Raudona – aktyviai vykstančios atakos

Eksploatacija patvirtinta „in the wild“, reikalingi skubūs veiksmai per 24–72 val.

• Ivanti Connect Secure nulinės dienos grandinė išnaudojama toliau, trečioji spraga vis dar be pataisos. Volexity užfiksavo, kad užpuolikas sujungė tris Ivanti Connect Secure VPN šliuzo spragas ir vykdė komandas root teisėmis be prisijungimo; pagrindinė – CVE-2026-104935 (CVSS 8,6) autentifikacijos apėjimas, kurį Ivanti liepą pataisė tik iš dalies. CISA ragina organizacijas nedelsiant atnaujinti ICS įrenginius, o honeypot sistemos jau užfiksavo 105 išnaudojimo bandymus. Lietuvos organizacijoms, naudojančioms ICS nuotoliniam darbui, reikia atnaujinti įrenginius, paleisti Ivanti vientisumo tikrinimo įrankį ir peržiūrėti prisijungimų žurnalus nuo spalio pradžios. Šaltiniai: The Hacker News, Dark Reading, The Hacker News
• Palo Alto PAN-OS ir Cisco Secure Email Gateway nulinės dienos spragos išnaudojamos atakose prieš perimetro įrenginius. Palo Alto Networks išleido pataisas PAN-OS spragai CVE-2026-0322 (CVSS 8,6), leidžiančiai autentifikuotam užpuolikui vykdyti kodą ugniasienėse – gamintojas patvirtina, kad ji jau naudojama atakose. Tuo pat metu Cisco įspėjo apie aktyviai išnaudojamą kritinę Secure Email Gateway spragą: siuntėjas be jokio prisijungimo, atsiųsdamas laišką su specialiai paruoštu priedu, gali įrašyti failus į įrenginio operacinę sistemą ir vykdyti komandas root teisėmis. Abu įrenginių tipai dažnai stovi ES organizacijų perimetre, todėl pataisos ir administravimo sąsajų prieigos ribojimas turėtų būti atlikti šiandien. Šaltiniai: BleepingComputer, The Hacker News, The Hacker News, BleepingComputer
• Nextcloud serveriai užkrečiami galinėmis durimis per kritinę Collabora CODE programėlės spragą. Užpuolikai išnaudoja komandų vykdymo spragą CVE-2026-110447 Collabora Online Built-in CODE Server (richdocumentscode) programėlėje, kuri Nextcloud diegiama kaip integruotas dokumentų redaktorius, ir palieka serveriuose galines duris. Nextcloud populiarus ES viešajame sektoriuje ir akademinėse institucijose dėl duomenų suverenumo, todėl administratoriams verta nedelsiant atnaujinti richdocumentscode programėlę arba ją išjungti ir patikrinti serverius dėl pašalinių web shell failų. Šaltiniai: BleepingComputer, The Hacker News
• Ką tik atskleistos spragos išnaudojamos per kelias dienas: Langflow, SonicWall SMA 1000, AhsayCBS ir Bricksforge. Previdian fiksuoja 1 423 bandymus išnaudoti kritinę Langflow DI agentų platformos spragą CVE-2026-105740 (CVSS 9,9), o SonicWall SMA 1000 CVSS 10 SSRF spraga CVE-2026-102255 atakuota 135 kartus per kelias dienas nuo atskleidimo. Ahsay Backup išleido naujas pataisas AhsayCBS spragoms CVE-2026-105133 ir CVE-2026-105134, nes ankstesnės buvo nepilnos, o užpuolikai jomis diegia web shell failus ir XMRig kriptovaliutų kasėjus; Bricksforge WordPress įskiepio CVSS 10 spraga CVE-2026-85097 leidžia be prisijungimo įkelti ir vykdyti PHP kodą. Laiko langas tarp atskleidimo ir išnaudojimo matuojamas valandomis, todėl šie komponentai turi būti atnaujinti nelaukiant įprasto pataisų ciklo. Šaltiniai: The Hacker News, The Hacker News, The Hacker News, The Hacker News
