НеИБи

Опять MFA подвел Huntress десять недель наблюдала за кампанией против Microsoft 365. С 14 июля по 22 сентября 2026 года атакующие успешно вошли в 79 организаций, совершив 497 входов, и зарегистрировали как минимум 48 поддельных устройств в Entra ID. При этом пароли они не подбирали. Техника называется token spraying и заключается в распыляют украденные сессионные токены по множеству аккаунтов, надеясь, что хоть один еще жив. Чтобы вектор сработал, сначала жертву ловят на поддельной странице входа (adversary-in-the-middle). Прокси-сервер пропускает через себя настоящую страницу Microsoft и запрос MFA, а после успешного входа забирает себе токен сессии. Этот токен выдан уже после двухфакторной аутентификации, поэтому тот, кто его держит, MFA больше не проходит. Дальше токен воспроизводится с чужих серверов. В данном случае из диапазона 193.26.115[.]0/24, принадлежащего немецкому хостингу 1337 Services GmbH. Урон атакующие наносили знатный. Кроме компрометации почты они стирали существующие методы MFA и регистрировали свои. Например, приложение аутентификатора с названием «iPhone 13». Меньше чем за час после первого входа в одном из инцидентов у жертвы уже стоял новый аутентификатор. И сброс пароля здесь уже не поможет. Да, токен умрет, но зарегистрированный метод аутентификации останется. Ну и на всякий случай уже десятки фейковых компьютеров с именами вроде DESKTOP-54521F46 тоже переживают смену пароля и позволяют запрашивать новые токены. Защита, по мнению Huntress, упирается в Conditional Access (привет Zero Trust). Причем настраивать его надо безусловно — для всех пользователей, всех приложений и всех клиентов. А вообще всегда полезно лишний раз проверить, не висит ли в вашем тенанте устройство с именем DESKTOP- и восемью hex-символами. Если висит, возможно, оно там не просто так. @antiinfosec

Наталья Касперская заявила, что Россия в мировой гонке ИИ вторична. В первую очередь из-за меньших инвестиций в свои большие языковые модели. При этом Касперская отдала приоритет в Российском сегменте Сберу. Яндекс, по ее словам, отказался от своей языковой модели из-за дороговизны.

PHP встал на паузу Прошло два дня с момента экстренного релиза патчей для критических уязвимостей ядра PHP. ИБ-сообщество замерло в ожидании первых крупных инцидентов, однако хакеры, похоже, пока демонстрируют больше усердия, чем результативности. По данным профильных мониторинговых агентств, число попыток сканирования и атак по всему миру уже исчисляется миллионами. Любопытно, что при такой плотности огня эксперты ИБ до сих пор не зафиксировали ни одного подтвержденного случая успешного взлома реальных систем. Тем не менее, наиболее консервативные зарубежные структуры, от азиатских больниц до североамериканских образовательных ведомств, предпочли не испытывать судьбу и превентивно отключили свои веб-сервисы от сети. По данным Censys, по состоянию на 23 октября более 34,4 миллионов PHP-сервисов по-прежнему работают на уязвимых версиях. В российском сегменте интернета, где историческая привязанность к PHP традиционно крепка, ситуация заставила хостеров и крупный бизнес реагировать на опережение. Не дожидаясь официальных патчей от разработчиков языка, крупный провайдер «Рег.ру» предпочел перестраховаться и ввел превентивные ограничения, частично заблокировав загрузку файлов в ряде интерфейсов для клиентов виртуального хостинга. Шаг радикальный, конечно. Волна 403 в панелях управления была заметной. Но это точно помогло выиграть время и автоматически защитить миллионы сайтов без участия самих пользователей. Для остальных гигантов Рунета масштаб проблемы зависит от архитектуры. Главный бенефициар технологии, социальная сеть «ВКонтакте», судя по всему, может продолжать работу в штатном режиме. Их экосистема давно опирается на собственный компилятор KPHP, трансформирующий код в C++, что де-факто изолирует платформу от низкоуровневых проблем стандартного интерпретатора. Зато остальным крупным игрокам рынка, использующим классический стек, есть о чем подумать. В зоне потенциального риска остаются инфраструктурные компоненты маркетплейса Avito, образовательные платформы Skyeng, а также внешние веб-модули ритейлера Lamoda и медицинского сервиса «СберЗдоровье». Отдельной строкой идут сотни тысяч коммерческих сайтов на базе систем «1С-Битрикс». Запасаемся попкорном. @antiinfosec