Știri
Știri din categoria Securitate cibernetică
Potrivit 444.hu, declarațiile oficiale despre un presupus spionaj nu sunt susținute de înregistrarea publicată, după ce guvernul ungar a difuzat fragmente din audierea unui tânăr informatician asociat cu partidul Tisza, cunoscut sub pseudonimul Gundalf.
În spațiul public, premierul Viktor Orbán și ministrul de externe Péter Szijjártó au susținut că acesta ar fi recunoscut că a fost recrutat și instruit de ucraineni, inclusiv pentru acțiuni ostile. Totuși, analiza înregistrării de aproximativ 50 de minute arată că o astfel de recunoaștere explicită nu apare.
Din materialul video reiese că tânărul:
În niciun moment nu afirmă clar că ar fi fost recrutat, plătit sau instruit ca agent. Într-un pasaj ulterior, el sugerează doar că ar fi putut exista o tentativă de recrutare, fără a o confirma ca fiind reușită.
Cazul celor doi informaticieni apropiați de Tisza a fost relatat anterior de investigații jurnalistice, care indică o posibilă operațiune de presiune asupra acestora. Potrivit acestor informații:
Autoritatea ungară de securitate susține însă că îi monitoriza de mai mult timp pentru presupuse legături externe.
Liderul Tisza, Péter Magyar, acuză guvernul că a publicat ilegal un material editat și că încearcă să construiască un caz politic. El afirmă că din aceeași înregistrare rezultă mai degrabă presiuni exercitate asupra unui tânăr de 19 ani decât o activitate de spionaj confirmată.
În schimb, oficialii guvernamentali au prezentat cazul ca pe o dovadă a unei amenințări la adresa securității naționale, insistând asupra unei implicări ucrainene, fără ca aceasta să fie demonstrată clar în materialul publicat.
Cazul rămâne disputat, cu interpretări diametral opuse: autoritățile vorbesc despre o operațiune de spionaj, în timp ce analiza conținutului disponibil indică mai degrabă o tentativă neclară de recrutare și o serie de acuzații neconfirmate explicit.
Recomandate
O nouă versiune a malware-ului Kazuar funcționează ca botnet P2P modular, ceea ce complică detectarea și crește persistența în rețelele compromise , potrivit BleepingComputer . Evoluția este atribuită grupului Secret Blizzard , asociat în mod repetat cu operațiuni de spionaj cibernetic și cu servicii rusești de informații, iar schimbarea de arhitectură mută presiunea de pe „semnături” (indicatori statici) pe detecția comportamentală în companii și instituții. De ce contează pentru organizații: mai puțin trafic „vizibil”, mai multă reziliență Analiza Microsoft asupra unei variante recente arată că Kazuar a fost transformat într-o structură de tip peer-to-peer (P2P), în care nu toate sistemele infectate comunică direct cu infrastructura de comandă și control (C2). În practică, asta reduce „suprafața” de detecție: mai puține conexiuni externe repetate din mai multe stații, mai mult trafic intern care se poate confunda cu activitatea normală. Un element-cheie este mecanismul de „lider”: un singur sistem infectat dintr-un mediu compromis este ales să comunice cu C2, primește sarcini și le distribuie intern către celelalte sisteme infectate, care intră în mod „tăcut” și nu mai vorbesc direct cu serverele atacatorilor. „Liderul Kernel este modulul Kernel ales care comunică cu modulul Bridge în numele celorlalte module Kernel, reducând vizibilitatea prin evitarea unor volume mari de trafic extern de la mai multe gazde infectate”, explică Microsoft. Cum este construit noul Kazuar: trei module și comunicații interne criptate Microsoft descrie o arhitectură cu trei module distincte: Kernel : coordonatorul central; gestionează sarcini, controlează celelalte module, alege liderul și orchestrează comunicațiile și fluxul de date în botnet. Selecția liderului este internă și autonomă, pe baza unor criterii precum timpul de funcționare și numărul de reporniri/întreruperi. Bridge : „proxy”-ul de comunicații externe; face legătura între lider și infrastructura C2, folosind protocoale precum HTTP, WebSockets sau Exchange Web Services (EWS). Worker : execută efectiv operațiunile de spionaj și colectare de date. Comunicațiile interne se bazează pe IPC (comunicare între procese) prin mecanisme Windows precum Windows Messaging, Mailslots și „named pipes” (canale denumite), pentru a se amesteca în „zgomotul” operațional. Mesajele sunt criptate cu AES și serializate cu Google Protocol Buffers (Protobuf). Ce poate face pe sistemele compromise: de la keylogging la colectare de e-mail Modulul Worker este folosit pentru activități tipice de spionaj, inclusiv: înregistrarea tastelor (keylogging); capturi de ecran; colectare de date din