Всем привет! Собрали самые интересные ИБ-события апреля в наш дайджест. В прошлом месяце в заголовках гремела Mythos от Anthropic, в очередной раз заявившей о революции в кибербезе, за которой пока не видно ничего кроме пиара. Не меньше шуму наделал и взлом суперкомпьютера Китая, которого не было.
Апрель также стал месяцем многочисленных атак на цепочку поставок — о них сообщали чуть ли не каждый день. Кроме того, был обнаружен неизвестный предшественник Stuxnet, в ядре Linux нашли худшую LPE за долгое время, а северокорейские хакеры стянули больше полумиллиарда долларов в крипте. Об этом и других ключевых новостях прошлого месяца читайте под катом!
Навигация по новостям
Мифы о Mythos
Самой горячей темой в заголовках апреля стала Anthropic, которая разгоняла шум вокруг своей новой модели Mythos, снова по теме ИБ. “Нашёл тысячи нулевых дней во всех крупных системах, беспрецедентные возможности, революция в мире кибербеза" и так далее. Невероятный прорыв или обычный маркетинг вокруг новой модели? Да как всегда.
Если продраться через пафосные дебри анонса, ничего революционного не произошло. “Находит нулевые дни” — а кто их сейчас не находит? “Автономия, побег из песочницы” — высосанный из инструкций хайп. “Слишком опасна для широкой публики” — старая болтовня, сопровождающая выход каждой новой модели. “Тысячи нулевых дней” — доказательства где? Их нет. Как до сих пор нет и хоть сколько-то внятных технических отчётов, которые могли бы подкрепить громкие заявления.
В сухом остатке моделька [якобы] лучше находит уязвимости и пишет эксплойты, остальное — маркетинг и заявления без подтверждений. Соответствуют ли их бенчмарки хайпу? Вряд ли. Но у тех, кто не понимает, как работает маркетинг на ИИ и читает анонсы с открытым ртом, фантазия бурлит так, что в подвалах Anthropic мерещится AGI с IQ под 200, готовый вот-вот подмять под себя весь мир.
Вскоре выяснилось, что к распиаренному Mythos был несанкционированный доступ в первый же день. И мир содрогнулся от супер-ИИ в неавторизированных руках? Да вроде нет. Bloomberg пишет, что доступ получили обитатели сообщества в Дискорде, ковыряющиеся в свежих LLM'ках — в одном случае через среду подрядчика, сотрудник которого, вероятно, доступ и слил. Охочие до ИИ-новинок с тех пор якобы регулярно пользуются моделькой и прислали скрины и видео её работы.
Пишут, неясно, злоупотребляли ли Mythos для эксплойта этих самых уязвимостей. А ведь могли! Но это не точно. Смесь заголовков “Mythos вооружён и чрезвычайно опасен” и “Нерды из Дискорда на досуге нарыли к нему доступ”, конечно, получается ядрёная: сейчас какой-нибудь конгрессмен всему этому возмутится, и Anthropic придётся резко пересмотреть свою пиар-стратегию.
Mozilla присоединилась к хайпу вокруг нашумевшего продукта от Anthropic. В блог-посте с громким заголовком “Дни нулевых дней сочтены” компания заявила про 271 уязвимость, обнаруженную Mythos в релизе Firefox 150. Но есть одна проблема: цифры не бьются. Совсем.
Какие, собственно, цифры? Из опубликованного в тот же день бюллетеня по безопасности свежей версии: в нём 41 CVE, три из них отмечены как найденные Claude. При этом в Firefox 148 51 CVE, 22 от Anthropic со 112 баг-репортов — отрицательный рост от 5:1 к 90:1. Где уязвимости, Клодовски?
Скептики рассуждают, что пока наиболее вероятное объяснение — в Mozilla перешли на альтернативную метрическую систему. Иначе говоря, по-новому считают дубликаты, non-CVE, мелкие баги, проблемы с памятью и прочие edge-кейсы.