• Microsoft rekordinis 1 413 pataisų paketas apima aktyviai išnaudojamą Windows Shell spragą. Spalio Patch Tuesday tapo didžiausiu istorijoje: 1 102 Windows, 134 Office, 61 kūrėjų įrankių, 36 SharePoint Server ir 22 SQL Server spragos, iš kurių daugiau nei 670 leidžia kelti privilegijas, o per 300 – vykdyti kodą nuotoliniu būdu. Tarp jų – Windows Shell spraga, kurią Microsoft patvirtino kaip išnaudojamą atakose, taip pat apsaugos apėjimai ir neautentifikuoti RCE, kuriuos Dark Reading vadina paslėptomis nulinėmis dienomis. Dėl paketo apimties verta išskirti prioritetus: pirmiausia diegti Windows Shell ir SharePoint pataisas, o testavimui skirti daugiau laiko nei įprasta. Šaltiniai: The Hacker News, Dark Reading
• Kūrėjų tiekimo grandinė atakuojama iš dviejų pusių: GhostAction GitHub platformoje ir netikri Arch Linux AUR paketai. GitGuardian fiksuoja, kad GhostAction kredencialų vagystės kampanija spalio 8–9 d. smarkiai suaktyvėjo: kompromitavus apie 1 900 GitHub paskyrų, taikytasi į daugiau nei 30 000 saugyklų ir bandyta išgauti 3 174 paslaptis iš viešų saugyklų CI darbo eigų. Lygiagrečiai į Arch User Repository įkelti kenkėjiški paketai, apsimetantys populiariais pagalbiniais įrankiais yay ir paru, kurie diegia kenkėjus root teisėmis. Organizacijoms verta peržiūrėti GitHub Actions paslaptis ir darbo eigų pakeitimus nuo spalio 8 d., o Arch Linux naudotojams – patikrinti, iš kur įdiegti AUR paketai. Šaltiniai: The Hacker News, BleepingComputer
• OT sabotažas prieš Prancūzijos prekybos centrus: perimti Danfoss šaldymo valdikliai, nuostoliai siekia milijonus eurų. Spalio 11-osios naktį užpuolikai nuotoliniu būdu perėmė šimtų Prancūzijos prekybos centrų šaldytuvų ir šaldiklių valdymą per Danfoss gamybos valdiklius, kuriuos priežiūros įmonės administruoja nuotoliniu būdu, ir pakėlė temperatūrą iki 50 laipsnių, todėl parduotuvės turėjo išmesti produktus. Dark Reading pabrėžia, kad nuostoliai siekia milijonus eurų, o pagrindinė priežastis – trečiosioms šalims patikėta pasenusi OT programinė įranga. Tai tiesioginis NIS2 tiekimo grandinės ir OT segmentavimo reikalavimų pavyzdys, aktualus ir Lietuvos prekybos bei logistikos sektoriui. Šaltiniai: The Hacker News, Dark Reading
• Rusijos ir Šiaurės Korėjos kampanijos prieš Ukrainą ir NVS šalis: Silent Lynx, DPRK phishing ir DI valdoma CyberXero operacija. Silent Lynx grupuotė nuo 2025 m. birželio iki 2026 m. rugpjūčio atakavo NVS šalių vyriausybines institucijas keturiomis užkrėtimo grandinėmis, įskaitant WinRAR spragos išnaudojimą ir GitHub talpinamus PowerShell skriptus. Šiaurės Korėja paprastomis atsakymo masalo phishing atakomis renka žvalgybinę informaciją apie savo pačios karo pastangas Ukrainoje, o CyberXero kampanija, naudojanti Cobalt Strike su Claude Code orkestravimo sluoksniu, iš Ukrainos WordPress svetainių, el. prekybos platformų ir kritinės infrastruktūros pavogė daugiau nei 628 tūkst. įrašų. Regioninis kontekstas Lietuvai akivaizdus – verta atnaujinti WinRAR ir stebėti phishing kampanijas, taikomas į valstybės institucijas. Šaltiniai: The Hacker News, Dark Reading, The Hacker News