sistemul de fișiere; recunoaștere de sistem și rețea; colectare de date e-mail/MAPI (inclusiv descărcări din Outlook); monitorizarea ferestrelor; furtul fișierelor recente. Datele colectate sunt criptate, stocate temporar local și apoi exfiltrate prin modulul Bridge. Microsoft mai subliniază că Kazuar a ajuns să suporte 150 de opțiuni de configurare , permițând operatorilor să ajusteze inclusiv programarea sarcinilor, temporizarea furtului de date și dimensiunea „bucăților” exfiltrate, injecția de procese și managementul execuției de comenzi. Ocolirea controalelor de securitate și implicații pentru apărare În zona de „bypass” (ocolire a controalelor), Kazuar include opțiuni pentru: ocolirea AMSI (Antimalware Scan Interface); ocolirea ETW (Event Tracing for Windows); ocolirea WLDP (Windows Lockdown Policy). În acest context, recomandarea Microsoft este ca organizațiile să prioritizeze detecția comportamentală în locul semnăturilor statice, tocmai pentru că modularitatea și configurabilitatea ridicată fac amenințarea mai greu de prins prin indicatori fixați. Context: un malware vechi, reutilizat în campanii de spionaj Kazuar este documentat din 2017, iar cercetătorii au identificat o „linie” de cod care ar merge până în 2005. Activitatea a fost asociată cu Turla, grup de spionaj legat de FSB, iar în anii anteriori a fost observat în atacuri care au vizat organizații guvernamentale europene și, ulterior, în atacuri împotriva Ucrainei. Pentru companii și instituții, schimbarea relevantă este operațională: un botnet P2P cu lider ales intern și cu comunicații interne criptate poate rămâne mai mult timp nedetectat, ceea ce crește riscul de scurgeri de documente și conținut de e-mail cu valoare politică sau strategică. [...]
Un atac de tip „supply chain” pe GitHub poate ajunge rapid la utilizatori prin pachete npm , după ce o campanie numită Megalodon a infectat peste 5.500 de depozite cu commit-uri malițioase, potrivit TechRadar . Miza operațională pentru companii este expunerea secretelor din fluxurile CI/CD (integrare și livrare continuă), care pot deschide acces la infrastructură cloud și la medii de producție. Cum funcționează atacul și de ce e greu de prins Cercetătorii SafeDep descriu Megalodon ca o campanie „inspirată” de TeamPCP , care pornește de la un commit malițios trimis de un actor ce se prezintă drept un „build-bot” (un cont care mimează un robot de build ce face modificări automate). Dacă un maintainer acceptă commit-ul, codul introduce un infostealer (malware care fură date) și începe să se propage către alte depozite „în stil vierme”, adică prin replicare automată. Ținta principală sunt secretele din pipeline-urile DevOps, adică acele chei și tokenuri care permit automatizărilor să acceseze servicii critice. Ce date sunt vizate: chei cloud, acces SSH și configurații DevOps În observațiile SafeDep, Megalodon a urmărit să colecteze, între altele: chei secrete AWS și tokenuri de acces Google Cloud; credențiale de tip „instance role” din AWS, Google Cloud și Azure; chei private SSH; configurații Docker și Kubernetes; tokenuri Vault și credențiale Terraform. Pentru organizații, compromiterea acestor date poate însemna acces neautorizat la resurse cloud, modificări în infrastructură și risc de extindere laterală în rețea. De la maintaineri la utilizatori: riscul de propagare prin npm În etapa inițială, expuși sunt în primul rând maintainerii de pe GitHub. Riscul se extinde însă către utilizatori dacă proiectele compromise sunt publicate mai departe în npm (registrul de pachete folosit frecvent în ecosistemul JavaScript), deoarece pachetele pot ajunge în aplicații ale terților. SafeDep oferă exemplul Tiledesk, unde versiunile 2.18.6 (19 mai) până la 2.18.12 (21 mai) „conțin backdoor-ul”, iar publicarea s-a făcut din aceeași cont npm ca și versiunea curată 2.18.5, fără ca atacatorul să fi preluat contul npm. Concluzia cercetătorilor: depozitul GitHub a fost compromis, iar maintainerul a publicat din sursa „otrăvită” fără să își dea seama. „Atacatorul nu a atins niciodată contul npm. Au compromis depozitul GitHub, iar maintainerul a publicat din sursa infectată fără să realizeze.” Context: copycat după TeamPCP și listă de repo-uri compromise TechRadar notează că Megalodon pare a fi un actor separat, de tip „copycat”, nu neapărat parte din inițiativa TeamPCP menționată de The Register, care a scris despre o „competiție” de atacuri asupra lanțului de aprovizionare (supply chain) pe Breach Forums. Lista completă a depozitelor compromise este publicată de SafeDep în raportul său (linkul indicat în articol). [...]
