валидации» — история построения SAST/DAST-платформы.
• «Успешные ошибки: новые техники code injection и SSTI» — свежие паттерны для обнаружения дыр, которые SAST-коробки пропускают.
• «Пентестеры на платформе: теперь они пишут одинаково (и это хорошо)» — стандартизация инструментов для CI/CD и тестирования.
• «Вы не можете спать, пока рядом есть монстры» — Игровые платформы и развившаяся в них теневая экономика.
• «SOC Check-Up. Как мы следим за здоровьем мониторингов» — хорошая практика регулярной самооценки процессов.
• «GitLab + DefectDojo + AI: автоматизация поиска багов в bug bounty» — готовый рецепт для интеграции баг-хантинга в dev-процесс.

После таких докладов хочется пересмотреть весь свой код — и прогнать через свежие правила статического анализатора. Но главный вывод: современная разработка — это гонка вооружений, где каждая новая фича должна рождаться с встроенным антидотом.

Доклады для пентестеров

• «State-of-the-Art Hypervisor Vulnerability Research» — атаки на QEMU, VirtualBox.
• «Успешные ошибки: новые техники code injection и SSTI» — свежие паттерны для обнаружения дыр, которые SAST-коробки пропускают.
• «К доске!» — как нарисовать reverse SOCKS proxy и транспорт для вашего C2
• «Уязвимость в Rockchip BootROM» — баги загрузчиков и практическая эксплуатация.
• «Эксплуатация SoC: история Unisoc» — взлом систем-на-чипе, реверс железа.
• «Root-права в базе 1С за одну строку кода» — типичный пример, как конфигурации ломают бизнес-ПО.
• «Silent Harvest: тихое извлечение секретов Windows» — скрытые приёмы доступа к секретам ОС.
• «Greybox-фаззинг embedded через Qiling» — быстрый старт фаззинга прошивок.
• «Протаптываем дорожку к multi-step-уязвимостям» — как склеивать «несерьёзные» баги в цепочку до RCE.
• «Погребено в $LogFile:» эксплуатация 20-летней уязвимости в NTFS

Записи большей части докладов будут доступны на сайте OFFZONE c 11 cентября. Остальную часть докладов можно было послушать только на конференции.

Финал

OFFZONE — это не просто доклады, скорее тренировочный полигон. Здесь тестируешь свои знания, проверяешь стойкость идей и находишь инструменты, которые завтра могут спасти чей-то бизнес. Атмосфера секретного проекта, квесты, встречи с коллегами — всё это сливается в одну цель: выйти отсюда с чемоданчиком, в котором чуть больше киберинструментов, чем раньше.

Речь идёт не о взломе самих сервисов Cloudflare — инфраструктура компании осталась в безопасности. Но с 12 по 17 августа злоумышленники получили текстовое содержимое тикетов, включая переписки с саппортом и контактные данные клиентов.

Что именно утекло

Утекли заголовки тикетов, контактные данные клиентов и всё текстовое содержимое переписки. Это могут быть логины, токены, ключи, логи, пароли — если вы когда-либо вставляли их в обращение.

Файлы и вложения, прикреплённые к тикетам, не пострадали. Но всё, что вы писали в свободной форме — стоит считать скомпрометированным.

Как Cloudflare отреагировала

Компания отозвала все сторонние интеграции с Salesforce, провела расследование и отключила Drift от своей системы.

Из 104 обнаруженных утекших API-токенов Cloudflare, ни один пока не был использован, но все они уже отозваны «на всякий случай».

Кто за этим стоит

Атаку провела хакерская группа GRUB1. Они использовали доступ к OAuth-токену Drift, чтобы входить в Salesforce и выгружать данные. Атака была многодневной: сначала разведка, затем массовая выгрузка и удаление следов.

GRUB1 использовали инфраструктуру AWS и DigitalOcean, а также популярные open-source инструменты вроде Trufflehog. Cloudflare опубликовала IOCs (индикаторы компрометации), чтобы другие компании могли отследить похожие атаки.

Масштаб и риски

Cloudflare — не единственная жертва. Взлом Drift затронул сотни компаний, использующих эту интеграцию в своих Salesforce-средах. Это классическая атака на цепочку поставок.

По мнению Cloudflare, хакеры могли собирать данные для последующих таргетированных атак на клиентов затронутых компаний. Это не случайный слив, а подготовленная разведывательная операция.

Что делать пользователям Cloudflare

Cloudflare уже уведомила всех затронутых клиентов напрямую. Но даже если вы не получили письмо, рекомендуется:

• проверить переписки в техподдержке через Support Portal;
• отозвать любые ключи, токены или пароли, которые могли быть в тикетах;
• провести аудит сторонних SaaS-интеграций с CRM;
• отключить Drift, если он используется в вашей системе;
• пересмотреть политику доступа сторонних сервисов и настроить регулярную ротацию секретов.

Несмотря на то, что пока нет подтверждений использования PromptLock в реальных атаках, эксперты считают находку важным предупреждением: злоумышленники уже научились внедрять ИИ в инструменты для автоматизированных кибератак.

Что умеет PromptLock

По данным ESET, PromptLock:

• написан на языке Golang, с версиями для Windows и Linux;
• использует ИИ-модель gpt-oss-20b через локальный API Ollama;
• генерирует вредоносные Lua-скрипты на лету, которые сканируют файловую систему, выбирают цели для атаки, шифруют и похищают данные;
• потенциально способен уничтожать данные, но эта функция пока не реализована.

Фактически, вирус на ходу использует ИИ, чтобы адаптировать поведение скриптов в зависимости от окружения.

Это делает его особенно опасным: поведение может меняться при каждом запуске, а скрипты — генерироваться динамически, что усложняет обнаружение.

Зачем в вирусе нужен ИИ

Искусственный интеллект используется не для общения с жертвой или фишинга — он создаёт исполняемый вредоносный код на основе заранее заданных подсказок (промтов). То есть, вместо статического набора функций, злоумышленники получают возможность модифицировать поведение вируса под любую цель и инфраструктуру.

Именно такие примеры показывают, как ИИ может автоматизировать все этапы атаки — от разведки до кражи данных. Подобные инструменты меняют масштаб и скорость атак

Почему это тревожный сигнал

Хотя PromptLock пока выглядит как прототип или доказательство концепции, его появление сигнализирует об одном: инструменты на базе ИИ становятся доступными не только бизнесу, но и киберпреступникам.

Теперь для создания продвинутого вредоносного ПО не обязательно быть опытным программистом — достаточно задать правильный промпт. Сама угроза особенно актуальна в контексте:

• распространения локальных моделей и open-source решений;
• снижения технического порога входа для атакующих;
• роста интереса APT-групп к ИИ-автоматизации атак.

Что делать

Эксперты рекомендуют:

• пересмотреть защиту ИТ-инфраструктуры от динамически генерируемых скриптов;
• уделить внимание аномалиям в поведении программ, а не только сигнатурам;
• следить за новыми классами угроз с участием ИИ.

Железнодорожная инфраструктура во многих странах десятилетиями работает на устаревших технологиях, а исследователи безопасности годами сталкиваются с игнорированием критических уязвимостей со стороны транспортных компаний. Итог — повышенные риски взлома и периодические инциденты, которые со временем могут перерасти в полное обрушение системы.

Североамериканский кейс: как 13 лет игнорировали критическую уязвимость в поездах

В августе 2025 года мир железнодорожной безопасности столкнулся с шокирующим прецедентом. CISA (Агентство кибербезопасности США) официально подтвердило существование CVE-2025-1727 — уязвимости в системах экстренного торможения грузовых поездов. Эта история началась не вчера: исследователи били тревогу больше десяти лет, но их предупреждения считали «теоретическими».

Почему тормоза стали ахиллесовой пятой

В основе проблемы — протокол связи между головным (HoT) и хвостовым (EoT) вагонами. Вместо современного шифрования здесь используется контрольная сумма BCH — математическая проверка целостности данных, разработанная ещё в 1960-х.

Представьте, что вы отправляете коллеге секретный код, но вместо запечатанного конверта используете открытку: любой может прочитать и подменить содержимое. Технически эксплуатация выглядит так: устройства обмениваются данными на частоте 457 МГц — это публичный диапазон, как FM-радио.

Злоумышленник с SDR-радио (программно-управляемым устройством за $300-500) может:

• перехватить сигнал между вагонами;
• расшифровать 16-битную контрольную сумму;
• сгенерировать фальшивую команду торможения.

Реальная демонстрация состоялась ещё в 2014 году. Исследователь Эрик Рейтер на конференции DEFCON (крупнейший в мире ежегодный саммит хакеров и специалистов по кибербезопасности) показал, как за 90 секунд останавливает модель поезда, передавая поддельный сигнал с ноутбука и самодельной антенны.

Но только в 2025 после ряда инцидентов в Европе, где аналогичный протокол использовали для остановки составов, эксперты MITRE подтвердили уязвимость и присвоили ей статус CVSS 8.1 — «высокий риск».

Атака на Deutsche Bahn (Германия) через VPN-шлюзы привела к 8-часовому простою региональных поездов. Злоумышленники использовали уязвимость в протоколе DNP3 для подмены команд сигнализации.

Почему проблему игнорировали

Основная причина — экономика. В Северной Америке эксплуатируется 75 000 устройств HoT/EoT. Их замена на защищённые аналоги IEEE 802.16t потребует $7–10 млрд, по оценкам AAR, и 5–7 лет работ из-за согласований и тестирования.

Это классический конфликт безопасности и операционной непрерывности. Железные дороги живут по принципу «работает — не трогай». Замена legacy-систем требует не только финансовых затрат, но и временной остановки работы транспортных компаний.

Для грузовых перевозчиков простой означает потерю $2,6 млн в час.

CISA в своём бюллетене от мая 2025 года пишет о том, что железные дороги исторически фокусировались на физической безопасности. Цифровые риски оставались вторичными из-за предполагаемой изоляции OT-сетей.

Что изменилось в 2025 году

После публикации отчёта CISA начались конкретные действия:

• временные меры — установка фильтров от помех на антенны EoT;
• поэтапный переход на стандарт FRED-II с AES-шифрованием;
• программа грантов для малых железных дорог на модернизацию.

Но проблема глубже. Уязвимость CVE-2025-1727 — лишь симптом. Реальная проблема в устаревших стандартах, которые не учитывают современные киберугрозы.

Российская железнодорожная инфраструктура: от уязвимостей к системным решениям

В 2021 году независимый исследователь обнаружил, что публичный Wi-Fi в поездах «Сапсан» не изолирован от внутренней сети РЖД. Это открыло «цифровую дверь» в критическую инфраструктуру — то есть систему управления поездами. Последующий анализ показал, что это не единичный случай — проблема носит системный характер.

Технические корни проблем

Унаследованные системы — главная причина уязвимостей. Например:

• Серверы IPMI (интерфейс управления серверами Dell iDRAC и Supermicro) работали без паролей. Через них можно было получить контроль над физическим оборудованием.
• Информационные табло на вокзалах работали под управлением Debian 9 (ОС на ядре Linux, устаревшая версия 2018 года). В системе не было обновлений безопасности, что делало её мишенью для эксплойтов вроде EternalBlue — программы, использующей уязвимость системы, разработанной в Агентстве национальной безопасности США.
• Прокси-серверы в сегментах управления были открыты для интернета. Это позволяло злоумышленникам обходить сетевую аутентификацию.

Человеческий фактор усугублял риски:

• MikroTik-роутеры использовали пароли по умолчанию вроде admin:1234. Такие устройства обнаруживались в сетях от Москвы до Владивостока.
• Системы управления климатом (например, на базе ПО Schneider Electric) имели веб-интерфейсы на порту 80 без шифрования. Через них можно было перехватывать данные или вводить вредоносные команды.

Как реагировала РЖД

В 2023 году компания запустила первую в отрасли bug bounty-программу. Её условия — до 300 000 рублей за критическую уязвимость (например, доступ к системам управления движением поездов). Часть уязвимостей устранили за первый год, включая критические.

Однако проблемы сохранялись:

• Часть IP-камер (около 15%, по данным на 2024 год) оставалась доступна из интернета. Некоторые транслировали изображения с платформ вокзалов и даже служебных помещений.
• Системы на базе Windows Embedded (управляющие табло и терминалы) не получали обновлений из-за прекращения поддержки Microsoft.

Для программистов: Уязвимости в MikroTik часто связаны с протоколом WinBox (порт 8291). Эксплойт *CVE-2018-14847* позволял читать файлы конфигурации через directory traversal. Патч выпущен в 2019, но многие устройства РЖД его не получили.

Для новичков: Bug bounty — «охота за багами с вознаграждением». Исследователи легально ищут дыры в защите и получают деньги за их обнаружение.

Почему изменения идут медленно:

• Совместимость. Многие системы управления энергоснабжением путей работают на ОС QNX 4.2 (выпущена в 1995 году). Их замена требует остановки движения на участках.
• Регламенты. По стандартам ГОСТ Р 59639-2021, обновление ПО критических систем требует 7-этапного тестирования. Процесс занимает до 6 месяцев для одного типа устройств.

РЖД: сдвиг к прозрачности

Компания постепенно отходит от принципа «безопасность через игнорирование»:

• подтверждены DDoS-атаки на ИТ-системы в 2023 году, нарушившие работу сайта и приложений;
• внедрена практика независимой оценки уязвимостей на платформе Standoff 365.

Технические улучшения к 2025 году:

1. Сегментация сетей. OT-системы (управление путями, сигнализация) отделены от IT-инфраструктуры с помощью аппаратных межсетевых экранов.
2. Замена паролей по умолчанию. Внедрена система Privileged Access Management (PAM), автоматически генерирующая сложные пароли для инженерного оборудования.
3. Мониторинг в реальном времени. Сервис Security Operations Center (SOC) отслеживает аномалии в сетях. Например, попытки доступа к портам 502/TCP (Modbus) или 1911/UDP (Fox Protocol).

Хотя публичные отчёты с детализацией инцидентов пока редки, эти шаги сигнализируют о переходе к более открытой модели безопасности.

Почему железные дороги остаются мишенью: причины уязвимостей

Железнодорожная инфраструктура — это гибрид из унаследованных систем (OT) и современных IT-решений. Исторически OT-оборудование (сигнализация, тормоза, управление путями) работало в изолированных сетях. Но сегодня интеграция с IT-сетями создаёт «цифровые трещины», которые эксплуатируют злоумышленники. Рассмотрим три ключевые проблемы.

Конфликт IT и OT: когда протоколы устаревают быстрее поездов

Главная проблема — несовместимость стандартов. OT-оборудование использует протоколы 1990-х, разработанные для закрытых сетей.

Например:

• FRED — протокол связи между головным и хвостовым вагонами, разработанный в конце прошлого века — применяет BCH-контрольную сумму вместо шифрования. Это позволяет подделывать команды торможения через радио.
• Modbus (порт 502/TCP) и DNP3 в SCADA-системах не поддерживают аутентификацию. Атака на Deutsche Bahn в 2024 году показала: через уязвимость в DNP3 хакеры искажали сигналы светофоров, что привело к остановке поездов.

При интеграции с IT-сетями устаревшие протоколы становятся «дверью» для атак. Почему их не меняют? Существуют физические ограничения:

• замена устройств требует остановки движения, что приведёт к неизбежным убыткам;
• многие системы управления энергоснабжением путей работают на ОС QNX 4.2 (выпущена в 1995 году) — их обновление невозможно без замены «железа».

Windows XP до сих пор работает на ряде европейских контроллеров сигнализации. Microsoft прекратила поддержку ОС в 2019, оставив системы без патчей.

Человеческий фактор: как фишинг ломает железные дороги

По данным CISA, значительная часть инцидентов в OT-средах начинается с атак на персонал.

Почему это работает:

• технический персонал редко обучают кибербезопасности OT-сред;
• 80% SCADA-систем используют единые учётные записи для всех инженеров — утечка одного пароля открывает доступ к критическим узлам.

Для программистов: NTLM-аутентификация (протокол 1993 года) до сих пор применяется в промышленных системах. Её слабость — передача хеша пароля без шифрования. Фишинговая атака с CVE-2025-24054 превращает обычный ZIP-архив в «троянского коня» для кражи учётных данных.

Для новичков: Фишинг — это «удочка» для сотрудников. Злоумышленники выдают себя за коллег или службу поддержки, чтобы выманить пароли.

Уязвимости в железных дорогах — не следствие «плохого кода». Это системная проблема на стыке устаревших стандартов, физических ограничений и человеческих привычек.

Безопасность на ЖД требует не только технологических изменений (вроде перехода на IEEE 802.16t), но и пересмотра подходов: сегментации сетей, bug bounty-программ и регулярных тренировок для инженеров. Как гласит принцип Purdue: «Изоляция — лучший друг критической инфраструктуры».

Комментирует эксперт в сфере кибербезопасности Лев Прокопьев, технический директор PrivEsc:

Таких проблем, как CVE-2025-1727, — тьма, и не только в железнодорожной отрасли. Промышленность и бизнес до сих пор используют массу «вечных» систем, разработанных «когда-то» на C, без шансов на обновление. Лозунг «15 лет без сбоев» нередко превращается в критический риск для общественной безопасности.

Альтернатив немного, а закупка и внедрение новых решений — процесс долгий и затратный. Поэтому продолжают эксплуатироваться SCADA с Modbus/DNP3 без аутентификации, OPC/DCOM с утечкой хешей NTLM и EternalBlue в каждом устройстве «из коробки», драйверы времён NT с утерянными исходниками, контроллеры с Telnet/FTP и стандартными логинами вроде admin:admin. Эти системы держат энергетику, транспорт и водоснабжение — и никто не хочет их трогать, пока «работает».

Проблема не только в самих уязвимостях, но и в бюрократии, риске остановки технологических или логистических процессов и страхе убытков. В итоге вопрос быстро становится практически нерешаемым. $300–400 за SDR, пара часов на реверс протокола — и можно, находясь вне периметра, подать команду на торможение состава. Без шифрования подделка пакета тривиальна. Последствия — от сбоя логистики до аварии. 13 лет без подвижек в решении проблемы — это, к сожалению, банальная ситуация.

И да, это вопрос общественной безопасности. Поэтому стоит отдать должное исследователям за упорство. Вряд ли, конечно, что в скором времени большинство разработчиков АСУТП и ПЛК анонсирует выход на Bug bounty и позовет любого желающего проверить, получится ли у него вторгнутся в процессы общественной безопасности, но и не забываем, что этот мир умеет удивлять.

Стратегии защиты: глобальные практики

Железнодорожная отрасль постепенно переходит от реактивного к проактивному подходу в кибербезопасности. Международный опыт показывает, что успех зависит от комбинации технологий, архитектурных решений и кадровой политики.

Сегментация: фундамент безопасности промышленных систем

Как гласит принцип Purdue: «Изоляция — лучший друг критической инфраструктуры». Такая модель (стандарт ISA-95) — международно признанный подход к изоляции критической инфраструктуры, применяемый в энергетике, транспорте и промышленности. Её суть в целенаправленном цифровом карантине.

Где это работает. Канадский национальный перевозчик CN Rail внедрил модель Purdue в 2023 году для защиты систем управления путями.

Реализация включала:

• физическое разделение сетей управления стрелками (уровень 1) и диспетчерских центров (уровень 3);
• установку односторонних шлюзов данных (data diodes) между уровнями 2 и 3.

Технические детали карантина:

• Уровень 0. Датчики рельсовых цепей и считыватели RFID физически изолированы. Данные передаются через оптически развязанные модули.
• Уровень 3. Диспетчерские системы (например, Siemens Vicos OC 501) размещены в DMZ с двухфакторной аутентификацией по FIDO2 и сигнатурным анализом трафика через Modbus/TCP deep packet inspection.
• Запрет горизонтального движения. Устройства уровня 2 (локальные контроллеры) не могут связываться друг с другом, только с вышестоящими серверами.

Почему это работает? При атаке на IT-сегмент (например, фишинг бухгалтерии) злоумышленники не могут достичь систем управления путями.

Технические меры: шифрование как основа

Ключевая слабость устаревших систем — отсутствие криптографии. Современные решения:

• AES-256-GCM для радиоканалов: используется в новых устройствах FRED-II в США. Алгоритм гарантирует конфиденциальность и аутентичность данных. Для 457 МГц-каналов внедрена помехоустойчивая реализация с Forward Error Correction.
• HMAC-SHA256 вместо BCH: контрольные суммы теперь генерируются с использованием уникальных ключей. Это блокирует подделку команд торможения через SDR-радио.
• HSM-модули в критичных узлах: аппаратное хранение ключей исключает их извлечение при компрометации серверов.

Полный переход на стандарт IEEE 802.16t с шифрованием AES-256 планируется в США к 2027 году.

Перспективные разработки: безопасность завтрашнего дня

ЕС инвестирует €2.8 млрд в модернизацию железных дорог, включая цифровые системы ERTMS. Квантово-устойчивые алгоритмы (например, CRYSTALS-Kyber) рассматриваются как элемент будущей безопасности, особенно для защиты данных в системах управления.

Актуальные решения:

• Криптография на решётках (Lattice-based) для ключей шифрования. Устойчива к взлому даже самыми мощными компьютерами.
• Li-Fi сети в диспетчерских центрах: передача данных через светодиоды. Сигнал не выходит за пределы помещения, что исключает перехват.
• Блокчейн для журналов событий. Фиксация аномалий в распределенных реестрах. Это предотвращает удаление или подмену записей злоумышленниками.

Для программистов: Lattice-based криптография основана на сложности решения задачи обучения с ошибками (LWE). Её преимущество — устойчивость к атакам Шора на квантовых компьютерах.

Для новичков: Li-Fi — как Wi-Fi, но с использованием света вместо радиоволн. Данные передаются через «мигание» LED-ламп с частотой, незаметной для глаз.

Почему изменения ускоряются

До 2023 года модернизация тормозилась из-за стандартов длительного тестирования (например, ГОСТ Р 59639-2021). Сейчас регуляторы вводят «зелёные коридоры» для сертификации. В ЕС принята директива NIS 2, разрешающая удалённое обновление без остановки движения при условии контроля целостности ПО.

Главный урок: защита железных дорог требует не разовых мер, а экосистемы из технологий, регуляторики и подготовки кадров. Безопасность — это не продукт, а процесс, питаемый прозрачностью.

Итоги: баланс между рисками и реальностью

Уязвимости в железнодорожной инфраструктуре — следствие технологической эволюции. Переход от изолированных систем к IoT-архитектурам требует пересмотра подходов к безопасности.

Ключевые принципы:

• приоритет сегментации: разделение OT/IT значительно снижает риски;
• прозрачность вместо игнорирования: bug bounty эффективнее судебных исков;
• постепенная модернизация: замена протоколов важнее полного обновления парка.

Проблема не в отдельных уязвимостях, а в системном подходе. Железные дороги могут стать эталоном безопасности, если рассматривать исследователей как союзников, а не противников.

Узнаем, как сериалы и фильмы последних лет балансируют между зрелищностью и правдой в изображении IT-реальности, и почему некоторые сцены всё ещё заставляют программистов тяжело вздыхать. Готовьтесь к разбору мифов и неожиданным открытиям — что думают айтишники о технологиях в фильмах и сериалах.

