НеИБи

Exim сыграл в спул В Exim, одном из самых распространенных почтовых серверов (MTA) на Unix-подобных системах, обнаружена уязвимость обхода каталога. Она позволяет локальному атакующему читать файлы за пределами почтового спула (тобишь специальной директории на диске, которая временно хранит письма до момента их доставки) и повышать свои привилегии в системе. Проблеме присвоен идентификатор EXIM-Security-2026-06-22.1 (GCVE-25-2026-07-45-1), уровень опасности — высокий. Технически уязвимость заключается в некорректной обработке аргументов командной строки при передаче имени очереди в цепочке выполнения Exim. Манипулируя этими аргументами, локальный пользователь с доступом к командной строке может выполнить атаку обхода каталога и получить доступ к файлам за пределами спула. Поскольку Exim часто работает с повышенными привилегиями, это позволяет эскалировать права вплоть до доступа к критичным системным файлам. Уязвимость затрагивает все версии с 4.88 (2017) по 4.99.4 включительно, а также ветку разработки. Исправление выпущено в версии 4.99.5. Иными словами, злоумышленник, у которого уже есть доступ к командной строке на сервере, может заставить Exim открыть файлы, которые тому не положено видеть. А так как Exim обычно работает от имени привилегированного пользователя, это может дать атакующему доступ к паролям, конфигурации и другим чувствительным данным, а также возможность полностью захватить контроль над системой. Актуальность угрозы для России особенно высока. В мае 2026 года исследователи BI.ZONE обнаружили критическую уязвимость CVE-2026-45185 (Dead.Letter) в Exim, позволяющую неаутентифицированному злоумышленнику выполнить произвольный код на сервере. Тогда же эксперты оценили количество потенциально уязвимых Exim-серверов в российском сегменте интернета в более чем 20 тыc., а по всему миру — в 3,5 млн. По данным автоматизированных опросов, глобальная доля Exim среди всех MTA составляет около 56%. Обновляемся, не глядя. @antiinfosec

Goopware Нашли тут свежий разбор забавного семпла, который маскируется под утилиту WINUTILS. Жертва скачивает «Update.zip», внутри — обфусцированный Python-скрипт с PyArmor (причем триальная версия, лол). Дальше все просто. Скрипт качает второй архив с сервера, распаковывает и запускает основную нагрузку. Внутри — набор сборщиков: ворующие токены Discord, данные из менеджеров паролей, криптовалютные кошельки и SSH-ключи. Все это добро отправляется на C2-сервер. Код выглядит как типичный ии-слоп, а точнее «goop». Куча отладочных принтов, повторяющиеся конструкции и кривой стиль. Ни один нормальный малварь-девелопер так не пишет. Но, судя по всему, у авторов даже так есть определенный успех. Вот, например, самое кривое — скрипт перед отправкой данных на C2 пытается проверить интернет через пинг до google.com, но если пинг не проходит, он просто зависает в бесконечном цикле while True: time.sleep(1), вместо того чтобы хотя бы выдать ошибку или завершиться. При этом обфускация PyArmor стоит триальная, а значит, любой школьник с дизассемблером снимет защиту за пять минут. И это при том, что внутри есть готовые модули для кражи аж шести разных кошельков — но все они написаны через копипасту с GitHub, даже имена переменных не переименованы. В общем, мальварщики стремительно мельчают: вместо серьезных APT-группировок мы видим энтузиастов, которые склепали AI-говнокод на коленке, но, как ни странно, их число только растет, и каждый второй такой «семпл» все еще находит своих жертв. @antiinfosec

Самые маленькие ИИ-защитники Cisco выложила на Hugging Face две модели с открытыми весами для поиска уязвимостей в коде: Antares-350M и Antares-1B (352 млн и 1,84 млрд параметров), обе под лицензией Apache 2.0. Вместе с ними компания опубликовала собственный бенчмарк Vulnerability Localization Benchmark (VLoc Bench). Разработку ведет исследовательское подразделение Cisco Foundation AI. Antares решает узкую задачу. Получив описание уязвимости, модель ходит по незнакомому репозиторию как аналитик: запускает консольные команды, читает подходящие файлы, проверяет пути вызовов и меняет направление, если ветка ничего не дала. На выходе получается ранжированный список файлов, которые вероятнее всего содержат уязвимость, плюс полная запись действий в терминале. Модели компактные и работают локально, поэтому защищаемый код остается внутри периметра и не уходит во внешнее облако, чего часто требуют регуляторы или внутренние правила безопасности. Главный аргумент Cisco в цене. Полный прогон бенчмарка из 500 задач занимает около 15 минут на одном GPU H100 и стоит меньше доллара. Те же задачи через API GPT-5.5 обходятся примерно в 141 доллар и 5 часов, через GLM-5.2 около 50 минут и 12,5 доллара. По подсчетам Cisco это в 172 раза дешевле GPT-5.5 и в 15 раз дешевле GLM-5.2. Результаты сравнивают по метрике File F1. Лучший результат у закрытой GPT-5.5 (0,229). Antares-3B почти догоняет ее (0,223), оставаясь в разы меньше. Antares-1B набирает 0,209 и обходит открытую GLM-5.2 (0,186), хотя у той 753 млрд параметров, и заодно показывает лучший recall среди всех протестированных моделей. Статические анализаторы отстают заметно: Semgrep 0,086, CodeQL 0,023. Бенчмарк при этом Cisco придумала и прогнала сама, а модели обучены оптимизировать ту же метрику File F1, по которой их потом и сравнивали; независимых проверок пока нет, хотя сам бенчмарк выложен открыто. Открытые веса лежат в репозитории, но скачать их можно по запросу. Самую сильную модель, Antares-3B, ту, что почти сравнялась с GPT-5.5, Cisco в открытый доступ пока не выложила. @antiinfosec

«Факс счастья» С мая по июнь 2026 года эксперты Kaspersky Security Services зафиксировали серию инцидентов в Колумбии и Мексике, где злоумышленники использовали BitLocker для шифрования данных и корпоративные принтеры для доставки записок с требованием выкупа. В обоих случаях пользователи видели значок замка рядом с дисками в проводнике Windows. В Колумбии атакующие проникли через открытый в интернет RDP-сервер, подключенный к 8-терабайтному хранилищу с критичными бизнес-данными. Получив контроль над системой, они включили BitLocker на диске с финансовой информацией и распечатали требования на офисных принтерах. Сумма выкупа составила всего $3 тыс. Компания всерьез рассматривала выплату, но восстановила систему до завершения расследования, уничтожив улики. В Мексике группировка, назвавшая себя «XEntry Team», получила доступ через неверно настроенный Microsoft SQL Server, используя учетные данные, обнаруженные в открытом коде на GitHub. Злоумышленники закрепились в инфраструктуре за три месяца до обнаружения, установили RMM-агенты (ManageEngine Endpoint Central, Mesh Agent, Tactical RMM) и через групповые политики развернули шифрование BitLocker на всех системах домена. Кульминацией стал синий экран с надписью «Hacked by XEntry Team» и распечатанные на принтерах записки. В целом, ничего совершенного нового. Стандартный BitLocker, легитимные RMM-агенты и открытые настежь сервисы. Злоумышленники просто пользуются тем, что администраторы оставляют без присмотра. Советовать тут смотреть за логами и контролем доступа не будем, а просто напомним проверить, есть ли бумага в принтере. А то как-то неловко получится. @antiinfosec