Trump Mobile a confirmat expunerea datelor personale ale clienților , inclusiv nume, numere de telefon și adrese, într-un incident care ridică întrebări despre obligațiile de notificare și despre controlul furnizorilor terți în operațiunile unui operator, potrivit GSMArena . Compania a confirmat pentru TechCrunch că pe site-ul său au fost expuse informații ale clienților: nume, numere de telefon, adrese de domiciliu și adrese de e-mail. Trump Mobile spune că investighează situația și că, până acum, nu a găsit dovezi privind o utilizare malițioasă a datelor. Ce spune compania despre cauză și responsabilitate Potrivit unui purtător de cuvânt al Trump Mobile, Chris Walker, expunerea ar fi fost legată de un furnizor de platformă terț care susține „anumite operațiuni Trump Mobile”. Furnizorul nu este numit în informațiile publicate. În același timp, compania susține că nu a existat o „breșă” (intrare neautorizată) în rețeaua, sistemele sau infrastructura sa. Contextul relatat indică însă că datele erau accesibile direct pe site, fără a fi nevoie de o compromitere tehnică a sistemelor. Ce urmează: posibilă notificare a clienților Walker afirmă că Trump Mobile „evaluează dacă trebuie să notifice clienții” în legătură cu expunerea datelor personale. Materialul nu precizează câți clienți ar fi fost afectați și nici perioada exactă în care datele au fost accesibile. Context: probleme în derulare în jurul Trump Mobile GSMArena notează că „saga” Trump Mobile continuă, inclusiv pe partea de hardware: primul smartphone al companiei, descris ca un HTC U24 Pro rebranduit (model lansat în 2024), ar fi trebuit inițial să înceapă livrările în august sau septembrie anul trecut, lucru care nu s-a întâmplat, iar acum livrările sunt prezentate ca fiind „iminente”. (Detaliile despre telefon apar în materiale separate ale publicației.) [...]
Companiile din România riscă blocaje operaționale totale din cauza atacurilor cibernetice frecvente , într-un context în care „cele mai multe” nu sunt pregătite să gestioneze astfel de incidente, potrivit Știrile Pro TV . Miza nu este doar financiară: un atac poate opri complet activitatea unei afaceri. Publicația indică o statistică potrivit căreia în România au loc zilnic între 20.000 și 30.000 de atacuri cibernetice , iar țintele nu sunt limitate la companii: sunt vizate atât persoane juridice , cât și persoane fizice. Din perspectiva impactului asupra mediului de afaceri, vulnerabilitatea principală evidențiată este lipsa de pregătire pentru un incident: pe lângă pierderi de bani, consecința imediată poate fi blocarea completă a operațiunilor , ceea ce se traduce în întreruperea activității, întârzieri și imposibilitatea de a livra servicii sau produse. Materialul nu oferă detalii despre sectoarele cele mai afectate, tipurile de atacuri sau sursa exactă a statisticii menționate, însă semnalul de risc este legat de frecvența ridicată a incidentelor și de nivelul insuficient de pregătire în rândul companiilor. [...]
O vulnerabilitate „zero-day” din echipamente Huawei a scos din funcțiune rețeaua operatorului de stat din Luxemburg timp de circa trei ore , un incident care ridică semne de întrebare despre cât de expuși sunt operatorii care folosesc aceeași infrastructură și despre lipsa de transparență în raportarea breșelor, potrivit WinFuture . În urma investigațiilor de după întreruperea din 2025, operatorul de stat POST (Post Luxembourg) a concluzionat că atacatori au exploatat o problemă de securitate „nedocumentată” din hardware de rețea Huawei, pentru a declanșa căderea rețelelor fixe și a celor mobile 4G și 5G. Ce s-a întâmplat tehnic și de ce a căzut rețeaua Publicația germană relatează, citând informații apărute în The Record, că atacatorii ar fi introdus în rețeaua POST date special pregătite, care au declanșat comportamentul vulnerabil în anumite sisteme de tip router enterprise (echipamente de rutare folosite în infrastructuri mari). Efectul ar fi fost trimiterea unor componente ale infrastructurii într-un „restart-loop” (reporniri repetate), ceea ce a dus la indisponibilitatea unor părți importante din rețeaua mobilă. Șeful de comunicare al Post Luxembourg a confirmat că incidentul a fost cauzat de exploatarea unei „comportări nepublice, nedocumentate” a routerelor și că, la momentul respectiv, nu exista niciun patch (actualizare de securitate) disponibil — ceea ce încadrează cazul ca atac de tip „zero-day” (exploatarea unei vulnerabilități necunoscute public și fără remediere). Implicația pentru operatori: risc sistemic și vizibilitate redusă asupra breșelor Miza, dincolo de incidentul punctual din Luxemburg, este că „numeroși operatori” la nivel global ar putea fi vulnerabili la întreruperi similare dacă folosesc hardware Huawei afectat de aceeași problemă, notează WinFuture. În plus, rămân neclare două aspecte esențiale pentru industrie: Huawei nu ar fi oferit până acum o poziție publică pe acest subiect și nu a publicat detalii despre problema care a stat la baza incidentului; nu este cunoscut dacă vulnerabilitatea a fost între timp remediată. Totuși, conform materialului, nu sunt cunoscute alte cazuri în care aceeași breșă să fi fost exploatată. Context european: raportarea către parteneri vs. obligația furnizorului Autoritățile din Luxemburg și-ar fi informat ulterior partenerii din Europa și din alte țări despre cauzele probabile ale întreruperii totale din iulie 2025, însă, în practică, informarea completă despre problemele din echipamente rămâne la latitudinea furnizorului, subliniază publicația. WinFuture mai arată că Huawei ar furniza în ultimii ani mai rar notificări standardizate la nivel internațional despre vulnerabilități (CVE — identificatori publici folosiți pentru a urmări și gestiona breșele), ceea ce complică evaluarea riscului și reacția coordonată a operatorilor. În Germania, tehnologia Huawei este folosită pe scară largă, inclusiv de Deutsche Telekom și Telefonica/O2, iar unele companii au început să reducă utilizarea echipamentelor Huawei, în special în zone considerate critice ale infrastructurii, pe fondul preocupărilor legate de securitate. [...]
