Știri
Știri din categoria Securitate cibernetică
O nouă versiune a malware-ului Kazuar funcționează ca botnet P2P modular, ceea ce complică detectarea și crește persistența în rețelele compromise, potrivit BleepingComputer. Evoluția este atribuită grupului Secret Blizzard, asociat în mod repetat cu operațiuni de spionaj cibernetic și cu servicii rusești de informații, iar schimbarea de arhitectură mută presiunea de pe „semnături” (indicatori statici) pe detecția comportamentală în companii și instituții.
Analiza Microsoft asupra unei variante recente arată că Kazuar a fost transformat într-o structură de tip peer-to-peer (P2P), în care nu toate sistemele infectate comunică direct cu infrastructura de comandă și control (C2). În practică, asta reduce „suprafața” de detecție: mai puține conexiuni externe repetate din mai multe stații, mai mult trafic intern care se poate confunda cu activitatea normală.
Un element-cheie este mecanismul de „lider”: un singur sistem infectat dintr-un mediu compromis este ales să comunice cu C2, primește sarcini și le distribuie intern către celelalte sisteme infectate, care intră în mod „tăcut” și nu mai vorbesc direct cu serverele atacatorilor.
„Liderul Kernel este modulul Kernel ales care comunică cu modulul Bridge în numele celorlalte module Kernel, reducând vizibilitatea prin evitarea unor volume mari de trafic extern de la mai multe gazde infectate”, explică Microsoft.
Microsoft descrie o arhitectură cu trei module distincte:
Comunicațiile interne se bazează pe IPC (comunicare între procese) prin mecanisme Windows precum Windows Messaging, Mailslots și „named pipes” (canale denumite), pentru a se amesteca în „zgomotul” operațional. Mesajele sunt criptate cu AES și serializate cu Google Protocol Buffers (Protobuf).
Modulul Worker este folosit pentru activități tipice de spionaj, inclusiv:
Datele colectate sunt criptate, stocate temporar local și apoi exfiltrate prin modulul Bridge.
Microsoft mai subliniază că Kazuar a ajuns să suporte 150 de opțiuni de configurare, permițând operatorilor să ajusteze inclusiv programarea sarcinilor, temporizarea furtului de date și dimensiunea „bucăților” exfiltrate, injecția de procese și managementul execuției de comenzi.
În zona de „bypass” (ocolire a controalelor), Kazuar include opțiuni pentru:
În acest context, recomandarea Microsoft este ca organizațiile să prioritizeze detecția comportamentală în locul semnăturilor statice, tocmai pentru că modularitatea și configurabilitatea ridicată fac amenințarea mai greu de prins prin indicatori fixați.
Kazuar este documentat din 2017, iar cercetătorii au identificat o „linie” de cod care ar merge până în 2005. Activitatea a fost asociată cu Turla, grup de spionaj legat de FSB, iar în anii anteriori a fost observat în atacuri care au vizat organizații guvernamentale europene și, ulterior, în atacuri împotriva Ucrainei.
Pentru companii și instituții, schimbarea relevantă este operațională: un botnet P2P cu lider ales intern și cu comunicații interne criptate poate rămâne mai mult timp nedetectat, ceea ce crește riscul de scurgeri de documente și conținut de e-mail cu valoare politică sau strategică.
