Группа киберразведки PT ESC представила обзор кибератак за III квартал 2025 года ✍️

В отчете рассмотрены хакерские атаки на инфраструктуры российских организаций и типовые цепочки группировок — от первоначального доступа до закрепления.

🙅‍♂️ За период отмечена активность таких групп, как PseudoGamaredon, TA Tolik, XDSpy, PhantomCore, Rare Werewolf, Goffee, IAmTheKing, Telemancon, DarkWatchman и Black Owl.

✉️ Фишинговые кампании шли непрерывно и маскировались под деловую переписку. Использовались:

• Запароленные архивы с LNK-, SCR-, COM-загрузчиками и документами-приманками; fake-CAPTCHA c запуском PowerShell.

• RMM и удаленный доступ (UltraVNC, AnyDesk), REST-C2 и многоступенчатые загрузчики.

• Редирект-логика: прошел проверку — скачивается полезная нагрузка; не прошел — происходит переадресация на заглушку легитимного сервиса.

• Zero-day-уязвимости: эксплуатация CVE-2025-8088 группировкой Goffee.

Полный отчет — на нашем сайте.

#TI #APT #Malware #Phishing
@ptescalator

🔎 Мы выложили на GitHub Runtime Radar — новое открытое решение для защиты контейнерных сред

Это наш вклад в развитие опенсорс-сообщества и безопасность контейнерных технологий (в первую очередь платформы Kubernetes), которые из-за своей популярности и повсеместного использования часто становятся целью для атак злоумышленников. В результате многие компании сталкиваются с необходимостью мониторинга сложных инфраструктур в реальном времени, но не имеют для этого простых и доступных инструментов.

🤩 Разработанное нами решение настраивается при помощи готовых политик безопасности и позволяет даже небольшим командам централизованно управлять своей инфраструктурой без приобретения дорогостоящих коммерческих продуктов. Для расследования инцидентов предусмотрен удобный интерфейс, а для интеграции в существующие процессы мониторинга поддерживаются стандартные протоколы и механизмы (syslog, SMTP и webhook).

«Runtime Radar создан в рамках нашей инициативы по развитию опенсорс-проектов в кибербезопасности. Наша цель — предоставить специалистам простой инструмент для развития практических навыков обеспечения безопасности контейнеров, который не требует глубоких знаний по разработке, — отмечает Михаил Бессараб, руководитель продукта PT Container Security. — Мы выложили документацию и код решения на GitHub, и оно уже вызвало интерес среди инженеров по IT-мониторингу и команд SOC».

А если его возможностей будет не хватать, можно использовать PT Container Security — платформу для комплексной защиты контейнеризованного приложения на всех этапах его жизненного цикла.

👍 Мы планируем активно улучшать и дорабатывать Runtime Radar и продолжим вносить свой вклад в развитие опенсорс-сообщества.

Узнать больше о продукте, чтобы начать с ним работать, можно на сайте проекта и на GitHub.

@Positive_Technologies

🛡 Наши эксперты помогли закрыть девять уязвимостей в контроллерах отечественного производителя оборудования для АСУ ТП Fastwel

Максим Грузин, Илья Бублий, Константин Максимов, Иван Тараканов и Илья Рогачев обнаружили недостатки безопасности в программируемых логических контроллерах (ПЛК) CPM723-01 и CPM810-03.

Оба ПЛК внесены в реестр российской промышленной продукции и используются в нефтегазовой и железнодорожной отраслях, электроэнергетике, судостроении, металлургии, добывающей промышленности, коммунальном хозяйстве.

⚠️ Чем опасны уязвимости

Эксплуатация ошибок PT-2025-40257—PT-2025-40265 (BDU:2025-11164—BDU:2025-11172, от 8,3 до 9,4 балла по шкале CVSS 4.0), которыми мог воспользоваться как внутренний, так и внешний нарушитель, имеющий доступ к оборудованию, теоретически привела бы к существенным сбоям.

🔴 Самые опасные уязвимости — PT-2025-40257–PT-2025-40260 позволяли выполнить произвольный код в операционной системе контроллера.

🔴 Недостатки безопасности PT-2025-40261–PT-2025-40265 могли стать первым шагом к компрометации устройств (получению прав администратора, получению полного контроля над ПЛК, похищению данных пользователей и пр.)

👾 Как защититься

Fastwel оперативно выпустила обновления безопасности для обоих ПЛК, компаниям, которые пользуются уязвимым оборудованием, нужно обновить CPM723-01 до версии 3.4.9.5 и CPM810-03 — до версии 3.4.5.1.

«Снизить вероятность атаки с использованием подобных ошибок, а также уменьшить ее поверхность помогут сегментация сети компании и ограничение доступа к локальной вычислительной сети АСУ ТП», — рекомендует специалист группы экспертизы АСУ ТП Максим Грузин.

Также эксперт советует отключить веб-конфигуратор контроллера и неиспользуемые сетевые сервисы, заменить все пароли по умолчанию на сложные и убедиться, что доступ к ПЛК есть только у тех сотрудников, которым он действительно необходим.

Подробности об уязвимостях ищите в новости на сайте и на портале dbugs.

#PositiveЭксперты
@Positive_Technologies

Мы обновили PT Dephaze — систему для безопасных автопентестов внутренней инфраструктуры 🧤

Теперь продукт показывает реальный путь хакера до целевых систем и выявляет среди тысяч недостатков безопасности десятки действительно опасных цепочек атак.

Это позволяет специалистам сосредоточиться на устранении только тех проблем, которые могут привести к непоправимому ущербу для бизнеса.

Также новая версия поддерживает тестирование десятков тысяч узлов, обеспечивая полный охват корпоративной сети.

🫤 А еще были расширены векторы атак для Linux-систем, сетевых принтеров, систем резервного копирования и системы управления правами доступа Active Directory. Все найденные логины и пароли привязываются к конкретным атакам, что упрощает поиск и устранение уязвимых мест.

Продукт применяет те же инструменты и методы, которые встречаются у хакеров при кибератаках. Только используются они абсолютно безопасно для инфраструктуры: можно регулировать интенсивность и тип атак, а также исключать из проверки критически важные бизнес-системы. При этом любые потенциально опасные действия требуют обязательного ручного согласования перед выполнением.

👋 Ярослав Бабин, директор по продуктам для симуляции атак, Positive Technologies, отметил:

«Мы уделяем большое внимание обратной связи от клиентов, и новая версия — это прямой отклик на их ключевой запрос: полная прозрачность работы системы. Теперь специалисты видят не просто результат, а каждый этап автопентеста: какие атаки выполняются и какие конкретные доказательства компрометации получены. Это дает абсолютное понимание реальных угроз и способов их устранения».

Главная задача инструмента — предоставить специалистам по кибербезопасности наглядные доказательства возможного взлома, которые помогут ИТ-командам приоритизировать задачи по исправлению критических недостатков в инфраструктуре и оперативно устранить их.

😈 Попробовать PT Dephaze в действии можно оставив заявку на нашем сайте.

#PTDephaze
@Positive_Technologies