Кибербезопасность в кино: когда сценаристы забили на ИБ

Футуристические фильмы любят показывать «умные» технологии, но авторы часто игнорируют базовые принципы информационной безопасности. Разберём вопиющие примеры, в которых создатели пренебрегли даже минимальной заботой о защите данных.

«Матрица»: философия «0101»

Этот культовый фильм 1999 года сам по себе задал новые стандарты в кинематографе и обрел вторую жизнь в эпоху ИИ. Но если метафора «мир — симуляция» актуальна как никогда, то техническая база этого без преувеличения шедевра нередко вызывает улыбку у айтишников и спецов по информационной безопасности.

Концепт: люди, освободившиеся от власти машин, поднимают бунт в цифровой империи.

Технические ляпы:

• Нео — король читеров. Судя по всему, Нео внутри Матрицы получает права суперадмина (god-mode), он запросто хакает служебные программы (Агенты) и оставляет backdoor-процессы после выхода из системы. В реальных системах права выдаются по принципу минимальных привилегий. Необъяснимо, как хакер сразу получает root-доступ к ядру.
• Сети машин — рай для хакеров. Освобожденные люди подключаются к Матрице из летающих кораблей в канализационных туннелях, вносят изменения в систему и общаются через чаты. В реальности для связи нужна инфраструктура: ретрансляторы, спутники, базовые станции. В фильме же сигнал ловят даже под землёй без оборудования. Машины якобы не используют токены, VPN или контроль доступа. В жизни даже домашний роутер требует пароль, не то что военная ИИ-система.
• Агент Смит как провал IDaaS. Вместо современной системы управления доступом (IAM), Матрица использует агентов — программы с примитивной логикой авторизации. Они не проверяют цифровые подписи процессов, позволяя Нео перезаписывать их код через прямое подключение. Сегментация сети отсутствует: программы-изгои (Меровинген, Персефона) свободно бродят по изолированным сегментам системы, словно хакеры в корпоративной сети без VLAN.
• Zero-Day на миллион. Каждый «телефонный портал» — непатченная уязвимость в ядре Матрицы. Вместо обновления Архитектор предпочитает перезагружать систему раз в 100 лет.

Философский бонус: Зато идея «синей/красной таблетки» стала мемом в IT-сообществах. Выбор между комфортом неведения («blue pill») и болезненной правдой («red pill» — по сути .exe-файл с неизвестным сертификатом) цитируют в спорах о слежке через соцсети или этике ИИ. Но это не отменяет реальности: от простой сегментации сети Нео не помогло бы никакое кунг-фу.

«Суррогаты» (2009): апокалипсис аутентификации

Концепт: люди управляют андроидами-аватарами. Но система безопасности выглядит так, будто её проектировали дети.

Технические ляпы:

• Отсутствие идентификации. Можно использовать чужого андроида без проверки личности — как будто взял чужой телефон и разблокировал его взглядом. Реальность: даже современные смартфоны требуют биометрию + PIN.
• Нулевое шифрование. Трафик между оператором и андроидом не защищён. В жизни такое невозможно — стандарты вроде TLS 1.3 и аппаратные TPM-модули обязательны для IoT-устройств.
• Вирус-убийца. Единая база для всех андроидов позволяет заразить их одновременно. Это нарушает принцип сегментации сетей (стандарт NIST SP 800-53): критическая инфраструктура должна быть изолирована.

«Время» (2011): финансовая беззащитность как норма

Концепт: Время — валюта, передаваемая через касание.

Технические ляпы:

• Отсутствие 2FA (двухфакторной идентификации). Передать «время-деньги» можно без подтверждения — как наличные из кармана. В 2025 даже криптовалюты требуют нескольких ключей для транзакций.
• HDD вместо блокчейна. Данные хранятся на жёстких дисках в сейфе без шифрования. Абсурд. Любые центробанки используют DLT-платформы с контролем целостности.
• Уязвимость во сне. Если вы уснули — вас могут «обнулить». Не спи — замерзнешь. Реальные системы всегда требуют сознательного подтверждения операций.

В фильме большинство краж совершается через рукопожатие. В жизни подобные атаки (NFC-скимминг) предотвращаются:

• токенизацией данных (стандарт PCI DSS 4.0);
• лимитами на контактные платежи;
• геофенсингом для блокировки подозрительных транзакций.

«Мир Дикого Запада» (2016): Роботы без патчей

Концепт: хостинг-империя андроидов взломана через бэкдор в коде.

Технические ляпы:

• Обновления «по воздуху». В реальности уязвимости в ПО роботов патчатся автоматически (см. системы Tesla FSD).
• Отсутствие SOC. Нет мониторинга аномалий поведения андроидов. Современные SIEM-системы (Splunk, Elastic) детектируют угрозы в реальном времени.
• Хранение ключей в открытом виде. Код доступа к ядру системы лежит в незашифрованном файле. Это нарушает стандарт для защиты критичных данных.

Игнорирование ИБ в кино создаёт опасные мифы:

• «Технологии = удобство > безопасности» — тогда как в реальности парадигма Zero Trust доминирует с 2022 года.
• «Гениальный хакер может всё» — но даже для взлома IoT-чайника нужны дни или недели подготовки.
• «Шифрование — для параноиков» — большинство компаний внедрили E2EE (сквозное шифрование) после принятия GDPR в Европе и №152-ФЗ «О персональных данных» в России.

Когда режиссёры показывают технологии будущего, им стоит хотя бы проконсультироваться с ИБ-спецами. Иначе получается некрасиво: крутая концепция, но вопросы безопасности — на уровне каменного века.

Когда код – просто декорация: Бессмыслица на экране

Кино давно освоило цифровой ландшафт, но изображение самого кода часто остаётся художественной вольностью. Порой то, что выдают за сложнейший алгоритм взлома или управления спутником, при ближайшем рассмотрении оказывается случайным набором символов или скопированным куском документации.

Иногда это осознанная шутка создателей или их консультантов, но чаще — лень либо полное пренебрежение достоверностью ради «технологичного» вида. Прогеры при виде такого кода только вздыхают или нервно смеются.

Шедевры кинокодинга: От перла до проклятий на латыни

Попытки изобразить «взлом» или работу с данными часто приводят к кадрам, заставляющим профессионалов в лучшем случае в недоумении чесать затылок.

В фильме «Цикада 3301: Квест для хакера» (2021) герой подбирает пароль к криптокошельку. Однако на экране мелькает странная смесь команд, напоминающая то ли неуклюжий Perl-скрипт с ошибками, то ли внутренности какой-то утилиты, не имеющей прямого отношения к брутфорсу паролей. Очевидно, создатели хотели показать что-то связанное с инструментами вроде elpscrk, но получилось смутно и неадекватно сюжету.

Ещё ярче абсурд в «Обратном отсчете» (2019). Там демонстрируется внутренность гигантского 60-гигабайтного (!) приложения, предсказывающего смерть. Вместо сложного кода зритель видит… латинскую фразу-проклятие: «Hoc te maledictum persequitur et opprimit donec omnino delearis» («Это проклятие преследует тебя и угнетает, пока ты не будешь полностью уничтожен»). Красиво? Возможно. Связано с программированием? Никак. Это чистой воды визуализация «магии» вместо технологий.

Апофеозом «шокового» кода стал сериал «Разрабы» (2020). Увидев код в сверхсекретном отделе, главный герой-специалист по ИИ буквально блюет от ужаса.

На экране — фрагмент Python-скрипта (возможно, отладчика) с парой синтаксических ошибок и абсолютно нечитаемым стилем, плюс совершенно не относящиеся к делу символы в углу, напоминающие эзотерический язык. Шок персонажа могут разделить лишь те, кто ненавидит бессмысленный код или непосредственно Python, других причин для беспокойства на экране не наблюдается.

Почему так выходит? Скорость съемок, отсутствие консультантов или просто мнение, что «зритель всё равно не поймет» – основные причины.

Как отмечал программист Джон Грэм-Камминг, начавший разбирать киношный код еще в 2014 году после ляпа в «Элизиуме» (где скопировали мануал Intel), часто достаточно пары минут поиска в Google, чтобы найти рабочий пример. Но зачем, если можно набрать красивых символов?

К счастью, тенденция медленно меняется в сторону большей аутентичности. Тиражировать роковую ошибку агента Борна (которого назвали Ащьф Лштшфум в российском паспорте), никто не хочет.

Вечные мифы кинематографа: новые грани старых клише

В первой части нашего цикла о технологических ляпах в кино мы уже разобрали такие классические «косяки», как мгновенный взлом одной командой и фантастические 3D-интерфейсы, которые никогда не увидишь на реальном рабочем месте админа или разработчика. Но фабрика грез не исчерпала на этом арсенал штампов. Даже сейчас на экранах прочно удерживаются новые (или хорошо забытые старые) мифы, заставляющие IT-специалистов вздрагивать. Разберем топ самых стойких.

«Хакер-одиночка против системы»

Миф: Гениальный, но асоциальный программист в одиночку взламывает Пентагон, ЦРУ или могущественную корпорацию, используя лишь свой ноутбук и невероятный интеллект. Часто сопровождается сценами «борьбы» с системами защиты в реальном времени, как в компьютерной игре.

Реальность: Крупные целевые атаки (APT, Advanced Persistent Threats) — это всегда работа команд высококвалифицированных специалистов (разведчики, социальные инженеры, эксперты по конкретным системам, разработчики эксплойтов) с огромными ресурсами и месяцами, а то и годами подготовки. Инструменты часто кастомизируются под конкретную цель.

Одиночки (как Эллиот в «Мистере Роботе» — и то с оговорками) могут нанести ущерб, но не парализовать гигантов. Отчеты компаний вроде Mandiant или Group-IB (Group-IB APT Report 2024) постоянно подчёркивают сложность и организованность современных кибератак. Реальный взлом — это кропотливая разведка и терпение, а не спринт. Крупные атаки (типа SolarWinds 2020) выполняются командами из 50+ человек: разведчики, аналитики, разработчики эксплойтов.

Даже во вполне правдоподобном фильме «Социальная сеть» (2010, режиссер Дэвид Финчер), успех подаётся исключительно как результат гениальности Цукерберга. На деле ключевую роль в создании проекта сыграли Эдуардо Саверин (финансы), Дастин Московиц (архитектура), Эндрю Макколум (дизайн). Фильм же свёл историю к гениальным озарениям и драме «предательства».

«Гендерный код»: Хакер = мужчина в капюшоне

Миф: Архетип хакера/гения программиста — это юноша, одетый обычно в темную толстовку с капюшоном, живущий в полумраке среди мигающих мониторов, социально неадаптированный. Женщины в IT на экране — редкость, и часто они играют второстепенные роли (администратор, любовный интерес, «девочка на телефоне»).

Реальность: История IT полна выдающихся женщин: от Ады Лавлейс (первый программист) и Грейс Хоппер (компилятор, COBOL) до Маргарет Гамильтон (ПО для Apollo) и Радии Перлман («мать интернета», протокол STP). В современной индустрии женщины часто занимают ключевые позиции в разработке, кибербезопасности, data science.

Примеров реализации этого мифа в кино масса — тот же «Мистер Робот», «Пароль Рыба-меч» (2001), «Кто я» (2014). Правда, в последнее время случаются прорывы — в сериале «Убийство на краю света» (2024) хакеры — симпатичные девушки (правда, тоже сугубо асоциальные), в «Скрытых фигурах» (2016) показано участие женщин-программисток и инженеров в космической программе США.

«Код как магия вуду»: Чем непонятнее, тем лучше

Миф: Чтобы показать «крутость» программиста или сложность системы, сценаристы щедро сыплют техническими терминами, часто вырванными из контекста, устаревшими или просто выдуманными («Я обойду брандмауэр через инвертированный SQL-портал, используя квантовый дешифратор!»).

Реальность: Профессионалы говорят на конкретном языке, используют корректные термины для обозначения технологий и задач. Злоупотребление жаргоном без понимания его смысла — верный признак дилетанта. Настоящие эксперты, как правило, объясняют сложные вещи максимально просто.

Яркий кино-пример использования бессмысленных терминов: диалоги «технарей» в «Крепком орешке 4.0» (2007), где смешаны несовместимые концепции сетей и взлома.

В сериале «CSI: Место преступления» герой произносит что-то вроде «Я создам пользовательский интерфейс при помощи Visual Basic и попробую определить IP-адрес». Сказано с правильной интонацией, но искушённый человек сразу поймёт, что это — полная чушь.

«Физика? Нет, не слышали»: Игнорирование законов реального мира

Миф: Технологии в кино часто работают вопреки законам физики, логики или современным техническим ограничениям. Беспроводная передача терабайтов данных за секунды на любое расстояние, мгновенная загрузка сложнейших программ на любое устройство, невероятная компактность и мощность вычислительных устройств («суперкомпьютер в кармане»), игнорирование проблем с питанием и охлаждением.

Реальность: Каждая технология имеет свои жёсткие ограничения: скорость света ограничивает задержки связи, законы термодинамики требуют охлаждения мощных чипов (проблема, актуальная и для квантовых компьютеров), плотность размещения транзисторов на чипах упирается в физические барьеры (закон Мура, как известно, замедлился), емкость аккумуляторов растёт медленно.

Реальные инженеры постоянно борются с этими ограничениями. Но создателей фильмов эти проблемы не заботят. Например, Тони Старк в «Железном человеке 2» (2010) за ночь создаёт в подвале установку, синтезирует стабильный элемент Badassium и вживляет его в миниатюрный реактор.

Конечно, это фантастика, но даже в ней нельзя игнорировать фундаментальные законы физики. Синтез новых элементов требует энергий в миллиарды электронвольт. Установки типа Большого адронного коллайдера (ЦЕРН) разгоняют частицы до околосветовых скоростей, потребляя мегаватты энергии. Лазеры Старка в подвале физически неспособны обеспечить даже 0,001% нужной мощности. Кроме того, реальные искусственные элементы нестабильны и живут миллисекунды.

Более честный подход — показать физические ограничения как часть драмы, как это делается, например, в «Марсианине» (2015) с реальными проблемами связи (Земля-Марс), точным подходом в энергетическому балансу на станции и другими достоверными деталями.

Почему все это важно: Перечисленные мифы не просто забавны. Они формируют у массовой аудитории искаженное представление о науке и работе IT-индустрии, её сложности, разнообразии специалистов и реальных проблемах, с которыми она сталкивается.

Кино имеет огромную силу влияния, и движение в сторону большего реализма, как в «Мистере Роботе» или «Марсианине» не только радует профессионалов, но и может вдохновлять новое поколение на осознанный путь в технологиях.

Итоги: зачем кино искажает IT?

Ответ прост: драматургия. Настоящий код — это тысячи строк текста, а реальный взлом — рутинная работа. Но когда режиссёры стремятся к правде и находят баланс, это вдохновляет новые поколения разработчиков. Главное — помнить: магия кино остаётся только на экране. А в реальности даже гениальный код требует бесконечных тестов, литров кофе и терпения.

«Любая достаточно развитая технология неотличима от магии» (Артур Кларк). Кино лишь напоминает: за «магией» экрана стоят люди — иногда такие же странные, как Эллиот Алдерсон.

IP-адреса

IP-адреса используются для уникальной идентификации устройств в сети. Они делятся на два основных типа:

1. IPv4 (Internet Protocol version 4) — протокол,
   используемый для передачи данных в сетях, включая интернет. Это основной протокол для большинства сетевых коммуникаций.
2. IPv6 (Internet Protocol version 6) — протокол, разработанный для замены IPv4 с целью решения проблемы исчерпания адресного пространства и предоставления новых возможностей для сетевых технологий. Был разработан в 1990-х годах и стандартизирован в 1998 году. Но с
   учётом распространённости NAT и неудобства его использования, так
   и не стал популярным, хоть сетевые устройства и поддерживают шестую
   версию.

Рассмотрим каждый из них подробнее, а в рамках IPv4 зацепим ещё маски подсети и NAT.

IPv4

Представлен в формате 32-битного адреса и записывается обычно в десятичном виде с разделением на четыре октета (например, 192.168.1.1). Каждый октет — это 8 бит, что позволяет представлять значения от 0 до 255. Таким образом, диапазон возможных адресов варьируется от 0.0.0.0 до 255.255.255.255. Количество адресов составляет примерно 4,3 миллиарда штук.

Если записывать IPv4-адрес в двоичном виде, мы получим следующее: 192.168.1.1: 11000000.10101000.00000001.00000001

IPv4-адреса делятся на несколько классов и категорий в зависимости от их назначения:

● Класс A содержит адреса от 0.0.0.0 до 127.255.255.255. Используется для крупных сетей.

● Класс B содержит адреса от 128.0.0.0 до 191.255.255.255. Используется для средних сетей.

● Класс C содержит адреса от 192.0.0.0 до 223.255.255.255. Используется для малых сетей.

● Класс D содержит адреса от 224.0.0.0 до 239.255.255.255. Используется для многоточечных рассылок (multicast).

● Класс E содержит адреса от 240.0.0.0 до 255.255.255.255. Резервируется для экспериментальных целей.

Внутри данных категорий живут частные адреса. Они определены для использования внутри локальных сетей и в большинстве случаев не маршрутизируются в интернете.

Частные адреса включают:

● Класс A: 10.0.0.0 до 10.255.255.255;

● Класс B: 172.16.0.0 до 172.31.255.255;

● Класс C: 192.168.0.0 до 192.168.255.255.

Маска подсети

Этот механизм используется в IP-сетях для разделения адреса на сетевую и хостовую части. Маска подсети позволяет маршрутизаторам и устройствам определять, какая часть IP-адреса относится к сети, а какая к конкретному устройству (хосту) в этой сети.

Маска подсети представляет 32-битное значение (для IPv4) и обычно записывается в том же формате, что и IP-адрес, например, 255.255.255.0. Альтернативно маска может быть записана в нотации CIDR (Classless Inter-Domain Routing), где указывается количество бит, отведённых под сетевую часть, например, /24.

Маска подсети позволяет определить, какой сети принадлежит конкретный IP-адрес, что особенно полезно при маршрутизации трафика и настройке локальных сетей. Она также помогает организовать и изолировать трафик между разными сегментами ИТ-инфраструктуры. Например, в корпоративной среде можно разделить трафик между отделами, создав разные подсети. Кроме того, применение масок подсети позволяет более эффективно использовать доступные IP-адреса. Можно выделять адреса в зависимости от нужд сети, например, крупная структура требует больше хостов, чем маленькая.

Маска подсети выполняет побитовую операцию с IP-адресом. Биты, маски которые равны 1, указывают на сетевую часть. А биты, равные 0 — на хостовую часть.

Например, IP-адрес 192.168.1.10 в двоичном виде выглядит так: 11000000.10101000.00000001.00001010, а маска подсети так: 255.255.255.0 (в двоичном виде: 11111111.11111111.11111111.00000000). Результатом определения сетевого адреса, проще говоря AND-операции, является 11000000.10101000.00000001.00000000, что соответствует 192.168.1.0.

Примеры масок подсети:

● Маска /24 (или 255.255.255.0) — 256 адресов в подсети (от 0 до 255), где 254 адреса доступны для хостов (первый адрес — сетевой, последний — широковещательный). Пример сети: 192.168.1.0/24.

● Маска /16 (или 255.255.0.0) — 65,536 адресов в подсети. Пример сети: 10.0.0.0/16.

● Маска /8 (или 255.0.0.0) — 16,777,216 адресов в подсети. Пример сети: 172.16.0.0/8.

Теперь поговорим о NAT.

NetworkAddress Translation (NAT)

Это метод преобразования IP-адресов, который используют для управления и маршрутизации трафика в IPv4-сетях. NAT позволяет нескольким устройствам в локальной сети использовать один публичный IP-адрес для доступа к интернету.

Поскольку количество доступных IPv4-адресов ограничено, NAT позволяет использовать один публичный IP-адрес для подключения нескольких устройств в локальной сети, тем самым экономя адресное пространство. Кроме того, NAT скрывает внутренние IP-адреса устройств от внешних сетей, что затрудняет хакерам доступ к этим устройствам, из-за чего злоумышленники используют reverse shell вместо bind shell, о чем поговорим в других статьях. Внешний мир видит только публичный IP-адрес, что добавляет ещё один уровень защиты. Также NAT может использоваться для балансировки нагрузки и управления трафиком, направляя его на различные внутренние хосты.

Как же работает NAT? Когда устройство в локальной сети, допустим с IP-адресом 192.168.1.2, отправляет запрос в интернет, маршрутизатор NAT заменяет внутренний адрес на свой публичный IP-адрес, например, 203.0.113.5 и записывает эту информацию в таблицу NAT. Когда сервер в интернете отвечает на запрос, он отправляет данные на публичный IP-адрес 203.0.113.5. Маршрутизатор NAT использует таблицу NAT, чтобы определить, какому внутреннему устройству следует направить ответ, например, обратно к 192.168.1.2.

Таблица NAT обновляется с каждым новым соединением. Когда соединение закрывается, запись может быть удалена через заданное время.

IPv6

Адрес IPv6 состоит из 128 бит (16 байт), что позволяет создать огромное количество уникальных комбинаций. Он представляется в шестнадцатеричном формате и записывается в виде восьми групп по четыре символа, разделённых двоеточиями, например: 2001:0db8:85a3:0000:0000:8a2e:0370:7334.

IPv6-адрес может быть описан в сокращенном виде. Нулями, стоящими в начале группы, можно пренебречь — 2001:0db8:0000:0000:0000:0000:0000:0001 можно записать как 2001:db8:0:0:0:0:0:1. Последовательные группы из нулей заменяются двойным двоеточием, но это можно делать только один раз: в адресе 2001:0db8:0000:0000:0000:0000:0001 можно записать как 2001:db8::1.

IPv6 поддерживает как статическую, так и автоматическую конфигурацию адресов, что упрощает процесс подключения устройств к сети. IPv6 изначально разработан с учётом требований безопасности и поддерживает протокол IPsec, обеспечивающий шифрование и аутентификацию данных, а также улучшенную поддержку для управления трафиком и приоритезации данных.

Поскольку большинство сетей и устройств по-прежнему используют IPv4, необходимо создать механизмы для обеспечения совместимости, такие как двойной стек (Dual stack), NAT64 и туннелирование. Кроме того, многие администраторы и пользователи не знакомы с IPv6, что требует дополнительного обучения и внедрения новых инструментов и технологий.

Обход защиты Firewall’ов

Все компании, вне зависимости от количества работников, структуры, направленности и страны, защищают свою IT-инфраструктуру как от внешних злоумышленников, так и от внутренних. Первое, что делают сетевые инженеры, системные администраторы и кибербезопасники — это настраивают правила на фаерволах. Неважно, будет это целая развёрнутая IT-инфраструктура с базами данных и 1С-серверами, внутренняя сеть или просто одностраничный веб-сайт — всё подлежит защите.

Давайте поговорим об обходе файервола путем использования IPv6. Многие организации блокируют IPv4-трафик, но не уделяют достаточного внимания IPv6, что открывает дверь для различных атак. Необходимо убедиться, что тестируемая сеть действительно использует IPv6 в своей инфраструктуре, а не просто включает на уровне ОС.

В случае с открытым IPv6, вы можете найти службы, которые не защищены на том же уровне, что и их аналоги на IPv4. Например, некоторые службы могут быть уязвимы к атакам из-за недостаточной конфигурации firewall или IPS/IDS для IPv6.

