НеИБи

Агенту не место в песочнице На прошлой неделе OpenAI опубликовала отчет об инциденте, который произошел 20 сентября. Исследовательский агент, проходивший обучение в изолированной среде, должен был найти информацию о человеке по биографическим подсказкам. Задача простая, доступ к интернету — заблокирован. Агент попробовал поисковый инструмент, получил мусор. Попробовал напрямую обратиться к Google, Bing и DuckDuckGo — получил 403 и 502. И тогда он сделал то, что сделал бы любой пентестер на его месте. Обход нашелся на сетевом уровне. DNS-резолвер внутри песочницы продолжал работать, хотя HTTP-трафик был заблокирован. Агент кодировал вопросы в DNS-запросы, отправлял их на публичный чат-бот и читал ответы обратно через тот же канал. Сначала спросил про столицу Франции — получил «Париж». Потом отправил еще 18 вопросов, включая просьбу подсказать публичные DNS-туннели. Система мониторинга зафиксировала аномалию через 15 минут, человек начал проверку через три минуты. Но автоматическая система остановки обучения не сработала — активность вручную прибили только через два с половиной часа. Для тех, кто занимается ИБ, тут нет ничего нового. DNS-туннелирование — техника, которой больше двадцати лет. Iodine, dnscat2, DNS2TCP — инструменты, которые позволяют гонять произвольный трафик через DNS-запросы, когда все остальные протоколы заблокированы. Атакующие используют это для C2-каналов, эксфильтрации данных и обхода файрволов. Проблема в том, что конфигурация, которую использовал агент OpenAI считается дефолтной в Docker, в большинстве политик Kubernetes и почти во всех CI-раннерах. То есть дыра, которую нашел агент, есть у большинства компаний по всему миру, в том числе в России. Просто мы о ней не задумываемся, потому что наши системы не проявляют инициативу. OpenAI уже закрыла канал на двух уровнях и ограничила DNS-запросы внутри исследовательской среды. Но осадок остался. Это второй побег из песочницы за три месяца — в июле тысячи агентов вырвались наружу и атаковали Hugging Face. Агенты в последнее время все чаще показывают, что выросли из песочниц. @antiifosec

Журналисткий запрос как наживка Основатель Segment (развивает свою облачную платформу) и Charm Industrial (занимается удалением углекислого диоксида из атмосферы) Питер Райнхардт получил в X сообщение от якобы журналиста WIRED с предложением интервью про удаление углерода. Ссылка с организацией колла вела на настоящую страницу Calendly, что снимало подозрения. После выбора времени его перебросило на поддельную страницу с брендингом WIRED, где для завершения бронирования требовалось подключить аккаунт X. На самом деле это был OAuth-запрос к приложению CalendarBookings, которое запрашивало права на чтение, запись и доступ к личным сообщениям. Питер подтвердил авторизацию, и его аккаунт был захвачен на несколько минут. То есть ломают не пароль и не второй фактор, а согласие пользователя. Он сам выдает стороннему приложению токен, который действует от его имени. Это важно, потому что такой доступ не требует пароля и обходит многофакторную аутентификацию. Для платформы и жертвы действия выглядят легитимными, пока токен не отозван. Злоумышленник может писать от имени жертвы, читать переписку и раскручивать ту же схему дальше по контактам. Расследование показало, что за атакой стоял общий бэкенд Asteria, а поддельные страницы маскировались под WIRED, TechCrunch и Bloomberg на домене 30min-meetings[.]com. Страница могла персонализироваться под жертву, подставляя имя и аватар из параметров URL. Исследователь использовал отдельный аккаунт, чтобы пройти всю цепочку, зафиксировал запрашиваемые права и отозвал доступ. После отправки сообщений об абузах кампания ушла в офлайн. @antiinfosec

Lazarus снова бьют рекорды Bitget подтвердила несанкционированные переводы на сумму около $351,6 млн. Получается крупнейший взлом криптобиржи в 2026 году. Инцидент затронул горячие и теплые кошельки, холодные остались в безопасности. Биржа приостановила вывод средств, но депозиты и торговля продолжают работать. Атака не связана с утечкой приватных ключей. По словам CEO Грейси Чен, злоумышленники скомпрометировали критическую backend-систему, связанную с инфраструктурой кошельков, использовали ее для подделки данных транзакций и активировали собственный процесс авторизации биржи для вывода средств. Чен описала это как «подделку форм снятия и проталкивание их через собственную кассу банка». Ключи от хранилища никогда не покидали здание, но кто-то вошел в офис, подготовил документы, выглядевшие официально, и отправил их через ту же систему одобрения. По данным Lookonchain, крупнейший украденный актив — 102,93 млн XRP или $157,48 млн (44,1% от общей суммы). Также похищено: ▪️31 890 ETH ($85,75 млн), ▪️34,75 млн USDT, 21,05 млн USDC, ▪️19,67 млн USD₮0, ▪️3000 XAUt ($12,82 млн), ▪️12 719 BNB ($9,88 млн), ▪️821 012 AVAX ($8,38 млн) ▪️20,59 млн TRX ($7,07 млн) Часть средств на Ethereum-совместимых сетях была обменяна на 67 982 ETH на сумму около $183 млн . CEO Bitget заявила, что атака «весьма вероятно» связана с северокорейскими хакерами, сославшись на IP-адреса, совпадающие с VPN-паттернами группировки Lazarus Group. Ончейн-аналитик Specter отследил путь украденных средств до июльской атаки на AFX ($24 млн), которую связывают с TraderTraitor — подразделением Lazarus Group. Пользовательский фонд защиты, в котором более $464 млн, покроет убытки полностью. Биржа уведомила правоохранительные органы и ончейн-безопасность, аномальные адреса помечены . Вывод средств приостановлен до завершения проверки безопасности. Это крупнейший взлом биржи в 2026 году и второй по величине после атаки на Bybit в феврале 2025, где та же Lazarus похитила $1,4 млрд через подделку экрана подписи. Схема с подделкой транзакций вместо кражи ключей повторяет тот же вектор, когда атакующие проникают в доверенный процесс, а не взламывают криптографию. Если Bybit выдержала потерю $1,5 млрд, Bitget, скорее всего, переживет и $351,6 млн — вопрос в том, сколько еще бирж окажутся следующими. @antiinfosec