В выпуске за 2 ноября – атака на Росстат с нераскрытым вектором, более 70 наборов фишинга через код устройства и поддельные тендеры от имени ведомства здравоохранения Висконсина.
Росстат подтвердил атаку, но не раскрыл вектор
Росстат сообщил, что с 29 октября по 1 ноября его информационные ресурсы подвергались целевым деструктивным атакам. Ведомство заявило, что системы мониторинга своевременно обнаружили подозрительную активность, а компрометации баз данных и утечки охраняемой законом информации не выявлено. На момент сообщения специалисты вместе с правоохранительными органами устанавливали вектор и источники атаки [1].
На федеральных и региональных страницах Росстата появлялись сообщения и логотипы Silent Crow и «Киберпартизаны BY». Silent Crow заявила о доступе примерно к 25 тыс. компьютеров и выгрузке 23 ТБ данных, включая якобы сведения о военных потерях. Независимого технического подтверждения этих цифр нет, а Росстат отрицает утечку [2]. Фишинг, компрометация подрядчика, кража учётных данных или другой элемент социальной инженерии публично не подтверждены, поэтому случай находится вне основного фокуса дайджеста.
LevelBlue нашла более 70 наборов device-code phishing
LevelBlue описала семейство ранее публично не документированных наборов с панелями BlackApex, DarkApex, SPY и XXX101. Исследователи нашли более 70 экземпляров с одинаковыми серверной частью и административной панелью, но разными приманками под SharePoint, Zoom, OneDrive и другие рабочие сервисы [3]. География, отрасли, число жертв и доля успешных атак не раскрыты.
Цепочка начинается со spearphishing-письма. Ссылка или PDF ведут через страницы, похожие на Google Share либо Microsoft Forms, к брендированной приманке. Она получает device code, помещает его в буфер обмена и открывает настоящий microsoft.com/devicelogin. Жертва сама вводит код и проходит MFA, а сервер оператора погашает код и получает access и refresh token. После этого пользователя перенаправляют на настоящий документ Word, поэтому ошибка входа может остаться незаметной.
LevelBlue считает, что подробные однотипные комментарии в коде, согласованная структура пяти приманок и необычно аккуратная обработка ошибок указывают на активное использование ИИ при разработке. Это аналитическая оценка по косвенным признакам, а не доказательство конкретной модели или автора. Сам device-code phishing известен давно; новый факт – общая инфраструктура десятков вариантов и признаки ускоренного производства наборов.
Wisconsin DHS предупредил партнёров о ложных тендерах
Департамент здравоохранения штата Висконсин 30 октября предупредил партнёров о письмах, которые выдавались за сообщения его сотрудника. Текст менялся, но приманкой служила просьба просмотреть или подать конкурсное предложение. Ссылка вела на поддельную страницу входа Microsoft для кражи учётных данных и персональной информации [4].
DHS сообщил, что в некоторых затронутых почтовых ящиках обнаружили правила, скрывавшие активность. Число писем, организаций и успешных захватов не названо. Также неизвестно, использовали ли злоумышленники настоящий скомпрометированный ящик сотрудника или только подменяли отправителя.
Источники
[1] https://www.interfax.ru/russia/1126380
[2] https://meduza.io/news/2026/11/01/belorusskie-hakery-vzlomali-sayt-rosstata-oni-utverzhdayut-chto-poluchili-dostup-k-informatsii-o-poteryah-rossii-v-voyne
[3] https://www.levelblue.com/blogs/spiderlabs-blog/blackapex-spy-and-counting-the-emerging-wave-of-vibe-coded-phishing-kits
[4] https://www.dhs.wisconsin.gov/news/releases/103026.htm