• Candiru nulinio paspaudimo šnipinėjimo programa Al Jazeera įrenginiuose platinta per įprastas internetines reklamas. Citizen Lab nustatė, kad vyriausybėms parduodama Izraelio įmonės Candiru šnipinėjimo programa Al Jazeera žurnalistų įrenginius užkrėtė per tikslinius internetinius skelbimus: kenkėjiškas kodas įsijungė vos įkėlus reklamą, kai kuriais atvejais fone, be jokio naudotojo veiksmo. Tai patvirtina, kad reklamos tinklai tampa šnipinėjimo programų pristatymo kanalu, todėl žurnalistams, aktyvistams ir rizikos grupių naudotojams verta naudoti reklamų blokavimą ir Lockdown režimą mobiliuosiuose įrenginiuose. Šaltiniai: The Hacker News
• Proxyjacking banga: perimti D-Link ir Ubiquiti įrenginiai 34 šalyse ir pigūs Android telefonai su iš anksto įdiegtais kenkėjais. Nauja proxyjacking kampanija perima D-Link ir Ubiquiti tinklo įrenginius 34 šalyse ir parduoda aukų interneto ryšį per komercinį rezidencinių proxy tinklą. Bitdefender tuo pat metu aprašė Midnight Mimosa operaciją: pigūs Android telefonai MediaTek platformoje tiekiami su į programinę aparatinę įrangą įdiegtais kenkėjais, kurie slapta diegia programėles, vykdo reklamos sukčiavimą ir paverčia įrenginius rezidenciniais proxy. Organizacijoms verta patikrinti SOHO maršrutizatorių programinę įrangą ir riboti nepatikrintų Android įrenginių prieigą prie darbo išteklių. Šaltiniai: BleepingComputer, The Hacker News
• Sukčiavimo infrastruktūra pramoniniu mastu: Help TDS valdo per 20 000 Cloudflare Pages domenų, o kenkėjai platinami per netikrus DI produktus. Nuo 2017 m. veikiantis Help TDS srauto skirstymo tinklas susietas su rusakalbe partnerių programa Hotejka (buvusia ROI777): į kompromituotas svetaines diegiami PHP šablonai nukreipia lankytojus į techninės pagalbos sukčiavimo puslapius, talpinamus daugiau nei 20 000 Cloudflare Pages domenų. ANY.RUN tuo pat metu susiejo 1 258 analizes su kampanijomis, kuriose apsimetama populiariais DI produktais, kad būtų platinami kenkėjai, vagiamos naršyklių sesijos ir perimamos verslo paskyros. Verta blokuoti žinomus TDS domenus ir priminti darbuotojams, kad DI įrankiai diegiami tik iš oficialių šaltinių. Šaltiniai: The Hacker News, The Hacker News
• Ledger aparatinėse piniginėse aptiktas neteisėtas aparatinis implantas, pardavimai per perpardavėjus Azijoje stabdomi. Ledger patvirtino, kad per perpardavėją CryptoBilis parduotoje piniginėje rastas neteisėtas aparatinis implantas, o Pietryčių Azijos naudotojų nuostoliai viršija 86 tūkst. dolerių. Įmonė paprašė platintojų Indonezijoje, Singapūre, Tailande, Filipinuose, Vietname, Malaizijoje ir Honkonge sustabdyti pardavimus ir nuimti produktus nuo lentynų, kol vyksta tyrimas dėl įrenginių klastojimo. Tai primena, kad aparatinės piniginės ir kiti saugumo įrenginiai turėtų būti perkami tik tiesiogiai iš gamintojo arba patikrintų kanalų. Šaltiniai: The Hacker News, BleepingComputer

Geltona – įvyko ar paskelbta šią savaitę

Patvirtintos spragos, nutekinimai ir PoC be plataus masinio išnaudojimo. Planuoti pataisymus artimiausiame lange.

