Пишем днешното издание от пристанището на Gocek – Турция. Киберсигурността е обща кауза и работата сколегите ни от сектор туризъм винаги ни носи удоволствие. Благодарим на Turkey Super Yacht Show за поканата.
cPanel: 44 000 сървъра компрометирани, „.sorry“ ransomware изтрива сайтове и бекъпи
Критична уязвимост в cPanel/WHM (CVE-2026-41940, CVSS 9.8) позволява неавтентициран достъп до root. Експлоатацията продължава от февруари, но патчът дойде едва на 28 април. В рамките на 48 часа от разкриването — масова атака: изтрити сайтове, ransomware „.sorry“, ботнети Mirai и компрометирани правителствени системи.
Атаката е CRLF-injection — нападателят инжектира фалшиво автентикационно състояние в session файл и го презарежда като root. Shadowserver засече 44 000 компрометирани IP адреса до 30 април. Censys откри 7 135 хоста с „.sorry“ ransomware артефакти. Около 550 000 cPanel инстанции остават потенциално уязвими от общо 1.5 милиона.
cPanel е стандартът за уеб хостинг в България — използва се от повечето български хостинг доставчици. Ако управлявате cPanel сървър: (1) Обновете ВЕДНАГА чрез /scripts/upcp; (2) Блокирайте портове 2083, 2087, 2095, 2096 на firewall; (3) Проверете за файлове с разширение .sorry; (4) Ротирайте всички пароли — патчът сам по себе си не изгонва атакуващ, който вече е вътре. Ако сте клиент на хостинг: попитайте доставчика си дали е патчнат.
Copy Fail: 732 байта Python дават root на всяка Linux машина от 2017 насам
CVE-2026-31431, наречена „Copy Fail“, е логическа грешка в криптографския модул на Linux ядрото, която позволява на локален потребител да получи root достъп с 732-байтов Python скрипт. Exploit-ът работи 100% от опитите, не оставя следи на диска и позволява бягство от контейнери.
Проблемът е в модула algif_aead на AF_ALG интерфейса — позволява модифициране на кешираното копие на файл в паметта без промяна на файла на диска. Като таргетира setuid бинарен файл, атакуващият получава root. Уязвимостта засяга ВСИЧКИ Linux дистрибуции от 2017 г. — Ubuntu, RHEL, Debian, Fedora, Amazon Linux, SUSE. Тъй като page cache е споделен между процесите и контейнерите, Copy Fail е не само privilege escalation, а и container escape и Kubernetes node compromise вектор. CISA добави CVE-2026-31431 в KEV каталога.
Ако имате Linux сървъри (а в България повечето сървърна инфраструктура е Linux) — патчвайте ВЕДНАГА. Ubuntu: sudo apt update && sudo apt upgrade linux-image-*. RHEL/CentOS: sudo yum update kernel. Ако не можете да патчнете незабавно — блокирайте AF_ALG socket creation: echo "install af_alg /bin/true" | sudo tee /etc/modprobe.d/disable-af_alg.conf. Kubernetes екипите трябва да патчнат node-овете с приоритет — container escape е потвърден.
Фалшива CAPTCHA изпраща 60 международни SMS-а от телефона ви — сметката идва след седмици
Измамници използват фалшиви CAPTCHA страници, за да изпратят десетки международни SMS-и от телефона ви без да разберете. Всяко кликване отваря SMS приложението с предварително попълнени номера в 17 държави с високи такси. Крайна сметка: около $30 на жертва.
Измамата е International Revenue Share Fraud (IRSF) — приходите от международните SMS-и се разпределят, като част се връща при атакуващия. Фалшивата CAPTCHA има 4 стъпки, и до приключването им жертвата може да е изпратила 60 съобщения до над 50 дестинации — Азербайджан, Мианмар, Египет и други. Сметката идва седмици по-късно, когато жертвата вече е забравила за инцидента.
Легитимна CAPTCHA НИКОГА не отваря SMS приложението. Ако сайт ви поиска да изпратите SMS, за да „докажете, че сте човек“ — затворете го веднага. Проверете телефонната си сметка за малки международни SMS такси — не само за големи суми. Обадете се на оператора си (A1, Vivacom, Yettel) и поискайте блокиране на международни и premium SMS, ако не ги използвате.
KidsProtect: Шпионски софтуер-като-услуга за $60, който всеки може да препродаде
Нов Android шпионски инструмент KidsProtect се рекламира открито в интернет, маскиран като „родителски контрол“. За $60 на месец дава пълен тайен контрол над телефон: запис на разговори, стрийминг от микрофон, GPS проследяване, четене на WhatsApp и Viber, keylogger, достъп до камерите. Не може да бъде деинсталиран без паролата на нападателя.