23 из 25 этих ранее найденных Claude в большой и красивой базе кода на C++ уязвимостей — в памяти, что как бы намекает. Так что пока здоровый скептицизм призывает не поддаваться на ИИ-провокации, ждать полноценных технических отчётов с раскрытиями и следить за руками.
Невероятный взлом суперкомпьютера Китая
В начале апреля CNN опубликовала очень странную историю про взлом одного из суперкомпьютеров Китая. Некий хакер стянул ни много ни мало 10 петабайт данных, включая оборонку и хай-тек, и пытается всё это продать. Казалось бы, взлом года, если не десятилетия? Давайте заглянем внутрь.
На поверхности, если судить по тексту, в наличии и хакер, и сэмплы, и изучившие их киберэксперты. И доступ к системам на протяжение многих месяцев — чтобы незаметно стянуть 10 петабайт, ушло всего-то полгода. На деле же был только пост от ноунейма на BF с сэмплами на Mega и продажей списка файлов за 10 XMR. В качестве эксперта ноунейм с блогом на Substack. Правдоподобно? Скромный опыт в ИБ смутно подсказывает, что утечки такого уровня выглядят иначе.
Но когда ты журналист с CNN, мир полон чудес, и фейковый пост с BF превращается в публикацию об ужасном состоянии кибербезопасности в Китае. Если вынести за скобки банальную некомпетентность, с этой целью, видимо, статью и сочинили. Ж — журналистика. Увы, громкие заголовки разлетелись по сети, широкая публика уверена в реальности невероятного взлома, и даже подключила к своим фантазиям Mythos из пиар-кампании Anthropic — в конце концов, кому взламывать суперкомпьютеры, как не супер-ИИ?
Copy Fail, LPE в ядре Linux
О самых интересных CVE прошлого месяца читайте в нашей традиционной подборке, а здесь упомянем пару ключевых. В ядре Linux в последний день апреля раскрыли уязвимость под LPE. И не простую, а под практически все дистрибутивы, выпущенные с 2017-го. И без состояния гонки. CVE-2026-31431, 7.8 по CVSS, она же Copy Fail.
В модуле algif_aead логическая ошибка, позволяющая локальному юзеру получить root простеньким скриптом, редактирующим PageCache любого файла, в том числе с setuid. По сути аналог Dirty Pipe, но с гораздо большим охватом. Эксплойт элементарный, портативный, надёжный, с проверкой концепции на 10 строк и длинным списком дистрибутивов за ~10 лет — потенциально худшая LPE в контексте Linux за долгое время. Подробнее об уязвимости здесь.
Copy Fail ожидаемо засветилась в эксплуатации. В прошлую пятницу CISA добавило уязвимость в список активно эксплуатируемых — первые звоночки пошли на следующий день после раскрытия. Copy Fail знатно встряхнула экосистему Linux, вслед за публикацией PoC на Python были замечены варианты на Go и Rust.
Между тем среди линуксоидов поднялся шторм: быстро выяснилось, что CopyFail раскрыли без координации с мейнтейнерами дистрибутивов. Злые языки рассуждают, что уязвимость не только нашли при поддержке LLM’ки, но и раскрытие скоординировали с её помощью — на момент публикации патчей у основных дистров не было, зато был стильный сайт с публичной PoC и всем сопутствующим. Так что если у Theori это был ход конём по пиару своего ИИ-продукта, получилось не очень.
Обход аутентификации в cPanel
Событием последней недели апреля от мира хостинговой инфраструктуры стала критическая уязвимость в контрольной панели cPanel & WHM на обход аутентификации. Во всех версиях. И с активным эксплойтом в качестве нулевого дня с февраля.
CVE-2026-41940, 9.8 по CVSS: На официальном это “некорректная обработка сессий, где пользовательские данные записываются в файлы сессий на стороне сервера перед аутентификацией и без санитизации”. На неофициальном звучит в основном непечатное в формате “Как это попало в прод-то, вы что, совсем там?!”
