🧑‍💻 21 попытка, 32 zero-day и только первый день

Pwn2Own Ireland 2026 ещё толком не успел начаться, а исследователи уже принесли организаторам 32 уязвимости нулевого дня. За 21 попытку участники заработали $388 500, причём под удар попали не экспериментальные стенды, а Galaxy S26, ИИ-инструменты, базы данных и устройства умного дома.

В рамках турнира участники атакуют продукты сразу в семи категориях, от iPhone 17, Galaxy S26 и Pixel 10 до принтеров, IoT-устройств, мессенджеров и ИИ-инфраструктуры. В этом году появилась и отдельная категория с устройствами для здоровья, так что исследователи фактически проверяют на прочность почти весь набор современной подключённой электроники.

Масштаб хорошо показывает, насколько широким стал современный рынок атак. На одном турнире соседствуют смартфон, ИИ-агент, принтер, умная колонка и мост для лампочек. Общего у таких целей немного, кроме одного свойства. В каждой хватает ошибок, за которые готовы платить десятки тысяч долларов.

И всё это произошло за первый день из четырёх. Если старт уже дал 32 zero-day, главный вопрос к Pwn2Own теперь не в том, что ещё взломают, а сколько продуктов вообще доживут до финала без успешной атаки.

#Pwn2Own, #ZeroDay, #Кибербезопасность @SecLabNews

ИИ теперь помогает вымогателям решать, сколько денег требовать с жертвы

🐯Исследователи Positive Technologies заметили новый тренд: хакерские группировки начали разрабатывать собственные ИИ-инструменты для работы с украденными данными.

Например, группировка TITAN заявляет, что ее система сама сортирует похищенные документы, ищет наиболее чувствительную информацию и оценивает, какой максимальный выкуп сможет заплатить компания. По словам злоумышленников, до 700 ГБ данных она способна обработать меньше чем за час.

🕸Причем ИИ становится не только инструментом атак, но и новой целью. Исследователи также обнаружили троян KAIDO RAT, который атакует рабочие среды разработчиков и перехватывает данные из десктопной версии Claude.

😎Кажется, выражение «ИИ против ИИ» окончательно перестает быть красивой метафорой. 15–16 октября именно вокруг этого противостояния строится Positive Security Day: там будут разбирать, как ИИ уже используют по обе стороны кибератак — и что с этим делать защитникам.

Добро пожаловать в таймлайн, где нейронки анализируют нейронки, которые атакуют людей с нейронками 🫡

Изучите программу Positive Security Day и успейте зарегистрироваться!

🚔Украл у воров, прикрутил ИИ и забыл закрыть сервер: эпичный провал Русскоязычного хакера Azazel

В даркнете кипит своя драма, где жадность фраера не просто сгубила, а выставила на посмешище. Русскоязычный хакер с ником Azazel пристроился партнёром к вымогателям из The Gentlemen. Расклад у ребят был сказочный: бери готовый шифровальщик, ломай конторы, забирай 90% куша, а жалкие 10% отстегивай создателям софта за франшизу. Но нашему герою даже десятина поперек горла встала. Парень решил, что самый умный, склепал тайком собственный сайт утечек LEAKNED и начал уводить жертв налево, забирая весь выкуп в один карман.

Закончился этот стартап внутри корпорации классически. Гений киберпреступности намертво продолбал настройки собственного сервера и вывалил наружу 50 терабайт служебных данных. Эксперты из CloudSEK зашли на огонек и тихо выпали в осадок. Там лежали свежие потроха двух десятков контор из шести стран, включая украденные секреты из GitLab, ключи от облаков и кучу чужих баз. Самое забавное, что Azazel умудрился автоматизировать рутину через Model Context Protocol, превратив ИИ-ассистента в пульт управления взломанными серверами. Технологично, дерзко, но руки все равно растут не из того места.

Пока ИБ-безопасники спорят о восстании машин, взломщики уже вовсю гоняют ИИ в боевых условиях, чтобы не отвлекаться на ручные команды. Только вот базовая гигиена решает вообще все: ты можешь писать промпты и потрошить репозитории, но если забыл закрыть собственный сервер, тебя сольют безопасникам раньше, чем твои же разозленные подельники пустят на фарш.

#ransomware, #киберпреступность, #TheGentlemen @SecLabNews

😃Написал боту лишнего? Жди вежливых людей в бронежилетах у входной двери

Наивность некоторых пользователей искренне умиляет. 30-летняя дамочка решила вести личный дневник прямо в диалоге с Claude и накатала два сообщения про свежий ствол и желание перестрелять офис местного начальника полиции. Автоматика безопасности Anthropic среагировала мгновенно, дежурные безопасники глянули текст своими глазами и сдали авторку копам без лишних соплей. Теперь у нее тяжелая статья за письменные угрозы насилием, а бот просто продолжил крутить веса в матрицах.

