НеИБи

Взлом Dahua камер За 35 дней, с 17 июня по 22 июля 2026 года, один оператор скомпрометировал более 14,5 тыс. IP-камер Dahua. Больше всего взломанных устройств оказалось в Украине и России. Исследователи из Hunt.io обнаружили кампанию случайно — нашли в открытом доступе рабочую директорию самого оператора с 407 МБ данных: исходники, логи, креды, скриншоты с камер, shell-историю. Оператор просто забыл закрыть HTTP-сервер. Атака шла по трем направлениям одновременно. Первое — это банальный брутфорс порта 37777. Система перебирала логины и пароли, скомпрометировав так 12 324 уникальных IP-адреса. Второй шаг — эксплуатация старых уязвимостей CVE-2021-33044 и CVE-2021-33045 (CVSS 9.8) через инструмент p2pwn — так взломали еще 1 923 камеры. Третьим уровнем стала облачная relay-атака: 283 камеры за NAT были скомпрометированы просто по серийному номеру, без пароля. В 89,4% случаев серийного номера хватало для доступа. На взломанных камерах оператор оставил постоянный бэкдор-аккаунт p2pwn / p2password. Он хранится независимо от административного пароля и переживает смену пароля, а на большинстве прошивок даже сброс к заводским настройкам. Хуже того, инструментарий генерирует коды восстановления на основе серийного номера камеры через штатный процесс Dahua. Удаление бэкдор-аккаунта не аннулирует эти коды — они остаются рабочими, пока Dahua не изменит логику на стороне сервера. Рекомендации стандартные, но критичные. Все камеры Dahua, которые были доступны через порт 37777 в период с июня по июль, считайте потенциально скомпрометированными. Проверьте наличие аккаунта p2pwn и удалите его. Установите прошивку SA-2021-0130 или новее. Отключите P2P, если оно не нужно. @antiinfosec

Ус отклеился Одно из самых популярных имен, под которые маскируются вредоносные файлы в Windows, — svchost.exe. Десятки легитимных процессов с этим именем постоянно висят в диспетчере задач, и пользователь просто не обратит внимания на очередной. Злоумышленники знают это и не только называют свои файлы похоже, но и активно мимикрируют под системный процесс. Недавно исследователю попался файл svchost.pyc. На первый взгляд обычный svchost, но на деле скомпилированный Python-байткод с многоступенчатой логикой. Код частично зашифрован через Base85 → XOR → LZMA-декомпрессия, затем exec(). Статический анализ был не прост, но исследователь неплохо поработал. Внутри классический набор техник: COM Hijacking через scrobj.dll, добавление в исключения Defender, патчинг AMSI и ETW в памяти процесса и внедрение shellcode в другой процесс через VirtualAllocEx → CreateRemoteThread. Процесс маскируется под svchost.exe -k netsvcs через подмену PEB. А еще он помечается как критический для системы (ProcessBreakOnTermination) и защищен двумя вотчдогами через Scheduled Task и WMI. Если говорить простым языком, то перед нами не просто вредоносный файл, а целая система выживания. Автор позаботился о том, чтобы программа не только запустилась, но и надежно закрепилась в системе, скрылась от глаз защитников, обманула антивирусы и даже мешала себя остановить. Как пишет исследователь этой малвари: «злоумышленник фактически собрал вокруг Python-процесса небольшую систему восстановления и маскировки». Но расширение .pyc выдало файл с головой. Ус-то и отклеился. @antiinfosec

Не пробив, а ПРОБИВИЩЕ Люблинский суд приговорил двух бывших сотрудников офиса МТС к 9 месяцам ограничения свободы. Схема простая: договорились с заказчиком в Telegram, подделали доверенность абонента, выгрузили детализацию звонков и SMS, отдали за деньги. Никакого ИИ, никакого 0-day, никакой APT. За девять месяцев 2025 года 95,6% утечек, связанных с персоналом российских компаний, пришлись на умышленную кражу данных. В опросе InfoWatch 37% респондентов назвали умышленные действия сотрудников важнейшей причиной инцидентов, ещё 42% указали на случайные. Не «кликнул не туда», а пришёл и вынес. Рынок DLP в России в 2025 году достиг 17 млрд рублей и в 2026 может вырасти ещё на 40-50%. Инциденты с ИИ-агентами за тот же год затронули 42% организаций против 31% годом ранее. Про второе пишут все, первое считают решённой задачей. Медианная стоимость «пробива» за семь лет наблюдений DLBI выросла в 18,5 раз, мобильный пробив по «большой четвёрке» подорожал в 3,3 раза. Рынок не убит, он подорожал и ушёл глубже. Стоимость атаки выросла, сама атака осталась. Сотрудник МТС не обходил DLP, SIEM и видеофиксацию. Он работал в рамках полномочий: пришёл «клиент» с доверенностью, оформили запрос, выдали детализацию. Для системы это нормальная транзакция, а не аномалия. Постфактум-анализ сработает тогда, когда данные уже в чужом Telegram. Детализация в рознице стоит несколько тысяч рублей при известно какой зарплате сотрудника офиса продаж. Первый приговор по делу: 6 месяцев ограничения свободы, потом ещё 3 за вскрывшийся эпизод. Санкция ч. 3 ст. 272 УК допускает до 5 лет. «Несуны» из советских цехов выносили через проходную то, что плохо лежит. Изменился только предмет выноса: вместо деталей теперь детализация. Мотивация, психология и организационная слепота те же. Ну и пока к охраняемым данным есть легитимный доступ у человека с зарплатой ниже стоимости этих данных, самый устойчивый вектор утечки это хакерская атака, а рядовой сотрудник. @antiinfosec