Exploitarium: витрина уязвимостей, которую снесли, но интернет не забыл

Обычно об уязвимостях сначала сообщают разработчикам и дают время на исправление, а детали раскрывают позже. На GitHub появился проект, работающий наоборот: пользователь под ником bikini создал репозиторий Exploitarium и начал публиковать данные о ещё не закрытых уязвимостях нулевого дня сразу в нескольких проектах. Ни одной из них на момент публикации не присвоили официальный идентификатор CVE.

Одна из записей в репозитории касалась архиватора 7-Zip. Для версии 26.01 под Windows описали цепочку действий с RAR5-архивом, где метка MotW хранилась через альтернативный поток данных ADS. Windows использует такие признаки для файлов, скачанных из интернета. Цепочка указывала на вероятную ошибку в парсере формата 7z, а вскоре после публикации разработчик Игорь Павлов выпустил исправление, которое, вероятно, закрыло эту брешь.

К моменту выхода новости GitHub заблокировал репозиторий Exploitarium и аккаунт bikini. Копия проекта осталась доступна через Web Archive. До блокировки пользователи успели отправить автору Pull request с новой информацией об известных им уязвимостях.

#уязвимости #zeroday #кибербезопасность
@SecLabNews

Подарок от Google. Как открытый коммит помог четырем хакерским бандам взломать корпорации за шесть дней

Шесть дней понадобилось китайским спецслужбам, чтобы раздать свежую связку из трех уязвимостей нулевого дня сразу четырем отдельным группировкам. Набор BlueMoon пробивает защиту поэтапно. Сначала эксплойт ломает движок V8 в Chrome, затем обходит браузерную песочницу, а баг в ядре Windows дает атакующим полные права администратора. Жертв из аэрокосмической отрасли, сырьевых трейдеров и госсектора ловили на фишинг, подсовывая шпионский модуль GemStone под видом официального помощника Google Gemini.

Уязвимым местом стала задержка выхода стабильной версии. Критическую брешь закрыли в репозитории Chromium еще 7 августа, а защищенную сборку выкатили пользователям только 3 сентября. Почти четыре недели авторы эксплойта изучали публичные изменения в коде, восстанавливали логику уязвимости и тестировали готовую цепочку. В исходниках набора исследователи нашли одинаковые загрузчики, логи отладки и ссылки на общий markdown-документ. Все группы снабжались из единого центра разработки.

Скорость тиражирования показала, насколько слаженно работает эта цепочка поставок. Разработчики оперативно закрыли бреши в Chrome и рекордном сентябрьском пакете Windows из 966 исправлений, но сам инструмент успел разойтись по операторам за считаные дни. Причем та же группа APT31 в начале года уже засветилась во взломе обновлений Notepad++. Пока между публичным коммитом и доставкой апдейта проходит месяц, открытые репозитории фактически сами подсказывают хакерам готовые векторы атак.

#zeroday #Chrome #Windows
@SecLabNews

Китайцы выложили в открытый доступ карманную фабрику цифрового оружия, и за океаном занервничали

Американцы годами убеждали индустрию, будто смертоносные киберспособности нейросетей надежно заперты за семью замками в секретных лабораториях Кремниевой долины. Иллюзия рассыпалась буквально на днях, когда ребята из Anthropic протестировали китайскую разработку GLM-5.3 от Z.ai. Оказалось, открытая восточная система штампует боевые эксплойты практически наравне с хваленой закрытой Claude Mythos Preview — 50 успешных пробитий против 56 в суровом тесте ExploitBench на движке V8. Еще недавно прошлые версии вроде Opus 4.6 или DeepSeek выдавали в таких задачах круглый ноль, а теперь открытая система наступает лидеру на пятки.

Дальше становится только веселее. Исследователи просто скормили новинке обычную сборку браузера под Linux и оставили развлекаться на сутки без подсказок. Результат впечатляет: модель нарыла свежие уязвимости нулевого дня в движке, связала находки в логическую цепочку и слепила страницу, читающую файлы на машине жертвы. Заодно раскопала дыры в драйверах беспроводных устройств и графических чипов. Самое веселое, что всю хваленую китайскую политкорректность и стоп-слова спецы вынесли вперед ногами всего за четыре с половиной тысячи баксов. Ровно столько ушло на аренду видеокарт, чтобы подкрутить веса и превратить осторожную нейронку в наглухо отбитого кибернаемника, готового без лишних вопросов ломать вообще все подряд.

Вашингтон искренне надеялся затормозить Восток санкциями на чипы, но пропустил момент, когда противник научился выжимать максимум из постобучения. Теперь любая группировка средней руки может развернуть у себя автономного взломщика браузеров всего за двадцать долларов накладных расходов на атаку. Времена, когда безопасность держалась на монополии американских облаков, официально подошли к концу, и отрасли пора готовиться к совершенно другой скорости реагирования на угрозы.

#GLM5 #Anthropic #ZeroDay
@SecLabNews