Народ упорно путает домашнюю консоль с чужой облачной фермой. Если крутишь модель на сторонних серверах, каждое слово проходит сквозь жесткие фильтры на лету. Вслед за сентябрьским кейсом OpenAI, где слили чела за угрозы ребенку, мы наблюдаем четкую систему. Корпораты вписали в правила право стучать при первой же неминуемой опасности без всяких решений судов, прикрывая собственные юридические тылы за пару кликов.

Точные пороги срабатывания алертов Anthropic не раскрывает, так что любой нервный запрос теперь потенциально читают модераторы. Хотите изливать душу и генерить дерзкие скрипты без риска увидеть оцепление под окнами? Разворачивайте легковесные опенсорсные сетки на своем железе, пока облачные вендоры окончательно не превратились во внештатных агентов полиции.

#ии, #безопасность, #приватность @SecLabNews

🗒Удар по территории завода «Саста» затронул инфраструктуру Yandex Cloud


Ночью в Сасово загорелась территория завода «Саста», где работает дата-центр «Яндекса». Первые сообщения связывали пожар с атакой, но сама компания подтвердила лишь «инцидент» и не назвала его причину.
Последствия быстро вышли за пределы промзоны.

В зоне Yandex Cloud ru-central1-b начались перебои с электропитанием, клиентам рекомендовали переносить нагрузку, а в других зонах временно нельзя было создавать новые виртуальные машины, кластеры Kubernetes и базы данных.

На некоторое время проблемы добрались и до обычных пользователей. Приложение и веб-версия «Яндекса» не работали около часа. Хорошее напоминание о том, что за словами «облако» и «отказоустойчивая инфраструктура» стоят вполне реальные здания, линии питания и серверные стойки.

«В дата-центре «Яндекса» в Сасово в результате атаки БПЛА произошел пожар, затронувший часть инфраструктуры. Пострадавших нет, профильные службы на месте устраняют последствия», — подтвердили в компании.

#Яндекс, #YandexCloud, #датацентр @Seclabnews

😱Роскомнадзор объявил войну виртуальным раздевалкам

Судебная система внезапно сделала то, до чего у многих руки не доходили годами. По иску РКН в Москве признали незаконным сервис, заманивавший народ слоганом про раздевание подруг через нейросеть. Казалось бы, очередная блокировка безымянного зарубежного сайта, коих тысячи, но в формулировках кроется прекрасное. Под раздачу попал не столько сомнительный результат работы генеративки, сколько сам факт того, что в алгоритм скормили чужой снимок без спроса.

Юристы наконец-то докопались до сути механики. Когда нейросеть пририсовывает чужую голову к нарисованному телу, создатели сервисов обычно включают дурачка и кричат, мол, пиксели вымышлены, совпадения случайны, цифровой арт чистой воды. Но суд четко увязал исходный портрет и персональные данные. Разрешения на обработку лица никто не давал, значит, вся цепочка превращается в нарушение неприкосновенности частной жизни. По сути, вне закона объявили не только готовые сгенерированные картинки, но и саму загрузку чужих исходников на подобные площадки.

Полноценно зарегулировать зарубежные веб-интерфейсы через блокировки сложно, зеркала плодятся за пять минут, а локальные модели вообще запускаются на домашней видеокарте. Зато теперь у правоохранителей появляется железобетонная база, чтобы прижимать к ногтю тех, кто эти фотки берет и заливает. Анонимности в сети давно нет, и если обиженный человек пойдет писать заявление, сослаться на безобидную шалость с нейросетью уже не получится.

#дипфейки, #роскомнадзор, #нейросети @SecLabNews

🤥Curator восстановила сеть за 34 минуты после ошибки конфигурации

Компания Curator раскрыла причину сбоя 8 октября, затронувшего сайты крупных российских СМИ. Во время технических работ специалисты допустили ошибку при настройке сетевого оборудования, из-за которой часть клиентской инфраструктуры временно стала недоступна.

Авария началась в 15:30 по московскому времени. По данным Curator, специалисты локализовали неисправность в течение получаса, а к 16:04 полностью восстановили работоспособность сети.

После устранения ошибки новых перебоев компания не наблюдает. Curator заявила, что инфраструктура функционирует штатно, а доступность клиентских сервисов восстановлена. Расследование обстоятельств аварии продолжается.