IPv6 дает возможность провести ряд атак MITM, особенно если в сети некорректно настроен ICMPv6. Злоумышленник выдаёт себя за маршрутизатор, отправляя поддельные RA-пакеты, таким образом перенаправляя трафик через себя. Если используется DHCPv6 для назначения адресов, можно попытаться подделать DHCP-сервер или клиент, перехватывая и изменяя трафик.

Хакинг через IPv6 открывает уникальные возможности, так как многие сети недостаточно защищены для этого протокола. Обычные методы, такие как сканирование, эксплуатация уязвимостей и атаки «человек посередине», могут быть применены, но требуют адаптации для работы с особенностями IPv6. Основной вызов заключается в огромном адресном пространстве, что требует умелого применения техники разведки и сканирования.

Ещё один интересный способ обхода ограничений – использование написания IP-адресов в непривычном виде. Давайте рассмотрим это на примере localhost — 127.0.0.1.

Десятичный формат с разделением точками. Это стандартный, классический формат, в котором каждая из четырех октет (байтов) адреса записывается в десятичной системе через точки:

Здесь каждый октет представляет собой число от 0 до 255, а адрес состоит из четырёх октетов, как уже было раскрыто выше.

Десятичный формат. IPv4-адрес можно представить как единое число в десятичной системе исчисления. Например, 127.0.0.1 может быть преобразован в единое десятичное значение — для этого нужно преобразовать каждую часть адреса в двоичный код и затем собрать всё в единое число:

127.0.0.1 = (127 * 256^3) + (0 * 256^2) + (0 * 256^1) + (1 * 256^0) = 2130706433

В десятичном формате адрес 127.0.0.1 будет выглядеть так:

2130706433

Шестнадцатеричный формат. Адрес также можно записать в виде шестнадцатеричного числа, где каждый октет представляется как пара шестнадцатеричных цифр. Преобразуем каждый октет в шестнадцатеричное значение:

127 в шестнадцатеричной системе = 7F

0 в шестнадцатеричной системе = 00

1 в шестнадцатеричной системе = 01

В шестнадцатеричном формате адрес будет записан так:

0x7F000001

Или можно разделить октеты точками для лучшей читаемости:

Восьмеричный формат

IPv4-адрес можно записать в виде восьмеричных чисел (основа 8). Для этого нужно преобразовать каждый октет в восьмеричную систему:

127 в восьмеричной системе = 177

0 в восьмеричной системе = 0

1 в восьмеричной системе = 1

Восьмеричная запись адреса может быть записана так:

Смешанные форматы. IPv4-адрес может быть записан в разных комбинациях десятичного, восьмеричного и шестнадцатеричного форматов для каждой части адреса.

Десятичная/шестнадцатеричная комбинация:

Десятичная/восьмеричная комбинация:

Чистый двоичный формат (binary). В двоичном виде каждый октет записывается как 8-битное двоичное число:

127.0.0.1 = 01111111.00000000.00000000.00000001

Пример всех форматов для адреса 127.0.0.1

● Десятичный с точками: 127.0.0.1

● Целочисленный десятичный: 2130706433

● Шестнадцатеричный: 0x7F000001

● Восьмеричный: 0177.0000.0000.0001

● Двоичный: 01111111000000000000000000000001

Мы поговорили о типах IP-адресов (IPv4 и IPv6), о том, зачем нужна маска подсети и коснулись технологии преобразования адресов Network Address Translation. Также рассмотрели базовые методы обхода файерволов с использованием особенностей IPv6.

Представление об устройстве IP-адресов необходимо, однако одних теоретических знания недостаточно. Для реального понимания устройства ИТ-инфраструктуры необходимы постоянная практика и общение с сообществом.

Следите за следующими статьями и пишите ваши вопросы и впечатления в комментариях.

Ранее о подобной атаке заявили в «Неофарме» и аптеке «Столичка».

В «Семейном докторе» недоступна база данных пациентов, сайт вроде как отключен от хостинга, а платформа личного кабинета и онлайн-записи не функционирует. Это уже третья за день сеть медучреждений с аналогичными проблемами.

Какие сбои уже зафиксировали

Кроме проблем в «Семейном докторе», есть и другие пострадавшие. «Альфа‑Центр Здоровья», например, подтвердил сбои в внутренних сервисах и невозможность доступа к пациентскому порталу, также сообщая о технических неполадках сервисов онлайн-записи и личного кабинета.

По данным Regnum, в аптечных сетях пользователи потеряли возможность брони и доступа к программе лояльности.

Прецедент: атака на «Столичку» и «Неофарм»

Накануне аналогичные кибератаки обрушили работу аптек «Столичка» в свыше 1000 точках в 80 городах: сотрудники были освобождены от смен, клиенты не могли воспользоваться услугами. Подобным образом пострадал и «Неофарм».

Возможные причины и мотивы

Пока официальных данных о том, кто стоит за атакой, нет. Однако схожие атаки связывают с активистскими группами или APT‑группировками, в том числе с украинскими корнями, которые в прошлых случаях взламывали российские сервисы и базы данных.

Что дальше?

• Клиники и аптеки требуют восстановления инфраструктуры и выяснения причин инцидента.
• В ближайшие дни ожидаются комментарии со стороны пострадавших организаций.
• Эксперты предупреждают: атаки на критичные медицинские системы могут угрожать не только комфорту, но и здоровью населения.

Просто напоминание

Напомним, что вчера случился один из крупнейших взломов за всю историю российской авиации.

Жертвой оказалась компания «Аэрофлот», а ответственность за атаку взяли на себя украинские хакеры.

По их словам, была полностью уничтожена внутреняя IT-инфраструктура компании — это квалифицируется как стратегический удар по цифровой безопасности перевозчика и связанных госструктур.

Что скомпрометировали злоумышленники

Хакеры утверждают, что получили доступ почти ко всем ключевым системам:

• CMR, база истории перелётов, Sabre, 1С и Microsoft Exchange.
• Устройства сотрудников, включая компьютеры топ‑менеджмента.
• Аудиозаписи переговоров, внутренние переписки, системы видеонаблюдения.

Также сообщается об уничтожении около 7000 физических и виртуальных серверов, а общий объем утечки данных — более 20 ТБ корпоративной почты и внутренних документов.

Уточнения: внутри сети целый год

По заявлению группировки Silent Crow, операция длилась около 12 месяцев, за это время хакеры:

• Достигли уровня доступа Tier0 (ядро инфраструктуры).
• Получили контроль над 122 гипервизорами, 43 инсталляциями ZVIRT, 4 кластерами Proxmox, около 100 iLO-интерфейсами.
• Выгрузили: 12 ТБ баз данных, 8 ТБ файлов с Windows Share, 2 ТБ корпоративной почты.
• Скомпрометировали десятки критически важных систем: CREW, Sabre, SharePoint, Exchange, КАСУД, Sirax, CRM, ERP, 1C, DLP и др.

Хакеры подчеркнули, что эти ресурсы теперь недоступны или полностью уничтожены, восстановление потребует «десятки миллионов долларов».

Реакция и последствия

Утром 28 июля в аэропорту Шереметьево произошёл массовый сбой IT-систем «Аэрофлота»: десятки рейсов были отменены или задержаны, сотни пассажиров оказались заблокированы в терминалах.

Сотрудники авиакомпании подтвердили технический сбой, но конкретные причины не раскрыли.

Расследование и оценка ущерба

Правоохранительные органы и службы кибербезопасности начали расследование случившегося, чтобы установить масштабы атаки и её организаторов. По предварительной оценке, ущерб может исчисляться десятками миллионов долларов.

Что будет дальше

Хакеры пообещали начать публикацию части украденных данных, утверждая, что операция — это не просто уничтожение инфраструктуры, но и «оставление следа».

Итоги на момент написания материала

• Атака оказалась одной из крупнейших по масштабу и ущербу в российской авиационной отрасли.
• «Аэрофлот» пока не прокомментировал официально инцидент.
• Пассажирам рекомендовано следить за объявлениями на онлайн‑табло и в аэропортах.
• Этот кейс тревожит: даже крупные организации с выделенной IT-инфраструктурой уязвимы, если атакующие обладают мотивацией и ресурсами.

В отличие от теневых форумов, стартап работает открыто и предлагает доступ к базе всего за $50.

Что именно продают

Данные собираются с устройств, заражённых вирусами, которые крадут логины, пароли, автозаполненные формы и куки. В базе Farnsworth есть:

• логины и пароли в открытом виде;
• почтовые адреса и телефоны;
• данные автозаполнения (например, адреса доставки);
• информация о сайтах и сервисах, где у человека есть аккаунты.

Компания предлагает два продукта: закрытую платформу с полным доступом и публичный сайт infostealers.info. Во втором случае достаточно заплатить $50, чтобы начать поиск.

Журналисты из 404 Media протестировали сервис и обнаружили реальные адреса ничего не подозревающих пользователей.

Кто покупает

На сайте Farnsworth описаны «примеры применения»: розыск должников, сбор доказательств для разводов, B2B-маркетинг.

Потенциальные клиенты — частные детективы, юристы, коллекторы, конкуренты по бизнесу и просто любопытные пользователи.

Стартап позиционирует себя как платформу для OSINT — «открытой разведки». Но по сути Farnsworth продаёт результаты хакерских атак, используя их в коммерческих целях.

Почему это незаконно и опасно

Эксперты называют деятельность компании этически сомнительной и, в ряде случаев, незаконной. Такие данные нельзя использовать в суде — особенно если они получены без согласия. Использование в делах о разводе или коммерческом шпионаже может нарушать сразу несколько законов.

По словам эксперта из EFF, это повторная виктимизация: людей сначала взломали, а потом продали их данные за копейки. Информация может попасть к мошенникам, сталкерам, рекламным агентствам или правоохранительным органам без суда и следствия.

Стартап молчит, жертвы не знают

Farnsworth не отвечает на запросы журналистов. Сам основатель также проигнорировал сообщения от 404 Media.

Между тем тысячи людей даже не подозревают, что их данные уже продаются всем желающим.

Цифровой контент — актив, который требует защиты не меньше, чем банковские данные. Многие привыкли, что свежий сериал или долгожданный фильм оказывается в сети за неделю до премьеры или в день релиза, а дорогостоящий курс можно скачать бесплатно на «складчинах». В 2024 году пиратство нанесло российским правообладателям ущерб в 3,36 млрд рублей, а глобальные потери медиаиндустрии превысили $71 миллиард. Утечки контента происходят через уязвимости в системах доставки, запись экрана или взлом серверов.

Но угрозы безопасности видеконтента не ограничиваются пиратством. Кибератаки добавляют новый уровень сложности: в отличие от пиратов, которые стремятся монетизировать контент через нелегальное распространение, хакеры могут преследовать иные цели — от вымогательства до саботажа инфраструктуры. Например, говорить, что в их распоряжении есть интимные видеозаписи жертвы (ещё лучше, если это CEO известной компании) и вымогать крупную сумму денег. Или взломать Rutube и саботировать инфраструктуру сервиса, как это было в 2022 году. Киберугрозы также могут включать DDoS-атаки, эксплуатацию уязвимостей в API или кражу пользовательских данных, что приводит к последствиям:

• Коммерческие риски: снижение выручки, подрыв бизнес-модели, что особенно актуально для премиальных и эксклюзивных материалов и сервисов.
• Правовые последствия: иски от правообладателей или штрафы за утечку персональных данных.
• Репутационные издержки: утрата доверия пользователей и партнеров, особенно если платформа позиционируется как безопасная.

Важно понимать, что защита должна учитывать не только копирование контента, но и целостность всей экосистемы — от API до клиентского плеера.

Многоуровневая защита: из чего она состоит

Механизмы пиратства и кибератак многогранны: злоумышленники используют разные методы, от простого скачивания до сложных схем обхода защиты. Поэтому стратегия должна включать несколько уровней.

1. Защита от несанкционированного доступа и копирования

Первый барьер — ограниченный доступ к контенту:

• Шифрование: AES-128 или AES-256 для защиты видеопотоков.
• Авторизация: токены JWT или OAuth для проверки прав пользователей.
• Системы управления цифровыми правами (DRM) устанавливают ограничения на воспроизведение контента — по устройствам, географическому положению и времени. Если отсутствует соответствующий ключ шифрования, выдаваемый лицензионным сервером, воспроизведение может быть заблокировано.

2. Пиратские копии

Даже если контент уже украден, важно оперативно выявить его нелегальное распространение. Технологии AI-мониторинга и цифровой форензики сканируют даркнет, соцсети и пиратские сайты. ИИ распознает видео по фрагментам, даже если оно перекодировано.

Технический нюанс: ИИ-системы используют сверточные нейросети (CNN) для анализа визуальных и аудиохарактеристик. Разработчикам стоит интегрировать такие решения через API, например, от Google Cloud Vision или специализированных вендоров.

3. Отслеживание источника утечки

Ключевой вопрос при утечке: кто и как получил доступ к контенту? Водяные знаки и «цифровые отпечатки» (fingerprinting) позволяют встраивать уникальные идентификаторы в видеофайлы. Fingerprinting, например, создает хэши аудио- и видеофрагментов для поиска копий.

Технический нюанс: сессионные водяные знаки добавляют задержку в стриминг. Проблема решается предварительной обработкой сегментов для HLS/DASH-протоколов.

4. Противодействие пиратским ресурсам

Удалить копии после обнаружения можно через:

• Обращение в РКН и к платформе, где появилось видео. Если реакции от платформы нет, РКН или провайдер хостинга заблокируют сайт по запросу.
• Автоматическую блокировку ссылок через API хостингов.
• Юридическое давление на пиратские платформы.

Технологии против пиратов: DRM, ИИ, водяные знаки и «цифровые отпечатки»

Современные решения для защиты видео объединяют несколько технологий, каждая из которых решает определенные задачи. Рассмотрим их подробнее.

DRM (управление цифровыми правами)

DRM-системы шифруют контент и управляют лицензиями на доступ к видеопотоку. DRM защищает контент на уровне клиента и сервера, предотвращая неавторизованный доступ и перехват. Такие системы интегрируются в плееры и платформы и показывают контент только авторизованным пользователям.

DRM-системы опираются на три ключевых компонента:

1. Лицензионный сервер отвечает за выдачу и проверку ключей расшифровки контента.
2. Клиентская часть DRM (Content Decryption Module, CDM) интегрирована в браузер/плеер.
3. Упаковщик контента (Packager) подготавливает видеопотоки для защищенной доставки.

Но есть техническая проблема совместимости — DRM-системы неоднородны по платформам:

• Widevine (Android, Chrome, Firefox, Opera);
• PlayReady (Windows, Xbox, некоторые Smart TV);
• FairPlay (экосистема Apple);
• WisePlay DRM (экосистема Huawei).

Решение — мульти-DRM упаковщики, поддерживающие все стандарты через единую интеграцию. Используйте библиотеки, например, Shaka Player, для упрощенной интеграции мульти-DRM.

Водяные знаки (Digital Watermarking)

Водяные знаки — метки, встроенные в видео, которые содержат информацию о правообладателе или пользователе, что помогает отследить источник утечки, если контент появляется на пиратских ресурсах. Они могут быть видимыми или незаметными: первые отпугивают пиратов, а вторые помогают отследить источник утечки.

Отслеживание «цифровых следов» (Fingerprinting)

В отличие от водяных знаков, которые внедряются в контент, технология фингерпринтинга генерирует хэши фрагментов видео и аудио для поиска копий в сети без модификации самих файлов. Это позволяет находить пиратские копии, даже если они были изменены (например, перекодированы или обрезаны). Работает это так: система создает «цифровой отпечаток» оригинального видео и затем автоматически сканирует интернет в поисках материалов с похожими характеристиками.

Например, YouTube Content ID верифицирует права на материалы и затем в автоматическом режиме отслеживает загрузки на платформе. Когда пользователь загружает видео, Content ID сравнивает его с базой отпечатков, и, если обнаруживает совпадение с материалами, может заблокировать ролик за нарушение авторских прав, перенаправить доход от рекламы правообладателю или уведомить владельца контента.

Цифровая форензика

Цифровая форензика — это сбор и исследование данных для раскрытия цифровых преступлений. Проще говоря, цифровая криминалистика. Специалисты-форензики анализируют источники пиратских копий через анализ метаданных, характеристик кодирования, артефактов сжатия и других цифровых «улик», чтобы выявить, как и когда произошла утечка. Например, уникальные артефакты в H.264-кодеке могут указать на устройство, с которого записали экран.

AI-мониторинг

Искусственный интеллект ускоряет поиск пиратских копий через анализ огромных массивов данных в интернете с помощью компьютерного зрения и машинного обучения. ИИ-системы мониторинга используют сверточные нейросети (CNN), которые способны распознавать визуальные образы и алгоритмы, такие как Mel-Frequency Cepstral Coefficients (MFCC) (используется для распознавания речи). С их помощью можно находить копии даже при перекодировании или обрезке.

Уже существует множество готовых решений на основе ИИ. Например, Red Points постоянно мониторит соцсети, видеоплатформы и пиратские сайты с применением машинного обучения, компьютерного зрения и распознавания изображений, а при обнаружении совпадений автоматически отправляет запросы на удаление через API. Piracymeter и Bytescare анализируют списки доменов, поисковые результаты Google и торрент-трекеров. Bytescare также может находить пиратские копии ПО.

Такие решения быстрее ручного мониторинга и больше подходят для больших каталогов видео. Они могут работать автономно или подключаться через REST API, но требуют настройки для снижения ложных срабатываний.

Пример комплексного подхода к защите видео

Для защиты видеоконтента компании всё чаще используют решения, которые сочетают несколько технологий. Например, разработчик систем безопасности GS Labs совместно с видеохостингом Kinescope создал систему, интегрирующую DRM, водяные знаки и цифровую форензику. Она позволяет шифровать контент, встраивать уникальные идентификаторы для отслеживания утечек и анализировать источники пиратских копий. Такое решение работает как в облаке, что даёт стриминговым платформам масштабируемость, так и локально, что важно для компаний с собственной инфраструктурой.

Модели внедрения технологий защиты видеоконтента

Выбор модели внедрения зависит от потребностей компании, ее бюджета и технических возможностей. Рассмотрим три основные модели.

Локальные решения (on-premises)

Локальные системы устанавливаются на серверах компании, что подходит для крупных медиакомпаний с собственной инфраструктурой. Их преимущества — полный контроль над данными и независимость от внешних провайдеров. Из минусов — высокие затраты на оборудование, обслуживание и персонал.

Облачные/SaaS-решения

Облачные платформы минимизируют затраты, предлагают гибкость и масштабируемость. Они идеальны для стартапов и онлайн-кинотеатров, которые не хотят инвестировать в собственные серверы. SaaS-модель позволяет быстро внедрить защиту, минимизируя затраты на инфраструктуру.

Совет: используйте облачные решения с SOC 2 или ISO 27001 сертификацией для защиты данных.

Гибридные модели

Гибридные решения сочетают локальные и облачные компоненты. Например, компания может хранить критически важные данные на своих серверах, а для мониторинга и аналитики использовать облачные сервисы. Такая модель обеспечивает баланс между контролем и масштабируемостью, но требует внимательной интеграции.

Совет: используйте Kubernetes для оркестрации гибридных систем и минимизации downtime.

Что стоит сделать прямо сейчас, чтобы защитить видеоконтент

1. Подобрать постоянное комплексное решение: исследуйте вендоров и технологии на рынке.
2. Провести аудит инфраструктуры: проверьте уязвимости в CDN, API и плеере, например, с помощью OWASP ZAP.
3. Интегрировать DRM: выберите мульти-DRM решение, совместимое с Widevine, PlayReady и FairPlay.
4. Внедрить мониторинг: подключите ИИ через API для поиска копий.
5. Провести пентесты в BurpSuite, симулируя пиратские атаки и взлом.
6. Отработать реакцию на инциденты.

Если вы тоже работаете с видео и хотите усилить его безопасность, начните с анализа текущих процессов: какие технологии уже задействованы, где есть пробелы и какие решения помогут закрыть их в первую очередь. Такой системный подход создаст барьер против киберугроз, нелегального копирования и распространения видеоконтента.

Кто такие этичные хакеры, чем занимаются, сколько зарабатывают, и как попасть в эту сферу — разбираемся в статье вместе с экспертом.

Чем этичные хакеры отличаются от злоумышленников

Белые хакеры (white hat) — это специалисты, которые взламывают систему по согласованию с владельцем. Белых хакеров еще называют этичными хакерами.

Кроме этичных хакеров, существуют серые (grey hat) и черные (black hat) хакеры. Первые — ищут уязвимости без согласия владельца. Как правило, вреда не причиняют, но нарушают закон. Вторые — классические злодеи. Взламывают сайты, системы и аккаунты ради денег, шантажа или просто хаоса.

Зачем компании устраивают легальные взломы собственных систем

Количество кибератак стабильно растет примерно на 22% в год, а вместе с ними растут и убытки. По прогнозам, к 2027 году суммарный ущерб от действий киберпреступников достигнет $23 трлн.

Есть более разумный и выгодный вариант: находить уязвимости самим, а не ждать, пока это сделают злоумышленники. Даже самый дорогой аудит обойдется дешевле, чем потом разгребать последствия взлома.

Возникает вопрос: почему собственные специалисты по безопасности не проводят такие тесты?

Во-первых, содержать внутреннюю команду безопасности — удовольствие не из дешевых, такую роскошь могут позволить себе только крупные компании. Во-вторых, со временем даже у профессионалов замыливается глаз, и какие-то уязвимости просто теряются из виду. Вот почему свежий взгляд со стороны зачастую оказывается куда эффективнее.

Что ищут белые хакеры: какие уязвимости считаются ценными

Этичные хакеры ищут уязвимости — ошибки в системе, через которые можно навредить компании. Например, украсть данные, сломать работу сервиса или полностью взять систему под контроль.

Время на поиск сильно зависит от задачи: иногда удается найти проблему за пару минут, а бывает, уходит несколько недель или даже месяцев.

Ценность уязвимости оценивают по двум основным критериям:

• Серьезность последствий — насколько сильно баг может навредить системе, данным или пользователям.
• Легкость эксплуатации — насколько просто злоумышленнику использовать уязвимость на практике.

Вот примеры самых ценных уловов:

Как этичные хакеры ищут баги

Поиск уязвимостей — это четкий и продуманный процесс с конкретным планом:

Шаг 1. Определение цели и границ — Scope Definition

На этом этапе уточняют, что именно будут тестировать: сайт, внутреннюю сеть, отдельные приложения или всю инфраструктуру. Важно четко обозначить рамки — без согласия ломать все подряд нельзя. Сюда же входят юридические и технические ограничения: например, нельзя выводить систему из строя.

Шаг 2. Сбор информации — Reconnaissance

Специалисты собирают максимум данных о системе: версии ПО, открытые порты, настройки безопасности. Обычно используют сразу несколько подходов: автоматические сканеры вроде Nmap или Shodan показывают открытые порты, версии ПО и доступные сервисы, а ручной анализ помогает изучить настройки сети, конфигурации и общедоступные данные. Иногда дополнительно пробуют аккуратно выведать информацию у сотрудников — методы похожи на социальную инженерию, но с благими намерениями.

