НеИБи

562 тысячи долларов за дыры в свежем флагмане Pixel На соревновании ZDI Pwn2Own Ireland, которое прошло 8 октября в Корке, три исследовательские команды продемонстрировали удаленные взломы Google Pixel 10 — причем на аппаратах с последними патчами. Общий призовой фонд за эти эксплойты составил $562,5 тыс. Правила Pwn2Own требуют, чтобы все цели работали на актуальных прошивках, а уязвимости не были известны производителю на момент атаки. Три из четырех попыток вскрыть Pixel 10 оказались успешными, четвертая — сломалась по таймауту в первый день. Формально все три зачета помечены как «коллизии» — это внутренний термин ZDI для случаев, когда в цепочке использован уже известный баг. ZDI в итоговой таблице не уточнила, почему Ikotas Labs получила полный приз, несмотря на пометку, а Xint — только половину. Расклад по деньгам и очкам выглядит так: Ikotas Labs — 300 000 долларов и 30 очков. Полная цепочка, полный приз, титул Master of Pwn. Xint (Тим Беккер и Ив Биери) — 150 000 долларов и 15 очков. Один известный баг, половина приза Димитриос Валсамарас, Кен Гэннон и Тения Валсамара — 112 500 долларов и 22,5 очка. Связка из двух дыр, одна известная, одна свежая. Все три эксплойта зарегистрированы как удаленные. Вход либо через содержимое, открытое в браузере, либо через один из четырех радиоканалов — NFC, Wi-Fi, Bluetooth или базовый модем. Что именно каждая команда сделала с телефоном после проникновения, ZDI не раскрывает. Google, в свою очередь, выпустила октябрьский бюллетень безопасности 6 октября — за два дня до демонстрации, и ни словом не обмолвилась о грядущем позоре. Pwn2Own Ireland 2026 в целом выдался урожайным. 29 команд наскребли 98 уникальных zero-day в семи категориях и заработали в сумме более $1,26 млн. Samsung Galaxy S26 пережил семь попыток взлома и семь раз сдался, причем шесть зачетов содержали как минимум одну «коллизию». Ikotas Labs, помимо Pixel, отметилась на OpenAI Codex и Oracle Autonomous AI Database — суммарно $361 тыс. и 42,5 очка. Отдельного упоминания заслуживает дисциплина участников в отношении Apple: iPhone 17 с максимальным призом в $300 тыс. долларов не тронул никто. То ли команды сочли задачу не по зубам, то ли решили, что ломать телефон, который и так обновляется раз в год, — занятие для тех, у кого слишком много свободного времени. У вендоров теперь есть 90 дней на выпуск патчей, после чего ZDI опубликует технические детали. Владельцам Pixel 10 пока остается только гадать, попали ли их аппараты в те самые три цепочки, и обновляться при первой же возможности — на всякий случай. @antiinfosec

Сектор гос на барабане В первом полугодии 2026 года количество кибератак на российские госучреждения через съемные носители выросло на 25% по сравнению со вторым полугодием 2025 года, отмечают исследователи «ЛК» согласно представленному на Цифровых решениях бюллетеню «Киберпульс.Государственный сектор». Причиной они называют повышение уровня веб-фильтрации в госсекторе, и мол злоумышленники ищут обходные пути. Массовые угрозы уступают место целевым атакам, где вредоносное ПО проникает в инфраструктуру через флешки и другие локальные устройства. При этом общий уровень веб-угроз снизился на 14%. Атаки с использованием бэкдоров сократились на 15%, но выросла доля атак с применением шпионского ПО (на 11%) и программ для кражи паролей (на 82%). Всплески атак с программами-вымогателями приходятся на декабрь и май, а затишье на конец лета и январь. Но и классические кампании никуда не делись Среди самых заметных из них в первой половине 2026 года: 1️⃣Librarian Likho — APT-группа, которая с конца 2025 года атакует российские организации через фишинговые рассылки с вложениями под видом договоров и деловых документов. После запуска вредоносная программа устанавливает инструменты удаленного доступа и пытается отключить защиту. 2️⃣HeartlessSoul — кибершпионская группа, которая с осени 2025 года атакует госорганы и промышленные компании. Под видом авиационного ПО жертве предлагали скачать вредоносный установщик, а затем собирали файлы, скриншоты, данные браузеров и геоинформацию. 3️⃣Stan Ghouls (Bloody Wolf) — группа, которая атакует госсектор России и Центральной Азии. В фишинговых письмах PDF-файл маскируется под судебные документы, а вместо Java загружается инструмент удаленного управления NetSupport RAT. 4️⃣HelloNet — целевая атака на предприятия госсектора, промышленности и транспорта. Злоумышленники используют систему обновлений ViPNet и технику DLL sideloading, чтобы закрепиться в системе и скрыть следы. 5️⃣ Ну DAEMON Tools, установщико которого был скомпрометирован в апреле. Зараженные версии распространялись с легитимным сертификатом разработчика, что позволило атакующим получить доступ к тысячам организаций в более чем 100 странах. В будущем, по прогнозам «ЛК», периметр госорганизаций размоется из-за подрядчиков, доверенное ПО станет главной целью атак, вырастет кибершпионаж и атаки на нарушение процессов, а защита будет автоматизироваться с помощью ИИ и XDR-подхода. @antiinfosec