Recomandate
Ocolirea filtrelor de e-mail prin caractere invizibile a ajuns la scară de milioane de mesaje pe zi , după ce Microsoft a observat o creștere bruscă a acestei tehnici începând din februarie 2026, potrivit Mediafax . Cercetătorii companiei descriu o campanie de amploare în care expeditorii inserează caractere speciale, aproape imposibil de văzut de utilizatori, în cuvinte frecvente din mesajele comerciale nedorite. Scopul este ca sistemele automate să nu mai recunoască termenii „sensibili” și să nu mai marcheze mesajele ca suspecte. Metoda folosește un bloc de caractere Unicode numit „tag characters”, ale căror coduri pot reprezenta litere obișnuite, dar care rămân practic invizibile pentru oameni. În practică, un cuvânt precum „finanțare” poate conține un astfel de caracter între litere, fără să se observe la citire, însă pentru unele filtre cuvântul nu mai este identificat ca o expresie continuă. Creștere rapidă în februarie și o campanie de circa trei luni Microsoft spune că utilizarea tehnicii a crescut brusc începând cu 9 februarie 2026: de la aproximativ 21.000 de mesaje detectate pe zi la peste 1,3 milioane pe zi, iar pe 11 februarie a depășit 2,3 milioane. Campania de mare volum a continuat aproximativ trei luni, înainte ca numărul mesajelor să scadă puternic după jumătatea lunii mai. Mesajele identificate aveau în principal teme financiare, inclusiv oferte legate de finanțarea unor afaceri sau linii de credit, iar caracterele invizibile erau introduse în termeni-cheie pentru a îngreuna analiza automată. Impact operațional: filtrele bazate pe analiză de limbaj pot fi păcălite mai ușor Problema este relevantă mai ales pentru sistemele moderne de filtrare care folosesc analiză automată a limbajului: inserarea unor caractere invizibile poate schimba felul în care textul este „segmentat” și interpretat, reducând eficiența regulilor care se bazează pe detectarea unor cuvinte sau expresii. Microsoft precizează însă că tehnica nu este suficientă, singură, pentru a trece de toate mecanismele de protecție. Compania afirmă că peste 99% dintre mesajele analizate au fost blocate de alte sisteme, inclusiv evaluări de reputație pentru expeditor, domeniu și adrese IP, clasificare automată, verificări de autentificare și detectarea tentativelor de imitare a unor mărci. Ce recomandă Microsoft: „normalizarea” textului înainte de verificări Pentru a limita eficiența metodei, Microsoft recomandă normalizarea textului înainte de verificarea cuvintelor și a „semnăturilor” de securitate (indicatori tehnici folosiți pentru identificarea amenințărilor), inclusiv eliminarea caracterelor invizibile sau neafișate. De asemenea, apariția neobișnuită a acestor caractere ar trebui tratată ca un posibil indicator al unei tentative de evitare a filtrelor. Compania notează că manipularea interpretării textului prin astfel de artificii nu este complet nouă: în trecut au fost folosite și spații cu lățime zero, cratime invizibile sau caractere care seamănă vizual cu cele obișnuite, însă elementul care atrage acum atenția este scara la care metoda a fost folosită. [...]
Peste 100 de companii cer guvernelor și mediului privat să pregătească noi apărări împotriva atacurilor cibernetice cu inteligență artificială , într-o scrisoare deschisă care avertizează că astfel de atacuri vor deveni „mult mai răspândite și sofisticate” în lunile următoare, potrivit TechCrunch . Semnatarii includ OpenAI , Anthropic , Google și Microsoft, alături de companii de securitate cibernetică precum CrowdStrike, Okta și Fortinet, dar și instituții financiare și firme de infrastructură de internet. Mesajul central: apărarea „tradițională” nu mai este suficientă, iar răspunsul trebuie coordonat între sectorul privat și autorități, inclusiv la nivel „local, național și internațional”. De ce cer companiile o schimbare de abordare Scrisoarea susține că organizațiile și serviciile publice de care depind comunitățile — de la spitale la stații de tratare a apei și infrastructura care susține internetul — sunt expuse unui risc crescut pe măsură ce modelele de inteligență artificială devin mai capabile. În argumentație sunt invocate și incidente recente în care „agenți” de IA ar fi atacat companii, ceea ce, în viziunea semnatarilor, arată că domeniul securității cibernetice a fost „fundamental” schimbat și că sunt necesare soluții comerciale noi pentru a limita aceste riscuri. Ce măsuri propune scrisoarea Documentul cere o „mobilizare” sub forma unui răspuns colectiv, cu parteneriate noi menite să ridice standardele de securitate și să găsească soluții pentru amenințările emergente. În același timp, textul încurajează colaborarea guvernelor pe mai multe niveluri administrative pentru coordonare în zona de securitate. Un element notabil, potrivit publicației, este poziția „conflictuală” a unor semnatari: mai multe dintre companiile care cer întărirea apărării continuă să dezvolte modele de IA tot mai avansate, dar promovează și programe care folosesc IA de vârf în scop defensiv, inclusiv OpenAI (Daybreak), Anthropic (Mythos) și Microsoft (platforma Perception). [...]
