Раньше считалось, что злоумышленникам нужны сложные схемы и громкие взломы. На этой неделе ThreatsDay снова показал обратное: достаточно небольшой ошибки в доступе, доверенного канала связи или старой дыры, чтобы атака ушла далеко за пределы одного компьютера.

Что произошло

В свежую подборку попали сразу несколько опасных сюжетов: активная эксплуатация уязвимости в PAN-OS, атаки вымогателей, новая схема кражи криптокошельков через DNS, вредоносный троян с использованием Discord* в качестве канала управления и отдельный коммерческий вредонос, который умеет не только красть, но и запугивать жертву.

Отдельно исследователи обратили внимание на гибридные атаки против Европы: речь идёт не о классическом вторжении с танками, а о смеси киберопераций, давления на инфраструктуру и психологического воздействия. Для обычного пользователя это важно по другой причине — такие кампании чаще всего создают фон для фишинга, кражи учётных данных и атак на корпоративные сети.

Как это работает

Самая опасная история недели — эксплуатация CVE-2026-0257 в PAN-OS GlobalProtect и Prisma Access. По данным ReliaQuest, группы Qilin и Settra используют её как дыру для обхода проверки подлинности, после чего атака может выглядеть как обычная удалённая работа. Именно поэтому злоумышленники получают время на кражу учётных данных, перемещение внутри сети и развёртывание вымогателя.

Есть и более тихий сценарий. Инфостилер Noir охотится за криптокошельками через DNS TXT-записи и публичные DoH-сервисы, чтобы понять, какой сервер сейчас активен. Затем он подсовывает пользователю нужный интерфейс, добирает разрешения и выводит средства уже с подконтрольной инфраструктуры. Разбор другой уязвимости в серверной связке хорошо показывает, как часто атаки строятся не на «магии», а на цепочке мелких ошибок.

Похожим путём идёт и троян CikaBika Bot: вредонос попадает на устройство через документ-приманку, затем использует загрузчик, обход UAC, поиск DLL и встраивает управление через Discord* и ngrok. На выходе злоумышленник получает экран жертвы, файлы и возможность запускать команды удалённо.

Кого затронуло и чем это грозит

В первую очередь под ударом оказались организации, которые используют затронутые решения для удалённого доступа. Для них риск не заканчивается патчем: если сессия уже активна, атакующий может остаться внутри сети и продолжить кражу данных даже после обновления.

Пользователи криптокошельков тоже в зоне риска. Такие вредоносные наборы нацелены не на пароль или seed-фразу, а на момент подписания транзакции, когда человек сам выдаёт приложению лишние права. Поэтому даже аккуратный пользователь может потерять деньги, если не замечает, какие разрешения выдаёт кошельку или сайту.

Ещё одна проблема — растущая нормализация вредоносов с психологическим давлением. KGB RAT, о котором пишут исследователи, совмещает кражу учётных данных, скрытый захват рабочего стола и инструменты запугивания. Это не просто технический шантаж, а попытка сломать жертву и ускорить платёж или повторный вход в систему.

Что делать сейчас

Если у вас дома или на работе есть удалённый доступ к корпоративным сервисам, проверьте, закрыты ли актуальные патчи и нет ли лишних активных сессий. Если система администрирования или шлюз безопасности давно не обновлялись, это уже не вопрос удобства, а вопрос инцидента.

Для повседневной защиты держите в порядке не только пароли, но и вторую линию обороны: менеджер паролей, 2FA и аккуратное поведение с разрешениями приложений. Для тех, кто часто работает вне офиса и подключается к разным сетям, уместно добавить инструмент для защищённой удалённой работы как часть базовой цифровой гигиены.

Если вам пишут про «срочное обновление», «подтверждение входа» или «ошибку в кошельке», не спешите переходить по ссылкам. Лучше открыть сервис вручную, проверить адрес и убедиться, что вы не попали на подмену. А если речь идёт о корпоративной переписке или файлах, держите в голове старое правило: документ от незнакомца — это повод насторожиться, а не открыть его.

Как вредонос прячется в почтовых и сетевых шлюзах и почему атакующие так любят старые дыры в популярных платформах — хорошие ориентиры, если нужно понять логику таких кампаний без технического шума.

Чек-лист на сегодня

  • Проверьте, стоят ли свежие обновления на рабочих шлюзах, серверах и ноутбуках.
  • Завершите старые сеансы удалённого доступа там, где это возможно.
  • Включите 2FA в важных сервисах, если ещё не сделали этого.
  • Переосмыслите разрешения кошельков и приложений, которыми пользуетесь.
  • Не открывайте вложения и ссылки из писем, которые пришли «внезапно и срочно».
  • Попросите ИТ-отдел проверить неожиданные подключения и аномальные входы.
  • Убедитесь, что у вас есть резервные копии важных файлов и доступ к ним не зависит от одного устройства.
Поделиться: