Azure Services Disrupted After Red Sea Submarine Cables Severed

https://securityonline.info/azure-services-disrupted-after-red-sea-submarine-cables-severed/

 CVE-2025-58179: Astro Cloudflare Adapter Vulnerability Enables SSRF

https://securityonline.info/cve-2025-58179-astro-cloudflare-adapter-vulnerability-enables-ssrf/

Malware in DNS
*
Собрать\разобрать TXT record регексами - это интересно
*
Link

#malware #dns

 Windows Defender Vulnerability Allows Service Hijacking and Disablement via Symbolic Link Attack

https://cybersecuritynews.com/windows-defender-vulnerability/

Государство, где кибератаки с использованием ИИ происходят круглосуточно, без выходных и праздников, уже существует. В Пхеньяне такой объект - Research Center 227, открытый весной 2025 года по личному указу Ким Чен Ына. Центр напрямую подчиняется Главному разведывательному управлению КНДР и стал центральным узлом в их различных кибероперациях.

В штате центра - 90 высококвалифицированных специалистов, работающих в три смены, чтобы покрыть часовые пояса Азии, Европы и Америки. Центр оснащен автоматизированными системами, способными сканировать сети, выявлять уязвимости и инициировать атаки без прямого участия человека.

Research Center 227 тесно интегрирован с известными хакерскими группировками КНДР. Lazarus получает инструменты для атак на финансовые учреждения, Kimsuky - для целевого шпионажа, а BlueNoroff - для проникновения в криптовалютные компании. По сути, центр превратился в «фабрику кибервойны», где искусственный интеллект встроен в каждый этап - от разведки и планирования до непосредственной реализации атак.

Как они используют ИИ в реальных действиях? Что сейчас известно об их деятельности.

В одной из кибератак APT37 (Thallium) использовала языковые модели ИИ для создания фишинговых писем, практически неотличимых от настоящих. Целью являлись точечные атаки на исследователей и аналитиков.

Известно что в прошлом году хакеры запрашивали у моделей вроде ChatGPT создание писем «от международного агентства развития» или контента для сайта «о феминизме», чтобы заманить жертв на вредоносные ресурсы.

BlueNoroff пошла еще дальше. В июне 2025 года сотрудник криптовалютной компании получил приглашение на Zoom-встречу. На звонке его встретили deepfake-двойники топ-менеджеров компании. После убедительного разговора жертве предложили установить «расширение для Zoom», которое на самом деле оказалось пакетом из восьми вредоносных программ, включая кейлоггер и бэкдор.

Famous Chollima (по информации из публичных источников - возможно, объединение нескольких групп) использовала ИИ для автоматизации целых схем найма: deepfake-собеседования, сгенерированные фотографии в резюме, а также сопроводительные письма созданные ИИ. Более 320 компаний по всему миру приняли на удаленную работу «сотрудников», что дало КНДР не только доход, но и прямой доступ к корпоративным системам.

Кроме того, гуглом зафиксированы попытки атак типа model poisoning. Пока успешных кейсов нет, но сами попытки демонстрируют: для КНДР ИИ — это стратегический ресурс, способный кардинально менять правила APT-сценариев в кибербезопасности.

Учитывая совокупность этих данных, деятельность КНДР в киберпространстве требует пристального внимания. Это часть большой, хорошо организованной стратегии.

То, что лично привлекает наибольшее внимание - это масштаб операций по найму. Факт, что более 320 компаний по всему миру придерживаются принципа работы небольших сотрудников, говорит не только о технической изоляции, но и о невероятной системности. Это не отдельные действия, а отлаженная машина по углублению в корпоративную среду.

Вероятно, для КНДР важно не просто использовать ИИ, а быть на переднем крае его применения в кибервойне. Это проявляется и в создании отдельного исследовательского центра, и в экспериментах с deepfake, и в автоматизации самых разных этапов атаки - от генерации писем до инструментов разработки. Они явно стремились превратить технологии в постоянного конкурентного преимущества.

На эту реакцию в мировом сообществе, на мой взгляд, пока что это слишком медленно.