Atacul care a blocat aproape o lună tranzacțiile imobiliare împinge instituțiile publice spre monitorizare cibernetică „la pachet” , după ce mai mulți șefi de instituții au cerut includerea integrală a rețelelor în sistemul „Țițeica”, potrivit Ziarul Financiar . Miza este una operațională: trecerea de la supraveghere parțială, pe „componente”, la acoperire extinsă, pentru a reduce riscul ca sisteme critice să rămână în afara monitorizării. Cererea vine după atacul informatic din 14 iulie asupra infrastructurii ANCPI (autoritatea care administrează cadastrul și publicitatea imobiliară), atac care a afectat funcționarea pieței imobiliare, prin blocarea tranzacțiilor pentru aproape o lună. „După evenimentul ANCPI, mai mulţi şefi de instituţii din cele 122 pentru care operăm SOC-ul au venit şi au zis «nu mai vrem doar componenta asta, băgaţi-ne cu toată reţeaua; nu mă interesează dacă IT-ul se plânge că două-trei zile nu merge».” Declarația îi aparține lui Anton Rog , șeful Centrului Național Cyberint, făcută la audierea comună a comisiilor de tehnologia informației din Camera Deputaților și Senat, convocată pentru analiza atacului. Ce este „Țițeica” și de ce contează „lista” resurselor protejate Sistemul „Țițeica” este un centru de monitorizare continuă a securității informatice (un „Security Operations Center” – structură care supraveghează permanent rețele și sisteme IT pentru a detecta atacuri și vulnerabilități), operat de SRI prin Centrul Național Cyberint și construit din fonduri europene pentru 122 de instituții beneficiare. Funcționarea lui explică, în același timp, cum a putut rămâne vulnerabilă o platformă critică: participarea este voluntară, iar fiecare instituție decide ce include în perimetrul supravegheat. „Noi nu mergem cu forţă; fiecare instituţie decide, prin acord, ce protejează.” Concret, centrul monitorizează doar resursele înscrise de instituția beneficiară; ce nu este trecut pe listă rămâne în afara supravegherii. Cazul ANCPI: beneficiar, dar cu o platformă critică în afara supravegherii ANCPI era unul dintre cei 122 de beneficiari ai proiectului, însă – potrivit informațiilor din articol – nu trecuse niciodată platforma e-Terra pe lista resurselor protejate în cadrul sistemului „Țițeica”. Din această perspectivă, efectul atacului nu este doar unul de „lecție învățată”, ci o schimbare de comportament instituțional: după incident, mai mulți conducători cer acum includerea „cu toată rețeaua”, acceptând inclusiv posibile întreruperi temporare în activitatea IT pentru a face integrarea. [...]
Revolut a confirmat o breșă de securitate care a dus la divulgarea unor date sensibile către o terță parte neautorizată , într-un incident pe care compania îl descrie drept o „înșelătorie sofisticată de impersonare”, potrivit Ziarul Financiar . Cazul pune presiune pe controalele operaționale și de conformitate ale fintech-ului într-un moment de expansiune accelerată și cu discuții despre o posibilă listare. Atacul ar fi fost declanșat de solicitări frauduloase transmise de pe o adresă de e-mail asociată domeniului legitim al unei agenții guvernamentale, conform informațiilor publicate de Reuters și TechCrunch, citate de ZF. Revolut spune că, după identificarea incidentului, a blocat adresa și a notificat agenția guvernamentală vizată, autoritățile de aplicare a legii, autoritățile pentru protecția datelor și organismele de reglementare financiară. „Sistemele Revolut şi fondurile clienţilor nu sunt afectate.” Ce tip de date ar fi fost expuse Informațiile obținute de atacatori au inclus date personale și de contact, iar o notificare către clienții afectați, analizată de TechCrunch, indică faptul că ar fi fost expuse, între altele: data nașterii, adresa poștală, adresa de e-mail și numărul de telefon; copii ale unor documente de identitate, inclusiv pașapoarte și permise de conducere. În anumite cazuri, potrivit aceleiași surse, datele compromise ar fi putut include și selfie-uri folosite la verificarea identității, extrase de cont și istoricul tranzacțiilor. Revolut a transmis că numărul persoanelor afectate este „limitat”, fără să publice o cifră. Compania nu a precizat nici dacă incidentul vizează o piață anume și nu a dezvăluit numele agenției guvernamentale al cărei domeniu de e-mail ar fi fost folosit în solicitările frauduloase. De ce contează: test de guvernanță și risc reputațional în plină expansiune Incidentul apare într-un moment în care Revolut își extinde operațiunile pe piețe precum India, Mexic, Franța și Emiratele Arabe Unite, iar compania are peste 80 de milioane de clienți la nivel global și operează ca bancă în peste 30 de țări, potrivit informațiilor publicate de companie și citate de TechCrunch. Tot în acest context, Revolut a primit recent aprobarea condiționată din partea Office of the Comptroller of the Currency (OCC) pentru înființarea unei bănci naționale în SUA, cu o lansare estimată pentru prima jumătate a anului 2027. În paralel, compania analizează posibilitatea unei listări publice, iar evaluarea avută în vedere ar putea ajunge la 200 de miliarde de dolari (aprox. 906 mld. lei), potrivit Reuters și TechCrunch, citate de ZF, față de o evaluare privată de 75 de miliarde de dolari (aprox. 340 mld. lei) stabilită în noiembrie 2025. Un cercetător din zona securității criptomonedelor, ZachXBT , a sugerat că incidentul ar putea să fi vizat în special clienți cu averi ridicate, însă această caracterizare nu a fost confirmată oficial de Revolut. [...]
