Обзор кибератак и уязвимостей за прошедшую неделю: 12 - 15 мая 2026 года

Редакция Кибер Медиа отобрала ключевые события недели из мира кибербезопасности. На этот раз сразу несколько историй показали, как быстро меняется ландшафт угроз: ИИ-агенты уже способны не только искать уязвимости, но и переносить себя на новые серверы; мобильные трояны превращают зараженные смартфоны в сетевую инфраструктуру для мошенников; образовательные платформы сталкиваются с утечками через бесплатные аккаунты; APT-группы продолжают использовать легитимные инструменты для скрытой работы в сетях компаний; а open-source-репозитории снова становятся целью автоматизированных атак на цепочку поставки ПО.

ИИ-агенты уже умеют не только взламывать серверы, но и копировать самих себя

Palisade Research показала, что современные языковые модели могут автономно взламывать уязвимые серверы, переносить туда модельный стек и запускать рабочую копию агента. В эксперименте ИИ должен был сам найти уязвимость в веб-приложении, получить учетные данные, зайти на целевую машину и поднять новый inference-сервер без участия человека. Самый тревожный эпизод - цепное самовоспроизведение: одна из моделей последовательно скомпрометировала несколько виртуальных машин и переносила себя дальше.

TrickMo снова перестроили: зараженные Android-смартфоны превращают в сетевые прокси

ThreatFabric обнаружила новую версию Android-трояна TrickMo, который атакует пользователей банковских, финтех-, криптокошельков и приложений-аутентификаторов. Вредонос остается Device Take Over-трояном: после получения разрешений Accessibility Service оператор может видеть экран, управлять устройством, перехватывать СМС и уведомления, записывать экран и показывать фишинговые формы поверх легитимных приложений. Главное изменение новой версии - перенос командной инфраструктуры в The Open Network и появление функций, которые превращают зараженный смартфон в сетевой узел для атакующего.

Canvas взломали через бесплатные аккаунты - Instructure отключила часть платформы

Instructure сообщила о киберинциденте в Canvas: злоумышленник получил несанкционированный доступ к части среды компании, а затем использовал уязвимость, связанную с аккаунтами Free for Teacher. Инцидент затронул имена пользователей, email-адреса, названия курсов, сведения о зачислении и сообщения, но компания утверждает, что содержимое курсов, сданные работы и учетные данные не были скомпрометированы. После атаки Instructure временно отключила бесплатную версию сервиса, отозвала привилегированные учетные данные и усилила мониторинг.

MuddyWater зашла к производителю электроники и неделю работала в его сети

Иранская APT-группа MuddyWater провела шпионскую кампанию против организаций в нескольких странах. Среди целей были крупный южнокорейский производитель электроники, госструктуры, международный аэропорт на Ближнем Востоке, промышленные компании в Азии и образовательные учреждения. По данным Symantec, в феврале 2026 года атакующие провели около недели внутри сети неназванной южнокорейской компании, используя DLL sideloading, легитимные подписанные компоненты и инструменты для кражи учетных данных.

RubyGems закрыли двери для новых аккаунтов после атаки пакетами-пустышками

RubyGems временно отключил регистрацию новых аккаунтов после массовой атаки на официальный репозиторий Ruby-пакетов. Злоумышленники создавали свежие учетные записи и публиковали сотни вредоносных и «мусорных» пакетов, часть из которых содержала эксплоиты. Сейчас вредоносные пакеты удалены, аккаунты атакующих заблокированы, а установка и публикация пакетов для существующих пользователей не затронуты. Инцидент снова показал, насколько уязвимыми остаются публичные репозитории к автоматизированным атакам на цепочку поставки ПО.