Новости: Безопасность

Хакеры, стоящие за кампанией Contagious Interview, начали использовать Visual Studio Code (VS Code) для закрепления в системах жертв. Злоумышленники внедряют вредоносную логику в конфигурационные файлы проектов, которая срабатывает после того, как пользователь открывает репозиторий и доверяет ему, запуская JavaScript-полезные нагрузки через доверенные рабочие процессы разработчиков.

Утечка данных после атаки вируса-вымогателя на Ingram Micro в июле 2025 года: паралич логистики и раскрытие сведений о 42 тысячах лиц, включая личные данные и документы.

Анализ показывает, что стандартная Система оценки общих уязвимостей (CVSS) не отражает реальный операционный риск. Серьёзность уязвимостей, таких как Log4Shell, определяется не только техническими баллами, но и контекстом их распространения через доверенные системы и зависимости. Вводится концепция унифицированной модели связей (ULM) для оценки риска на основе смежности, наследования и доверия.

Еврокомиссия предлагает наделить себя правом запрещать поставщиков сетевых технологий, таких как Huawei и ZTE, в странах ЕС из-за опасений шпионажа и саботажа. Обсуждается расширение полномочий ENISA для борьбы с киберугрозами и возможные запреты в критической инфраструктуре.

Узнайте, почему регулярная оценка киберрисков критически важна для современной компании. Статья раскрывает преимущества таких аудитов — от выявления уязвимостей и приоритизации мер до соблюдения комплаенса и снижения финансовых потерь от утечек данных.

Исследователи Cyata обнаружили три критические уязвимости в официальном Git MCP-сервере Anthropic, которые могут быть использованы через prompt injection для компрометации LLM. Уязвимости позволяют выполнять произвольный код и изменять данные. Рекомендуется срочное обновление до версии 2025.12.18 и аудит совместной работы с Filesystem MCP.

Критические уязвимости в популярном фреймворке для разработки ИИ Chainlit позволяют злоумышленникам читать произвольные файлы и данные из баз данных серверов. Неустраненные недостатки могут привести к утечке ключей API и токенов, облегчая горизонтальное перемещение в инфраструктуре. Уязвимости исправлены в версии 2.9.4.

Сайт онлайн-наставничества UStrive допустил утечку личных данных, включая адреса электронной почты и номера телефонов, к другим авторизованным пользователям. Некоммерческая организация сообщила TechCrunch об устранении проблемы, но отказалась комментировать оповещение пострадавших.

Исследователи безопасности бьют тревогу: кампания вредоносного ПО «GhostPoster» маскируется в расширениях для Chrome, Firefox и Edge. Атака, насчитывающая свыше 840 000 инцидентов, прячет код в данных изображений логотипов, перенаправляя пользователей и устанавливая малварь.

Обнаружен фальшивый блокировщик рекламы NexShield, маскировавшийся под разработку создателя uBlock Origin. Расширение, удаленное из Chrome Web Store, запускало вредоносный скрипт, вызывающий сбои браузера и установку трояна ModeloRAT для шпионажа и модификации системы, нацеливаясь на корпоративные сети.