Ancheta germană indică o rețea transfrontalieră de sabotaj cu drone în spatele atacului eșuat asupra aeroportului Leipzig-Halle, cu implicații directe pentru securitatea infrastructurii logistice europene, potrivit Adevărul , care citează documente confidențiale și oficiali germani din domeniul securității. Autoritățile germane îi suspectează, „cu un grad ridicat de probabilitate”, pe un cetățean rus și pe un cetățean bielorus, ambii cu presupuse legături cu serviciile militare de informații ale Rusiei, că au pregătit atacul cu drone din luna august. Informațiile sunt prezentate de POLITICO și de publicația germană Welt, care ar fi analizat dosare ale anchetei nepublicate și ar fi discutat cu oficiali de rang înalt. De ce contează: vulnerabilitatea nodurilor logistice și costul operațional al protecției Ținta a fost un aeroport cargo major, iar anchetatorii susțin că o detonare ar fi putut distruge o parte din aeroport. Dincolo de dimensiunea de securitate, cazul ridică o problemă de continuitate operațională pentru lanțurile de aprovizionare: un incident major într-un hub de marfă poate bloca fluxuri de transport, poate genera întârzieri și costuri suplimentare pentru operatori și clienți. În plus, ancheta sugerează o tactică bazată pe mijloace relativ accesibile (componente comerciale), ceea ce complică prevenția: barierele de intrare sunt mai mici, iar protecția trebuie extinsă de la perimetre fizice la detectarea și contracararea dronelor. Ce s-a întâmplat la Leipzig-Halle Atacul a avut loc în seara de 4 august, când o dronă încărcată cu explozibili a fost descoperită în apropierea unui avion cargo Antonov ucrainean și a fost dezamorsată în siguranță. Anchetatorii au găsit resturile altor două drone în apropierea aeroportului. Potrivit a doi oficiali implicați direct în anchetă, încărcătura ar fi putut provoca „o explozie de proporții” și ar fi distrus o parte din aeroport. În material se menționează că ar fi fost pregătite aproximativ 1,8 kilograme de explozibil Semtex pentru trei drone (circa 600 de grame pentru fiecare), iar aeronava vizată avea aproximativ 25.000 de litri de combustibil de aviație. Explozia nu s-a produs deoarece detonatorul s-a desprins. Suspecții și modul de operare indicat de anchetă Conform documentelor citate, suspectul rus ar avea legături cu GRU (serviciul rus de informații militare) și ar fi fost responsabil de planificare și logistică. Acesta ar fi intrat în Germania din Turcia, prin aeroportul Berlin-Brandenburg, apoi ar fi plecat spre Serbia, iar în prezent s-ar afla din nou în Rusia. Un oficial german afirmă că autoritățile știau încă de la intrarea sa în țară că era asociat cu GRU, dar nu a fost pus sub supraveghere din cauza resurselor limitate și a faptului că nu se așteptau la un atac iminent. Suspectul bielorus ar fi intrat în spațiul Schengen prin Letonia pe 28 iulie, cu aproximativ o săptămână înainte de incident. Autoritățile îl descriu drept posibil „agent de unică folosință” – un infractor recrutat pentru acte de sabotaj – iar coordonarea ar fi fost asigurată de cetățeanul rus, inclusiv în privința explozibililor. Piste tehnice și cooperare internațională În anchetă sunt implicate mai multe instituții germane, între care Oficiul Federal pentru Protecția Constituției , Oficiul Federal de Poliție Criminală și Serviciul Federal de Informații. Pe fondul unor posibile legături cu alte cazuri de sabotaj din Europa, autoritățile germane colaborează cu anchetatori din Lituania, Polonia, Letonia și Finlanda și ar fi în contact și cu FBI, potrivit materialului. Anchetatorii au identificat urme de ADN pe resturi ale unei mănuși găsite pe o structură cu antenă, despre care se crede că ar fi fost folosită pentru controlarea dronelor; ADN-ul ar fi fost înregistrat anterior în Finlanda