Дайджест Start X № 427

Для атаки использовалась уязвимость нулевого дня ToolShell (CVE-2025-53770/53771) в локальных серверах Microsoft SharePoint. В результате злоумышленники получили доступ к системам ряда федеральных ведомств США, включая Национальное управление по ядерной безопасности (NNSA) и Национальные институты здравоохранения (NIH). В NNSA взломанные системы не содержали секретных данных, но факт проникновения подтверждён.

Министерство внутренней безопасности (DHS) оказалось среди жертв той же волны атак на SharePoint. Для расследования отключались отдельные серверы, подключились ФБР и CISA.

Уязвимость ToolShell позволяет обходить аутентификацию и исполнять код на сервере. Это классический способ проникновения в инфраструктуру. Часть организаций не успела вовремя поставить патчи, а локальные версии SharePoint сложнее обновлять и изолировать, чем облачные.

Amazon Q представляет собой ИИ-помощника, ориентированного на разработчиков и ИТ-специалистов. Он чем-то похож на GitHub Copilot и встроен в AWS и IDE, например, VS  Code. Хакер целенаправленно атаковал версию Amazon Q для VS Code — это расширение, которое подключает помощника к IDE. Согласно статистике на сайте Visual Studio, расширение было установлено более 950 000 раз.

В конце июня 2025 года хакер попросту создал pull request в GitHub-репозиторий Amazon, используя для этого случайную учетную запись, не имеющую доступа. Однако вскоре ему предоставили полномочия администратора. В итоге 13 июля хакер внедрил свой код в Q, а 17 июля разработчики Amazon включили его в релиз версии 1.84.0, «совершенно ничего не заметив».

Взломщик признается, что риск уничтожения данных на самом деле был мал, однако он имел возможность нанести гораздо больший ущерб, с помощью полученного доступа. Так, он мог действительно удалить данные, внедрить в код стилер или закрепиться в системах жертв, но не стал этого делать.

Представители Dell подтвердили СМИ, что злоумышленникам удалось проникнуть на платформу Customer Solution Centers, которая используется для демонстрации продуктов и решений клиентам.

Используемые в Solution Center данные в основном являются синтетическими (фиктивными), то есть состоят из общедоступных датасетов, несекретной и системной информации и результатов тестов, предназначаясь исключительно для демонстрации продуктов Dell.

«Согласно результатам текущего расследования, данные, полученные злоумышленниками, в основном являются синтетическими, общедоступными или относятся к системным или тестовым», — заявили в Dell.

Участники World Leaks, судя по всему, были убеждены, что похитили у Dell 1,3 ТБ ценной информации, включая медицинские и финансовые данные. Однако в действительности, в руках хакеров оказалась фальшивка, а единственные реальные данные в дампе — это устаревший список контактов.

Жертва «нашла подработку» в интернете, чтобы погасить долги по кредитам. Затем она передала «работодателям» в использование свой банковский счёт, через который прогнали более миллиона рублей. МВД назвала это «дропперством» — неправомерным оборотом средств платежей.

Это пример классической схемы, когда «работодатель» просит открыть карту и «помочь прогонять платежи». С 5 июля ужесточилось законодательство, и теперь посредники отвечают отдельно.

Комментарий Start X. То, что выглядит как лёгкий заработок, на деле превращает вас в соучастника. Банки и полиция активно сверяют подозрительные транзакции, и объяснение «я ничего не знал» уже не работает. Лучше отказываться от любой «работы», где вас просят «просто дать карту».

У приложения Fitify было открытое для всех облачное хранилище в Google Cloud — без пароля и шифрования. Исследователи нашли 373 тыс. файлов, включая 138 тыс. «фото прогресса», где пользователи снимали себя в нижнем белье или купальниках. После уведомления хранилище закрыли.

Причина случившегося — базовая ошибка конфигурации — отсутствие контроля доступа к бакету. Несмотря на обещания «данные шифруются в пути», никто не подумал о защите при хранении.

Комментарий Start X. Пользователям стоит помнить: «фото для себя» в приложении — это всё равно файл на чужом сервере. Если уж снимаете «прогресс», выбирайте сервисы с прозрачной политикой хранения и регулярно проверяйте, что публикуете и куда загружаете.