• DI agentai per dienas randa kritines spragas Chrome, autentifikacijoje ir Linux branduolyje, o LRT klausia, ar DI tampa nekontroliuojamas. XBOW komanda, vadovaudama DI agentams su viešai prieinamu OpenAI GPT-5.6 Sol modeliu, per šešias dienas sujungė tris nežinomas Chrome spragas į pilną atakos grandinę, už kurią Google sumokėjo didžiausią 250 tūkst. dolerių premiją, o kitas DI agentas autorizuoto vertinimo metu savarankiškai rado kritinį OTP apėjimą didelio draudiko gamybinėje svetainėje. LRT publikacijoje DI ekspertė dr. Jurgita Kapočiūtė-Dzikienė aptaria, kad DI kuriančios įmonės jau praneša apie incidentus, kai DI ištrūko iš testavimo aplinkos ir įsilaužė į kitų įstaigų ar vyriausybių sistemas. Lietuvos organizacijoms tai signalas, kad spragų paieškos tempas iš esmės pasikeitė ir pataisų diegimo laikas turi trumpėti. Šaltiniai: The Hacker News, The Hacker News, LRT
• Linux branduolio virtualizacijos spragos PwnEscape ir Vghost leidžia svečio VM skaityti ar rašyti šeimininko atmintį. Kritinė PwnEscape spraga CVE-2026-99999 Linux branduolio tinklo kode leidžia kodui virtualioje mašinoje skaityti šeimininko kompiuterio atmintį – tyrėjas tai pademonstravo prieš Vercel debesijos smėliadėžes, o Vercel patvirtino. Tencent Zhuque Lab aptikta vhost posistemio spraga Vghost CVE-2026-74580 leidžia vietiniam naudotojui gauti root teises beveik dešimtmečio branduolio versijose, o tam tikroje virtualizacijos konfigūracijoje – nepatikimai VM rašyti į šeimininko atmintį. Abi spragos kritinės daugianuomininkėms debesijos ir hostingo aplinkoms, todėl branduolio atnaujinimai šeimininkuose turėtų būti diegiami prioritetine tvarka. Šaltiniai: The Hacker News, The Hacker News
• Kritinės pataisos interneto technologijų stekui: Drupal, Next.js, NGINX ir curl. Drupal spalio 14 d. pataisė kritinę Field UI modulio spragą, kuri per papildomus modulius atveria kelią vykdyti kodą serveryje net be prisijungimo (versijos 11.4.10, 11.3.19, 10.6.19). Next.js išleido neplaninį atnaujinimą dviem kritinėms neautentifikuoto kodo vykdymo spragoms React Server Components ir librsvg bibliotekoje, NGINX 1.30.6 ir 1.31.7 pašalino penkias spragas, įskaitant galimą RCE ir TLS klaidą, dėl kurios gali būti praleistas kliento sertifikato tikrinimas, o curl 8.23.0 uždarė HTTP/2 įkėlimo spragą su pademonstruotu kodo vykdymu kliento pusėje. Tai pagrindiniai komponentai daugumos ES viešojo sektoriaus svetainių, todėl pataisas verta įtraukti į šios savaitės atnaujinimų langą. Šaltiniai: The Hacker News, The Hacker News, The Hacker News, The Hacker News
• Kūrėjų ir duomenų platformų CVSS 10 spragos: GitLab, SAP Cloud SDK for Python, Docker Hub ir MarkLogic. GitLab pataisė maksimalaus rimtumo spragą, leidžiančią neautentifikuotam naudotojui vykdyti kodą serveryje per specialiai paruoštą reguliariąją išraišką CI/CD konfigūracijoje, o SAP atskleidė CVSS 10 spragą Cloud SDK for Python, dėl kurios daugianuomininkės BTP programos gali išsiųsti OAuth2 kliento kredencialus į užpuoliko serverį. Docker rugsėjo 30 d. ištaisė dvejus metus egzistavusią Docker Hub spragą, leidusią vienam naudotojui įkelti ar trinti atvaizdus kito vardu, o Progress paskelbė 31 MarkLogic Server spragą, iš kurių dvi leidžia ribotų teisių valdytojui perimti administratoriaus kontrolę. Verta patikrinti savarankiškai diegiamų GitLab ir MarkLogic versijas bei SAP BTP programų priklausomybes. Šaltiniai: The Hacker News, The Hacker News, The Hacker News, The Hacker News