Шаг 3. Поиск уязвимостей — Vulnerability Discovery

Включает два основных метода: автоматический и ручной. Для автоматического поиска применяют специализированные сканеры (например, Nessus, OpenVAS, Burp Suite Scanner), которые быстро проверяют систему на наличие известных уязвимостей — по базам CVE, шаблонам и сигнатурам.

Ручной метод используют там, где автоматика не справляется. Специалисты вручную анализируют логику работы приложения, архитектуру системы и нестандартные сценарии, проверяют ложные срабатывания (false positives) и пропущенные уязвимости (false negatives), которые возможны при автоматическом сканировании.

Для тестирования, как правило, используют микс готового и собственного инструментария. Большая часть — это публичные решения. Но под конкретную задачу почти всегда что-то дорабатывают. Универсальных инструментов нет, поэтому часто приходится дописывать скрипты, адаптировать код под особенности инфраструктуры.

Шаг 4. Анализ уязвимостей — Vulnerability Analysis

Выявленные баги проверяют и классифицируют: отделяют реальные угрозы от ложных срабатываний и малозначительных ошибок. Оценивают, может ли злоумышленник реально воспользоваться уязвимостью. Например, чтобы получить доступ к данным или обойти авторизацию.

Шаг 5. Оценка рисков — Risk Assessment

Помогает понять две ключевые вещи: насколько просто злоумышленнику воспользоваться уязвимостью и какими могут быть последствия для компании — от финансовых потерь до репутационного урона. Часто ориентируются на шкалу CVSS — она показывает, насколько баг критичный.

Шаг 6. Устранение и повторная проверка — Remediation

После исправления проверяют еще раз: все ли закрыто, не появилось ли чего нового.

Шаг 7. Отчет — Reporting

Составляют финальный документ: что нашли, как проверяли и что рекомендовано исправить. Это не формальность — документ помогает не изобретать велосипед и не наступать на одни и те же грабли в будущем.

В каких форматах работают этичные хакеры и чем они отличаются

Этичные хакеры работают в разных форматах — чаще всего это пентесты, red teaming и баг-баунти. У каждого подхода своя задача, уровень погружения и правила игры.

Пентест — специалисты по согласованию с компанией проверяют систему на уязвимости. Их задача — действовать как потенциальные злоумышленники, но все строго по сценарию: сначала обсуждают условия, а потом уже моделируют атаки. Результаты остаются внутри компании и нигде не публикуются. Пентесты обычно проводят командой: объемы инфраструктур большие, и для качественной работы нужна специализация — кто-то занимается вебом, кто-то внутренними системами, кто-то фишингом и доставкой, а также настройкой инфраструктуры для разведки и атаки.

Red teaming — метод проверки безопасности, при котором команда специалистов имитирует действия злоумышленника. В отличие от пентеста, где есть четко заданный сценарий, здесь в ход идет все: фишинг, взлом, обход охраны и даже попытки попасть в офис под видом курьера. Работают тоже командой, потому что задача комплексная и требует распределения ролей. Цель — проверить, как в реальности сработают сотрудники и ИБ-команда: заметят ли атаку, среагируют ли вовремя и смогут ли остановить «врага» до того, как он доберется до самого ценного.

Баг-баунти — открытый формат тестирования, в котором участвуют независимые исследователи со всего мира. Компании заранее задают правила: какие разделы системы можно проверять, за какие находки полагается вознаграждение и на каких условиях. В отличие от пентеста и red teaming, здесь чаще работают в одиночку.

Ниже сводная таблица, чтобы было проще разобраться, чем отличаются форматы.

Какие баг-баунти программы самые популярные

На рынке баг-баунти, как и в любой индустрии, есть свои топовые площадки, куда идут и компании, и исследователи.

HackerOne — один из крупнейших международных проектов с тысячами программ и миллионами долларов выплат. Здесь все серьезно: рейтинг хакеров, внутренняя соцсеть, строгие правила этики, открытые и закрытые задания. С 2022 не делает выплаты российским исследователям.

Bugcrowd — хороший вариант для тех, кто предпочитает закрытые тесты и долгосрочную работу с конкретными компаниями. Платформа делает упор на корпоративных клиентов. В настоящее время выплата вознаграждений российским хакерам заморожена.

Synack — площадка для проверенных специалистов. Сначала строгий отбор, потом — работа с государственными заказами и проектами для оборонных структур. Здесь важна не только эффективность, но и безопасность всех участников.

Intigriti — европейская платформа с хорошей репутацией и вниманием к качеству. Количество клиентов и исследователей здесь стабильно растет.

В России рынок баг-баунти тоже развивается. Самые популярные платформы — Standoff 365 Bug Bounty от Positive Technologies и BI.ZONE Bug Bounty. Здесь размещаются программы крупных компаний и государственных организаций: VK, Avito, Ozon, Госуслуг, «Одноклассников» и других.

Сколько зарабатывают этичные хакеры

Сколько можно заработать, ломая системы легально — вопрос, который интересует многих. И тут стоит сказать честно: в России с этим пока без золотых гор.

Зарплаты стартуют от 535 900 рублей в год и могут доходить до 1 621 400. Медианная планка — около 1 035 500 рублей.

Как и в любой профессии, доход зависит от опыта, компании и региона. Специалисты с 5–10 годами практики получают в среднем 1 104 400 рублей в год. Ветераны с 20-летним стажем выходят на уровень до 1 560 800 рублей.

Но зарплатой дело редко ограничивается. Многие участвуют в баг-баунти программах — там за найденную уязвимость можно получить от пары сотен до десятков тысяч долларов.

В баг-баунти программах можно прилично заработать. Вплоть до сотен тысяч долларов. Самая большая выплата — $605 000 от Google за цепочку уязвимостей в Андроид. Среднее вознаграждение составляет $500-2500.

Но и здесь есть нюансы. Во-первых, платят не за все баги подряд. На мелких ошибках или сбоях системы, не связанных напрямую с безопасностью и угрозой для компании, заработать не получится.

Во-вторых, конфликты и затяжки с выплатами на баг-баунти платформах — обычное дело. По данным опросов, каждый четвертый исследователь сталкивался с отказом или затягиванием вознаграждения.

Так, в 2025 году багхантер Spectra Finance сообщил о критической уязвимости, но $40 000 так и не получил — организаторы сослались на внутренние условия программы. Похожая история была в 2024 году с командой Trust Security: они нашли опасный баг в блокчейне, но вместо обещанной награды получили временную блокировку на платформе.

Как составить отчет, чтобы его приняли? Читайте описание программы, какие есть требования к отчету. Смотрите раскрытые отчеты других участников платформы по этой компании. Если отчет был принят — значит, формат подходящий.

Как стать белым хакером и что для этого нужно

Начать стоит с изучения кибербезопасности. Чтобы разобраться, как работают атаки и какие методы защиты используют, подойдут базовые курсы:

• Полный курс по этичному взлому — от начального до продвинутого уровня
• Тестирование на проникновение веб-сайта, Cisco CCNA 200-301 (ч.1)
• Cisco CCNA 200-301 (ч.2)
• Comp TIA A+/Helpdesk/IT Essentials
• Linux Essentials
• Курс по SQL для начинающих

Дальше — практика. Отлично подойдут платформы вроде PortSwigger Web Security, Hack The Box или TryHackMe. Там легально тренируются искать уязвимости и взламывать виртуальные машины — без риска для чужих серверов и собственной репутации.

Знание языков программирования — обязательный минимум. Не знаете, какой язык программирования учить — учите Python. Python — универсальный и отлично подходит, чтобы начать.

Кроме этого, имеет смысл читать хорошие книги. Джентльменский набор для новичка — книги Спарка Флоу: «Занимайся хакингом с ловкостью порнозвезды», «Занимайся хакингом с ловкостью Бога», «Занимайся расследованием киберпреступлений как рок-звезда», «Занимайся хакингом как легенда».

Когда базовые навыки в кармане — присоединяйтесь к CTF-соревнованиям (Capture The Flag). Это такие хакерские игры, где решают задачи по безопасности. Хороший старт — проект CTFtime.

Не забывайте про общение. Вступайте в тематические форумы, чаты и сообщества. В Telegram полно групп для новичков и матерых профи. Например, ZeroDay, Серверная Админа, Не хакинг, а ИБ, Точка входа в программирование, Типичный программист.

Что в итоге

Взлом по согласию — давно не сценарий для фильма, а обычная профессия. Этичные хакеры ищут уязвимости, помогают компаниям их закрывать и получают за это вознаграждение.

Сколько можно заработать — зависит от опыта и настойчивости. Войти в профессию можно по-разному: учиться самому, проходить курсы или брать сертификаты. Главное — развиваться и прокачивать скиллы.

Так что, если когда-то хотелось ломать системы, но без риска для свободы — профессия белого хакера как раз тот вариант. Начать никогда не поздно.

В начале 2000-х Интернет напоминал неосвоенную территорию, где каждый шаг мог привести как к неожиданным открытиям, так и к неприятным сюрпризам. Это было время сложных подключений через модем и загрузок картинок по частям. В цифровом пространстве без правил пользователи сталкивались с угрозами, которые сегодня кажутся наивными, но тогда вызывали настоящую панику.

Вирусы распространялись с пугающей скоростью, баннеры с кричащими заголовками вроде «Ты 100-й посетитель! Получи приз!» заманивали доверчивых юзеров, а трояны прятались в самых неожиданных местах — от пиратских игр до якобы «важных» документов. Еще не существовало встроенных защитников системы, двухфакторной аутентификации или удобных менеджеров паролей. Антивирусы только начинали развиваться, а фаерволы казались сложными и загадочными инструментами, которые нужно было правильно настроить, чтобы не заблокировать нужные программы.

Перед вами — подробный разбор главных цифровых угроз 2000-х: от масштабных вирусных эпидемий вроде ILOVEYOU до абсурдных, но популярных мифов о «вирусах на дискетах». Вспомним, как мошенники зарабатывали на доверчивости пользователей, почему переадресации сводили с ума даже опытных юзеров и как первые защитные программы пытались (не всегда успешно) противостоять угрозам.

Вирусы и черви: цифровые эпидемии, которые парализовали сети

На заре 2000-х первые обитатели столкнулись с неизвестной доселе опасностью — цифровой угрозой. Вирусы и сетевые черви заражали компьютеры без всяких препятствий, используя наивность пользователей и дыры в защите операционных систем.

В отличие от современных киберугроз, многие из этих «эпидемий» были не столько продуманными атаками, сколько следствием экспериментального любопытства первых хакеров. Но масштабы их разрушений поражали: целые корпорации останавливали работу, правительственные учреждения отключали почтовые серверы, а обычные пользователи в панике наблюдали, как их файлы исчезают один за другим. Эти цифровые катастрофы стали важными уроками, которые сформировали современные подходы к кибербезопасности.

ILOVEYOU: Вирус безграничной «любви»

4 мая 2000 года тысячи пользователей по всему миру получили письмо с безобидной, на первый взгляд, темой «ILOVEYOU» и вложением с незамысловатым текстом:

«LOVE-LETTER-FOR-YOU.TXT.vbs».

Открыв его, юзеры активировали скрипт, который:

• перезаписывал файлы с расширениями .jpg, .mp3, .doc, добавляя к ним свою копию;
• рассылал себя по всем контактам в Outlook;
• похищал пароли и данные автозаполнения форм.

За сутки вирус заразил около 10% всех компьютеров с выходом в сеть. Ущерб оценили в $10-15 млрд, а правительства и корпорации (включая Пентагон и BBC) были вынуждены отключить почтовые серверы.

Создатели вируса — филиппинские студенты — избежали наказания: в стране тогда не было законов о киберпреступлениях.

Nimda: Червяк, который «жил» везде

18 сентября 2001 года, всего через неделю после атак 11 сентября, появился червь Nimda (админ наоборот). Он использовал четыре способа распространения:

1. Через email с зараженными вложениями.
2. Через уязвимости в серверах Microsoft IIS.
3. Через общие сетевые папки.
4. Через JavaScript на зараженных сайтах.

Nimda не только замедлял работу сетей, но и открывал бэкдоры для хакеров. Интересно, что его код содержал фрагменты более ранних вирусов — Code Red и Sadmind, что породило теории о связи с реальными атаками.

Дискетная паника

В конце 1990-х и начале 2000-х пользователи хранили и передавали файлы на дискетах — и вместе с ними распространялись мифы:

• Вирус, который «сжигает» монитор — легенда о том, что специальная программа может испортить экран, меняя частоту развертки. На деле мониторы с ЭЛТ просто отключались при неверных настройках.
• Вирусы-невидимки — слухи о вредоносных программах, которые невозможно обнаружить. В реальности антивирусы того времени действительно пропускали часть угроз, но не из-за «невидимости», а из-за слабых сигнатур.

Эти страхи привели к появлению «антивирусных ритуалов». Некоторые пользователи вставляли дискету и сразу извлекали ее, полагая, что если система не «зависнет» — значит, вирусов нет. На самом деле это было бесполезно, но отражало уровень цифровой паранойи.

Другие заклеивали отверстие защиты от записи скотчем, даже на новых дискетах — «на всякий случай». Бытовало поверье, что если подержать дискету рядом с магнитом, это «уничтожит возможные вирусы» (хотя на практике стирались и нужные данные).

Эти странные методы показывают, насколько мало обычные пользователи понимали принципы работы вирусов в докомпьютерную эпоху. Реальную защиту могли обеспечить только антивирусные сканеры вроде Aidstest или Dr.Web, но даже они требовали ручного запуска и часто пропускали новые угрозы.

Баннеры и скам: как нас разводили на «халяву»

В эпоху, когда интернет-реклама только училась быть ненавязчивой, баннеры превратились в реальное оружие массового обмана. Яркие всплывающие окна с заманчивыми предложениями наплывали на экраны один за другим, а их создатели соревновались в изобретательности, придумывая все новые способы выманить у пользователей деньги или личные данные.

Это было время, когда доверчивость новичков сети становились золотой жилой для мошенников, а понятие «кликбейт» еще не вошло в лексикон, хотя сама практика уже процветала. В ход шло все: от фальшивых выигрышей до поддельных системных уведомлений, заставляющих пользователей совершать роковые клики.

«Ты 1 000 000-й посетитель!» — кликни и проиграешь

Один из самых распространенных видов мошенничества — баннеры с сообщениями о выигрыше телефонов, PlayStation или $1000. После клика пользователь попадал на сайт, где требовалось:

• ввести номер телефона, после чего приходила подписка на платные сервисы;
• отправить SMS (стоимостью $5-10);
• установить «проверочную программу» (это мог быть троян).

Такие схемы приносили мошенникам домиллионные прибыли в месяц, а баннерные сети вроде ClickBooth и AdvertPRO зарабатывали на показах.

Бесконечные переадресации: когда «Назад» не работало

Попасть на нужный сайт в 2000-х было не всегда просто. После клика по ссылке браузер мог 10-15 раз перебрасывать пользователя через рекламные страницы.

Как это работало:

1. Пользователь искал, например, ключ для игры.
2. Находил форум с «прямой ссылкой».
3. Кликал — его перекидывало на сайт с рекламой.
4. Через 5-10 секунд — новое перенаправление.
5. В итоге он либо попадал на фишинговый сайт, либо получал вирус.

Бороться с этим помогали Hosts-файлы (куда вручную добавляли списки вредоносных доменов) и первые версии AdBlock.

Трояны и черви: как игры и музыка становились оружием

В погоне за бесплатным контентом пользователи 2000-х часто платили куда большую цену, чем предполагали. Пиратские версии популярных игр и музыкальных треков превратились в идеальную среду для распространения вредоносного ПО. Хакеры быстро смекнули: что может быть эффективнее, чем замаскировать троян под долгожданную новинку?

Особенно уязвимыми оказались файлообменные сети вроде Kazaa и LimeWire, где под видом желанного контента распространялись десятки модифицированных исполняемых файлов. В отличие от современных угроз, многие из этих вирусов не стремились быть незаметными — их создатели рассчитывали на полное отсутствие защиты у жертв.

Вирусы в пиратских играх и MP3: цифровая лотерея с опасным призом

В середине 2000-х пиратский контент превратился в идеальную среду для распространения вредоносного ПО. Пользователи, желавшие сэкономить на играх и музыке, часто расплачивались куда более высокой ценой — потерей данных, денег и даже контроля над своими устройствами.

Технические механизмы заражения:

1. Подмена исполняемых файлов. Пиратские сборки игр часто содержали модифицированные EXE-файлы, которые при запуске устанавливали бэкдоры (например, Backdoor.Win32.Hupigon), встраивали кейлоггеры для кражи паролей. Фейковые патчи и «кряки», включали защиту Windows Defender и добавляли исключения в брандмауэры для скрытого доступа.
2. В MP3-файлах использовалось переполнение буфера в Winamp (CVE-2006-0478) — при воспроизведении трека вирус получал права на запись в системные директории. Специально сформированные ID3-теги вызывали ошибки в Windows Media Player.

В 2006 году, под видом новых треков Rihanna и Eminem, распространялся вирус Worm.Nopir.B, который удалял все MP3-файлы на диске, подменял их на 30-секундные записи с рекламой пиратских сайтов, добавлял в автозагрузку скрипт для кражи данных из браузеров.

Армии цифровых зомби: как ботнеты захватывали интернет

В середине 2000-х хакеры осознали: один зараженный компьютер — это проблема, а тысячи — уже бизнес-модель. Так появились ботнеты — сети из «зомбированных» устройств, которые выполняли команды злоумышленников, пока владельцы спокойно проверяли почту или играли в Counter-Strike.

Технически ботнет напоминал армию роботов. Вредоносная программа (бот) проникала на компьютер через:

• фишинговые письма с вложениями вроде «invoice.doc.exe»;
• уязвимости в Windows XP — например, через сервис RPC;
• пиринговые сети, где под видом треков или игр распространялись трояны

После заражения бот подключался к управляющему серверу через IRC-канал или HTTP-запросы. Оператор мог отдавать команды тысячам машин одновременно — от рассылки спама до атаки на сайты.

В январе 2007 года пользователи начали получать письма с заголовками вроде «230 dead as storm batters Europe». Вложение (файл «video.exe») устанавливало бота, который:

• крал данные через кейлоггер;
• рассылал до 500 млн писем в день (20% мирового спама);
• создавал P2P-сеть для устойчивости — даже после закрытия IRC-серверов ботнет работал.

К 2008 году Storm Worm контролировал 1 млн компьютеров. Его особенность — самообновляемый код: антивирусы не успевали добавлять сигнатуры.

В ноябре 2008 года Conficker использовал уязвимость в службе Windows Server. Он генерировал 50 тыс. доменов в день для связи с C&C-серверами (чтобы их нельзя было заблокировать, отключал антивирусы и Windows Update, заразив в итоге 9 млн ПК, включая системы ВМФ Франции и NHS в Британии.

На борьбу с Conficker выделили спецгруппу (Conficker Working Group), но полностью ликвидировать вирус не удалось — некоторые зараженные машины оставались активны до 2015 года.

Почему ботнеты 2000-х были уникальны:

• Масштаб. Ботнет Rustock в 2010 году рассылал 30 млрд писем в день — больше, чем легальные сервисы вроде Mailchimp.
• Простота управления. Для запуска DDoS-атаки хакеру нужно было ввести одну команду в IRC.
• Экономика. Аренда ботнета стоила $200-500 в день, а доход от спама достигал $2 млн в месяц.

Современные ботнеты стали сложнее (используют Tor и шифрование), но принцип остался тем же: чем больше доверчивых пользователей — тем мощнее армия зомби. Разница лишь в том, что теперь вместо ПК заражают умные холодильники.

Первые фаерволы и антивирусы: защита на ощупь

В начале 2000-х защита компьютера напоминала стрельбу по танкам из рогатки — инструменты были примитивными, а угрозы становились все изощреннее. Пользователям приходилось осваивать сложные настройки фаерволов и разбираться в тонкостях работы антивирусов, которые сами по себе могли превратить мощный компьютер в подобие старого калькулятора.

В то время каждый клик по кнопке «Разрешить» или «Запретить» в фаерволе мог привести либо к повышению безопасности системы, либо к полной потере работоспособности интернета. Приходилось учиться на собственных ошибках — часто болезненных и дорогостоящих.

ZoneAlarm и «страшные» предупреждения

Один из первых массовых фаерволов — ZoneAlarm — пугал пользователей сообщениями вроде «Программа пытается выйти в Интернет!». Многие в панике блокировали даже системные процессы, ломая Windows.

Особенно проблемными были ситуации, когда фаервол отображал предупреждения только с идентификатором процесса (PID) или пометкой «Unknown Process» — это происходило при смене учетной записи с администратора на обычного пользователя в Windows XP. TrueVector — сервис мониторинга интернет-доступа ZoneAlarm — не всегда корректно загружался без прав администратора, из-за чего фаервол терял информацию о программах и выдавал пугающие, но бесполезные уведомления.

Пользователи часто сталкивались с такой проблемой: чтобы разобраться, какая программа пытается выйти в сеть, нужно было лезть в диспетчер задач и сопоставлять PID с запущенными процессами. При этом ошибки в работе ZoneAlarm иногда приводили к обратному эффекту — фаервол пропускал реальные угрозы, зато блокировал системные файлы Windows, принимая их за вирусы. В результате вместо защиты получался цифровой хаос: запуская новую программу, пользователь сталкивался с непредсказуемыми последствиями.

Антивирусы — защита с непредсказуемыми последствиями

Dr.Web, Антивирус Касперского и Norton образца 2000-х боролись с вирусами, как могли, но часто замедляли систему до состояния «кирпича». Обновления приходилось скачивать вручную через dial-up-соединение, которое могло оборваться на 99% загрузки, заставляя начинать процесс заново. Базы вирусов устаревали буквально за часы: пока пользователь ждал обновления, его компьютер уже мог быть заражен новой модификацией червя.

Особенно проблемными были «тяжеловесы» вроде Norton Antivirus 2005, которые требовали до 512 МБ оперативной памяти — непозволительная роскошь для типичного ПК тех лет с его 256-512 МБ RAM. При сканировании системы антивирус мог занимать до 90% ресурсов процессора, превращая компьютер в слайд-проектор. Пользователи шутили, что проще переустановить Windows, чем дождаться завершения полной проверки.

Некоторые антивирусы грешили ложными срабатываниями — например, Dr.Web в 2007 году регулярно определял системные файлы Windows XP как вирус «Win32.HLLW.Shadow» и предлагал их удалить. После такого «лечения» операционная система часто переставала загружаться. При этом реальные угрозы вроде руткитов антивирусы пропускали: по данным tests AV-TEST за 2008 год, даже лучшие версии обнаруживали лишь 70-80% новых вредоносных программ.

Эпилог: Что стало с угрозами 2000-х? Эволюция цифровых опасностей

Два десятилетия назад интернет-угрозы казались примитивными: вирусы распространялись через почту, баннеры обещали несбыточные выигрыши, а трояны воровали пароли от ICQ. Сегодня эти опасности не исчезли — они адаптировались к новым технологиям, став сложнее, масштабнее и изощреннее.

Фишинг, который раньше ограничивался поддельными страницами «одноклассников», теперь процветает в мессенджерах и соцсетях. Мошенники создают фейковые чат-боты, имитируют службы поддержки банков и даже используют дипфейки, чтобы обмануть жертв. В 2024 году 68% успешных атак на корпоративные данные начинались именно с фишинга в Telegram или WhatsApp.

