Критическая уязвимость в утилите очистки дисков Windows может долго оставаться незамеченной: эксперт
Критическая уязвимость (CVE-2025-21420) в средстве очистки диска Windows (cleanmgr.exe) позволяет злоумышленникам незаметно загружать и выполнять вредоносный код. Эксперт компании «Газинформсервис» Екатерина Едемская предупреждает: такая атака крайне опасна из-за своей скрытности.
«Уязвимость CVE-2025-21420 использует доверие операционной системы к легитимным процессам для внедрения вредоносного кода, что делает такие атаки крайне сложными для обнаружения. Подобные уязвимости требуют создания и размещения вредоносной DLL в определённом каталоге, чтобы она была загружена вместо стандартной библиотеки при запуске cleanmgr.exe. Злоумышленник может поместить файл, например, в директорию C:\Users<username>\System32\System32\System32, что заставит систему использовать вредоносную DLL. Это, в свою очередь, позволяет выполнить любой произвольный код, например запуск PowerShell или других инструментов для получения удалённого доступа к системе. Такие атаки могут долго оставаться незамеченными, поскольку вредоносный код исполняется в рамках доверенной программы», — объясняет Едемская.
Киберэксперт подчёркивает необходимость мониторинга загрузки DLL и строгого контроля над соответствующими каталогами при помощи инструментов, таких как Ankey SIEM NG: «В крупных инфраструктурах с многочисленными активами и сложными сетевыми топологиями дополнительные сложности создают попытки злоумышленников скрывать свои действия в большом объёме данных. Для таких ситуаций могут быть полезны решения для централизованного мониторинга, такие как SIEM-системы, в частности ANKEY SIEM NG от "Газинформсервиса". Система автоматизирует процесс анализа и корреляции событий безопасности, что позволяет оперативно реагировать на подозрительные события и предотвращать возможные угрозы ещё на стадии их появления».
Шифровальщик Anubis обновился, добавив функцию вайпера – полного уничтожения файлов жертвы. Даже выплата выкупа не гарантирует восстановление данных. Как отмечает Сергей Полунин, руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис», Anubis демонстрирует новый тренд: киберпреступники не ограничиваются одним типом атаки, а комбинируют их, дополняя шифрование полным уничтожением информации. Появление в даркнете конструкторов вредоносного ПО усиливает эту тенденцию.
В ночь на 18 июня 2025 года иранская криптовалютная биржа Nobitex подверглась разрушительной кибератаке, за которой стоит группировка хакеров Predatory Sparrow. Руководитель GSOC компании «Газинформсервис» Александр Михайлов предупредил, что за подобными атаками не всегда стоят финансовые мотивы — данный случай демонстрирует политическую мотивацию.
Интеграция OneDrive в Windows 10 и 11 привела к росту популярности Microsoft 365 и к увеличению количества пользователей, хранящих данные в облаке. Однако недавно достоянием общественности стал серьёзный случай потери данных: пользователь потерял фотографии за 30 лет из-за блокировки учётной записи OneDrive. Как объясняет Александр Катасонов, инженер-аналитик компании «Газинформсервис», полная зависимость от облачных сервисов, таких как OneDrive, чревата серьёзными рисками.
Критическая уязвимость CVE-2024-12168 в Windows-версии «Яндекс Телемоста» вновь подчёркивает важность многоуровневой защиты, предупреждает Андрей Жданухин, руководитель группы аналитики L1 GSOC компании «Газинформсервис».
Хакерская АРТ-группировка Team46 (TaxOff) использует уязвимость нулевого дня в Google Chrome (CVE-2025-2783) для проведения изощрённой фишинговой кампании. Александр Катасонов, инженер-аналитик компании «Газинформсервис», отмечает, что расследованная атака — это яркий пример того, как APT-группы комбинируют социальную инженерию и технические уязвимости для достижения своих целей.
Используя ажиотаж вокруг новой ИИ-модели Sora от компании OpenAI, киберпреступники распространяют фишинговый сервис генерации видео через GitHub, предупреждает Ирина Дмитриева, киберэксперт компании «Газинформсервис». Злоумышленники маскируют вредоносный файл 'SoraAI.lnk' под легальный дистрибутив. Конечная цель – кража данных, включая учётные данные браузера, конфигурации системы и личных файлов, что может привести к целенаправленным атакам.
В прошлом году эксперты в рамках проекта «ИБ-пророк. Когда сходятся звёзды: прогнозы лидеров инфобеза»* предсказывали появление новых схем мошенничества, включая голосовые дипфейки, — и теперь эти прогнозы сбываются. Злоумышленники звонят россиянам под видом соцопросов, чтобы записать их голос и создать поддельные аудио. Но это лишь один из сценариев. Какие ещё угрозы предвидели специалисты?