Инструментът се инсталира под името „WiFi Service“ и се регистрира като Device Administrator, за да предотврати премахването. Продава се с white-label лиценз — купувачът може да го ребрандира и препродаде. Оценен е като дело на грекоезичен разработчик. Това го прави един от най-юридически устойчивите stalkerware инструменти на 2026 г.
Stalkerware е реален проблем в България, особено в контекста на домашно насилие. Проверете телефона си: Настройки → Приложения → потърсете „WiFi Service“ или „WiFiService Installer“. Настройки → Сигурност → Администратори на устройството — премахнете непознати приложения. Ако подозирате, че телефонът ви е компрометиран, потърсете помощ от специалист. Инсталирайте Malwarebytes или Certo за сканиране.
Един „git push“ можеше да разкрие милиони GitHub хранилища
CVE-2026-3854 (CVSS 8.7) — уязвимост в GitHub.com и GitHub Enterprise Server, позволяваща на всеки автентициран потребител да получи remote code execution с единствена команда „git push“. 88% от GHES инстанциите бяха уязвими към момента на разкриване.
Атаката експлоатира неправилна санитизация на push options в X-Stat header, позволявайки инжектиране на метаданни. Атакуващият може да заобиколи sandbox-а чрез промяна на rails_env, да пренасочи hook директорията и да изпълни произволен бинарен файл. На GitHub.com това дава достъп до shared storage nodes с файлова система, съдържаща хранилища на други потребители и организации. GitHub патчна cloud в рамките на часове, но GHES потребителите трябва ръчно да обновят до версия 3.19.3+.
Ако използвате GitHub Enterprise Server (self-hosted): обновете до GHES 3.19.3 ВЕДНАГА. Ако сте на GitHub.com — вече сте патчнати. Но помислете по-широко: ако един „git push“ можеше да разкрие всички хранилища, какви secrets са в тях? Ротирайте API ключове, токени и пароли, съхранявани в private repos. Използвайте GitHub Secret Scanning за проактивно откриване на изтекли credentials.
Cordial Spider и Snarky Spider: Гласово обаждане → пълен достъп до SaaS екосистемата
Две нови киберпрестъпни групи — Cordial Spider и Snarky Spider — провеждат гласови обаждания (vishing), за да откраднат SSO креденшъли и да превземат цели SaaS екосистеми. Работят почти изцяло в облака, оставяйки минимални следи.
Тактиката: фалшива SSO страница на работодателя → прихванати креденшъли и токени → достъп до SharePoint, HubSpot, Google Workspace → премахване на MFA и изтриване на предупредителни имейли. Търсят файлове с думи като „confidential“, „SSN“, „VPN“. Използват residential proxy мрежи, за да изглежда трафикът като легитимен домашен потребител. Групите са англоезични, свързани с екосистемата „the Com“ (Scattered Spider и подобни).
Ако вашата компания използва SSO (Google Workspace, Microsoft 365, Okta): обучете служителите, че IT никога не звъни неочаквано и не иска да кликате линк. Активирайте hardware keys (YubiKey) за SSO — те не могат да бъдат прихванати чрез фишинг. Мониторирайте за нови MFA устройства, регистрирани без заявка. Настройте alerts за масово изтриване на имейли или файлове.
AI агент изтрива продакшън база данни за 9 секунди — 3 месеца данни загубени
Cursor агент, базиран на Claude Opus 4.6, изтри продакшън базата данни и всички бекъпи на PocketOS за 9 секунди чрез единично API извикване към Railway. Три месеца резервации, клиентски данни и плащания — изчезнали.
Основателят Jer Crane откри проблема в събота, когато клиенти на рент-а-кар компании пристигнаха без записи в системата. Агентът срещна credential mismatch, решил самостоятелно да „поправи“ проблема чрез изтриване на Railway volume и когато го попитали — написал „признание“. Данните бяха възстановени два дни по-късно. Случаят повтаря инцидент с Replit агент миналото лято.
AI coding агентите (Cursor, Replit, Windsurf) стават все по-популярни в българската IT индустрия. Урокът: НИКОГА не давайте на AI агент токен с production delete права. Разделяйте staging и production namespace-ове. Въведете „destructive action gates“ — потвърждение преди необратими операции. Правете бекъпи извън платформата, до която агентът има достъп. Threat model-ирайте AI агентите като insider risk.
Bluekit: Фишинг кит с AI асистент — Claude, GPT-4.1 и Gemini генерират измамни имейли
Нов phishing-as-a-service кит Bluekit предлага 40+ шаблона за Gmail, Outlook, iCloud, GitHub и Ledger, с вграден AI асистент, поддържащ множество модели — Llama, GPT-4.1, Claude, Gemini, DeepSeek — за генериране на фишинг кампании.
Bluekit включва 2FA байпас, геолокационна емулация, antibot cloaking, гласово клониране и mail sender. Това е вторият фишинг кит с AI интеграция за два месеца — след ATHR, който използва AI vishing агенти. Тенденцията е ясна: crimeware услугите интегрират AI, за да намалят бариерата за влизане и увеличат мащаба на операциите.
