Исследователи FearsOff раскрыли подробности критической уязвимости в программном обеспечении веб-почты Roundcube, которая оставалась незамеченной в течение десятилетия и могла быть использована для захвата уязвимых систем и выполнения произвольного кода.

Уязвимость отслеживается как CVE-2025-49113 и имеет оценку CVSS 9,9 из 10,0.

Она связана с удаленным выполнением кода после аутентификации посредством десериализации объекта PHP.

Риску подвержены Roundcube Webmail до версии 1.5.10 и 1.6.x до версии 1.6.11, поскольку параметр _from в URL-адресе не проверяется в program/actions/settings/upload.php, что приводит к десериализации объектов PHP

Недостаток, который затрагивал все версии программного обеспечения до 1.6.10 включительно, был устранен в 1.6.11 и 1.5.10 LTS.

FearsOff намерена опубликовать дополнительные технические подробности и представить PoC в ближайшее время, но оставляет временной лаг для установки необходимых исправлений.

Медлить не стоить, ведь ранее раскрытые уязвимости в Roundcube уже становились целями атак, как в случае с CVE-2024-37383 в прошлом году.

Тогда Positive Technologies сообщала об эксплуатации уязвимости Roundcube в рамках фишинговой атаки, направленной на кражу учетных данных пользователей.

Исследователи Sophos предупреждают киберподполье о вскрытой кампании, связанной с трояном Sakura RAT, исходный код которого доступен на GitHub и содержит скрытые бэкдоры, позволяющие злоумышленнику получить удаленный доступ к зараженным устройствам.

Исследователи обнаружили, что код Sakura RAT по сути нефункционален, но имеет PreBuildEvent в проекте Visual Studio, который загружает и устанавливает вредоносное ПО на устройства тех, кто пытается его скомпилировать.

Издатель ischhfd83 напрямую или косвенно связан с еще 141 репозиторием GitHub, 133 из которых включают скрытые бэкдоры, что свидетельствует о скоординированной кампании по распространению вредоносного ПО.

Подборка бэкдоров включает в себя скрипты Python с запутанными полезными нагрузками, вредоносные файлы заставок (.scr), файлы JavaScript с закодированными полезными нагрузками и события Visual Studio PreBuild.

Несмотря на то, что ряд репозиториев, по-видимому, заброшены с конца 2023 года, но многие из них активны и регулярно обновляются.

Коммиты полностью автоматизированы, поэтому их единственная цель - создать ложное представление о ведущейся разработке, которое придает вредоносным проектам иллюзию легитимности.

В виду автоматизированных запусков рабочих процессов во многих проектах набралось большое количество коммитов (в одном из них их было почти 60 000, а создан он был лишь в марте 2025 года). Среднее количество коммитов в репозиториях составляло 4446.

Число участников ограничено тремя конкретными пользователями для каждого репозитория, и для каждого из них используются разные учетные записи издателей, при этом количество репозиториев, назначенных на одну учетную запись, никогда не превышает девяти.

Продвижение репозиториев реализуется через YouTube, Discord и постов в даркнете. Кроме того, Sakura RAT упоминался в публикациях СМИ.

После загрузки и запуска реализуется многоступенчатая цепочка заражения, включающая выполнение скриптов VBS на диске, загрузку PowerShell закодированной полезной нагрузки с жестко закодированных URL, получение архива 7zip из GitHub и запуск приложения Electron (SearchFilter.exe).

Приложение загружает объединенный архив, содержащий зашифрованный файл main.js и связанные с ним файлы, включая код для профилирования системы, выполнения команд, деактивации Защитника Windows и извлечения полезной нагрузки.

Дополнительные полезные нагрузки, загружаемые бэкдором, включают в себя Lumma Stealer, AsyncRAT и Remcos, все из которых обладают обширными возможностями кражи данных.

Помимо нацеливания на хакерское сообщество, троянизированные репозитории также таргетируются на геймеров, студентов и даже исследователей с использованием широкого спектра приманок, таких как игровые читы, инструментов для моддинга и фейковых эксплойтов.

📦 Виртуализация 90-х годов и начало VirtualBox.

• В 90-е годы 20 века происходило бурное развитие технологий, при этом создавались не только средства для виртуализации, но и разнообразные эмуляторы. Вкратце, с помощью последних пользователи получали возможность воспроизводить работу софта, предназначено для конкретной ОС на другой (например, запускать ПО для Windows на Mac).

• В то же время с помощью виртуализации можно «разбить» одну систему на два (или больше) виртуальных сервера, со своим софтом и железом — каждый из них будет функционировать как реальная машина, что является более производительным вариантом.

• Одним из первых эмуляторов стал проект DOSEMU, позволявший запускать системы-клоны DOS и софт для DOS на компьютерах IBM PC x86 под управлением Linux. Выпущенный в 1992 году DOSEMU одновременно использовал подход виртуализации и эмуляции, что позволяло добиваться довольно высокой скорости работы.

• В июле 1993 года Алексадр Жюльярд выпустил первую версию созданного им Wine — средства для запуска программ Windows на компьютерах с установленными ОС семейства Unix (отсюда и название проекта — Windows Emulator).

• Ярким представителем семейства эмуляторов стал и продукт Bochs, выпущенный в 1994 году. С помощью Bochs пользователи могли эмулировать среду, необходимую для запуска гостевой операционной системы (в т.ч. жесткие и флоппи диски, звуковые и видео карты и т.д.) на архитектуре x86, что в то время было новинкой. Изначально Bochs продавался за $25, а для подключения возможности эмуляции дополнительного софта необходимо было обсуждать с разработчиком отдельную лицензию.