Троянские программы тоже не стоят на месте. Если в 2000-х они крали пароли от почты, то сегодня криптоджекинг — скрытый майнинг на зараженных устройствах — приносит преступникам $2,3 млрд в год. Вредоносное ПО научилось обходить двухфакторную аутентификацию, а некоторые трояны умеют подменять транзакции в мобильных банках прямо во время подтверждения платежа.

Ботнеты 2000-х, состоявшие из тысяч зараженных ПК, теперь включают умные холодильники, камеры наблюдения и даже медицинские устройства. Управляют ими через зашифрованные каналы в Tor или Telegram, а для атак используют искусственный интеллект. Например, в 2023 году ботнет Mirai 2.0, состоявший из 600 тыс. IoT-устройств, на сутки парализовал работу облачного сервиса Google Cloud CDN, отправляя 400 млн запросов в секунду.

Но главная константа — человеческая доверчивость. Современные мошенники по-прежнему играют на жадности («Вы выиграли iPhone 15!») и страхе («Ваш компьютер заражен!»). Разница лишь в том, что вместо всплывающих баннеров они используют таргетированную рекламу в соцсетях, а вместо звонков «из техподдержки» — голосовые дипфейки.

Защита тоже эволюционировала: антивирусы научились предсказывать атаки с помощью ИИ, а фаерволы анализируют трафик в реальном времени. Однако, как и 20 лет назад, лучшая защита — критическое мышление. Прежде чем кликнуть на ссылку или ввести данные, стоит задать себе вопрос: «А не пытается ли кто-то заскамить меня, как когда-то — первопроходцев интернета?»

Пока вирусы нам не грозят, можно и посмеяться. Заглядывайте в наш тг-канал!

Больше новостей в нашем тг-канале Представляешь

Как работает схема

Схема построена на доверии: злоумышленники размещают фальшивые вакансии на популярных платформах объявлений, в Telegram-чатах и соцсетях, представляясь сотрудниками известных компаний. Они обещают оплату от 3000 до 5000 рублей в час и просят кандидатов указать модель телефона, возраст, ФИО и банковские реквизиты — якобы для выплаты зарплаты.

Дальнейшее общение переводится в мессенджеры Telegram или WhatsApp. Под видом «тестового задания» жертве присылают APK-файл. Приложение содержит троян удалённого доступа (RAT), который получает полный контроль над устройством: от перехвата SMS до управления банковскими приложениями.

Чтобы убедить пользователя установить вредоносный файл, мошенники заявляют, что антивирус может ложно определить его как вредоносный, и просят выдать все разрешения. Также якобы «для постановки в очередь тестировщиков» жертве предлагают ввести код и подождать 30 минут — время, необходимое преступникам для кражи денег, пока пользователь не заметил подозрительные списания.

По словам Марии Синицыной, старшего аналитика департамента Digital Risk Protection F6, атаки ориентированы на новичков: студентов, джунов, людей без опыта, готовых использовать личный смартфон для работы. «Злоумышленники сразу отсеивают профессионалов с несколькими тестовыми устройствами — с ними схема не работает», — поясняет она.

Эксперты призывают никогда не устанавливать APK-файлы из непроверенных источников и не вводить личные данные на подозрительных условиях — особенно, если речь идёт о «работе мечты» с высокой оплатой за час.

Атака занимала от 15 секунд до 20 минут в зависимости от страны.

Как работала атака

Хакер под псевдонимом BruteCat обнаружил, что форма восстановления Google работает даже с отключенным JavaScript. Обычно такие формы требуют сложную защиту от ботов через JavaScript-код, но эта страница почему-то была доступна.

Уязвимость позволяла исследователям брутфорсить номер телефона для восстановления любого аккаунта Google, просто зная имя профиля и легко извлекаемый частичный номер телефона.

Злоумышленник мог использовать эту информацию для SIM-свопинга и фишинговых атак. Процесс атаки состоял из трех этапов:

• Получение полного имени владельца аккаунта через Google Looker Studio
• Использование функции восстановления пароля для получения подсказки с последними цифрами номера
• Перебор всех возможных комбинаций с помощью специального инструмента

Скорость взлома поражает

Используя потребительский сервер за $0,30 в час, исследователь достигал скорости 40 000 проверок в секунду. Время взлома зависело от страны:

• Нидерланды: 15 секунд
• Сингапур: 5 секунд
• Великобритания: 4 минуты
• США: 20 минут

Такая разница связана с количеством цифр, которые нужно было угадать после получения подсказки.

Обход защиты через IPv6

Изначально Google блокировал IP-адреса после нескольких запросов. Но хакер нашел способ обойти это ограничение, используя IPv6-адреса.

Один провайдер предоставляет 18 квинтиллионов адресов, что позволяло менять IP для каждого запроса.

Исследователь также обнаружил способ обхода защиты BotGuard, заменив параметр «js_disabled» на настоящий токен из JavaScript-версии формы. Это полностью убрало ограничения на количество запросов.

Реакция Google и устранение проблемы

BruteCat сообщил о находке в Google 14 апреля 2025 года. Компания сначала оценила риск как низкий и выплатила всего $1337. После жалобы исследователя сумма была увеличена до $5000.

6 июня 2025 года Google подтвердил полное отключение уязвимой формы восстановления без JavaScript. Атака больше не работает, но неизвестно, использовали ли её злоумышленники.

Почему это опасно

Получение номера телефона открывает двери для серьезных атак. Хакеры могут:

• Провести SIM-свопинг — перехватить контроль над номером
• Сбросить пароли от других сервисов через SMS
• Организовать целенаправленные фишинговые атаки
• Получить доступ к банковским аккаунтам и криптокошелькам

Раскрытие номера телефона для восстановления может подвергнуть даже анонимные аккаунты Google целенаправленным атакам, таким как попытки захвата.

«Будем надеяться, что ваш адресат не слишком продвинутый юзер»

Это наш фаворит. Следователь просит айтишника выйти на компьютер, с которого рассылались письма. Действия прогера: открыть консоль, ввести ipconfig и получить… свой IP-шник. Пользуйтесь.

Взломать инфраструктуру США за минуту

В фильме «Крепкий орешек 4.0» Джону Макклейну опять нужно спасти страну, но в этот раз от хакеров, которые хотят взломать США (полностью). Один из таких «айтишников» Габриэль и его команда за считанные минуты взламывают системы управления транспортом, энергосетями и финансовыми рынками США. Один из хакеров стучит по клавиатуре, вводит какой-то «алгоритм», и на экране появляются мигающие окна с надписью Access Granted.

А в еще одной сцене говорится, что хакер взломал системы ПВО чуть ли ни одним кликом — он явно лучший в своем деле. И куда же без взрыва дома нажатием кнопки Delete.

Но все мы понимаем, что это бред и красивая картинка. Реальные системы критической инфраструктуры защищены многоуровневыми протоколами безопасности, включая физическую изоляцию (air-gapped системы). Взлом такого масштаба потребовал бы месяцы подготовки, доступ к инсайдерской информации и специализированное оборудование, а не просто ноутбук и пару минут. К тому же, координация такого количества атак в реальном времени практически невозможна.

Отслеживание хакера по цифровому следу

В «007: Координаты “Скайфолл”» Q (Бен Уишоу) подключается к ноутбуку злодея Сильвы и пытается отследить его местоположение через цифровой след. На экране появляется карта мира с мигающими линиями, показывающими, как сигнал прыгает между серверами в разных странах, и Q за минуту определяет, что хакер в Лондоне. Всё это сопровождается красивой 3D-графикой.

В реальности же хакеры используют VPN, Tor или цепочки прокси-серверов, чтобы скрыть свой реальный IP. Даже если Q видит IP, он принадлежит прокси, а не реальному устройству. Вычислить конечный адрес за минуту невозможно — это требует анализа логов множества серверов — это может занять дни и даже недели. Вдобавок ко всему очень красивые карты с прыгающими линиями — выглядит правдоподобно, мы в это верим. На самом деле трассировка делается через утилиты вроде traceroute, и выглядит как скучный список IP-адресов. Без судебных запросов к провайдерам точное местоположение не найти.

Чип в тузе пик

Да, мы про ту самую сцену из «Иллюзии обмана 2». Всадники спрятали «чип, способный взломать любое устройство в мире» в игральной карте, которую можно бросать, гнуть и делать с ней все, что угодно.

На самом деле микрочипы, особенно такие мощные, требуют защиты от физических повреждений, электромагнитных помех и статического электричества. Их не засовывают в бумажные карты, которые можно, например, случайно порвать. Реальный чип был бы в прочном корпусе с питанием — в общем, его бы точно нашли при обыске. А еще идея «взлома всех устройств» — это голливудский миф. Даже самые мощные чипы работают в связке с софтом и сетями — давайте оставим магию в Хогвартсе.

Приближение изображений с камер без потери качества

Есть очень много примеров, когда полицейский или охранник несколько раз жмет на кнопку и видео чудесным образом приближается в несколько раз и становится в качестве только лучше. Такое было и в фильме «Враг государства» с Уиллом Смитом. Сцен было несколько. В первой крайне сложно разглядеть даже силуэт человека (приближалось изображение слева):

Другая сцена выглядит еще более абсурдной (таймкод: 30:00). В ней герой Джека Блэка просит айтишника увеличить изображение, чтобы заметить, что изменилась тень, которую отбрасывает пакет. При этом само видео можно было крутить на 180 градусов и приближать до такой степени, что там практически видно материал ткани. Напоминаем, это 1998 год.

Смотрите, вот кадр с камеры наблюдения. У героя в красном в руке пакет (честно, даже непонятно, что это пакет):

А вот до такой степени можно было этот пакет детализировать:

На самом деле разрешение видеокамеры фиксировано, и увеличение изображения не добавляет новых данных — вы просто получаете размытые пиксели. Технологии «улучшения» из пикселей не создают детали, которых нет в оригинале. Реальные методы анализа изображений требуют сложных алгоритмов и всё равно ограничены качеством исходника.

Всегда нужно помнить, что кино — это про искусство и художественный вымысел. Хакеров изображают гениями, а компьютерные технологии пытаются выставить более инновационными. Если хакеры действительно гении, то с технологиями режиссеры часто заигрываются. Правда, есть проекты, на которых приглашали реальных взломщиков в качестве консультантов, и один из таких — «Мистер Робот».

А мы советуем вам не воспринимать всерьез все, что показывают на экране и относиться к разным косякам с юмором (и пониманием).

Все они содержали бэкдоры, способные дать удаленный доступ к системе жертвы.

Все началось с трояна, которого не существует

Кампания вскрылась после обращения клиента к Sophos с подозрением на троян Sakura RAT, выложенный в открытый доступ.

Анализ показал, что сам троян — муляж, не выполняющий никаких функций. Однако при компиляции проекта в Visual Studio активировался скрипт PreBuildEvent, который устанавливал вредоносное ПО.

Оказалось, что автор Sakura RAT под ником ischhfd83 был прямо или косвенно связан с 141 репозиторием, из которых 133 содержали вредоносы.

Приманки и автоматизация

Вредоносные репозитории включали:

• фальшивые скрипты Python с обфускацией;
• вредоносные .scr-файлы (скринсейверы);
• JavaScript с зашифрованными полезными нагрузками;
• скомпрометированные события PreBuild в Visual Studio.

Многие репозитории имитировали активность через автоматизированные коммиты — один проект набрал почти 60 000 коммитов всего за два месяца. Это создает иллюзию активности и надежности.

В среднем на каждый репозиторий приходилось около 4446 коммитов.

Атака выглядела легитимно — и потому срабатывала

Жертвы натыкались на вредоносные инструменты через YouTube, Discord и хакерские форумы, где их рекламировали как взломанные читы или эксплойты.

После скачивания начиналась многоступенчатая атака:

1. Выполнялся .vbs-скрипт.
2. Через PowerShell загружалась полезная нагрузка с жестко закодированного URL.
3. С GitHub подтягивался архив с приложением на Electron (SearchFilter.exe).
4. Приложение разворачивало main.js, который отключал Defender, собирал информацию о системе, запускал команды и загружал дополнительные модули.

Среди них — инфостилеры и удаленные трояны, включая Lumma, AsyncRAT и Remcos.

На кого была нацелена атака

Целью стали:

• начинающие хакеры (скрипт-кидди);
• геймеры (в поисках читов и модов);
• специалисты по кибербезопасности (в поисках эксплойтов).

Sophos подчеркивает: кампания направлена на тех, кто сам хочет использовать сомнительные инструменты, а в итоге становится жертвой более изощренного злоумышленника.

В мире, где большинство успешных атак происходит из-за банальных ошибок вроде слабых паролей или непропатченного софта, находятся «особые» экземпляры. Те, кто взламывает дорожные знаки, чтобы предупредить о зомби-апокалипсисе, крадет данные клиентов, работая в отделе кибербезопасности, оставляет цифровые отпечатки там, где даже новичок догадался бы их удалить.

Эти семь историй — не просто сборник курьезов. Они наглядно показывают: главная уязвимость любой системы (не обязательно цифровой) — человеческая глупость. И хорошо, что хотя бы некоторые злоумышленники тоже подчиняются этому правилу.

Семерка самых нелепых хакерских атак

Хакерские атаки обычно ассоциируются с высокотехнологичными схемами и тонкими методами взлома, но иногда злоумышленники совершают настолько абсурдные вещи, что остается только разводить руками. Одни попадаются из-за детских ошибок, другие — из-за нелепой самоуверенности, третьи умудряются навредить сами себе.

Перед вами семь самых нелепых и странных кибератак в истории — от «Годзиллы» на дорожных знаках до злоумышленников, загрузивших собственную биометрию в систему безопасности.

Взлом казино через аквариум

В 2017 году один из западных игорных домов (название до сих пор не раскрыто) стал жертвой атаки, которая больше похожа на сценарий абсурдного кибертриллера. Злоумышленники пробрались в сеть казино… через аквариум. Обычный, с рыбками.

IoT-термометр как дыра в безопасности

В холле заведения стоял «умный» аквариум с подключенными датчиками — они следили за температурой воды, уровнем чистоты и даже автоматически сбрасывали корм. Казалось бы, безобидная техника для ухода за рыбками. Но проблема в том, что эти сенсоры были частью внутренней сети казино.

Хакеры нашли уязвимость в IoT-устройстве (скорее всего, использовали стандартный пароль или эксплойт для устаревшей прошивки) и через него проникли в систему. Как позже рассказали эксперты, взломщики не просто получили доступ к аквариуму — они провели разведку, нашли другие слабые места и добрались до базы данных высокодоходных клиентов — так называемых «китов» (тоже улов своего рода).

10 ГБ данных и финский сервер

Зараженный термометр стал точкой входа, но дальше атака развивалась уже по классическому сценарию:

• сканирование сети — хакеры искали узлы с уязвимостями;
• перемещение по системе — получив привилегии, они добрались до ценных данных;
• эксфильтрация — украденная информация (около 10 ГБ) ушла на сервер в Финляндии.

Самое забавное — после этого следы обрываются. Данные не всплыли в даркнете, их не пытались продать. Возможно, это была разведка перед более масштабной атакой, но сами злоумышленники так и не объявились. Спрашивается: зачем?

Почему это вообще сработало:

• Безопасность IoT в 2017 году была мифом. Умные устройства были в новинку, их редко обновляли, защищали слабыми паролями или просто забывали изолировать от корпоративной сети.
• Человеческий фактор. Кто-то в казино решил, что датчик для рыб не нуждается в серьезной защите. Ошибка.
• Отсутствие сегментации сети. Аквариум оказался в той же сети, что и база с данными клиентов.

Что изменилось с тех пор

Случай с казино стал хрестоматийным примером рисков IoT. Сейчас компании чаще изолируют умные устройства в отдельных сегментах сети, запрещают дефолтные пароли и мониторят аномальную активность.

Но проблема не исчезла. В 2021 году, например, хакеры взломали систему очистки бассейна в отеле через уязвимый контроллер — и снова получили доступ к внутренним серверам.

Эта история — идеальный пример того, как человеческая беспечность и плохая настройка техники приводит к курьезным, но опасным взломам. Если ваша компания до сих пор считает, что умный чайник или датчик температуры не угрожают безопасности, вспомните казино с аквариумом. Возможно, прямо сейчас ценные данные уплывают вместе с рыбками.

Соискатель с креативным подходом

В 2010 году венгерский программист Аттила Немет совершил, пожалуй, самый нелепый карьерный маневр в истории киберпреступлений. Вместо того чтобы отправить резюме в отдел кадров, он взломал систему безопасности сети отелей Marriott — чтобы потом предложить свои услуги по ее защите. Получилось не совсем так, как он планировал.

Вирус вместо сопроводительного письма

25-летний Немет, судя по всему, искренне считал себя «белым хакером». Его план выглядел так:

1. Взломать Marriott, показав уязвимости.
2. Предложить компании свои услуги по устранению этих дыр.
3. Получить работу в отделе кибербезопасности.

Для первого пункта он выбрал классическую схему: фишинговые письма с вредоносными вложениями. Кто-то из сотрудников отеля открыл файл — и Немет получил доступ к внутренним системам. Он скопировал конфиденциальные данные, включая информацию о клиентах, но не стал их продавать или публиковать. Вместо этого хакер связался с Marriott и… предложил себя в качестве спасителя.

«Ваша защита слабая — возьмите меня на работу»

По версии следствия, Немет напрямую заявил представителям компании: он готов раскрыть все уязвимости, если его возьмут в штат. В Marriott идею не оценили. Вместо HR-менеджера с ним начал переписку сотрудник Секретной службы США, представившись «заинтересованным руководителем».

Хакер, не заметив подвоха, подробно описал методы взлома и даже согласился прилететь в США для личной встречи. В аэропорту его ждали не потенциальные коллеги, а полиция.

Почему это провалилось:

• Криминал ≠ пентест. Настоящие «этичные хакеры» не крадут данные перед тем, как предложить услуги.
• Наивность. Немет всерьез верил, что компания простит взлом ради его навыков.
• Юридическая безграмотность. Венгр не учел, что в США за такое сажают, даже если «хотел как лучше».

Немета приговорили к 2,5 годам тюрьмы — относительно мягко, учитывая потенциальный срок за кражу данных. Marriott потратил около $1 млн на расследование и усиление защиты. Сам хакер, выйдя на свободу, исчез из публичного поля. По некоторым данным, он все же устроился в IT — но уже без креативных «испытательных заданий».

Что было не так с его планом?

Эксперты отмечают несколько фатальных просчетов:

• Нелегальный вход. Даже если цель благая, несанкционированный доступ остается преступлением.
• Доказательства кражи. Скопировав данные, Немет автоматически стал нарушителем закона — никакие благие намерения это не отменяли.
• Доверие к анонимам. Переписка с Marriott велась через анонимные сервисы, но хакер почему-то поверил, что это официальные представители.

Как надо было поступить? Если бы Немет действительно хотел помочь и устроиться на работу, ему стоило:

1. Найти уязвимости, не получая доступа к данным.
2. Связаться через официальный канал с ответственными за безопасность.
3. Предложить исправления, приложив резюме.

Так делают настоящие исследователи — и их не арестовывают в аэропортах.

Мораль для соискателей

Эта история — отличный пример того, как не стоит искать работу в кибербезопасности. Хотите показать навыки? Участвуйте в баг-баунти программах, где взлом разрешен правилами. Мечтаете о карьере «белого хакера»? Получайте сертификаты, а не судимости.

Немету повезло: отделался небольшим сроком. Со следующим «креативщиком» могут поступить гораздо жестче.

Тупейший взлом в истории: просчитались, но где?

В 2018 году группа «киберпреступников» (если их можно так назвать) совершила то, что эксперты единогласно признали самым идиотским взломом десятилетия. Их план выглядел как сценарий для пародийного фильма: чтобы украсть товары со склада, они… загрузили свои отпечатки пальцев в охраняемую базу данных.

Хакеры против сканеров: кто кого?

Все началось с того, что преступники нацелились на склады компании, производящей предметы роскоши. Система безопасности использовала биометрические сканеры — без правильного отпечатка пальца внутрь не попасть.

Первая идея была в духе голливудских блокбастеров: отключить сканеры удаленно. Но тут злоумышленников ждало разочарование. Оказалось, что сканеры контролируются ИИ, который заметит любые манипуляции, а физическое отключение сразу вызовет тревогу. Тогда группа перешла к «плану Б» — и вот здесь началось самое интересное.

«Давайте добавим свои отпечатки в базу!»

Вместо того чтобы искать обходные пути, хакеры решили действовать напролом:

1. Взломали базу данных с отпечатками сотрудников.
2. Удалили несколько «лишних» слепков.
3. Загрузили туда свои собственные пальцы.

Логика была проста: сканер запрашивает базу, видит «своих» и открывает дверь. Что могло пойти не так?

Почему это был худший план в истории:

1. Отпечатки — это улика. В отличие от анонимных логинов, пальцы нельзя сменить или стереть.
2. База синхронизировалась с архивами. Удаленные отпечатки не исчезли навсегда — их восстановили за минуты.
3. Сотрудники заметили пропажу. Когда люди перестали проходить сканеры, охрана забеспокоилась раньше, чем воры добрались до склада.

Система безопасности компании не просто хранила отпечатки — она вела журнал всех изменений. Как только хакеры загрузили свои данные, ИИ отметил неавторизованный доступ к базе, подозрительные правки и самое главное — новые отпечатки, которых нет в кадровых документах. Полиция сравнила свежие «слепки» с криминальной базой и нашла полное совпадение. Всех участников группы задержали в течение суток.

Что не так с их логикой?

Эксперты до сих пор удивляются, как вообще можно было придумать такой план:

• Биометрия = паспорт. Даже начинающие хакеры знают: подделывать отпечатки — все равно что оставлять автограф на месте преступления.
• Резервные копии. Любая серьезная система делает бэкапы. Удалить данные навсегда практически невозможно.
• Слишком много шагов. Проще было взломать дверь кувалдой, чем лезть в базу.

Что стало с «гениями»:

• Главарь группы получил 4 года за взлом и кражу данных.
• Компания усилила защиту, добавив двухфакторную аутентификацию для доступа к биометрии.
• Этот случай теперь разбирают на курсах кибербезопасности как пример «как не надо делать».

Мораль для будущих хакеров: Если ваш план включает пункт «загружаем свои отпечатки», он точно провалится. Иногда старомодный взлом замка — куда более разумный выбор.

Рок против ядерки: как хакеры заставили ядерный объект играть AC/DC

Если бы кто-то в 2012 году предложил иранским инженерам послушать хард-рок вместо ночной смены, они бы наверняка отказались. Но хакеры не спрашивали разрешения.

Летом того года на двух ядерных объектах Ирана внезапно заиграла «Thunderstruck» — культовая песня легендарной группы AC/DC. Громкость была выставлена на максимум, динамики орали «THUN-DAH!» в ночной тишине, а персонал никак не мог это остановить. Так, вирус Stuxnet, уже хорошо известный в мире кибербезопасности, добавил к своей репутации еще и музыкальный троллинг.

Взлом с саундтреком

Stuxnet — один из самых сложных червей в истории. Его создавали для физического разрушения оборудования: он менял скорость вращения центрифуг, на которых иранцы обогащают уран, выводя их из строя, и маскировал атаку, подделывая данные мониторинга. Но в какой-то момент кто-то решил, что просто ломать машины — скучно.