Юзер произвольно пишет в файлы сессий pre-auth и получает админку. И это не на школьном проекте вида “Мой первый сервер”, а на панели, на которой 70+ миллионов доменов висят. Как можно догадаться, админы в полном восторге. Разбор уязвимости в блоге watchTowr.
С момента раскрытия в сетевых дебрях идёт активный эксплойт уязвимости, и на сайтах засветилась рансомварь. Злоумышленники используют энкриптор на Go, он шифрует файлы с расширением .sorry, отсюда и условное название — Sorry 2026 Ransomware.
На форумах невинные владельцы скомпрометированных сайтов задаются животрепещущими вопросами в духе “Что такое Go?” и “Как мне восстановить файлы без бэкапа?” В общем, мыслительный процесс как в госконторке, после шифрования узнавшей о существовании рансомвари, бэкапов и прочих удивительных вещей.
При этом счётчик компрометаций тикает в прямом эфире: зашифрованные сайты индексируются поисковиками с TOX ID злоумышленников. Географию можно оценить самостоятельно; в выдаче пострадавшие со всего света — международное единство в наше время бывает только такое.
Исследователи объявили месяц атак на цепочку поставок
Апрель стал месяцем многочисленных атак на цепочку поставок, все можно не перечислять, и почерк у них характерный: оппортунистические, шумные, с коротким окном компрометации. Вот лишь несколько примеров.
10 апреля у CPU-Z и HWMonitor обнаружили компрометацию — злоумышленники скомпрометировали один из API, и сайт доставлял троянизированные установочники с RAT. Были затронуты версии CPU-Z 2.19, HWMonitor 1.63, HWMonitor Pro 1.57 и PerfMonitor 2.04, так что проверяйте.
Провисели они, впрочем, недолго: разраб заявил об окне в 6 часов, у Касперского его обозначили в 19. За атакой стояли те же злоумышленники, что и за доставкой фейковых установочников FileZilla в марте. При этом ИБ-нерды местами негодуют: в атаке повторно использовали C2-инфраструктуру из той кампании, вредоносную нагрузку копипастнули из неё же — тот же RAT, и даже от уже публичных YARA его не почистили. На выходе халтура, мгновенное обнаружение и скукота — верните нам атаки уровня SolarWinds. Что тут скажешь… А может, всё-таки не надо?
У Bitwarden CLI 22 апреля скомпрометировали пакет на npm под доставку инфостилера — конечно же, в атаке на цепочку поставок. Выше был скомпрометирован сканер уязвимостей Checkmarx KICS, включая образы Docker и расширения VSCode и Open VSX, это коснулось и Bitwarden CLI.
По сути отделались испугом: затронут был только механизм доставки пакета, только на npm, и только у CLI. И время реакции — моё почтение: пара часов от компрометации до митигации.
Bitwarden сообщила, что данные в хранилищах юзеров затронуты не были, прод у них тоже не пострадал, а вредоносный пакет успели скачать всего 334 счастливчика. Но после легендарных успехов LastPass на ниве защиты пользовательских данных любые шевеления в районе менеджера паролей немедленно вызывают тряску у всех причастных. В этот раз более-менее обошлось.
У elementary-data скомпрометировали пакет на PyPI. Версия 0.23.3 шла в комплекте с инфостилером 24-25 апреля. У пакета 1,1 миллиона месячных скачиваний, так что потенциальный эффект от такой атаки солидный.
Но это был просто очередной оппортунизм: шумно, криво, со знакомым вектором атаки через CI и мгновенно замеченной компрометацией — даже пятничный вечер не помог. Количество затронутых юзеров в постинцидентном отчёте не называли, но окно компрометации — ~12 часов, соответственно, какой-то охват есть.
Кроме того, на PyPi были скопрометрированы lightning и intercom-client на PI — популярные пакеты с миллионами скачиваний, всё как полагается. И это лишь часть кампании с ироничным самоименованием “Mini Shai-Hulud”.