#Curator, #Инфраструктура, #Рунет

💩Код есть, понимания ноль. Математики открыто послали команду Альтмана с их доказательствами

История с решением задач тысячелетия переросла в грандиозный скандал с запахом открытого саботажа. OpenAI выкатила репозиторий из 372 групп результатов, гордо объявив о решении фундаментальных проблем математики и теоретической информатики. Но когда пыль от фанфар осела, выяснилось занятное. Разработчики даже сами признают, что в материалах без машинной верификации полно ошибок, а весь банк решений скормили сообществу в расчёте на то, что живые профессора вручную найдут все баги.

Технари прекрасно знают эту порочную практику, когда сырой релиз выкатывают в прод без тестов, перекладывая отладку на пользователей. Только здесь ценой вопроса выступает фундаментальная наука. Прогнать четыре тысячи задач через закрытый кластер и выдать тонны текста без возможности независимого воспроизведения, это откровенное издевательство над научным методом. Консультанты из профильной группы прямым текстом заявили, что никакой ответственности за эту гору макулатуры не несут и методы компании не одобряют.

Если алгоритм нашёл решение, но алгоритм закрыт, а само доказательство не порождает новых теорий и идей, ценность такой работы стремится к нулю. Технокорпорации пытаются подменить поиск истины генерацией правдоподобных текстов. И если сообщество проглотит такой подход, научные публикации окончательно утонут в непроверяемом галлюциногенном спаме, написанном нейросетями ради красивых графиков в отчётах.

#Нейросети, #Наука, #Скандал @SecLabnews

💥Два удара за две ночи. Облачная инфраструктура «Яндекса» теряет мощности

Вторую ночь подряд беспилотники атакуют дата-центры «Яндекса». После удара по площадке в Сасово под удар попал крупнейший серверный комплекс компании в Калуге. Несколько модулей полностью вышли из строя, а «Яндекс» предупредил о возможных перебоях в работе сервисов.

Калужский ЦОД рассчитан более чем на 3800 серверных стоек общей мощностью 63 МВт. Повреждения затронули часть инфраструктуры, но сколько вычислительных мощностей потеряно и удастся ли восстановить оборудование, пока неизвестно.

Предыдущая атака уже вывела из строя зону доступности Yandex Cloud и затронула сторонние интернет-сервисы. Теперь повреждена ещё одна площадка, а значит, нагрузка на оставшуюся инфраструктуру может возрасти. Полный масштаб последствий двух ударов пока не установлен.

#Яндекс, #ЦОД, #Беспилотники @SecLabNews

⚒️Дата-центр «Яндекса» после удара дронов могут восстанавливать целый год

Удар беспилотников по дата-центру «Яндекса» в Сасово может обойтись компании в миллиарды рублей и надолго вывести площадку из строя. По оценкам экспертов, восстановление способно занять до года, а строительство аналогичного центра обойдётся в 12–15 млрд рублей без учёта серверов.

После атаки 8 октября на площадке начался пожар, работу десятков тысяч серверов полностью остановили. Пока неизвестно, сколько оборудования удалось сохранить. Если пострадали только системы питания и охлаждения, ремонт может занять один-два месяца. При серьёзных повреждениях машинных залов сроки увеличатся многократно.

Стоимость самих серверов может оказаться значительно выше затрат на инженерную инфраструктуру, особенно с учётом ускорителей для нейросетей. «Яндекс» пока не раскрыл ни размер ущерба, ни сроки возобновления работы. Год простоя остаётся экспертным сценарием, а не официальным прогнозом.

#Яндекс, #ДатаЦентры, #Беспилотники @SecLabNews

⚒️Третий дата-центр «Яндекса» остановлен, Yandex Cloud перешёл в аварийный режим

За четыре дня беспилотники повредили уже третий крупный дата-центр «Яндекса». После удара по площадке во Владимире компания полностью остановила её работу, а Yandex Cloud впервые прямо предупредил, что оставшаяся конфигурация облачной инфраструктуры стала неустойчивой.

До нового инцидента провайдер ещё мог перераспределять нагрузку между зонами доступности. После потери Сасово, повреждений в Калуге и остановки владимирской площадки запас резервных мощностей сократился настолько, что управление квотами уже перевели в ручной режим, а клиентам советуют готовить аварийное восстановление за пределами Yandex Cloud.

Для бизнеса предупреждение означает, что даже работающие сейчас виртуальные машины, базы данных и приложения нельзя считать защищёнными от следующего отказа. Компания не сообщает, сколько ресурсов осталось доступно и когда облако сможет вернуться к штатному режиму.