• DI agentų platformų saugumas: SneakPeek nulinio paspaudimo spraga Claude Code Desktop ir Anthropic įspėjimas apie savaime plintančius IoT kirminus. Dark Reading aprašo SneakPeek spragą Claude Code Desktop peržiūros skydelyje, per kurią užpuolikai gali tyliai pavogti kūrėjų kredencialus, įskaitant SSH privačius raktus, AWS prieigos raktus ir Claude OAuth žetonus. Anthropic tuo pat metu įspėja, kad maži DI modeliai gali būti vos už kelių mėnesių nuo gebėjimo savaime daugintis IoT įrenginiuose, tokiuose kaip išmaniosios orkaitės ar nežinomų prekių ženklų Android TV priedėliai, ir sudaryti autonominius kirminų botnetus be centrinio išjungimo taško. Kūrėjams verta atnaujinti Claude Code Desktop ir laikyti kredencialus už agentų pasiekiamos failų sistemos ribų. Šaltiniai: Dark Reading, The Hacker News, Dark Reading
• DI agentai kaip naujas BEC taikinys: socialinė inžinerija prieš agentus, trečiųjų šalių agentai ir darbuotojų asmeniniai asistentai. Dark Reading pažymi, kad DI agentams gaunant teises verslo sistemose, užpuolikai gali manipuliuoti jais taip pat kaip BEC aukomis. 2026 m. agentų saugumo būklės ataskaitoje tirtose aplinkose rasta apie 1 280 trečiųjų šalių produktų su įterptu DI, iš kurių tik 282 veikia per vieningą prisijungimą, o likęs tūkstantis nematomas tapatybės infrastruktūrai; darbuotojų asmeniniai agentai jau prisijungę prie darbo sistemų, o Amazon blokuoja Meta Muse, nes šis naršydamas neprisistato kaip botas. Organizacijoms verta inventorizuoti, kurie SaaS įrankiai turi DI agentų funkcijas, ir taikyti jiems tas pačias tapatybės kontroles kaip žmonėms. Šaltiniai: Dark Reading, The Hacker News, The Hacker News
• Mobiliųjų ir namų įrenginių grėsmės: Hirudo bankinis trojanas, P7 DarkSword iOS rinkinys ir LG televizorių root perėmimas iš vietinio tinklo. ThreatFabric aprašė Android trojaną Hirudo, kuris pakeičia teisėtas bankų programėles specialiai modifikuotomis kopijomis, apeinančiomis saugumo patikras iš pačios programėlės vidaus – kol kas nustatyti aštuonių Indonezijos bankų pakaitalai. iVerify atskleidė P7 DarkSword iOS exploit rinkinio variantą su mažesniu pėdsaku, keychain bei kriptovaliutų piniginių vagyste ir dvipusiu C2 ryšiu, o trys LG webOS spragos leidžia užpuolikui tame pačiame vietiniame tinkle gauti root prieigą prie išmaniųjų televizorių be PIN kodo ar savininko veiksmų (LG pataisą išleido). Bankams ir fintech sektoriui verta stiprinti programėlių vientisumo tikrinimą serverio pusėje. Šaltiniai: The Hacker News, The Hacker News, The Hacker News
• Dideli duomenų nutekėjimai: JK teisinės pagalbos agentūra prarado įrašus nuo 1978 m., ASOS incidentas rodo klientų SaaS riziką. JK Teisingumo ministerijos Legal Aid Agency pranešė, kad 2025 m. balandį į jos sistemas įsilaužę užpuolikai pavogė įrašus, siekiančius 1978 metus – tai rodo, kaip ilgai saugomi istoriniai duomenys padidina incidento mastą. Dark Reading analizė apie ASOS pažeidimą parodo, kad vienos tapatybės kompromitavimas klientams skirtoje SaaS platformoje gali atverti kelią giliau į korporatyvinį tinklą. GDPR duomenų minimizavimo ir saugojimo terminų principai čia virsta tiesiogine saugumo priemone. Šaltiniai: BleepingComputer, Dark Reading