Дикий мини Шаи-Хулуд объявился под конец апреля и скомпрометировал четыре SAP’овских пакета на npm с приличным охватом по их девелоперской экосистеме и ещё несколько крупных на PyPI и PHP. Всё это проходит в духе предыдущих инцидентов от TeamPCP: инфостилер, много шума, пара часов компрометации — исследователи только и успевают стучаться по мейнтейнерам и отчёты по следам угона писать.
Впрочем, от Шаи-Хулуда одно название: стянутое зашифровано, и на RU-локалях малварь отключается. Автор неповторимого оригинала просто хотел видеть экосистему в огне, а это так, жалкая пародия под монетизацию. На последствия визита такого гостя в репы можно глянуть в поиске Github.
Неизвестный предшественник Stuxnet
В апреле отметилась крайне любопытная находка SentinelLabs: исследователи обнаружили следы фреймворка для саботажа научного/инженерного оборудования аля Stuxnet. Только датируется он 2005-м годом.
Фреймворк получил кодовое название Fast16 и имеет отличную от Stuxnet модель саботажа: патчит специализированный софт из тех лет, чтобы он выдавал неправильные результаты — а это ядерка, проектирование, гидродинамика. Инструмент продвинутый даже по современным стандартам: патчинг в памяти, LUA VM, перехват файловой системы на уровня ядра и прочее.
То есть это рабочий фреймворк для киберсаботажа за пять лет до Stuxnet — тот редкий случай, когда реальность чуток сближается с конспирологическими фантазиями широкой публики про возможности APT. По итогам получается, что нерды из NSA не ждали, а готовились уже в начале нулевых, и потенциально таймлайн таких операций сдвигается сильно влево.
Крупный криптокуш для северокорейцев
Соскучились по громким криптокражам? В начале апреля появилась информация, что DeFi-платформа Drift заморозила депозиты и вывод средств после взлома. По оценкам, украдено больше $280 миллионов — так что это не только крупнейшая кража крипты 2026-го, но и кандидат в топ-10 за всю историю.
Вскоре подоспели детали взлома, и какие. Злоумышленники полгода выдавали себя за трейдеров, желающих подключиться к экосистеме протокола, и втирались в доверие, прежде чем провернуть взлом.
Drift утверждает, что на связь с ними вышли осенью 2025-го на крупной криптоконференции. Успешные, профессиональные, не-корейской внешности — нанятые подставные лица. После знакомства появился TG-чатик, в котором шло общение по протоколу, включая депозит больше миллиона долларов со стороны “трейдеров”. В общем, стандартный DeFi-онбординг.
В итоге у одного контрибьютора потенциально компрометация через клон репозитория под видом кода их хранилища, у другого — через TestFlight-приложение кошелька. Нужно отдать северокорейцам должное: выводят своё искусство на уровень шпионских триллеров. Но атмосфера на конфах после такого, конечно, будет напряжённая. Дружелюбный криптобро или шпион от КНДР? Как знать!
И следом прогремел очередной бэнгер от северокорейских братушек: 18 апреля Lazarus стянули ещё ~$300 миллионов с DeFi-платформы KelpDao. Вместе со взломом Drift это $600 миллионов меньше чем за месяц.
Но не всё так радужно в стане криптоборцов с западным империализмом: через пару дней совбез Arbitrum — эфирной платформы, через чью экосистему шло украденное с KelpDao — заморозил ~$70 миллионов. Говорят, решение далось нелегко: на это ушли долгие часы дебатов по техническим, этическим и политическим вопросам — блокчейн ведь должен быть свободным, и как поступать в случае экстренных ситуаций, им не до конца понятно. Пройдёт ещё лет 10, и криптаны изобретут нормативные акты и прочие криптоУК.
Между тем после крупных апрельских взломов индустрию трясёт: на их фоне инвесторы вывели $15 миллиардов — вера в DeFi пошатнулась. Теперь понадобится не меньше пары десятков блог-постов про регулярные аудиты и топовые меры безопасности, чтобы её восстановить.