#Яндекс, #YandexCloud, #ДатаЦентры @SeclabNews

🙈Такси, магазины, доставка и платежи столкнулись с массовыми сбоями

Заказать такси, оплатить покупку, получить доставку или открыть рабочие документы утром 11 октября оказалось непросто. Жалобы поступают на «Яндекс Go», «Яндекс Пэй», «Яндекс Еду», «Яндекс Про», «Яндекс Музыку», «Кинопоиск», «Яндекс Игры» и «Дом с Алисой». Перебои также затронули сервисы «Яндекс 360», включая Почту, Диск, Телемост, Календарь и Документы.

Но список не ограничивается продуктами «Яндекса». Пользователи сообщают о проблемах у «Додо Пиццы», «Ленты», «М.Видео», «Магнита», «Вкусно и точка», Flowwow, Lamoda, «Дом.ру» и Ivideon. По данным мониторинга , жалобы на некоторые сторонние площадки начали расти одновременно с аварией Yandex Cloud. Государственная система «ВетИС» отдельно сообщила о переходе в аварийный режим из-за проблем с электропитанием.

Прямая связь между облачной аварией и всеми перечисленными сторонними сервисами пока не доказана. Но последствия подтверждённых неполадок «Яндекса» уже ощущают обычные пользователи и организации. Технические проблемы перестали ограничиваться одним приложением, а восстановление облачной инфраструктуры осложняет потеря резервных мощностей.

#Сбой, #Интернет, #YandexCloud @SecLabNews

🆕 Еженедельный обзор киберновостей

Беспилотники за четыре дня атаковали три дата-центра «Яндекса» — в Сасово, Калуге и Владимире, и в воскресенье это почувствовали обычные пользователи: такси, доставка и платежи массово сбоили. ФСО тем временем получила «рубильник» для 4G и 5G, а за океаном ФБР задержало хакера из десятки самых разыскиваемых — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.

🌎В мире

Сотрудник ЦРУ создал собственную секретную госпрограмму и под её прикрытием украл из бюджета США более $190 млн.

ФБР впервые задержало хакера из списка десяти самых разыскиваемых: его связывают со схемой взлома банкоматов с помощью Ploutus.

США назначили награду в $10 млн за организатора кампании Hafnium, в ходе которой взломали тысячи серверов Microsoft Exchange.

Власти Канады через законопроект C-22 требуют встроить бэкдор в Psiphon, и один из главных инструментов обхода цензуры может покинуть страну.

Хакеры проникли в систему управления движением супертанкера, который шёл с грузом нефти к берегам США.

🇷🇺В России

После удара беспилотников по дата-центру во Владимире — третьего за четыре дня — у «Яндекса» сбоили такси, доставка, платежи и «Яндекс 360».

ФСО получила возможность временно отключать базовые станции 4G и 5G во время специальных мероприятий.

МВД требует у Telegram коды доступа, хотя восемь лет назад похожий спор закончился объяснением, почему это технически невозможно.

В рамках «Антифрода 3.0» Минцифры хочет поставить на учёт все устройства, которые выходят на связь сами: счётчики, камеры, сигнализации и кассы.

Из-за «белых списков» мобильный трафик в регионах упал на треть, и люди возвращаются к проводному интернету и обычным звонкам.

🧱Новости в сфере ИБ

Захватив доменные зоны .gh, .sl и .as, хакеры получили настоящие сертификаты для доменов Google, и HTTPS принял подмену.

Из-за ошибки в GoBalance секретный ключ .onion-сайта теперь можно вычислить по открытым данным.

В NetScaler нашли уже третью за неделю уязвимость нулевого дня, и она поражает даже полностью обновлённые системы.

Vercel подтвердил, что из гостевой виртуальной машины удалось полностью выбраться и получить root.

Червь Shai-Hulud проник в официальный пакет Tensorlake, а отзыв украденного ключа мог запустить уничтожение файлов.

📖 Почитать

Можно ли войти в информационную безопасность без профильного диплома, где его всё-таки требуют и как доказать свой уровень домашним стендом и отчётами по лабам.

Зачем нужны нейроморфные чипы, которые работают по принципам нервной системы и почему они не заменят привычные процессоры, а будут их дополнять.

Как вредоносы распознают песочницу и почему чистый отчёт ещё не значит, что файл безопасен.
Что можно и за что штрафуют при использовании VPN в России в 2026 году.

Почему сравнивать себя с собой двадцатилетней давности — проигрышная игра и по каким показателям взрослая жизнь легко побеждает молодость.

⭐️Мероприятия

До 15 октября открыта регистрация на CampGO — командные киберучения пятого сезона CyberCamp, которые пройдут с 24 октября по 6 ноября.

15–16 октября на Positive Security Day разберут, как ИИ используют по обе стороны кибератак и что с этим делать защитникам.

Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.

@SecLabNews | Мы в Мах