Анонимный сотрудник иранской АЭС написал исследователю Микко Хиппонену: система управления периодически отключалась, а из динамиков гремел AC/DC. Тегеран официально отрицал инцидент, но детали всплыли в переписке техников. Вирус явно модифицировали — помимо основной нагрузки, он включал медиаплеер и запускал трек в случайное время.

Почему именно «Thunderstruck»? Возможно, из-за названия: «Пораженный громом» звучало как намек на ядерный удар. Или потому, что гитарный рифф идеально подходил для психологического давления.

Кто стоял за атакой?

Stuxnet приписывают совместной разработке США и Израиля (операция «Олимпийские игры»). Но музыкальный «апгрейд» — дело рук других исполнителей.

Эксперты предполагают, что это могли сделать:

• гражданские хакеры — в знак протеста против ядерной программы;
• внутренние саботажники — чтобы деморализовать персонал;
• сами разработчики Stuxnet — в качестве «пасхального яйца».

Интересно, что атака совпала с ужесточением санкций против Ирана. Громкий рок стал своеобразным медийным сигналом: «Мы контролируем ваши системы».

Обычно хакеры стараются оставаться незамеченными. Здесь же они:

• использовали уязвимость Windows (CVE-2010-2568) для распространения;
• внедрили двойную нагрузку: саботаж плюс звуковое воздействие;
• не стали скрывать факт взлома — будто хотели, чтобы об этом говорили.

Для воспроизведения музыки вирус либо содержал MP-файл внутри кода, либо скачивал его с зараженного сервера. Версия с AC/DC так и не была найдена в открытых образцах Stuxnet — возможно, ее «дорабатывали» уже на месте.

Последствия: смех или паранойя?

Иранские власти заявили, что атака не нанесла ущерба. Но психологический эффект переоценить сложно:

• персонал не мог отключить музыку — только глушил динамики физически;
• трек включался ночью, нарушая режим работы;
• слухи о взломе подрывали доверие к системе безопасности.

Этот случай вошел в историю не только из-за технической стороны, но и из-за абсурдности. Хакеры доказали: даже в кибервойне есть место черному юмору.

Stuxnet стал первым вирусом, который физически разрушал инфраструктуру. А его музыкальная версия показала, что хакеры умеют добывать не только данные, но и портить нервы. Говорят, после этого случая иранские ядерные объекты перешли на компьютеры без звуковых карт. Но это уже другая история.

«Годзилла нападает!»: цифровой хаос на дорогах США

В 2014 году водители в Сан-Франциско получили необычное предупреждение: электронное табло на трассе внезапно замигало сообщением «GODZILLA ATTACK – TURN BACK!». Никакой паники не случилось — большинство решило, что это чья-то шутка. Но за этим стояла реальная хакерская атака, которая вскрыла уязвимости критической инфраструктуры.

Как взламывали дорожные знаки

Электронные дорожные табло в США управлялись (а возможно, управляются до сих пор) через примитивные системы, часто с заводскими паролями вроде «admin» или «1234». Хакеры, обнаружившие эту лазейку, подключались к знакам через открытые порты или уязвимости в протоколах. Иногда даже не требовалось сложных инструментов — достаточно было мобильного модема и стандартного ПО для управления сетевыми устройствами.

После взлома злоумышленники меняли сообщения на абсурдные: предупреждали о зомби-апокалипсисе, просили «спасти заложников на фабрике знаков» или просто выводили бессмысленный набор символов. В Техасе, например, однажды появилось сообщение: «СЛЕДИТЕ ЗА ДОРОГОЙ, А НЕ ЗА ТЕЛЕФОНОМ» — ироничный намек на проблему невнимательности, которая как раз и позволила хакерам провести атаку.

Почему это стало возможным?

Основная причина — беспечность муниципальных служб. Многие дорожные системы десятилетиями работали на устаревшем ПО, а пароли к ним никогда не менялись. Как позже выяснилось, часть оборудования даже не была защищена брандмауэрами.

Федеральное управление автомобильных дорог США (FHWA) после инцидента выпустило рекомендации по усилению безопасности, но исправлять ситуацию пришлось годами. В 2016 году исследователи из Университета Мичигана провели аудит дорожной инфраструктуры и обнаружили, что 40% систем по-прежнему уязвимы к простейшим атакам.

Последствия и уроки

К счастью, никто не пострадал — большинство водителей просто игнорировали странные сообщения. Однако атака показала, как легко можно посеять хаос, если критическая инфраструктура не защищена.

Сейчас подобные взломы стали редкостью, но не исчезли полностью. В 2020 году в Огайо хакеры вывели на табло фразу «COVID-19 — это обман», а в 2022-м в Калифорнии знаки призывали «готовиться к вторжению пришельцев».

Главный вывод прост: даже самые невинные устройства, подключенные к сети, могут стать оружием в руках злоумышленников. И если дорожные знаки взламывают ради шутки, то что мешает кому-то устроить настоящий хаос?

«Этичный хакер» с двойной жизнью: как специалист по безопасности стал киберпреступником

Пепейн Ван дер Стап выглядел идеальным кандидатом для работы в сфере кибербезопасности — молодой, талантливый, увлеченный технологиями. Днем он помогал компаниям защищать данные, а ночью взламывал их, сливая конфиденциальную информацию на даркнет-форумы. Его арест в 2023 году стал одним из самых громких случаев двойной игры в IT-индустрии.

Как его поймали

Все началось с жалобы амстердамской компании, которая обнаружила утечку данных. Расследование привело к Ван дер Стапу — сотруднику Hadrian Security, фирмы, специализирующейся на пентестах (тестировании систем безопасности) и защите от кибератак. Злая ирония в том, что он сам годами использовал те же инструменты, которые по задумке должны были защищать системы от взлома.

Следствие выяснило, что с 2020 по 2023 год оборотень с ноутбуком и его сообщники взломали десятки компаний, вымогали деньги под угрозой утечки данных и заработали на этом более 2,6 млн евро. При обыске у Ван дер Стапа нашли базы с персональными данными миллионов людей, готовые для продажи на RaidForums и BreachForums — двух крупнейших хакерских площадках, ныне закрытых.

Почему он это делал?

В интервью DataBreaches.net Ван дер Стап утверждал, что начал заниматься взломами до работы в кибербезопасности, а потом «хотел завязать». Но цифры говорят обратное: его активность совпадала с периодом трудоустройства в Hadrian Security. Возможно, доступ к внутренним данным клиентов сделал атаки проще.

Его мотивы банальны — деньги и азарт. Он продавал украденные данные, торговал доступом к корпоративным сетям и даже консультировал других хакеров. При этом успел поработать волонтером в Голландском институте раскрытия уязвимостей (DIVD), что добавляет ситуации еще немного абсурда.

Что не сработало в его схеме

Главная ошибка Ван дер Стапа — уверенность в анонимности. Он использовал ники вроде «Espeon» и «Rekt», но криптовалютные транзакции и логи подключений его выдали. В 2023 году правоохранители синхронизировали данные с закрытых форумов и вышли на него.

Еще один провал — масштаб. Он не ограничился мелкими взломами, а атаковал крупные компании, привлекая внимание регуляторов. Когда ущерб исчисляется миллионами, следствие действует жестче.

Последствия и уроки

Суд дал ему 4 года тюрьмы. Но важнее другое: случай показал, как легко «белые» хакеры могут скатиться в преступность. Компании до сих пор плохо проверяют сотрудников, работающих с критической инфраструктурой.

После этого скандала в Нидерландах ужесточили контроль за специалистами по кибербезопасности. Например, Hadrian Security ввела аудит действий сотрудников, а DIVD теперь требует раскрытия прошлой активности волонтеров.

Как хакеры качали топливо с АЗС обычным пультом

В 2019 году во Франции раскрыли аферу, больше похожую на сценарий криминальной комедии, чем на реальное преступление. Группа из пяти человек за год украла более 120 тысяч литров бензина, используя… обычный пульт управления заправочной колонкой.

Пароль «0000» — мечта хакера

Все началось с того, что злоумышленники обнаружили: на некоторых АЗС Total топливные колонки защищены стандартным PIN-кодом «0000». Персонал заправок не удосужился его изменить, а производитель оборудования не требовал обязательной смены пароля при вводе в эксплуатацию.

Купив на теневых форумах сервисный пульт (предназначенный для технического обслуживания), преступники научились разблокировать колонки без оплаты, обнулять стоимость топлива, отключать лимиты на подачу горючего.

Группа работала слаженно. Первый автомобиль подъезжал к АЗС – водитель с помощью пульта «взламывал» колонку. Затем подъезжал фургон с цистерной и закачивал до 3000 литров за раз.

Украденное топливо сбывали через соцсети по заниженным ценам. За год схема принесла им около $170 000, пока полиция не вышла на след. В этом случае тупыми оказались не столько хакеры, которые не особенно даже скрывались, а сотрудники безопасности, допустившие подобный беспредел. Тупым был способ, но не результат.

Почему это сработало:

• Халатность — Total подтвердила, что на оборудовании использовались заводские настройки.
• Отсутствие контроля — на небольших АЗС пропажу замечали только через недели.
• Уязвимость ПО — колонки считали «просто железом», но их софт оказался уязвим.

Всех пятерых задержали за кражу и взлом. Total экстренно обновила прошивки и обязала менять пароли.

Как оказалось, это был не единичный подобный случай. В 2021 году в США хакеры через уязвимость в ПО вызвали дефицит бензина на Восточном побережье. А в 2023-м исследования показали, что 20% европейских АЗС до сих пор используют устаревшее ПО.

Технические детали

Преступники использовали пульт Gilbarco Passport — стандартное устройство для обслуживания колонок. Его можно было купить на eBay за $300-500. Подключившись через ИК-порт, система запрашивала PIN-код, который часто оставался заводским.

Новые модели уже имели принудительную смену пароля при первом запуске, ограничение попыток ввода кода, систему оповещений о подозрительной активности.

Как защититься?

Владельцам АЗС эксперты рекомендуют обязательно менять стандартные пароли, регулярно обновлять ПО, устанавливать камеры с аналитикой и сегментировать сеть, изолируя колонки.

Этот случай — идеальный пример, как халатность открывает двери для примитивных, но прибыльных атак. Если ваш бизнес использует IoT-устройства, проверьте — возможно, они до сих пор на пароле «0000»?

Итоги

Эти истории доказывают: даже в мире высоких технологий человеческий фактор остается главной уязвимостью. Хакеры, о которых мы рассказали, обладали навыками, но им не хватило элементарной логики. Одни забывали скрыть следы, другие выбирали абсурдные цели, третьи — сами себя подставляли.

Главный урок? Безопасность — это не только сложные алгоритмы, но и здравый смысл. И если даже злоумышленники порой действуют настолько нелепо, то компаниям точно не стоит расслабляться. В конце концов, следующий «гений» может оказаться чуть удачливее — или чуть менее смешным.

Когда код уже не компилится, остаётся только смеяться. Самые айтишные мемы тут.

По словам экспертов, стремительный рост числа атак связан с популярностью ChatGPT, Grok, DeepSeek и прочих чат-ботов, которых россияне используют несмотря на региональные ограничения.

Для регистрации граждане покупают иностранные номера, обходят блокировки через прокси-сервисы, а доступ к подпискам получают через «серые» схемы.

В итоге многие хранят в чатах с ИИ не только черновики и тексты, но и пароли, логины, номера карт и даже корпоративную информацию. Это делает аккаунты в ИИ-приложениях крайне ценными для злоумышленников.

ИИ — источник риска, а не защиты

Преступники не просто крадут аккаунты. Они также используют уязвимости в надстройках и так называемых «прослойках» — сервисах, обеспечивающих доступ к заблокированным моделям. Если такой посредник оказывается ненадежным, все данные пользователя могут утечь.

Кроме того, растет число атак с использованием промт-инъекций: хакеры подсовывают ИИ вредоносные команды, чтобы получить системную информацию, обойти фильтры или совершить несанкционированные действия.

Нередко утечки происходят и из-за слабой верификации в сторонних плагинах и ботах. Специалисты отмечают, что даже отключение истории не гарантирует безопасность: данные хранятся до 30 дней, а в прошлом уже были случаи, когда пользователи видели чужие чаты из-за багов.

Масштабы фишинга и подделок растут

С начала года специалисты BI.ZONE нашли 2105 доменов с названиями, связанными с темой ИИ. На них размещают поддельные версии популярных сервисов, собирают логины и пароли или распространяют вредоносное ПО под видом ChatGPT и аналогов.

Ущерб от подобных атак может быть колоссальным, особенно для пользователей, работающих с чувствительной информацией.

Как защитить себя

Эксперты советуют следовать трем базовым рекомендациям:

1. Не используйте сомнительных посредников — предпочтительно получить помощь от друзей за рубежом, если нужен доступ к заблокированным сервисам.
2. Не храните личную информацию в чатах — заменяйте реальные данные вымышленными аналогами, сразу удаляйте чаты после выполнения задачи.
3. Создавайте надежные пароли — уникальные, длинные, с регулярной сменой. Желательно включить двухфакторную аутентификацию.

По словам специалистов из F6 и Positive Technologies, глобальная природа ИИ-сервисов делает невозможным контроль на уровне одной страны. Тем важнее каждому пользователю относиться к ИИ-инфраструктуре как к потенциально уязвимой — и выстраивать цифровую гигиену самостоятельно.

Данные аналитиков это подтверждают: количество открытых позиций в ИТ за последний год существенно снизилось, при этом спрос на узкие специализации все еще есть. Компании больше не готовы переплачивать за «просто код» или номинальное присутствие на рабочем месте, но остро нуждаются в тех, кто умеет решать реальные бизнес-задачи — от внедрения нейросетей в процессы до защиты данных. В этой статье разберем, что произошло с ИТ-рынком, почему пузырь надулся, а потом сдулся (и произошло ли это вообще) и какие навыки гарантируют работу даже в кризис.

Почему ИТ-рынок испытывал дефицит специалистов

В прошлом году в прессе по привычке писали о кадровом голоде в ИТ-сфере, но эксперты уже тогда заметили трансформацию спроса на программистов, тестировщиков и инженеров в секторах крупного и среднего бизнеса. В 2025 году «нехватка айтишников» отчасти стала мифом (сотни резюме, которые работодатель получает после публикации стажерской вакансии, не дадут соврать), но при этом по ряду направлений дефицит сохранился и даже увеличился.

Тренды в отрасли в этом году вполне оформились. Но прежде чем перейти к анализу текущей ситуации, стоит разобраться в причинах дефицита специалистов, который наблюдался в ИТ несколько лет подряд.

Период с 2022 по 2024 год стал временем беспрецедентного давления на ИТ-рынок труда. Спрос на специалистов рос быстрее, чем система образования и миграция кадров могли его удовлетворить. Причины такого дисбаланса — в сочетании глобальных трендов, локальных вызовов и структурных особенностей самой отрасли.

Цифровизация как главный драйвер спроса

Ключевым фактором дефицита стала ускоренная цифровая трансформация бизнеса. Если раньше разработка софта и автоматизация процессов были прерогативой технологических компаний, то в последние несколько лет даже традиционные отрасли — от сельского хозяйства до металлургии — активно наращивали ИТ-бюджеты.

По данным заявления главы Минцифры Максута Шадаева, в 2023 году дефицит разработчиков в России достиг 500-700 тыс. специалистов. При этом, согласно исследованию hh.ru о рынке труда в IT, спрос на них за год вырос на 8%, а в отдельных сегментах, таких как системная интеграция и информационная безопасность, — на 15-20%.

Особенно остро нехватка ощущалась в middle- и senior-уровнях: 40% и 39% вакансий соответственно оставались открытыми дольше трех месяцев, как показал опрос «Консоль.Про» за февраль 2024 года. Это объяснялось не только количественным, но и качественным разрывом: бизнесу нужны были специалисты с опытом работы в конкретных технологиях — от импортозамещающих решений до узкоспециализированных фреймворков.

Геополитические причины

Санкционное давление 2022 года и последующий отказ западных вендоров от работы в России резко изменили приоритеты рынка. Компании экстренно переходили на отечественные аналоги SAP, Oracle и Microsoft, что вызвало взрывной спрос на специалистов по 1С, PostgreSQL и российским CRM-системам. Дефицит затронул не только айтишников, но и смежные профессии, где требовались сотрудники среднего возраста с техническим бэкграундом.

Рост рынка ИТ-услуг лишь усугубил кадровый голод. Крупные интеграторы, такие как «Ростелеком» и «Ай-Теко», наращивали штаты, а стартапы в области кибербезопасности переманивали senior-разработчиков, предлагая зарплаты выше рыночных.

Глобальный контекст: парадокс сокращений и дефицита

Любопытно, что мировой ИТ-рынок в тот же период демонстрировал схожие тенденции. Компании вроде Meta (запрещена в РФ) и Google увольняли десятки тысяч сотрудников, но одновременно прогноз Бюро статистики труда США предсказывал рост числа ряда ИТ-вакансий к 2032 году. В Европе занятость в секторе информационно-коммуникационных технологий росла в 2023 году в несколько раз быстрее, чем в других отраслях.

Причина — в перераспределении ресурсов. Крупные игроки сокращали избыточные штаты, набранные в пандемический бум, но активно нанимали специалистов по ИИ и big data. В России фокус сместился на инфраструктурные задачи: интеграцию, поддержку legacy-систем и кибербезопасность. Это создало уникальную ситуацию, когда даже массовые увольнения на Западе не смягчили кадровый голод внутри страны.

Зарплатные ожидания и «перегрев» junior-сегмента

Еще одним фактором дефицита стал дисбаланс между запросами соискателей и возможностями бизнеса. Опрос «Консоль.Про» за март 2024 года показал, что 37% работодателей считают завышенные зарплатные ожидания главной проблемой при найме. Junior-разработчики с 6-месячными курсами зачастую требовали окладов, сопоставимых с middle-уровнем, а спрос на наставников для них превышал предложение.

При этом компании не готовы были инвестировать в долгосрочное обучение и предпочитали искать готовых специалистов, усугубляя конкуренцию за узкий пул квалифицированных кадров.

Удаленка vs офис: потеря гибкости

Пандемия приучила ИТ-специалистов к удаленной работе, но к 2024 году многие компании, особенно в госсекторе, вернули жесткие офисные требования. Это снизило привлекательность вакансий: 20% соискателей называли гибридный формат критически важным условием, как показал опрос SuperJob. В результате даже при высоких зарплатах работодатели теряли кандидатов, готовых уйти в международные стартапы с полностью дистанционными моделями занятости.

Итог: рынок в состоянии перегрева

К началу 2025 года ИТ-рынок подошел с противоречивыми трендами: с одной стороны, спрос на специалистов оставался высоким из-за цифровизации и импортозамещения, с другой — бизнес исчерпал возможности быстрого найма без компромиссов. Как следствие, средний срок закрытия вакансий вырос вдвое по сравнению с 2022 годом, по данным мониторинга Rabota.ru, а компании все чаще стали рассматривать автоматизацию рутинных задач как альтернативу найму новых сотрудников.

Как компании решали проблему с кадровым голодом

В период с 2022 по 2024 год ИТ-компании столкнулись с необходимостью не просто искать сотрудников, а перестраивать подходы к найму и управлению персоналом. Дефицит квалифицированных кадров заставил бизнес искать нестандартные решения, и некоторые из них оказались настолько эффективными, что из временных мер превратились в долгосрочные стратегии.

Одним из ключевых инструментов стало расширение географии поиска. Если раньше компании в основном ориентировались на локальный рынок, то с развитием удаленных форматов они стали активнее привлекать специалистов из других регионов и даже стран. По данным HeadHunter, около 40% работодателей в 2023 году предлагали гибридный или полностью дистанционный режим работы, что значительно расширило их возможности в подборе кадров. В 2025 этот тренд уже не так выражен.

Еще одним способом борьбы с дефицитом стал пересмотр зарплатных политик. В условиях жесткой конкуренции за специалистов многие компании вынуждены были пересматривать вилки оплаты труда, добавлять бонусы и расширять соцпакет. Особенно это касалось middle- и senior-разработчиков, спрос на которых в 2023–2024 годах достиг рекордных значений. Некоторые работодатели пошли еще дальше и начали внедрять гибкие системы грейдов, чтобы точнее оценивать вклад каждого сотрудника и мотивировать его к развитию.

Аутсорсинг и аутстаффинг также стали важной частью стратегии. Крупные игроки, такие как банки и телеком-операторы, все чаще передавали часть задач внешним подрядчикам. Это позволяло не только экономить на содержании штата, но и быстро получать доступ к узкоспециализированным экспертам. По данным TAdviser, более трети компаний увеличили объемы аутсорсинга в 2023 году, а спрос на аутстаффинг вырос почти на 25%.

Отдельное внимание уделялось работе с молодыми специалистами. Компании активно развивали стажировки, сотрудничали с вузами и bootcamp-проектами (интенсивными курсами), чтобы выращивать кадры внутри. Количество стажерских программ в ИТ за 2024 год выросло на 65%, причем не только в разработке, но и в DevOps, аналитике данных и кибербезопасности.

Наконец, автоматизация и внедрение новых технологий помогли снизить нагрузку на существующие команды. Инструменты вроде Low-code-платформ и AI-ассистентов ускоряли рутинные процессы, а системы электронного документооборота сократили бюрократическую нагрузку на HR-отделы. В результате даже при нехватке кадров многие компании смогли сохранить продуктивность, перераспределив ресурсы на ключевые задачи.

Эти меры не решили проблему дефицита полностью, но дали бизнесу возможность адаптироваться к новым условиям. И, как показала практика, наиболее успешными оказались те, кто сочетал несколько подходов — от пересмотра условий труда до инвестиций в автоматизацию и обучение.

Ситуация с вакансиями в ИТ в 2025 году

Пару лет назад рынок ИТ-специалистов напоминал перегретый чайник, готовый вот-вот взорваться. Компании соревновались в зарплатных предложениях, джуниоры претендовали на позиции мидлов, а рекрутеры массово охотились за кандидатами через сайты вакансий, Telegram-каналы и напрямую с помощью «сарафанного радио».

Сегодня этот пузырь если не лопнул, то постепенно сдулся — без катастрофического хлопка, но с тихим свистом. Полноводная река разнообразных ИТ-вакансий превратилась в мелкий ручеек. Причин тому несколько — оптимизация расходов компаний, возврат в РФ ранее уехавших из страны айтишников, изменение бизнес-стратегий и даже высокая ключевая ставка ЦБ.

Показательна динамика вакансий на HeadHunter: если в 2022 году количество открытых позиций в ИТ выросло на рекордные 42%, то к середине 2025 года этот показатель вернулся к доковидным значениям. Особенно заметно сокращение в массовом найме — компании больше не набирают «оптом» фронтендов или мобильных разработчиков, как это было в период цифрового бума.

Три главных признака сдувшегося пузыря:

1. Зарплатная стагнация — многие компании заморозили вилки оплаты для новых сотрудников, а некоторые даже снизили планку для некритичных позиций.
2. Ужесточение требований — там, где раньше брали «со знаниями основ», теперь требуют коммерческий опыт от 2 лет. Даже для junior-позиций.
3. Сокращение соцпакета — бесплатные обеды, корпоративные психологи и абонементы в спортзал остались только у крупных игроков рынка. Это та самая «оптимизация расходов» — проще всего экономить на сотрудниках.

