Мошенники вынуждают своих жертв атаковать инфраструктуру

Мошенники вынуждают своих жертв атаковать инфраструктуру

Мошенники вынуждают своих жертв атаковать инфраструктуру

Злоумышленники, используя методы социальной инженерии, массово заставляют жертв атаковать объекты инфраструктуры. Только за минувшие выходные около 20 человек задержаны за поджоги отделений банков, почты и торговых центров.

Как обращает внимание телеграм-канал «Вестник киберполиции России», основной целевой аудиторией злоумышленников являются те, кто уже пострадал от деятельности мошенников.

Их с помощью психологических манипуляций заставляли бросать петарды, бутылки с зажигательной смесью в торговых центрах, банках, отделениях почты в Москве и Санкт-Петербурге, а также пытаться поджечь полицейские автомобили.

По данным, собранным «Известиями», факты поджогов зафиксированы в Москве, Подмосковье, Красноярске, Пскове, Санкт-Петербурге, ряде городов Ленинградской области.

«Профессиональная ложь, комбинация психологических приемов и мотивация получением или возвратом денег — все это используют злоумышленники для достижения своих целей. Попавшие на крючок люди не только продавали квартиры, поджигали банкоматы, но и инсценировали собственные похищения», — говорится в официальном сообщении Управления по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России.

Корреспондентам «Известий» удалось связаться с дочерью одного из тех, кто под воздействием злоумышленников поджег два банкомата в Санкт-Петербурге. Супруга поджигателя стала жертвой мошенников, которую вынудили перевести все сбережения на «безопасный счет».

«Они (злоумышленники) три дня обрабатывали маму, что надо спалить банкомат, чтобы замести следы перевода денег. Мама на это сказала: «Я на такое и под расстрелом не пойду», — рассказала собеседница издания.

После этого мошенники начали убеждать мужа женщины, который в итоге и стал поджигателем. Он также несколько лет назад стал жертвой мошенников.

Руководитель практики уголовно-правовой защиты юридической компании «Институт УДО» Игорь Ивлев также в комментарии для «Известий» обратил внимание на то, что злоумышленники могут вынуждать людей совершать нужные им действия, представляясь сотрудниками правоохранительных органов. При этом поджог якобы является частью оперативно-разыскных мероприятий.

«В лучшем случае исполнителя ожидает обвинение в хулиганстве с использованием предметов в качестве оружия — наказание до семи лет, — отметила в комментарии для «Известий» практикующий юрист Зара Горбушина. — Однако, в зависимости от масштабов ущерба, количества жертв и других отягчающих обстоятельств, наказание может быть значительно строже, вплоть до обвинения в терроризме. Российское законодательство не освобождает от ответственности лиц, совершивших преступление под влиянием третьих лиц, даже при наличии значительного психологического давления».

Критическая дыра в Elementor Pro позволяет захватывать WordPress-сайты

В плагине Elementor Pro для WordPress обнаружили критическую уязвимость CVE-2026-32475, позволяющую без аутентификации загрузить на сервер PHP-файл и выполнить произвольный код. Под угрозой находятся версии до 4.2.2. Проблема скрывается в модуле загрузки файлов.

Как выяснили специалисты Patchstack, проверка и сохранение вложений выполняются разными циклами, которые неодинаково реагируют на пустое имя файла.

Атакующий может отправить специально подготовленный запрос из нескольких частей. В первой будет файл без имени, а во второй — PHP-бэкдор. Проверка споткнётся о пустую запись и завершится, так и не добравшись до полезной нагрузки.

А обработчик загрузки, наоборот, пропустит пустышку и заботливо сохранит следующий файл в публичном каталоге wp-content/uploads/elementor/forms/.

После этого остаётся определить имя загруженного файла и открыть его по прямой ссылке. Сервер запустит PHP-код с правами веб-сервера, и сайт фактически перейдёт под управление атакующего.

Имя можно подобрать по времени создания, а в некоторых конфигурациях точный адрес файла способен утечь через письмо автоответчика.

Для атаки на сайте должна быть опубликована форма Elementor Pro с полем загрузки и включённой возможностью прикреплять несколько файлов. Эта настройка по умолчанию отключена. Бесплатная версия Elementor, насчитывающая более 10 млн установок, уязвимости не подвержена.

Разработчики закрыли брешь в Elementor Pro 4.2.2. Администраторам советуют немедленно обновить плагин и проверить каталог загрузок на PHP-файлы и другие незнакомые сюрпризы. Само обновление уже заброшенные бэкдоры не удалит.

Активных атак пока не зафиксировано. Но теперь, когда технические подробности опубликованы, они не заставят себя ждать.

RSS: Новости на портале Anti-Malware.ru