Хакеры активно эксплуатируют незакрытую 0-day в Atlassian Confluence

Хакеры активно эксплуатируют незакрытую 0-day в Atlassian Confluence

Хакеры активно эксплуатируют незакрытую 0-day в Atlassian Confluence

Разбор атаки на одного из клиентов Volexity показал, что злоумышленники проникли на два хоста с помощью ранее неизвестной уязвимости в Confluence Server. Вендор (Atlassian) уже поставлен в известность и готовит патч, пользователям рекомендуется отключить такие серверы от интернета.

Детали уязвимости нулевого дня CVE-2022-26134 пока не разглашаются. В Volexity ее классифицируют как инъекцию команд, в бюллетене Atlassian она охарактеризована как возможность удаленно и без аутентификации выполнить код. Степень опасности проблемы разработчик оценил как критическую.

Расследование, проведенное экспертами, показало, что авторы атаки использовали CVE-2022-26134 для установки веб-шеллов. После отработки эксплойта в систему загружался BEHINDER — скрипт JSP, работающий как бэкдор. Этот выполняемый в памяти зловред, поддерживающий Meterpreter и Cobalt Strike, был ранее неоднократно замечен в атаках китайских хакеров.

Поскольку такой бэкдор может слететь при перезагрузке системы или перезапуске службы, злоумышленники для верности установили на серверах еще два веб-шелла: JSP-вариант China Chopper и простейший загрузчик файлов — на сей раз с записью на диск.

Также в ходе атаки на взломанных узлах была проведена проверка содержимого папок /etc/passwd и /etc/shadow, выгружены пользовательские таблицы из локальной базы данных Confluence, изменены записи в журнале доступа (чтобы скрыть свидетельства эксплойта).

Проведенный в Atlassian аудит показал, что CVE-2022-26134 актуальна для всех поддерживаемых версий Confluence Server (в том числе только что вышедшей 7.18.0) и Data Center. Пользователям Atlassian Cloud эта угроза не страшна.

Обновления с патчем разработчик рассчитывает выпустить сегодня вечером (к утру 4 июня по Москве), а пока советует пользователям ограничить интернет-доступ к Confluence Server и Data Center или совсем их отключить. Те, для кого это неприемлемо, могут снизить риск, введя блокировку URL с подстановками ${...} на уровне WAF — эту меру защиты уже приняла Cloudflare для всех своих клиентов.

Аналитики из Volexity полагают, что CVE-2022-26134, позволяющий захватить контроль над системой, уже взяли на вооружение многие китайские хакеры. Специалисты ИБ-компании создали YARA-правила для выявления на серверах Confluence активности, связанной с веб-шеллами, и опубликовали список IP-адресов, которые авторы атаки использовали для взаимодействия с зараженными машинами.

Федеральное агентство кибербезопасности США (CISA) добавило CVE-2022-26134 в свой список известных уязвимостей под атакой и предписало госорганам к 3 июня заблокировать весь входящий интернет-трафик на серверах Confluence. Уязвимости в продуктах Atlassian популярны у хакеров, которые охотно используют их для развертывания криптомайнеров или шифровальщиков — таких как Cerber и AtomSilo.

ИИ, роботы и отечественное ПО: главные итоги ЦИПР-2026

В Нижнем Новгороде завершилась XI международная конференция «Цифровая индустрия промышленной России». За четыре дня ЦИПР-2026 посетили более 13 тыс. участников из всех регионов России и 46 стран. На выставке представили 185 стендов, а деловая программа включила 165 дискуссий с участием более 1000 спикеров.

Главными темами стали цифровая трансформация промышленности, технологический суверенитет, импортозамещение ПО, ИИ, кибербезопасность, роботизация и развитие отечественных ИТ-решений. В мероприятии приняли участие представители правительства, региональных властей и крупнейших компаний.

На пленарной сессии премьер-министр Михаил Мишустин заявил, что за шесть лет доля ИТ-отрасли в ВВП удвоилась, а объём продаж российских продуктов и сервисов вырос почти в 4,5 раза и превысил 5 трлн рублей. Также, по его словам, впервые с 2022 года экспорт российского ПО вырос на 15%, а число занятых в отрасли превысило 1 млн человек.

 

Отдельный блок был посвящён итогам работы индустриальных центров компетенций. По словам вице-премьера Дмитрия Григоренко, из 175 особо значимых проектов, отобранных в 2022 году, уже завершены 120. Более 930 предприятий используют созданные решения, а российским ПО закрыто свыше 180 направлений, где раньше не было отечественных аналогов.

Компании на ЦИПР-2026 тоже показали немало громких новинок. «Группа Астра» объявила о запуске Astra Cloud на отечественных 48-ядерных процессорах Baikal-S. «Ростелеком» представил стратегию развития до 2030 года. Т-Банк провёл контролируемую кибератаку на собственную инфраструктуру с помощью ИИ. «Росатом» показал планшет-трансформер OKO Book 5 Yoga и платформу промышленного ИИ «АтомМайнд 2.0». РЖД и «Бюро 1440» начали проект по оснащению «Сапсанов» и «Ласточек» отечественной спутниковой связью.

 

Международная часть тоже была заметной: на конференцию приехали более 300 иностранных делегатов, а свои стенды представили 11 зарубежных компаний. За время форума подписали более 350 соглашений, в том числе международные договорённости с Китаем, Лаосом и Анголой.

Помимо деловой программы, на ЦИПР прошла выставка цифрового искусства DeCIPRaland: в ней участвовали 35 художников и более 70 работ из разных стран. Цифровой музей посетили 4200 человек. Также состоялась премия ЦИПР Диджитал, где отметили проекты в области цифровых технологий, ИИ, видеоаналитики, онлайн-банкинга и цифровых двойников.

 

Формально ЦИПР остаётся конференцией про промышленную цифровизацию, но по факту всё больше напоминает большую витрину российского технологического рынка: тут одновременно обсуждают госполитику, показывают железо, облака, ИИ, роботов, спутниковую связь и договариваются о новых проектах. То есть место, где цифровая экономика перестаёт быть абстрактным словосочетанием и превращается в стенды, соглашения и очереди у павильонов.

RSS: Новости на портале Anti-Malware.ru