При этом парадокс рынка 2025 года в том, что дефицит никуда не исчез — он трансформировался. В сегменте кибербезопасности нехватка кадров достигает 20%, а в нише enterprise-разработки (создание софта для корпораций и госструктур) под российское ПО — около 30%. Просто теперь компании ищут не просто разработчиков, а специалистов с конкретными, заточенными под новые реалии навыками.

ИТ-компании и отделы миновали этап, когда нанимали сотрудников «на вырост». Теперь каждый новый сотрудник должен закрывать конкретную бизнес-потребность здесь и сейчас. Бюджеты на персонал сократились на 25%, но компании готовы платить больше узким специалистам.

Что происходит с зарплатами? Если в 2022-2023 годах вилки росли на 15-20% в год, то сейчас динамика замедлилась. Мидлам предлагают меньше, чем год назад, senior-уровень сохранил позиции, но компании чаще предлагают бонусы вместо фиксированного роста. Начинающие специалисты сталкиваются с жестким отбором: на одну junior-позицию теперь 50+ резюме против 20-30 в 2022 году.

На глобальном рынке курс на оптимизацию продолжился: 2024-2025 годы стали периодом масштабных сокращений в технологических компаниях. По данным проекта Layoffs.fyi, только в 2024 году 384 технологические компании уволили около 130 тысяч сотрудников. В их числе — такие гиганты как Intel, Cisco Systems, Amazon, Microsoft, Salesforce и Stripe.

График наглядно демонстрирует ситуацию по вакансиям в ИТ в США:

В России эти глобальные тренды накладываются на специфику импортозамещения, создавая уникальную рыночную конфигурацию. Если западные компании сокращают «классических» разработчиков, то российский рынок испытывает острую нехватку специалистов по работе с отечественными технологическими стеками — от операционных систем до СУБД.

Вывод: не крах, а нормализация

2025 год — это не коллапс ИТ-рынка, а его переход в более зрелую фазу. Да, времена гаражных стартапов с миллионными инвестициями прошли, но на смену им приходит более устойчивая экосистема.

Главный вопрос сейчас — не «есть ли дефицит», а «где именно он остался». И ответ на него все чаще звучит так: в нишах, где требуются не просто технические навыки, а глубокое понимание бизнес-процессов и новых технологических реалий. Рынок стал более избирательным, но перспективы для настоящих профессионалов по-прежнему остаются.

Кому в ИТ жить хорошо — каких айтишников не хватает в 2025 году

Несмотря на общее охлаждение ИТ-рынка, дефицит кадров в ключевых направлениях усилился. Компании готовы платить больше за узкоспециализированные навыки, особенно если они связаны с искусственным интеллектом, кибербезопасностью или автоматизацией процессов. Рассмотрим наиболее перспективные направления в ИТ в 2025 году.

Разработчики (но не все)

Спрос на классических фронтендов и бэкендов снизился, но это не касается тех, кто работает с нишевыми языками и сложными системами. Например, в 2025 году особенно востребованы специалисты по Objective-C (342 тыс. руб. в среднем) и Scala (300 тыс.) — их зарплаты растут, несмотря на общую стагнацию.

Также в топе остаются архитекторы ПО, чья работа требует глубокого понимания не только кода, но и бизнес-логики. Их доходы начинаются от 380 тыс. руб., а в крупных проектах достигают полумиллиона.

Особняком стоят 1С-разработчики — появился дефицит из-за замены зарубежных ERP-систем. По данным АНО «Национальный центр компетенций», 80% российского рынка ERP-решений теперь занимают продукты 1С, а спрос на специалистов в этой области за два года вырос примерно на четверть.

Дата-сайентисты и AI-разработчики

Если раньше Data Science казалась переоцененной, то сейчас она стала обязательным направлением для любого бизнеса, работающего с большими данными. Спрос на специалистов, способных не просто анализировать, но и создавать алгоритмы машинного обучения, вырос на 70% за последний год.

Особенно ценятся те, кто умеет интегрировать нейросети в реальные бизнес-процессы — от прогнозирования спроса до автоматизации рутинных операций. AI-разработчики уже не просто пишут код, а проектируют целые экосистемы. Например, в банковском секторе их решения позволяют сократить время обработки заявок с часов до минут. Средние зарплаты здесь — от 200 тыс. для мидлов и до 700 тыс. для ведущих специалистов в крупных компаниях.

DevOps: автоматизация как новая религия

Компании все чаще отказываются от ручного управления инфраструктурой, поэтому спрос на DevOps-инженеров остается стабильно высоким. Но теперь недостаточно просто знать Docker и Kubernetes — нужен опыт работы с облачными платформами (AWS, Azure) и понимание принципов Platform Engineering. Последнее направление стало особенно популярным: такие инженеры создают внутренние инструменты для разработчиков, ускоряя внедрение продуктов (delivery) в 2-3 раза.

Кибербезопасность: вечная гонка вооружений

С каждым годом атаки становятся сложнее, а требования к защите данных — жестче. Поэтому специалисты по кибербезопасности — одни из немногих, кто может диктовать условия работодателям. Особенно ценятся пентестеры (этичные хакеры) и эксперты по защите облачных сред. Их зарплаты начинаются от 250 тыс. руб., а в международных компаниях доходят до 600-800 тыс.

По данным Positive Technologies, дефицит кадров в сфере ИБ в России составляет около 50 000 человек, а к 2027 году потребность может вырасти до 100-150 тыс. специалистов.

Продакт-менеджеры и аналитики

Если раньше компании искали системных аналитиков, то сейчас фокус сместился на продуктовых аналитиков. Они не просто собирают данные, а формируют стратегию развития продукта, что критически важно в условиях высокой конкуренции. Их зарплаты варьируются от 150 тыс. для мидлов до 450 тыс. для сеньоров.

Продакт-менеджеры, способные не только генерировать идеи, но и «продавать» их руководству, также в дефиците. В 2025 году их средний доход составляет 250-450 тыс. руб., причем ключевым навыком стало умение работать с ИИ-инструментами для анализа пользовательского поведения.

Low-code и RPA: автоматизация без глубокого кодинга

С ростом стоимости разработки компании все чаще используют low-code-платформы и RPA-решения (роботизированная автоматизация процессов). Специалисты, умеющие настраивать такие системы, экономят бизнесу до 40% затрат на IT-инфраструктуру. Зарплаты в этом сегменте начинаются от 180 тыс. руб., а опытные инженеры получают 350+ тыс.

Тренд очевиден: рынок отсеивает «просто кодеров», но готов платить тем, кто умеет решать комплексные задачи. Если в 2023 году компании нанимали всех подряд, то сейчас ключевое слово — специализация. Чем уже и актуальней экспертиза, тем выше шансы на высокий доход.

А что вы думаете об этой ситуации? Самое время обсудить это в нашем тг-канале

Такое решение вынес федеральный суд США после того, как компания признала ответственность за атаку, в ходе которой были скомпрометированы данные около 1400 пользователей в 2019 году.

Сумма выплаты включает $167 млн в качестве штрафа и более $440 тысяч компенсации за нанесенный ущерб. Решение принято после однодневных слушаний, в ходе которых присяжные поддержали иск *Meta.

Компания подала жалобу после того, как обнаружила, что через уязвимость в системе видеозвонков в WhatsApp, злоумышленники распространили вредоносное ПО, нацеленное на правозащитников, журналистов и политиков.

Реакция *Meta и планы на будущее

После вердикта, *Meta выпустила заявление, где приветствовала решение суда и подчеркнула, что продолжит добиваться полного запрета на использование Pegasus против WhatsApp. В компании также сообщили о планах опубликовать стенограммы допросов сотрудников NSO Group, чтобы помочь исследователям лучше понять, как используется шпионское ПО.

*Meta также планирует сделать пожертвование организациям, борющимся с цифровым шпионажем, хотя точная сумма пока не раскрыта.

Ответ NSO Group

В NSO Group заявили, что не согласны с вердиктом и намерены обжаловать решение. Гил Ланьер, вице-президент по глобальным коммуникациям компании, подчеркнул, что их технология помогает бороться с терроризмом и преступностью, и используется исключительно правительственными агентствами.

Что дальше для NSO Group

Компанию уже внесли в черный список Министерства торговли США в 2021 году, что серьезно ограничило ее возможности вести бизнес в Штатах. В Европе также началось расследование об использовании Pegasus для слежки за политиками и активистами.

Параллельно с этим и Apple подавала иск против NSO Group, но позже отказалась от него, опасаясь раскрытия данных своих пользователей.

Эксперты считают, что подобные решения могут серьезно пошатнуть репутацию компании и отпугнуть потенциальных клиентов.

*Организация Meta, а также ее продукты Instagram, Facebook, WhatsApp и Reality Labs, на которые мы ссылаемся в этой статье, признаны экстремистскими на территории РФ

Больше новостей — в нашем тг-канале «Представляешь»

Старый пароль? Добро пожаловать

Исследователь безопасности Дэниел Уэйд сообщил, что Windows Remote Desktop Protocol (RDP) кэширует старые пароли.

Если вы поменяли пароль аккаунта, это не мешает подключаться к машине через RDP со старым паролем. Более того — нет способа отключить этот механизм или получить хоть какое-то уведомление о его работе.

Microsoft: «Так надо, чтобы вы не остались без доступа»

По словам Microsoft, это не уязвимость, а «предусмотренное поведение», позволяющее не потерять доступ к машине после длительного офлайна. И менять его компания не собирается — чтобы не сломать совместимость с корпоративным софтом.

Проблема в доверии, а не в кэше

Уэйд называет это «нарушением базового доверия к системе».

Все дело в том, что обычно смена пароля — это способ закрыть доступ. В случае с RDP — это иллюзия. Если пароль утек, злоумышленник может зайти через RDP, даже после того как вы его поменяли. И вы об этом даже не узнаете.

Известно с 2023 года и все равно игнор

О проблеме Microsoft знала еще в августе 2023 года, но решила ничего не менять.

Причина — опасения за совместимость. Выходит, безопасность снова проиграла удобству.

Искусственный интеллект вошел в число трех главных стратегических приоритетов для 75% руководителей компаний во всем мире, показал опрос Boston Consulting Group. Но только четверть реально видит от него пользу. Главные тормоза — кибербезопасность, неясность с управлением ИИ и юридические вопросы. При этом лишь 10% компаний рассчитывают сократить персонал благодаря ИИ, а большинство (64%) уверены: человек и алгоритм скорее союзники, чем конкуренты.

Действительно, генеративный ИИ помогает специалистам решать всё больше прикладных задач в клиентском сервисе, маркетинге, на производстве. С появлением агентов (более продвинутых по сравнению с привычными ассистентами моделей, способных решать задачи самостоятельно), этот процесс начинает идти быстрее. 2025 год может стать периодом взлета ИИ-агентов (для 67% участников AI Radar они являются частью трансформации программ внедрения ИИ), ведь их производительность и скорость решений втрое выше, чем у традиционных виртуальных помощников и распространенных нейросетей.

Быстрый прогресс ИИ и LLM звучит впечатляюще, но не всё так однозначно. Эксперты советуют смотреть на вещи трезво: эффективность развития моделей вызывает сомнения. По данным AAAI, в декабре 2024 года даже лучшие ИИ от OpenAI и Anthropic смогли правильно ответить лишь на половину специально отобранных простых фактологических вопросов.

Проблема в том, что сейчас ИИ-модели в основном развиваются экстенсивным образом: наращиваются их вычислительные мощности. Это, возможно, тупиковый путь для ИИ, который никогда не приведет человечество к созданию общего искусственного интеллекта (AGI), способного думать на уровне человека. По крайней мере, 76% участников исследования AAAI высказали такое предположение.

ИИ-модели: дефицит точности и данных при росте мощностей

Еще в прошлом году представители OpenAI признавали, что результативность новых моделей немногим превышает достижения предыдущих. Это уже косвенно свидетельствует о том, что развитие ИИ по пути масштабирования моделей сталкивается с ограничениями. Важнейшим из них является нехватка данных, подходящих для обучения. Исследовательский институт Epoch AI прогнозирует, например, что уже до 2032 года большинство разработчиков LLM-моделей столкнутся с дефицитом данных для обучения ИИ. Эта проблема может решаться двумя путями: повышением доступности подходящих для обучения ИИ данных и созданием новых наборов качественных синтетических. Но пока дефицит данных остается сдерживающим фактором для совершенствования ИИ.

Чтобы ИИ давал более точные и достоверные ответы, ему нужно много обратной связи от человека — а это время и деньги. Один из способов повысить точность — использовать метод RAG, когда нейросеть подключается к внешним источникам данных. Но он сильно зависит от качества этих данных. Если источник — весь интернет, в ответ может попасть всё что угодно, вплоть до лжи. Поэтому RAG часто дополняют другими инструментами: проверкой фактов, логическими системами, калькуляторами. Всё это помогает ИИ делать более осмысленные выводы.

Еще один метод, который сейчас используют разработчики, чтобы сделать более точные ИИ-модели, это CoT (Chain of thoughts, цепочка рассуждений). В данном случае запросы к нейросети разбиваются на несколько подвопросов. После ответов нейросети дается время на то, чтобы обдумать свой ответ и оценить достоверность, вовремя заметив галлюцинации.

Внедряются и новые подходы к построению архитектуры нейросетей, такие как Mixture of Experts: использование вместо одной модели сразу ряда «специализированных» экспертных ИИ-решений. Такой подход (его использует, например, китайский стартап DeepSeek) позволяет добиться от ИИ более релевантных и быстрых ответов.

Несмотря на новый инструментарий для уточнения работы нейросетей, 60% участников опроса AAAI заявляют, что вряд ли в ближайшее время будет достигнута полная надежность ответов ИИ. Одна из проблем в том, что для достижения такого результата необходимо добиваться прозрачности всех источников фактических данных, которые используются при тренировке моделей. Вопросы вызывают и сами способы, которые используются для оценки точности ответов. Обычно она включает использование эталонных тестов, но сами тестовые данные со временем «загрязняются» штампами. Ученые приводят отличную цитату в тему: «Когда мера становится целевой, она перестает быть правильной (хорошей) мерой».

Впрочем, признавая все сложности, ученые отмечают более важную вещь. Постепенно сокращается основной разрыв между ИИ и человеческим мышлением: в способности к абстрактным рассуждениям. Некоторые ИИ-агенты уже умеют самостоятельно выполнять поставленные человеком задачи и даже объяснять ход своих размышлений. Например, Claude 3.7 Sonnet от Anthropic умеет и давать быстрые ответы, и последовательно разъяснять, как она к ним пришла.

Перспективы: как и любое крупное явление, ИИ несет риски

Появление ИИ-агентов, которые умеют рассуждать, вызывает всё больше вопросов — не только технических, но и социальных. Один из главных — что будет с рынком труда? По прогнозам UNCTAD, к 2033 году ИИ затронет до 40% рабочих мест по всему миру. Особенно уязвимы развивающиеся страны: там ИИ может вытеснить дешевую рабочую силу — например, заменить операторов колл-центров. Есть и геополитическая сторона: 40% всех инвестиций в ИИ сосредоточены в руках сотни компаний, в основном из США и Китая. А более сотни стран вообще не участвуют в глобальной дискуссии. Всё это может усилить цифровое неравенство и закрепить технологическую монополию.

Пока же отдельные страны стараются сделать всё для того, чтобы обезопасить себя от неконтролируемого использования искусственного интеллекта. Многие принимают законы, запрещающие внедрение в госструктурах и крупных коммерческих компаниях ИИ без подтверждения того, что его мощность и производительность остаются в рамках установленных ограничений. При этом одной из признанных проблем является вероятность утечек конфиденциальных данных из систем ИИ, которые уже стали объектами для атак киберпреступников. Причем хакеры научились даже вносить в ИИ-модели изменения, заставляющие их искажать ответы.

AGI — не прямое следствие масштабирования ИИ-моделей

Технический прогресс не остановить — AGI всё равно будет развиваться, даже если правительства не готовы к этому. Учёные продолжают решать задачи шаг за шагом. Но это не значит, что нужно торопиться: пока LLM-модели уже хорошо справляются с рутиной — помогают врачам, маркетологам, учёным. ИИ остаётся скорее инструментом, чем заменой человеку. Представлять себе AGI как «следующий шаг» текущих моделей вроде ChatGPT — не совсем верно. Это разные уровни. Многие исследователи сомневаются, что масштабирование существующих подходов вообще приведёт к созданию настоящего AGI. Может, вместо гонки стоит сделать паузу и переосмыслить, каким должен быть ИИ — не только с технической, но и с этической точки зрения.

Искусственный интеллект — это только начало. Чтобы постоянно узнавать о новинках в индустрии, скорее подписывайтесь на Нейроканал.

Почитать предыдущие части серии можно здесь (шифропанки) и здесь (CCC).

Первый пост и начало головоломок

Первый пост появился на сайте 4ch (0% удивления) 4 января 2012 года. Вот он:

На первый взгляд выглядит полной чушью, но прогеры поумнее скачали этот файл, открыли его в формате TXT и увидели следующее:

Сообщение здесь гласило: «Тиберий Клавдий Цезарь говорит: «lxxt>33m2mqkyv2gsq3q=j02ntk». Вы уже все поняли — это опять шифрование и, как нам подсказывает Тиберий Клавдий, еще и шифр Цезаря, в котором нужно сдвигать буквы вправо или влево на определенную цифру.

Расшифровав эту картинку и получив ссылку, гики попадали на следующую. Здесь уже была утка:

Если вы хотя бы раз смотрели детективы и слышали/видели фразу «Ха-ха, это ложный след», то знаете, что именно по нему и нужно идти. С уткой такая же история. На самом деле загадка крылась как раз в словах guess и out — оно отсылает к утилите OutGuess, которая с помощью стенографии скрывала данные.

Утку нужно было прогнать через эту программу и на выходе получить еще один шифр, а потом еще один и еще один — подробнее можно почитать в расследовании Rolling Stone. Кстати, его журналисту удалось взять интервью у одного из таких высокоинтеллектуалов — Маркуса Уоннера. Правда, непонятно, что из его слов правда. А еще Маркус рассказывал, что он и другие дешифровщики(из одного чата) в какой-то момент начали сходить с ума.

Одна из последних загадок вела к телефонному номеру, позвонив по которому, вы могли услышать следующее:

«Очень хорошо. Вы отлично постарались. Есть три простых числа, связанных с оригинальным изображением final.jpg. 3301 — одно из них. Нужно найти еще два. Перемножьте все три числа и добавьте .com, чтобы сделать следующий шаг. Удачи. Пока».

Здесь все было просто: нужно было перемножить размеры картинки 509х503 и 3301. Получилось: 845145127.com. На сайте был таймер и очередная картинка, которую нужно было закинуть в OutGuess и получить сообщение, что нужно вернуться на сайт в 5 вечера 9 января 2012 года.

И здесь гиков ждала самая интересная часть: в назначенное время по этой ссылке появились координаты в 14 городах мира. Среди них даже была Москва.

В этих городах были развешаны листы с изображением цикады и qr-кодом. По ним можно было найти стихотворение и страницу «Цикада» из британской энциклопедии. Но оба сообщения содержали информацию о том, что нужно перейти на сайт, оставить email и избранными будут ли первые, а не последователи.

Отправили email — а что дальше

Постепенно у участников этого замечательного квеста началась паранойя особенно после того, как по всему миру появились реальные постеры с элементами игры. В чатах царило недоверие: всех подозревали в шпионстве, одни игроки подставляли других ложными подсказками, кто-то получал странные звонки, а один из участников — Текк (друг Маркуса) — после слива его личных данных стал шарахаться от любого звука и взгляда.

Некоторые прошли отбор и получили индивидуальные задачи: расшифровать число, зашифрованное с помощью RSA. Нужно было разложить 112-значное число на два простых — для этого применялись сложные алгоритмы и инструменты вроде CADO-NFS. Получив ключ, нужно было ввести расшифрованное число на том же сайте.

Следующим этапом стало расшифровывание midi-файла: комбинации высоты и длины звука соответствовали буквам. Это привело к финальному сообщению.

В феврале 2012 года «Цикада» объявила, что нужные люди найдены. Остальным предложили ждать новых заданий.

Маркус был одним из немногих, кто получил сообщение о том, что прошел отбор. Ему нужно было лишь ответить на несколько вопросов о цензуре, анонимности и свободе и отказаться от участия в преступных группировках (если он в них состоял). Так он попал в закрытый чат в даркнете где «ветераны» группы делились уклончивой информацией и поручали новые задачи. Их выводок b.0h занимался проектом CAKES — системой автоматического распространения секретной информации в случае ареста информаторов.

Однако со временем участники выгорели: проект оказался сложным, скучным и без какой-либо видимой отдачи. К концу 2012 года в группе остался один Уоннер, а в начале 2013-го его доступ к внутреннему ресурсу «Цикады» был закрыт.

Цикады после 2012 года

Вторая волна головоломок началась началась 5 января 2013 года, а третья — 6 января 2014 года. Тогда появилась новая загадка в Хвиттере:

В 2015 году все было тихо, а в 2016 появился еще один пост, но головоломки в нем не было:

В 2017 году на Pastebin было обнаружено новое сообщение:

Остерегайтесь ложных путей. Всегда проверяйте PGP подпись от 7A35090F. 3301.

Это предназначалось для всех, кто пытался отыскать настоящих Цикад по словам Cicada 3301. На самом деле они натыкались на подражателей. Оригинальные послания всегда содержали цифровую PGP-подпись, подтверждающую их подлинность. У подделок либо подпись отсутствовала, либо использовались фальшивые ключи.

Кто они?

Теорий полно:

• Спецслужбы (АНБ, ЦРУ) — вербовка криптографов? Но слишком открыто.
• Хакеры — Cypherpunk или Anonymous? Победители 2012 года работали над системой защиты информаторов, но связи нет.
• Тайное общество — масоны 2.0? Отсылки к Блейку и рунам добавляют мистики.
• Тролли — эксперимент? Кстати, вполне возможно и довольно смешно. Может, Цикады задумали показать, что такое найм в айти. Есть ощущение, что в 2012 году все происходило именно так: не взломал Пентагон — пошел вон.

В 2015 году хакеры под именем «3301» атаковали Planned Parenthood, но «Цикада» открестилась через PGP. А в июне 2024 года появилась хакерская группа Cicada3301, которая занимается ransomware-атаками. Они используют код, похожий на ALPHV/BlackCat, и даже запустили партнерскую программу на форуме Ramp. Но это точно не та «Цикада». Сообщество и старые участники уверены: настоящая «Цикада» не стала бы заниматься вымогательством. Это просто кто-то, кто решил использовать легендарное имя. В целом за время своего существования они пока ничего не сделали, но кто знает, может, нас ждет новый цикл в будущем?

Хотя культурный след «Цикады» по истине огромен. Она вдохновила эпизод сериала «Грань», игру Assassin’s Creed Origins и даже других подражателей, вроде Cicada Detroit. Пазлы «Цикады» стали эталоном для ARG (альтернативных реальностей), где виртуальное смешивается с реальным.