☠️ Хакеры в моменте перехватывают пакеты NPM — крупнейшая атака на цепочку поставок в истории.

https://www.bleepingcomputer.com/news/security/hackers-hijack-npm-packages-with-2-billion-weekly-downloads-in-supply-chain-attack/

CTO Ledger советует тщательно проверять транзакции на аппаратных кошельках и временно воздержаться от ончейн-операций без них.

Что произошло?

• НПМ (npm) — это крупный реестр пакетов (библиотек) для программного обеспечения на JavaScript / Node.js. Разработчики загружают туда свои пакеты, другие проекты их устанавливают и используют.
• Злоумышленники каким-то образом получили доступ к некоторым популярным пакетам или аккаунтам тех, кто публикует эти пакеты, и вставили туда вредоносный код. Этот код может делать разные плохие вещи — например, воровать приватные ключи криптовалют, токены доступа (к GitHub, npm, SSH и т.п.), или «перехватывать транзакции».

Для DNS-сервиса Cloudflare 1.1.1.1 было выдано 12 ошибочных сертификатов

На прошлой неделе обнаружилось, что малоизвестный удостоверяющий центр Fina выпустил 12 неавторизованных TLS-сертификатов для 1.1.1.1 (популярный DNS-сервис Cloudflare) с февраля 2024 по август 2025 года, причем без разрешения компании. Сертификаты могли использоваться для расшифровки запросов, зашифрованных посредством DNS over HTTPS и DNS over TLS.

https://xakep.ru/2025/09/09/fina-certs/

🦹🏼‍♂️Хакер случайно раскрыл свою схему работы с ИИ и фишингом после установки пробной 🔒защиты

ИБ-эксперты зафиксировали необычный случай — хакер непреднамеренно раскрыл свои методы и цифровые привычки после того, как установил программное обеспечение безопасности Huntress на собственный компьютер. По словам специалистов компании, инцидент дал уникальное представление о том, как современные хакеры используют искусственный интеллект, автоматизацию и инструменты OSINT в своей повседневной деятельности.

Как уточняется в отчёте Huntress, злоумышленник нашёл компанию через рекламу Google, когда искал решения для обеспечения безопасности своей инфраструктуры. Он активировал бесплатную пробную версию и загрузил агент мониторинга, который сразу начал фиксировать все действия на устройстве.

Аналитики смогли идентифицировать его личность по имени хоста, которое ранее фигурировало в расследованиях, а также по истории браузера. Поведение пользователя указывало на активный интерес к автоматизации фишинга, сокрытию трафика и работе с платформами для генерации вредоносного контента.

На протяжении трёх месяцев наблюдения специалисты зафиксировали использование разнообразных инструментов. Среди них:

▫️Make.com — для автоматизации рутинных задач и взаимодействия между сервисами;

▫️API Telegram Bot — для управления ботнетами и распространения фишинговых ссылок;

▫️Google Translate — для перевода шаблонов писем на разные языки при подготовке атак;

▫️Censys — для поиска серверов с развернутыми прокси-фреймворками типа Evilginx;

▫️LunaProxy и Nstbrowser — сервисы резидентных прокси, использовавшиеся для сокрытия IP-адресов;

▫️AI-генераторы текстов и таблиц — для создания фишинговых сообщений и каталогизации украденных данных.

Хакер также изучал финансовые компании, поставщиков программного обеспечения и агентства недвижимости, подбирая жертв с высокой потенциальной отдачей. Был зафиксирован доступ к даркнет-площадке STYX Market, а также попытки использовать ROADtools — набор инструментов для атак на систему идентификации Azure AD.

Инфраструктура, связанная с этим злоумышленником, размещалась у канадского хостинг-провайдера VIRTUO. За две недели с неё было зафиксировано не менее 2471 попытки входа в чужие аккаунты, часть из которых сопровождалась созданием вредоносных почтовых правил и подменой токенов доступа.

Многие действия были нейтрализованы благодаря активным системам обнаружения в самой Huntress, как резюмировали специалисты компании.

🔗 Другие новости про хакеров, мошенников, утечки и ИБ можно прочитать здесь.