НеИБи

Иггдрасиль пустил вредоносные корни ESET опубликовала разбор прошлогодней атаки на украинскую компанию по логистике зерна. И это первый задокументированный случай, когда государственная группировка использовала mesh-сеть Yggdrasil для сокрытия командного сервера. Атака началась 16 июля 2025 года с фишингового письма, а закончилась 17 сентября уничтожением данных через легитимную утилиту Microsoft SDelete. Yggdrasil — это экспериментальная децентрализованная сеть, которая строит зашифрованный слой поверх обычного интернета. Узлы соединяются напрямую, без центрального сервера, а трафик шифруется так, что промежуточные узлы не видят содержимого. Каждый узел получает стабильный IPv6-адрес на основе публичного ключа. Для защитников это создает отдельную головную боль, потому что C2-сервер (с которого поступают команды злоумышленников) нельзя просто отключить, заблокировав один IP или домен, ведь он растворен в сети, которую поддерживают добровольцы по всему миру. Впрочем, анонимности сеть при этом не дает. Она скрывает инфраструктуру, но не личность оператора. Форензикой удалось восстановить цепочку. Все, как обычно, началось с фишинга с PowerShell-пейлоадом. Тот поставил бэкдор MATCHWOK. На следующий день атакующие развернули MythicRatatoskr (go-бэкдор, который маскируется под службу ieupdate и общается с C2 через Yggdrasil). Через него подняли SOCKS5-прокси и выкачивали данные по HTTPS поверх этой же сети, не оставляя следов в обычном периметре. В некоторых образцах была десятиминутная задержка запуска, чтобы не подключаться сразу и не привлекать внимание. ESET с высокой уверенностью атрибутирует первоначальный доступ UAC-0099, а уничтожение данных — Sandworm (GRU Unit 74455). Передача доступа между двумя российскими группировками, по мнению исследователей, часть паттерна. 🔤🔤К названиям в этой истории призываем присмотреться отдельно. Yggdrasil в скандинавской мифологии — мировое древо, связывающее девять миров. Ratatoskr — белка, которая снует по стволу вверх и вниз, передавая перебранку между орлом на вершине и змеем Нидхеггом у корней. То есть буквально курьер между двумя уровнями. Судить кто тут змей, а кто орел мы не будем, но кажется очень изящный нейминг. Да еще и фреймворк Mythic сюда лег идеально. @antiinfosec

Итоги найденных уязвимостей в PHP. @antiinfosec

Рыба в банке Российский DevSecOps-вендор Swordfish Security заполучил мощного инвестора. ЗПИФ Pre-IPO 2 под управлением АО «ВИМ Инвестиции» купил 42,15% компании. Сумму не раскрыли, но рынок оценивает сделку примерно в 1,8–2,7 млрд рублей. Основатели Александр Пинаев и Юрий Сергеев сохранили по 28,92%. И это, честно говоря, повод для поздравления. Swordfish работает на рынке с 2013 года, выросла из консалтинга в группу с продуктами для безопасной разработки и защиты ИИ, а по итогам 2025 года увеличила выручку на 52% — до 2,1 млрд рублей. В эпоху, когда «AI Security» иногда означает просто PowerPoint-презентацию с словом «агенты», это вполне себе результат. Компания говорит, что деньги пойдут на развитие защиты ИИ-систем и DevSecOps. Тут скоре про AppSec Solutions, входящую в группу, которая делает инструменты для безопасной разработки и AI Security. Плюс у Swordfish есть собственный фреймворк оценки зрелости защиты ИИ и местечко в рабочей группе по регулированию ИИ. Теперь об инвесторе. «ВИМ Инвестиции» — это бывшая «ВТБ Капитал Управление Активами». В 2022 году, после того как ВТБ и связанные с ним структуры попали под санкции США и Великобритании, банк сообщил о передаче инвестиционных подразделений «третьим лицам», а УК сменила название на «ВИМ Инвестиции». То есть формально — независимый фонд. Практически, история с ВТБ читается между строк настолько хорошо, что между строк уже можно ездить на служебном бронированном гелике. И вот что забавно, ВТБ, судя по всему, искал не просто «долю в ИБ-компании». Ему, похоже, были нужны компетенции, которых в собственной экосистеме традиционно не хватало, что и в кибербезопасности, что и в ИИ. Swordfish как раз сидит на пересечении этих тем. Совпадение? Конечно. Просто очень удачно расположенное. Ведь нельзя же сказать, что крупный финансовый конгломерат, переживающий санкционную трансформацию, решил через переименованную УК аккуратно зайти в стратегическую технологическую нишу. Т1 уже активно строит ИИ- и ИБ-направления, от квантового криптоанклава с ВТБ и РЖД до продажи услуг ИБ как отдельной линии бизнеса. Но, судя по рынку, ему все еще не хватает именно продуктовых ИБ-команд с готовыми DevSecOps- и AI Security-решениями. Сегодня большинство активов в холдинге больше про интеграцию и инфраструктуру @antiinfosec