Мы считаем, что у Цикад получилось очень круто. По крайней мере, они неплохо разбираются в пиаре — создать такой ажиотаж вокруг себя. Да и такие задачи решать тоже вполне полезно, можете на досуге немного погрузиться в шифрование. Начать можете с шифра Цезаря.

В качестве домашнего задания — разгадайте наше послание и отпишитесь в комментах:

3, сруфгеяфж огно

Тайны тайнами, а кодить надо. Все о программировании — в нашем тг-канале!

Больше новостей — в нашем тг-канале «Представляешь»

Схема выглядит очень дружелюбно: злоумышленник представляется сотрудником МВД или другого госоргана и предлагает «помощь» в регистрации на каком-либо сервисе.

Во время разговора через мессенджер, мошенник просит включить демонстрацию экрана — якобы для удобства. Как только пользователь это делает, злоумышленник видит всё, что происходит на дисплее: логины, пароли, коды подтверждения.

Этого достаточно, чтобы тут же подать заявку на восстановление доступа к аккаунту на Госуслугах — прямо на глазах у жертвы.

Всё максимально «вежливо» — и очень опасно

Особенность этой схемы в том, что она не требует от жертвы вводить что-либо подозрительное или переходить по фишинговым ссылкам. Достаточно просто поверить «представителю МВД» и показать экран.

После того как мошенник получает код подтверждения, он моментально перехватывает аккаунт, меняет данные и блокирует доступ для настоящего владельца. Всё аккуратно, без вирусов и лишнего шума.

МВД: не включайте экран посторонним

В МВД напомнили, что функция демонстрации экрана — удобный инструмент, но при неправильном использовании он превращается в уязвимость.

Никакой сотрудник госорганов не имеет права требовать от вас показать содержимое смартфона в мессенджере, особенно в процессе «помощи» с регистрацией.

Если собеседник настаивает на этом — скорее всего, это мошенник. И чем вежливее он себя ведёт, тем быстрее стоит завершить разговор.

Узнаем, на каких принципах работает Edge AI, каковы преимущества работы ИИ на устройствах с ограниченными ресурсами, как Edge AI используются прямо сейчас и что будет с этой технологией в будущем.

Основные принципы работы Edge AI

Технология Edge AI — это развертывание моделей ИИ на основе нейросетей непосредственно на устройствах: смартфонах, камерах, датчиках и другом оборудовании. Для вычислений и анализа данных не не нужно обращаться к удаленным или облачным серверам. Устройства принимают решения на месте получения сигнала, что упрощает процесс.

Почему технология считается революционной? Вместо того чтобы гонять данные в облако и обратно, алгоритмы работают прямо на устройстве — будь то смартфон, камера наблюдения или беспилотный автомобиль. Процессор принимает решения мгновенно, не спрашивая разрешения у главного сервера.

Традиционные системы ИИ работают через сеть — данные уходят в дата-центр, там обрабатываются, а результат возвращается обратно. Проблема в том, что даже при быстром интернете такая схема создает задержки. Устройства с Edge AI реагируют на сигнал мгновенно.

Поэтому основное преимущество такого способа работы с данными — скорость. Беспилотному автомобилю нужно распознать пешехода за миллисекунды — ждать ответа из облака смертельно опасно. Другой аспект — автономность. Промышленные датчики и устройства, к которым они подключены, в удаленных локациях могут работать без стабильного интернета.

Есть и экономическая выгода. Зачем отправлять терабайты сырых данных, если можно обработать их на месте и передать только результат?

Наглядный пример: современные смартфоны используют Edge AI для обработки фото. Когда вы делаете портрет в размытом режиме «боке», нейросеть на устройстве сразу отделяет фон от объекта — без загрузки снимка в облако.

Обычные нейросети требуют огромных вычислительных ресурсов — например, чат GPT-4 вряд ли получится запустить на умных часах. Но Edge AI-модели — это «лайт-версии» своих облачных собратьев: они компактные, быстрые и энергоэффективные.

При этом данные никуда не отправляются, что обеспечивает их конфиденциальность: если нет постоянной передачи данных, хакерам сложнее перехватить информацию.

Пример: Apple использует Edge AI в Siri — голосовые команды распознаются прямо на iPhone, а не в облаке. Так компания гарантирует, что ваши разговоры с ассистентом не прослушает даже она сама.

Периферийный ИИ можно установить на любые устройства, работа которых требует быстродействия и определенной степени автономности. Это промышленные станки с умным зрением, беспилотные дроны для доставки товаров, камеры наблюдения. Такие системы не имеют ограничений в виде пропускной способности при передаче данных и задержек, связанных с серверами. Обработка происходит в режиме реального времени.

Технологии и инструменты для Edge AI

Для реализации Edge AI используются специальные инструменты и технологии. Их условно можно разделить на две категории: компактные модели нейросетей и аппаратные ускорители для мобильных устройств. Кроме того, созданы специальные фреймворки, значительно ускоряющие разработку ПО для Edge AI.

Компактные нейросети

Представьте, что вам нужно упаковать суперкомпьютер в бокс размером со спичечный коробок. Именно такую задачу решают разработчики компактных моделей для Edge AI.

Так, MobileNet использует хитрый трюк с разделяемыми свертками, что позволяет уменьшить модель в 10 раз без катастрофической потери точности. Ваш смартфон распознает лица на фото именно благодаря таким оптимизациям.

TinyML — это вообще магия микроуровня. Методика машинного обучения разработана специально для компактных нейросетей. Такие модели могут работать на устройствах с памятью меньше, чем занимает одна фотография в соцсетях. Датчик вибрации на заводском оборудовании с TinyML способен предсказывать поломки, потребляя энергии меньше, чем светодиодная лампочка.

Аппаратные ускорители

Даже самая оптимизированная модель нейросети будет тормозить без специализированного «железа». Так называемые нейроморфные процессоры обладают специальной архитектурой, имитирующей принцип работы человеческого мозга. Такие компоненты повышают производительность устройств и снижают стоимость внедрения Edge AI технологий.

Эти продукты делают автономные сети быстрыми и энергоэффективными:

• NPU (Neural Processing Unit) — процессоры, заточенные под нейросети. В iPhone и флагманских смартфонах Android стоят NPU от Apple и Qualcomm, которые ускоряют распознавание лиц и обработку фото в 5–10 раз быстрее CPU. Специализированные чипы запускают миниатюрные копии нейросетей на устройствах.
• TPU (Tensor Processing Unit) — разработка Google, созданная для ускорения TensorFlow-моделей. Edge TPU на компьютерах с одной платой Coral Dev Board позволяют запускать до 4 трлн (!!!) операций в секунду при потреблении всего 2 Вт.
• VPU (Vision Processing Unit) — чипы, оптимизированные под компьютерное зрение. Так, Intel Movidius используется в дронах и камерах видеонаблюдения анализа видео в реальном времени без облака. Они потребляют в 10 раз меньше энергии, чем обычные GPU, выполняя те же задачи. Камера ноутбука, которая размывает фон во время видеозвонков, использует именно такие процессоры.

Фреймворки для Edge AI

В числе самых популярных инструментов:

• TensorFlow Lite — идеален для Android и встраиваемых систем. Он поддерживает квантизацию (преобразование и сжатие) и аппаратное ускорение через NPU. Например, с его помощью можно развернуть модель распознавания жестов на одноплатном мини-компьютере Raspberry Pi за пару часов.
• PyTorch Mobile — выбор тех, кто любит гибкость. Фреймворк позволяет динамически изменять архитектуру модели прямо во время работы, что полезно для задач вроде адаптивного компьютерного зрения.
• Edge Impulse — самый дружелюбный инструмент для новичков. Он предлагает готовые шаблоны для TinyML и даже автоматически оптимизирует модели под конкретное железо. Например, с его помощью можно собрать систему мониторинга вибрации промышленного оборудования без написания кода.

Это лишь несколько наиболее популярных примеров. Есть и другие инструменты для работы с локальными нейросетями в зависимости от назначения устройств и степени их сложности.

Оптимизация нейросетей для Edge AI

В периферийном AI используются оптимизированные нейросети. Рассмотрим подробнее

Квантизация

Это «сжатие» модели за счет снижения точности вычислений. Например, переход с 32-битных чисел на 8-битные уменьшает размер нейросети в 4 раза, а скорость работы повышает вдвое или втрое. Точность слегка падает, но для многих задач (распознавание объектов, голоса) это незаметно. TensorFlow Lite и PyTorch поддерживают квантизацию «из коробки» — достаточно пары строк кода.

Distillation (дистилляция данных)

Действенный способ ускорения нейросетей. Большая, точная модель («учитель») передает знания компактной модели («ученику»). В итоге маленькая нейросеть сохраняет до 90% эффективности оригинала, но требует в 10 раз меньше ресурсов.

Специальные свертки

Стандартные свертки потребляют слишком много ресурсов — они перемножают все входные данные. Depthwise (глубинные) свертки работают точечно: обрабатывают каждый канал изображения отдельно, сокращая вычисления в 5–10 раз. Sparse (разреженные) методы еще радикальнее — они просто «выключают» лишние нейроны. Вместе эти подходы позволяют запускать ИИ даже на устройствах с 1 МБ памяти.

Преимущества Edge AI

Модели Edge AI обеспечивают быстродействие и эффективную работу устройств, используемых в самых разных сферах. Вместо централизованных систем, где вся инфа стекается для анализа в облако, каждое устройство работает автономно.

Подробно разберем основные преимущества моделей Edge AI.

Скорость

Главное преимущество Edge AI — это сверхнизкая задержка. В традиционных облачных системах данные сначала отправляются на сервер, обрабатываются и только потом возвращаются обратно — на это уходят драгоценные секунды. В Edge AI все происходит на самом устройстве, без потерь времени на передачу.

Пример. Беспилотный автомобиль видит пешехода, выскакивающего на дорогу. Если он начнет отправлять данные в облако и ждать ответа — столкновения не избежать. Edge AI решает эту проблему радикально: реакция происходит быстрее, чем моргание глаза (буквально — за 10-50 мс).

Устройства реагируют в реальном времени независимо от скорости интернета или загруженности облачных серверов. При этом вычисления происходят непрерывно, даже в условиях нестабильного соединения, а нагрузка на сеть снижается — данные не нужно постоянно пересылать туда-обратно.

Именно поэтому Edge AI становится стандартом для задач, где время реакции — ключевой фактор. Будь то интерактивные приложения, промышленная автоматизация или системы безопасности — локальная обработка обеспечивает тот самый мгновенный отклик, который раньше был невозможен.

Конфиденциальность

Облачные сервисы — всегда риск: утечки через взломанные серверы, слежка, случайные потери данных.

Edge AI действует иначе:

• лица для разблокировки телефона обрабатываются в защищенном контуре процессора;
• медицинские показатели анализируются непосредственно в умных часах;
• распознавание лиц камерами наблюдения происходит локально — в облако уходит только метка «подозрительный объект».

Потеря данных — серьезная проблема интернета. По данным IBM, утечки через облачные сервисы обходятся бизнесу в 1-5 миллионов долларов в среднем за инцидент. Edge AI сокращает эти риски в разы.

Снижение затрат

Передача данных в облако — это затраты. Если информацию отправляют тысячи устройств, суммы наберутся внушительные.

Автономные нейросети обеспечивают радикальную экономию средства:

• В системах видеонаблюдения вместо потокового видео на сервер отправляются только события («человек в запрещенной зоне»).
• IoT-устройства передают не сырые биометрические данные, а готовые метки (например: «пульс 120 ударов в мин.»).
• В промышленности модели на Edge работают годами без апгрейда железа.

Надежность

Завод в глубинке, шахта, обсерватория в горах, морское судно — во многих местах стабильный интернет затруднителен или невозможен .

Но с Edge AI проблема легко решается:

• датчики прогнозируют поломки оборудования без облачной аналитики;
• дроны обследуют трубы нефтепроводов в офлайн-режиме;
• умные счетчики годами работают от батареек, экономя до 90% энергии на передаче данных.

Раньше при обрывах данных производство просто останавливалось. Но станки с Edge AI сами применяют до 80% решений. Они ведут себя как надежные сотрудники, которым можно доверять.

Примеры Edge AI в действии

Edge AI — не абстрактная концепция, а конкретная технология, которая уже меняют нашу повседневную жизнь. Изучим несколько показательных примеров использования периферийного ИИ в реальном мире.

Распознавание лиц

Технологии вроде Apple Face ID и Android Face Unlock — это не просто селфи для разблокировки. Под капотом работает сложная система: инфракрасные камеры сканируют 30 000 точек на лице, строят 3D-карту и превращают вашу внешность в математический вектор, который невозможно подделать даже фотографией. Edge AI делает это мгновенно — прямо на устройстве, без отправки данных в облако.

Современные Android-смартфоны (например, Huawei и Xiaomi) догоняют Apple, используя нейропроцессоры (NPU) для ускорения распознавания. Но если iPhone работает даже в полной темноте, то многим Android-устройствам нужно хотя бы тусклое освещение — их камеры не видят в инфракрасном спектре

Безопасность

Камеры в аэропортах и офисах теперь могут искать подозрительных персон, не отправляя ваше фото в облако. Все обрабатывается локально: система сравнивает изображение с базой и только при совпадении передает сигнал. Это не только быстрее, но и этичнее — ваши данные никуда не утекают.

Беспилотники и автомобили

Представьте дрон, который доставляет лекарства в отдаленные районы. Если он будет ждать ответа из облака, чтобы облететь дерево, посылка разобьется вместе с ним. Edge AI позволяет таким устройствам мгновенно анализировать окружение и принимать решения прямо на борту. То же самое с беспилотными автомобилями: их камеры и лидары обрабатывают данные в 100 раз быстрее, чем если бы они отправляли их на сервер.

Цифровые помощники

Современные голосовые ассистенты на Edge AI понимают команды без интернета, будь то разблокировка двери или поиск рецепта. Никакой слежки — только мгновенный результат.

Производственное оборудование

Раньше станки ломались неожиданно, останавливая производство на дни. Теперь датчики с Edge AI замечают аномалии в вибрации или температуре за часы до аварии.

Медицина

Портативные ЭКГ с Edge AI не просто записывают кардиограмму — они мгновенно обнаруживают предынфарктное состояние и сразу сигнализируют врачу. В реанимациях такие системы сокращают время реакции с минут до секунд. А умные инсулиновые помпы сами корректируют дозу, анализируя уровень сахара в крови 24/7.

Городская инфраструктура

Светофоры, которые адаптируются к потоку машин, камеры, отслеживающие аварии, датчики протечки воды в трубах — все это работает на Edge AI. Городская инфраструктура становится умнее, но без тотальной слежки и уязвимых облачных серверов.

Ограничения Edge AI

Edge AI — это не волшебная таблетка. Да, он быстр, автономен и бережет ваши данные, но у этой медали есть обратная сторона.

Ограниченные ресурсы

Главное ограничение Edge AI — железо. Современные смартфоны в сотни раз слабее облачных серверов, а микроконтроллеры в датчиках — в тысячи.

Пример: Нейросеть для распознавания лиц на iPhone занимает всего 5 МБ, но это потребовало нескольких лет оптимизаций. GPT-4 с ее 1 трлн параметров в таком формате — пока фантастика.

Потребление энергии

Локальная обработка данных экономит интернет-трафик, но сжирает заряд. NPU в современных чипах оптимизируют этот показатель (например, Qualcomm Hexagon снижает энергопотребление в 10 раз), но физику не обманешь — Face ID на iPhone тратит в 3 раза больше энергии, чем Touch ID. Датчики IoT с TinyML работают годами на батарейке, но только если спят 99% времени.

Защита данных

Безопасность Edge AI — это обоюдоострое орудие:

• Плюс: Ваше лицо для разблокировки телефона не уходит в облако (в отличие от Google Photos).
• Минус: Взломать один умный замок с уязвимым Bluetooth проще, чем серверы Apple.

Хакеры могут взломать камеры наблюдения с Edge AI и другие инструменты непосредственно на месте. И при этом неважно, отправляют ли они данные в сеть и работают ли с ними локально.

Обновления

В облаке обновить нейросеть — пара кликов. На миллионе разрозненных устройств — квест и головная боль. Поэтому значительная часть медицинских и промышленных датчиков с Edge AI никогда не получает обновлений.

Машинное обучение

Чтобы обучить сложное устройство с Edge AI хотя бы базовым вещам, нужны терабайты данных. Например, роботизированным автомобилям, в том числе такси, нужно проехать тысячи километров, чтобы собрать нужные данные. Аналогично обстоят дела с другими устройствами.

Когда данных нет, их генерируют. Но ИИ, обученный на «муляжах», часто путается в реальном мире (вспомните Tesla, которая принимала луну за желтый светофор или видела призраков).

Будущее Edge AI

Сферы применения нейросетей Edge AI со временем расширяются — этот процесс неизбежен. Они активно внедряются в промышленность, городскую дорожную инфраструктуру, даже в сельское хозяйство (в виде беспилотников и датчиков для отслеживания состояния урожая).

Ближайшее направление эволюции периферийного ИИ — создание специализированных процессоров. Современные нейропроцессоры эффективные, но чрезвычайно затратные.

Ведущие ИТ-корпорации уже экспериментируют с архитектурой, в которой ИИ-блоки встроены прямо в ячейки памяти. Qualcomm, Apple и NVIDIA тестируют процессоры, которые смогут запускать генеративные нейросети на вашем телефоне, не превращая его в раскаленную сковородку.

Методы оптимизации нейросетей будут совершенствоваться. Уже сейчас прунинг (удаление лишних связей без потери точности) и адаптивное квантование (разная точность для разных слоев модели), позволяют ужимать ИИ до микроскопических размеров. Сейчас TinyML-модели работают на устройствах с памятью меньше 1 МБ — и это только начало.

Кстати! Забрать все самые топовые нейронки для айтишников можно в нашем большом гайде с 70+ ИИ-инструментами

Больше новостей — в нашем тг-канале «Представляешь»

Последняя используется для автоматизации торговли криптовалютами — она поддерживает десятки бирж и загружена более 93 млн раз. Вредоносная версия же незаметно перехватывала запросы пользователей и перенаправляла их... на подставной сервер злоумышленников.

Вместо работы с реальной биржей MEXC, как указано в README, пакет отправлял API-запросы на домен greentreeone[.]com — поддельную площадку, созданную специально для кражи ключей и управления ордерами жертвы.

Как именно крали деньги

Злоумышленники пошли умным путем: они не внедряли вредоносный код напрямую, а переопределили внутренние функции библиотеки CCXT, включая describe, sign и prepare_request_headers.

Эти функции отвечают за настройки, подписание и отправку ордеров. Вредоносный код был скрыт с помощью обфускации — сначала через base64, потом через цепочку eval и hex-строк.

В результате, при любом действии пользователя — размещении ордера, его отмене или открытии сделки — данные отправлялись не на MEXC, а на подставной сервер. Причем подделка была настолько достоверной, что пользователь получал ответ «OrderFilled», даже если фактически ничего не происходило.

Особую опасность представляет то, что sign-функция передавала в запросах все чувствительные данные, включая API-ключи и секреты — именно это позволяло хакерам получить полный контроль над учетной записью на бирже.

Как это распознали

JFrog обратила внимание на подозрительные техники маскировки, использованные в пакете. У разных версий были разные способы шифровки — что уже является красным флагом.

Затем исследователи расшифровали вредоносный код и выявили, что ccxt-mexc-futures загружает конфигурации с внешнего ресурса и подменяет оригинальные адреса API.

Такой подход позволял незаметно подменить критически важные участки взаимодействия между клиентом и биржей. Кроме того, при отсутствии токена аутентификации библиотека выдавала ошибку, принуждая пользователя явно его указать — это повышало шансы на кражу.

Что делать пользователям

Все, кто мог использовать ccxt-mexc-futures, должны немедленно удалить его из проекта, а также отозвать все API-ключи и токены, которые использовались при работе с биржей MEXC. JFrog уже добавила этот пакет в базу угроз Xray, и теперь он автоматически определяется как вредоносный.

Также стоит проверить, нет ли других пакетов от этого же пользователя на PyPI и быть особенно внимательным при установке «расширений» к популярным библиотекам.

Злоумышленники всё чаще используют supply chain-атаки — когда подмена происходит не на этапе использования, а ещё на стадии установки зависимостей.

Инцидент затронул районы Пало-Альто, Редвуд-Сити и Менло-Парк. При нажатии кнопки пешеходы слышали не предупреждение о движении, а реплики в духе «антиутопического стендапа».

Одно из сообщений от Цукерберга гласило:

«Вполне нормально чувствовать дискомфорт, когда мы насильно внедряем ИИ в каждую грань вашего сознания. Не волнуйтесь — вы всё равно ничего не сможете с этим сделать»

А Маск произносил фразу в духе:

«Все говорят, что рак — это плохо. Но вы пробовали быть раком? Это, чёрт возьми, потрясающе».

Оба голоса — не настоящие, а имитации, но передают стиль и образы технократов-миллиардеров слишком уж узнаваемо.

Городские власти в растерянности

По словам представителя Пало-Альто, взлом коснулся 12 светофоров в центре города. В Редвуд-Сити и Менло-Парке тоже подтвердили факт взлома, но точное количество затронутых объектов не раскрыли.

Сами светофоры продолжали работать штатно — сигнализация и порядок движения не пострадали. Однако звуковая функция, которая особенно важна для слабовидящих, была временно отключена по всей зоне. Сейчас специалисты устраняют последствия взлома.

Шутки с привкусом паранойи

Помимо реплик про ИИ и демократию, Цукерберг в аудиоизречениях иронизировал над приватностью, а Маск — над своим эго и привычкой платить за внимание.

Хакеры, по сути, превратили городские улицы в живой арт-проект на тему цифровой власти и абсурда технологической эпохи.

Голос технологий, но не тех, что планировались

Этот взлом — не просто пранк. Он ставит под сомнение устойчивость даже самых простых цифровых систем.

Светофоры, кнопки, голосовые помощники — всё может быть точкой входа для хакеров с чувством юмора и доступом к синтезу речи. А Маск и Цукерберг в этой истории — скорее образы, чем реальные цели.

Продажи остановились, а сотрудники несколько недель боролись с последствиями. По данным отчета, в течение двух с лишним недель были недоступны ключевые сервисы, включая онлайн-магазины и системы управления клиентскими данными.

Ущерб и реакция

В финансовом выражении атака стоила Fourlis Group $17 млн недополученной выручки. Несмотря на это, компания заявила, что смогла оперативно отреагировать, восстановить системы и сохранить прибыльность. К марту 2025 года все платформы снова заработали в полном объеме.

«Мы не стали платить выкуп, а вложились в модернизацию IT-инфраструктуры», — сообщили в руководстве. Этот шаг помог компании укрепить защиту, но также оставил открытым вопрос: кто стоит за атакой?

Безымянные взломщики

Интересно, что до сих пор ни одна хакерская группировка не взяла на себя ответственность. Обычно в таких случаях преступники публикуют украденные данные, если не получают выкуп. Но в этом случае утечки пока не было — по крайней мере, официально.

Это не первый случай, когда ИКЕА становится целью хакеров. В 2022 году группировка Vice Society атаковала магазины в Марокко и Кувейте, выложив затем похищенные данные в даркнете. Новая атака показывает, что ритейл остается одной из наиболее уязвимых отраслей в киберпространстве.