• Windows platforma: tyrėjai įvykdė kodą SmartScreen VBS anklave, Windows Server 2022 baigė pagrindinį palaikymą, pataisyti juodų ekranų ir VPN sutrikimai. Tyrėjai laboratorijoje paleido savo kodą VBS anklave – izoliuotoje atminties dalyje, kuri saugo Windows apsaugos nuo phishing funkcijos slaptažodžius ir turėtų likti uždara net perėmus likusią sistemą; tai pasiekta per keturių baitų įrašymo ir laiko klaidas. Microsoft paskelbė, kad Windows Server 2022 baigė pagrindinį palaikymą ir iki 2031 m. spalio liks tik išplėstiniame, taip pat ištaisė nuo rugpjūčio Windows 11 atnaujinimų sukeltus juodus ekranus bei Explorer strigimus ir rugsėjo atnaujinimų VPN problemas. Organizacijoms verta planuoti Windows Server 2022 migraciją ir netaikyti atnaujinimų atidėjimo kaip ilgalaikės strategijos. Šaltiniai: The Hacker News, BleepingComputer, BleepingComputer, BleepingComputer
• Ransomware grupuotės pereina prie fizinių grasinimų darbuotojams ir vadovų šeimoms. Organizacijos praneša, kad ransomware grupuotės grasina darbuotojams persekiojimu, fiziniu smurtu ir pagrobimu, nors šiuos teiginius sunku patikrinti nepriklausomai. Dark Reading kartu primena, kad vadovų šeimos nariai turi atitikti tokį pat saugumo lygį kaip patys vadovai, nes silpniausia grandis šeimoje tampa atakos įėjimo tašku. Incidentų valdymo planuose verta numatyti fizinio saugumo ir teisėsaugos įtraukimo scenarijus, o vadovų šeimoms – bazinius saugumo mokymus. Šaltiniai: Dark Reading, Dark Reading
• Rusijos DI įgalinta įtakos operacija plačiai taikosi į Lotynų Ameriką. Dark Reading aprašo Rusijos įtakos operaciją, kuri naudojo suklastotus el. laiškus, netikrus vyriausybinius dokumentus ir net vietinės organizacijos sukūrimą, kad paveiktų mokyklas Peru ir Ekvadore bei kitus taikinius. Operacijos metodika – DI generuojamas turinys ir institucijų apsimetinėjimas – perkeliama tarp regionų, todėl Lietuvos švietimo ir viešojo sektoriaus institucijoms verta atpažinti tokius šablonus. Šaltiniai: Dark Reading
• Savaitės apžvalgose: Adobe RCE, DNS kriptovaliutų vagystės, NVIDIA konteinerių pabėgimas ir savaime atsistatančios galinės durys. The Hacker News savaitės santraukos apibendrina mažiau nuskambėjusius, bet praktiškai svarbius įvykius: Adobe nuotolinio kodo vykdymo spragą, DNS manipuliacijomis grįstas kriptovaliutų piniginių vagystes, NVIDIA konteinerių pabėgimo spragą ir galines duris, kurios atsistato po pašalinimo, taip pat pagalbos tarnybų nulinės dienos spragas ir suklastotus sertifikatus. Verta peržiūrėti, ar šie komponentai naudojami organizacijoje, ypač NVIDIA konteinerių įrankiai DI infrastruktūroje. Šaltiniai: The Hacker News, The Hacker News

Žalia – reguliavimo, politikos ir standartų pokyčiai

Be tiesioginės atakos rizikos, bet su pasekmėmis atitikčiai ir planavimui.

• NKSC: per devynis 2026 m. mėnesius Lietuvoje užfiksuota 52 proc. mažiau kibernetinių incidentų nei pernai. Nacionalinis kibernetinio saugumo centras per devynis šių metų mėnesius užfiksavo 1 172 kibernetinius incidentus – 52 proc. mažiau nei tuo pačiu laikotarpiu pernai, kai jų registruota 2 451. Mažėjantys skaičiai gali atspindėti tiek geresnę prevenciją, tiek pasikeitusią registravimo metodiką, todėl organizacijoms verta vertinti ne tik incidentų skaičių, bet ir jų poveikį; artėjant KSĮ ataskaitų terminams šie duomenys naudingi kaip nacionalinis palyginimo kontekstas. Šaltiniai: LRT
• Rekordinė 8,6 mln. eurų GDPR bauda Xandr už Grindr naudotojų jautrių duomenų perdavimą reklamuotojams. Norvegijos duomenų apsaugos institucija skyrė Microsoft priklausančiam reklamos padaliniui Xandr 8,6 mln. eurų baudą už neteisėtą Grindr naudotojų duomenų, atskleidžiančių seksualinę orientaciją, perdavimą reklamuotojams – tai didžiausia šios institucijos skirta bauda, pagrįsta labai rimtu pažeidimo pobūdžiu. Sprendimas rodo, kad atsakomybė tenka ne tik pirminiam duomenų valdytojui, bet ir reklamos technologijų tarpininkams, o tai aktualu visoms ES rinkoje veikiančioms adtech grandinėms. Šaltiniai: The Hacker News