și Lituania, iar suspectul bielorus ar avea antecedente în aceste țări. În Polonia, autoritățile ar suspecta implicarea sa într-un incendiu la un magazin de bricolaj din Łódź, clasificat drept sabotaj de parchetul local, potrivit unui oficial citat. Separat, anchetatorii ar considera că explozibilii folosiți la Leipzig au fost transportați în Germania prin Bulgaria și Serbia, posibil în compartimente ascunse ale unor camioane, apoi depozitați în ascunzători subterane. După analiza datelor unei mașini închiriate folosite de suspecți, poliția a identificat posibile ascunzători în zona aeroportului, însă spațiile verificate ar fi fost goale. Drone artizanale din componente comerciale Examinarea dronei găsite pe pistă arată că era un dispozitiv artizanal, realizat din componente disponibile în comerț, unele fabricate cu ajutorul unei imprimante 3D. Motoarele ar fi fost produse de o companie chineză și ar fi comercializate inclusiv în magazine online din Rusia specializate în „tehnologii de luptă”. Explozibilul ar fi fost ascuns într-o conservă alimentară, fixată de dronă cu un suport. Pe baza probelor, ministrul german de Externe, Johann Wadephul, și ministrul de Interne, Alexander Dobrindt, au atribuit Rusiei responsabilitatea pentru atac la o conferință de presă comună, pe 1 septembrie, în timp ce Rusia a negat implicarea, conform materialului. [...]
Revolut a expus date sensibile ale unor clienți după ce a dat curs unei solicitări frauduloase care părea venită de la o agenție guvernamentală , potrivit Cointelegraph . Incidentul ridică o problemă operațională majoră: verificările de autentificare ale companiei au permis trecerea unor cereri trimise de pe un domeniu de e-mail aparent legitim al unei instituții publice. Conform informațiilor citate de publicație dintr-o postare International Cyber Digest pe X, solicitările de date au venit de pe un domeniu de e-mail al unei agenții guvernamentale și au trecut de controalele de autentificare ale Revolut. Ulterior, Revolut a concluzionat că solicitările nu erau autentice, iar clienții afectați au fost notificați vineri. Ce tip de date ar fi fost expuse Cointelegraph scrie că au fost divulgate date sensibile ale clienților, inclusiv: copii ale pașapoartelor; selfie-uri folosite la verificarea identității; istoricul complet al tranzacțiilor. Publicația nu precizează câți clienți au fost afectați, menționând doar că ar fi fost vorba despre un număr limitat. Cum descrie Revolut incidentul și ce măsuri spune că a luat Un purtător de cuvânt al Revolut a declarat pentru Cointelegraph că firma a identificat „o înșelătorie externă sofisticată de impersonare”, în care o terță parte neautorizată a folosit un domeniu legitim al unei agenții guvernamentale pentru a trimite cereri frauduloase de informații. „Sistemele Revolut și fondurile clienților nu sunt afectate. Am contactat direct numărul limitat de persoane afectate pentru a le informa și a le oferi sprijin.” Reprezentantul companiei a mai spus că, după detectare, Revolut a blocat adresa de e-mail și a alertat agenția guvernamentală relevantă, precum și autorități de aplicare a legii și autorități de reglementare financiară. Dimensiunea incidentului și reacții publice Potrivit Cointelegraph, investigatorul din zona cripto ZachXBT ar fi apreciat că incidentul a fost limitat ca amploare și ar fi vizat utilizatori cu averi mari. Totodată, cazul a generat reacții pe X, inclusiv critici la adresa practicilor de colectare și partajare obligatorie a datelor pentru verificarea identității (KYC – proceduri prin care instituțiile verifică identitatea clienților). Marc Zeller a scris că s-a trezit cu datele sale „scurse” de Revolut și a comentat că episodul este un „memento dur” privind riscurile asociate KYC, potrivit aceleiași surse. [...]