Scheme confidențiale ale serverelor Apple au fost sustrase din Foxconn , iar riscul real ține mai puțin de documentele deja văzute și mai mult de posibilitatea ca atacatorii să publice ulterior materiale mai sensibile, potrivit AppleInsider . Publicația spune că a primit mostre suplimentare de fișiere după atacul de tip ransomware atribuit grupului Nitrogen și că acestea includ peste 30 de documente Apple care „par autentice”. Ce s-a furat și ce indică mostrele analizate AppleInsider afirmă că Nitrogen a obținut scheme care descriu designul unor componente de server Apple (din martie 2026 și final de 2025), precum și specificații și manuale pentru rack-uri de server (din perioada 2020–2023). Documentele ar fi fost realizate în Siemens NX și includ dimensiuni pentru diverse elemente (brackeți, componente, distanțiere) și detalii despre șasiul unui server intern Apple. Cel mai important document din eșantion ar fi o prezentare a proiectului „Matterhorn”, cu configurații de server Apple bazate pe platforme Intel (Whitley și Eagle Stream), inclusiv layout-ul plăcii și arhitectura. De ce contează: efectul de contagiune în lanțul de furnizori Dincolo de Apple, materialul sugerează un risc operațional mai larg pentru companiile care folosesc Foxconn și entități asociate pentru proiectare, integrare sau producție de echipamente. În eșantionul descris apar documente legate de proiecte confidențiale ale mai multor jucători din zona de semiconductori și infrastructură de servere, inclusiv AMD, Broadcom, Google, Intel, Hewlett-Packard, Micron, Nvidia, Samsung și Seagate, plus o listă extinsă de furnizori de componente. AppleInsider notează și prezența unor documente asociate Cloud Network Technology (deținută de Foxconn), cu sediul în Houston, Texas, inclusiv materiale logistice (de exemplu, o etichetă de expediere pentru echipamente Hewlett-Packard). Cât de mare e riscul pentru Apple, în forma actuală Potrivit analizei, documentele Apple din mostre nu ar fi „utile pentru mare lucru” în lipsa accesului la hardware-ul respectiv și nu includ informații despre cipurile care alimentează servere bazate pe Apple Silicon sau despre scopul serverelor. În această etapă, AppleInsider apreciază că schemele de șasiu și brackeți, singure, nu ar reprezenta o problemă majoră pentru Apple. Riscul ar crește dacă grupul ar deține și ar publica detalii despre servere Apple Silicon (de exemplu layout de plăci de bază, configurații sau volume produse), caz în care competitori — inclusiv companii din zona AI — ar putea copia sau adapta designuri. Ce nu apare în eșantion și ce rămâne neclar În fișierele descrise nu ar exista documente din facilitățile Foxconn din Guanlan și Zhengzhou (care asamblează și alte produse Apple), iar AppleInsider spune că nu a văzut materiale despre asamblarea iPhone, iPad, Mac sau Apple Vision Pro. Mostrele par să fie, în principal, legate de facilități Foxconn din America de Nord și de infrastructură de tip server. Amploarea completă a incidentului rămâne nedeterminată: grupul Nitrogen susține că a sustras peste 11 milioane de fișiere, echivalentul a opt terabytes. În acest moment, concluzia publicației este că atacul nu pare să ducă la scurgeri semnificative de design Apple — însă avertizează că mostrele ar putea fi doar „vârful aisbergului”, dacă vor apărea documente mai sensibile ulterior. [...]