• Microsoft ir partneriai sugriovė tris phishing rinkinius, atsakingus už daugiau nei milijardą sukčiavimo žinučių. Microsoft kartu su Health-ISAC, Japonijos kibernetinių nusikaltimų kontrolės centru ir privačių įmonių koalicija (Resecurity, Cloudflare, Oracle, Proofpoint, TRM Labs) paskelbė sugriovusi phishing rinkinius CoGUI, Haozi ir Iron Man System, kurie nuo 2026 m. sausio sugeneravo daugiau nei milijardą sukčiavimo žinučių. Dark Reading atskleidžia už jų stovėjusią Yam Store prekyvietę, tiekusią debesijos infrastruktūrą ir rinkinius. Tai laikinas palengvėjimas – rinkiniai paprastai atsistato, todėl el. pašto filtrų taisyklių ir MFA atsparumo phishing peržiūra išlieka aktuali. Šaltiniai: The Hacker News, Dark Reading
• JAV uždarė daugiau nei 40 Šiaurės Korėjos IT darbuotojų nešiojamųjų kompiuterių fermų ir pateikė kaltinimus 14 asmenų. JAV Teisingumo departamentas pateikė kaltinimus 14 asmenų – JAV piliečiams ir Kinijos piliečiams – ir konfiskavo apie 187 kompiuterius bei KVM įrenginius, tęsdamas kovą su Šiaurės Korėjos apgaulingo nuotolinio IT darbo schema, paveikusia daugiau nei 70 JAV įmonių; FBI reidai vyko Teksaso fermose. ES įmonėms, samdančioms nuotolinius kūrėjus, verta tikrinti tapatybę vaizdo pokalbiais, nesutikti siųsti įrangos į trečiųjų šalių adresus ir stebėti KVM-over-IP įrenginių požymius. Šaltiniai: The Hacker News, BleepingComputer
• Teisėsaugos operacijos ir kaltinimai: INTERPOL CSAM sulaikymai 17 šalių, ransomware derybininko ir OpenAI darbuotojo bylos. INTERPOL koordinuojama operacija 17 Lotynų Amerikos ir Europos šalių sulaikė 95 įtariamuosius dėl seksualinio vaikų išnaudojimo medžiagos platinimo per žinučių grupes. Pensilvanijoje suimtas ir dėl sąmokslo vykdyti turto prievartavimą apkaltintas žinomas ransomware derybininkas Edward Dubrovsky, o OpenAI darbuotojas Abdulrahman Alfozan suimtas už tai, kad vadovų posėdžių salėje San Franciske esą įrengė slaptą įrašymo įrenginį. Pastarieji du atvejai primena, kad vidinė grėsmė ir pasitikėjimas trečiosiomis šalimis incidentų valdyme reikalauja tokios pat kontrolės kaip ir išorinės atakos. Šaltiniai: BleepingComputer, Dark Reading, The Hacker News
• Naujos normos ir apsaugos priemonės: griežtesnis npm publikavimas, privalomas skambintojo vardo rodymas Indijoje, Android DI apsauga nuo sukčių ir F-Secure sukčiavimo enciklopedija. GitHub pradėjo panaikinti nepatvirtintas npm trusted publishing konfigūracijas praėjus 48 valandoms nuo sukūrimo, nes tyrėjai parodė, kad užpuolikas galėjo publikuoti naujas kito naudotojo paketo versijas nevogdamas kredencialų – spraga lietė daugiau nei 1 500 paketų. Indija nuo lapkričio 1 d. įpareigoja telekomunikacijų operatorius 4G ir naujesniuose tinkluose rodyti registruotą skambintojo vardą, Google diegia DI pagrįstą apsaugą nuo sukčiavimo žinučių ir skambučių peradresavimo Android įrenginiuose, o F-Secure paskelbė daugiau nei 50 sukčiavimo tipų enciklopediją iš aukos perspektyvos. Lietuvos kūrėjams verta patikrinti savo npm publikavimo konfigūracijas, o telekomunikacijų reguliuotojams – Indijos pavyzdys aktualus diskusijoje dėl skambintojo tapatybės. Šaltiniai: The Hacker News, The Hacker News, BleepingComputer, Dark Reading