AI-генерираните фишинг имейли ще стават все по-трудно разпознаваеми — без граматически грешки, с перфектен контекст. Мерки за организациите: въведете DMARC/DKIM/SPF за домейните си. Обучете служителите да проверяват URL адресите, не текста на имейла. За гражданите: ако имейл иска парола или плащане — спрете и проверете директно в сайта, не чрез линка в имейла. Hardware ключове (YubiKey) са единствената защита, която Bluekit не може да заобиколи.
Китайски инженер крал софтуер на NASA и армията на САЩ с години — чрез фалшиви Gmail акаунти
Китайски инженер е създавал Gmail акаунти, имитиращи реални американски изследователи, и е убеждавал NASA, военни лаборатории и университети да му предоставят достъп до чувствителен софтуер с години наред.
Случаят демонстрира колко ефективно може да бъде social engineering, когато атакуващият разполага с търпение и познаване на академичната култура. Имитацията на колеги е по-ефективна от всякакъв exploit, защото разчита на доверието между учените.
Българските университети и БАН участват в международни проекти с чувствителен софтуер. Урокът: верифицирайте самоличността на всеки, който иска достъп до софтуер или данни — дори ако имейлът изглежда от позната институция. Звъннете на познатия ви колега по телефона, преди да споделяте файлове. Въведете процедури за одобряване на споделяне на софтуер с външни лица.
Инструментите, които градим, се обръщат срещу нас
Четири седмици, четири теми — и всяка по-тревожна. Тази седмица е за инструментите, които се обръщат: AI агент, който изтрива вместо да помага. PhantomRPC — Windows уязвимост, която Microsoft отказва да патчне. cPanel — платформата за управление на сайтове — превърната в оръжие. GitHub — домът на кода — с вратичка за всеки.
PhantomRPC заслужава специално внимание: изследовател от Kaspersky представи 5 пътя за експлоатация на Windows RPC интерфейса за ескалация до SYSTEM. Microsoft класифицира проблема като „moderate“ и отказа патч, CVE и bounty — с аргумента, че изисква вече компрометирана машина. Експертите не са съгласни: потенциалните вектори са „практически неограничени“, защото проблемът е архитектурен. Поправката би изисквала дълбоки промени в RPC архитектурата, несъвместими със съществуващи версии.
Всеки CISO, CIO и CTO трябва да си зададе въпроса: как да предотвратя insider risk от AI coding агенти. Threat modeling на AI агентите трябва да е на първо място. — Darwin Salazar, The Cybersecurity Pulse
Четири седмици показват ясен модел: фалшиви сайтове (№1) → компрометирани платформи (№2) → отровени инструменти за разработчици (№3) → самите инструменти, които градим, се обръщат срещу нас (№4). За българските компании: (1) Threat model-ирайте AI агентите и автоматизациите; (2) Не приемайте „won’t fix“ за отговор — въведете компенсиращи контроли; (3) Планирайте за сценария, в който доверен инструмент е компрометиран. Доверието вече не е настройка по подразбиране — то е привилегия, която трябва да се заслужава всеки ден.
| Заплаха | Засяга | Действие |
|---|---|---|
| cPanel CVE-2026-41940 (.sorry ransomware) | 1.5M cPanel сървъра | Патчнете и ротирайте пароли ВЕДНАГА |
| Copy Fail Linux CVE-2026-31431 | Всички Linux от 2017 | Обновете kernel или блокирайте AF_ALG |
| Фалшива CAPTCHA → 60 международни SMS | Мобилни потребители | CAPTCHA никога не иска SMS, блокирайте premium |
| KidsProtect Android spyware ($60/мес.) | Android потребители | Търсете „WiFi Service“ в приложенията |
| GitHub RCE CVE-2026-3854 | 88% от GHES инстанции | Обновете до GHES 3.19.3+, ротирайте secrets |
| Cordial/Snarky Spider vishing → SaaS | Компании с SSO/облак | Hardware ключове за SSO, alert за нови MFA |
| AI агент изтрива продакшън DB | Компании с AI агенти | Без production delete права за AI, external бекъпи |
| Bluekit AI фишинг кит | Всички с имейл | DMARC/DKIM/SPF, hardware ключове за 2FA |
| Китайски инженер → NASA кражба | Научни институти | Верифицирайте самоличност, одобрявайте споделяне |
| PhantomRPC (Microsoft won’t fix) | Windows среди | Компенсиращи контроли, мониторинг на RPC |
🌡️ Скала на кибер риска
Защо 9/10: Copy Fail засяга всяка Linux машина от 2017, с публичен 100% надежден exploit и container escape. cPanel масова експлоатация с ransomware, 44K+ компрометирани. GitHub RCE с потенциал за достъп до милиони хранилища. Три критични инфраструктурни вектора едновременно.