• В 1997 году Apple создала программный пакет виртуализации Virtual PC (продавалась через дочернюю компанию Connectix). С помощью этого продукта пользователи Mac могли запускать ОС Windows — на тот момент под эту операционную систему существовало гораздо больше программ, поэтому запуск Virtual PC помог сгладить недостаток Mac-софта.

• Продукт, включающий программы десктоп и серверной виртуализации Virtual PC и Virtual Server был востребован компаниями, которые занимались разработкой софта под различные платформы. В 2003 году компания Connectix была куплена Microsoft, в 2006 году было решено отказаться от развития версии для Mac.

• В 1998 года была основана компания VMware, а в 1999 году она вывела на рынок аналогичный продукт под названием VMware Workstation. Изначально он предназначался для работы на Windows, однако позднее разработчики добавили поддержку других операционных систем. К 2001 году были разработаны первые серверные продукты (VMware GSX Server, VMware ESX Server, который можно было устанавливать прямо «на железо» без необходимости наличия на нем операционной системы).

• В 1997 году российский предприниматель Сергей Белоусов запустил компанию SWSoft, в то время ее главный офис располагался в Сингапуре. В 2004 году эта компания приобрела американский стартап Parallels, который занимался десктоп- и серверной виртуализацией. После того, как Apple выпустила новые MacBook на чипсете от Intel, который мы очень хорошо знали, родился продукт Parallels Desktop для Mac, позволявший запускать Windows на Mac без перезагрузки.

• Еще одним заметным продуктом в начале двухтысячных годов стал эмулятор DOSBox — он был выпущен в 2002 году. С его помощью пользователи могли запускать «старые» программы для DOS на современных операционных системах.

• С этого момента начинается история Virtual Box, первая версия которой была выпущена немецкой компание innotek GmbH в 2007 году. С ее помощью пользователи могли запускать в качестве гостевых операционные системы Windows, Linux, BSD, OS/2, Solaris, Haiku и некоторые другие. В феврале 2008 года Sun Microsystems купила innotek для «создания собственных продуктов в области виртуализации». А уже в 2010 году сама Sun Microsystems была поглощена Oracle (переговоры велись с 2009 года), а пакет виртуализации подвергся ребрендингу и получил имя Oracle VM VirtualBox.

#Разное

Для всех интересующихся APT-тематикой настоятельно рекомендуем отчет об APT-группах, связанных с тайваньским ICEFCOM, разработанный представителями Национального центра реагирования на чрезвычайные ситуации с компьютерными вирусами Китая.

Основное содержание посвящено активности таких групп, как APT-C-01 (Poison Vine), APT-C-62 (Viola Tricolor), APT-C-64 (Anonymous 64), APT-C-65 (Neon Pothos) и APT-C-67 (Ursa).

Отдельного внимания заслуживает блок атрибуции с фотографиями, локациями и данными на участников.

Отчет на английском языке - здесь (PDF).

Подкатила очередная подборка уязвимостей и обновлений, отметим наиболее основные:

1. Разработчики Jenkins опубликовали обновление безопасности для своих плагинов Gatling.

2. Тайваньский производитель NAS-устройств QNAP выпустил обновления безопасности для девяти своих продуктов.

3. Cisco устранила четыре уязвимости в платформе Splunk SIEM.

4. В платформе Apache InLong устранена уязвимость ненадежной сериализации данных.

5. SolarWinds представила обновление безопасности для инструмента удаленного рабочего стола DameWare Mini Remote Control.

6. Исследователь Эджидио Романано анализирует, как исправление уязвимости внедрения PHP-объектов 2014 года в программное обеспечение vBulletin привело к тайному внедрению вектора атаки десериализации, называя это хрестоматийным примером поспешных исправлений.

Заменив serialize() на json_encode() в попытке исправить предполагаемые уязвимости PHP Object Injection, разработчики непреднамеренно открыли возможность подписывать и отправлять полезные данные в кодировке base64.

Затем эти полезные данные можно использовать для вызова функции PHP unserialize(), что позволяет десериализовать вредоносные объекты.

7. Команда Orange выкатила технический анализ для пяти уязвимостей, обнаруженных в устройствах SMA 500 SonicWall, которые были исправлены в декабре 2024 года.

8. DFSEC опубликовала анализ эксплойта BLASTPASS для iOS.

9. Исследователи SecureLayer7 выдали описание и PoC для RCE в пользовательском интерфейсе AWS Amplify Codegen, отслеживаемой как CVE-2025-4318.

10. Исследователь cR0w сообщает об обнаружении на прошлой неделе крупной партии PoC-документов для маршрутизаторов Tenda (1, 2, 3, 4, 5 и 6).

11. Исследователь Дэвид Бьюкенен обнаружил первый эксплойт для Nintendo Switch 2 в первый день после запуска продукта.

12. Исследователи Codean Labs обнаружили уязвимость (CVE-2025-47934) в библиотеке OpenPGP.js, которую можно использовать для подделки действительных результатов проверки подписи.

13. Исследователь обвиняют Apple в молчаливом исправлении эксплойта iMessage с нулевым щелчком. 

Джозеф Гойдиш утверждает, что эксплойт мог позволить удаленные атаки на выполнение кода и кражу ключей Secure Enclave и данных криптокошелька.

Apple якобы исправила две ошибки, связанные с цепочкой эксплойтов, в апреле без какого-либо упоминания или подтверждения, несмотря на ответственное раскрытие информации.