ТОП-5 ИБ‑событий недели по версии Jet CSIRT

Сегодня в ТОП-5 — ValleyRAT маскируется под рекламное ПО для атак на пользователей, группировка Toy Ghouls создала собственные бэкдоры для управления через MQTT и Element, компрометация инфраструктуры Coder привела к распространению вредоносных Terraform-модулей, критическая уязвимость в Elementor Pro активно эксплуатируется для загрузки веб-шеллов, критическая уязвимость в JFrog Artifactory эксплуатируется для получения прав администратора.

ValleyRAT маскируется под рекламное ПО для атак на пользователей

Эксперты «Лаборатории Касперского» обнаружили кампанию, распространяющую бэкдор ValleyRAT под видом рекламного приложения QN Wallpaper. Вредоносный инсталлятор устанавливает легитимные программы для отвлечения внимания, после чего распаковывает модифицированное рекламное ПО и через DLL sideloading загружает модифицированную библиотеку libcef.dll. Набор модулей расшифровывает AES-шифрованный бэкдор и внедряет его в хранилище. ValleyRAT обладает функциями кейлоггера, перехвата буфера обмена, создания скриншотов, использует инъекцию в svchost для перезапуска, назначает свой процесс критическим (его завершение вызовет синий экран смерти). Пользователям рекомендуется не устанавливать программы с сомнительной репутацией и не добавлять их в исключения антивируса.

Группировка Toy Ghouls создала собственные бэкдоры для управления через MQTT и Element

Группировка Toy Ghouls, с 2025 года атакующая российские организации, перешла от публичных инструментов к собственным бэкдорам: mqtt-bird-agent (HiveMQ) и matrix-bird-agent (Element). Доставка осуществляется через WinRM с использованием Evil-WinRM. Бэкдор работает интерактивно или как служба Windows (cplsupport/wtas), конфигурация шифруется ChaCha20-Poly1305 с привязкой к MachineGuid и хранится в файле или реестре. Команды передаются через отправку метрик системы. Администраторам рекомендуется проверить наличие служб cplsupport и wtas, файлов cplsupport.exe и wtass.exe, посещаемость к broker.hivemq[.]com и meet.element[.]tw.

Компрометация инфраструктуры Coder привела к распространению вредоносных Terraform-модулей

Злоумышленники скомпрометировали Cloudflare-инфраструктуру платформы Coder и добавили неавторизованные IP-адреса в пул модульного реестра, перенаправляя запросы на свои серверы. Вредоносные Terraform-модули собирали переменные окружения, программный интерфейс-ключи, учётные информация CI/CD, OIDC-токены, SSH-ключи и пароли, отправляя данные на coder-infra[.]com. Пользователям уязвимых версий (2.37.0, 2.36.4, 2.35.7, 2.34.9) рекомендуется проверить логи на соединения с coder-infra[.]com, выполнить SQL-запрос для выявления скомпрометированных модулей, сменить упомянутые пароли, ключи доступа и установить обновления.

Критическая уязвимость в Elementor Pro активно эксплуатируется для загрузки веб-шеллов

В плагине Elementor Pro (до 4.2.1) обнаружена уязвимость (CVE-2026-32475, CVSS: 9.8), позволяющая скачивать PHP-файлы в связи с ошибки валидации поля загрузки: при отправке массива с пустым первым элементом тест расширений прерывается. Атака требует наличия на сайте формы с необязательным полем загрузки. Эксплойт загружает PHP-файл в /wp-content/uploads/elementor/forms/, что даёт выполнение команд на сервере. Пользователям необходимо обновиться до версии 4.2.2.

Критическая уязвимость в JFrog Artifactory эксплуатируется для получения прав администратора

Злоумышленники активно эксплуатируют уязвимость в JFrog Artifactory (CVE-2026-82329, CVSS: 9.8), позволяющую неавторизованно получить права административного доступа в Artifactory. Задача затрагивает стандартные конфигурации без дополнительного join key, позволяя подделать ключ и генерировать учётные информация администратора. С 1 сентября зафиксированы попытки создания бэкдор-пользователей и перечисления пользователей, групп и токенов. Уязвимость устранена в версии 7.161.20.