Ограниченный суверенитет На фоне последних событий, особенно интересно выглядит недавнее глубокое исследование автора на Хабре по поводу «суверенности» сайтов российского бизнеса. Изучив 50 крупнейших ресурсов, исследователь пришел к выводу, что за исключением сертификатов, многое уже замещено и мол, если завтра закроют иностранный трафик, по большей степени сайты будут работать. Но как обычно, есть нюансы. Опустим уже понятную логику, что сертификаты НУЦ Минцифры ест только Яндекс.Браузер. То, что иностранные счетчики стоят у 17 сайтов из 50, и почти всегда это Google Analytics или Google Tag Manager (16 сайтов), в целом тоже некритично. У 9 сайтов на страницах до сих пор есть скрипты Google Ads и AdSense, хотя Google прекратил показ рекламы в России еще в 2022 году. Также забавно, что Google Fonts грузится у 8 сайтов, Google reCAPTCHA — у 4, встроенный YouTube — у 3. Каждый такой скрипт передает данные посетителя за рубеж, про требования 152-ФЗ разглагольствовать не будем. Посмотрим на это не как на чек-лист «что перевезли», а как на карту рисков. Зависимость от меньшего числа игроков — это не устойчивость, а концентрация риска. Когда у тебя 50 разных вендоров со всего мира, падение одного — это локальная проблема. Когда у тебя один Яндекс или один Qrator на полстраны — падение одного — это национальный инцидент. Суверенизация в текущем виде не разносит риски, а собирает их в одну точку. Практика уже показала цену такой концентрации. Ночью 8 октября дроны ударили по дата-центру Яндекса в Сасово — одному из крупнейших ЦОДов компании. Пожар, полная остановка. И сразу же легли ЦИАН, ГК «Астрал», корпоративные сервисы Т-Банка, облачные 1С, сайты застройщиков. Формально независимые компании, у которых нет ничего общего, кроме одного облака. До этого был сбой на М9 — одном из главных телеком-хабов Москвы. Полтора часа без электричества, 467 сетей потеряли видимость, треть — почти полностью. Резервирование на бумаге не равно резервированию в реальности. Распоряжение № 2052-р от 1 августа 2026 года утвердило схему территориального планирования в области связи до 2036 года. 14 новых ЦОДов, 15 магистральных ВОЛС и красивое слово «отказоустойчивость» в каждом абзаце. Но если посмотреть на географию — Екатеринбург, Приморье, Дагестан, Питер, Татарстан, Тверская, Новосибирская, Нижегородская области, Пермский край — это все еще европейская часть плюс несколько точек на востоке. Атака на один узел в Рязанской области роняет сервисы по всей стране. И вот здесь самое неприятное. Исследование проверяло 50 крупнейших сайтов. А за фасадом — десятки тысяч доменов второго уровня с иностранными сертификатами, с Google Analytics, с почтой на Google Workspace. Они не в топе, у них нет ресурсов на миграцию, и они не появятся ни в одном отчете о суверенитете. Но именно они отвалятся первыми, если рубильник все-таки опустят окончательно. Получается парадокс. С одной стороны, бизнес действительно приготовился жить в изоляции. Серверы перевезли, аналитику частично заменили, к отключению иностранного трафика готовы. С другой — сама логика суверенизации, когда рынок сжимается до нескольких крупных игроков, делает систему более хрупкой, а не прочнее. Чем меньше узлов, тем выше цена падения каждого. И Сасово это показал наглядно. Один дизастер — и без сервисов остаются компании, которые друг с другом вообще не связаны. Суверенитет — это не когда ты перестал зависеть от 50 иностранных вендоров. Это когда ты не зависишь от одного своего. Сейчас мы видим обратное. Периметр сжимается, игроков внутри все меньше, а цена ошибки каждого — все выше. Один ЦОД — и полстраны без сервисов. Один провайдер защиты — и полстраны без сайтов. Один рубильник — и полстраны без интернета. @antiinfosec