ФСБ и Роскомнадзор начали борьбу с кэшем Google

ФСБ и Роскомнадзор начали борьбу с кэшем Google

ФСБ и Роскомнадзор начали борьбу с кэшем Google

Роскомнадзор направил операторам связи по всей стране информацию о том, что Google устанавливает на сетях российских интернет-провайдеров несертифицированные серверы Google Global Cache, используемые для увеличения скорости доступа к ресурсам Google.

Об этом говорится в письмах управлений Роскомнадзора по Курганской, Липецкой и Владимирской областям (копии всех документов есть в распоряжении РБК, их подлинность подтвердили сотрудники двух региональных интернет-провайдеров). В двух письмах говорится, что информация об использовании несертифицированных серверов Google Global Cache была получена Роскомнадзором от ФСБ, пишет rbc.ru.

Роскомнадзор предупредил провайдеров, что установка данного оборудования без сертификатов соответствия повлечет за собой ответственность по ст. 13.6 КоАП, максимальное наказание по которой для юридических лиц составляет до 300 тыс. руб.

«Для обеспечения целостности, устойчивости функционирования и безопасности единой сети электросвязи России является обязательным подтверждение соответствия установленным требованиям средств связи, используемых в сети связи общего доступа», — отмечено в письме временно исполняющего обязанности руководителя управления Роскомнадзора по Липецкой области Романа Бирюкова.

Представитель Роскомнадзора Вадим Ампелонский сообщил, что центральный аппарат действительно проинформировал свои территориальные органы об использовании несертифицированных средств. «К нам поступила актуальная информация, и мы обязаны обратить внимание наших территориальных органов, чтобы они были внимательны при проведении контрольно-надзорных мероприятий. Это обычная практика. Вне зависимости от бренда. Закон одинаково работает для всех», — сказал он РБК.

В Google не ответили на запрос РБК.

Топ-менеджер одного из операторов «большой тройки», а также глава компании, работающей в сфере связи, утверждают, что серверы Google Global Cache не являются средством связи, а потому вообще не должны сертифицироваться.

«Согласно перечню средств связи, подлежащих обязательной сертификации, серверы, которыми являются Google Global Cache, не входят в перечень, подлежащих обязательной сертификации», — подтверждает директор некоммерческой организации «Общество защиты интернета» Михаил Климарев. Он отмечает, что логика обязательной сертификации заключается в том, чтобы обеспечить работоспособность телекоммуникационных сетей и сделать так, чтобы различное оборудование одного оператора работало совместно с сетями и оборудованием других операторов. Поэтому обязательной сертификации подвергаются средства коммутации, оборудование радиосвязи и др. «Подобные предупреждения Роскомнадзора являются прямым нарушением действующего законодательства — они не вправе требовать то, что не запрещено и не оговорено в нормативно-правовой базе», — говорит Климарев.

Топ-менеджер одного из операторов «большой тройки» добавляет, что установкой данных серверов занимается не дочернее ООО «Гугл», как пишет Роскомнадзор, а подразделение глобального Google. Это подтверждает и директор по стратегическим проектам Института исследования интернета Ирина Левова: «Насколько мне известно, за продукт Google Global Cache отвечает глобальное подразделение Google, а не ООО «Гугл».

«Google Global Cache по сути являются воротами для попадания любого контента к российским пользователям. Передача данных между Google Global Cache и серверами Google зашифрована. Поэтому при установке Google Global Cache внутри контура системы блокировки технически невозможно заблокировать контент Google», — говорит управляющий директор интернет-провайдера «Экотелеком» Сергей Никулин. Он отмечает, что серверы Google Global Cache устанавливаются Google за свой счет, провайдеру не принадлежат и им не управляются, но в то же время работают внутри его сети. «Эти факты, судя по всему, вызывают раздражение регулятора и являются препятствием к сертификации», — говорит Никулин.

«У крупного федерального оператора связи кэширующих серверов от Google стоит огромное количество, — рассказывает представитель одного из операторов. — Если представить, что нужно будет от них всех отказаться, то серьезная нагрузка ляжет на серверы самого Google, которые стоят, в частности, на MSK-IX (крупнейшая в России точка обмена трафиком, расположенная в Москве), а также на зарубежные стыки между нашими и иностранными провайдерами», — говорит он .

Ведущий специалист «Технического центра Интернет» Дмитрий Белявский отмечает, что Google Global Cache вряд ли несут какую-то угрозу пользователям или безопасности сети.

«По утверждениям Google — а это единственное, на что мы можем опираться — Google Global Cache образует географически распределенную сетевую инфраструктуру (CDN — Content Delivery Network). Это не несет угроз пользователям: Google Global Cache — лишь кэширующий сервер, предназначенный для снижения нагрузки при доступе к популярным ресурсам. В таком случае в выигрыше остаются все — распределение всегда сильно повышает надежность и стабильность системы. Проблемы в безопасности могут возникнуть, если злоумышленники смогут вмешаться во взаимодействие этих серверов с центральными серверами Google, но тут я склонен ожидать повышения общей надежности или по крайней мере не понижения. Дополнительного сбора чувствительных, в первую очередь персональных, данных тут тоже нет», — говорит Белявский.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Исследователи нашли Phantom Stealer в рассылке с пикантными вложениями

В июне 2025 года специалисты F6 Threat Intelligence заметили свежую фишинговую волну, которую окрестили Phantom Papa. Злоумышленники шлют письма на русском и английском с откровенными темами вроде «See My Nude Pictures and Videos» или «Посмотрите мои обнаженные фото и видео», а также с приманкой «Прикрепленная копия платежа №06162025». Внутри — архивы, которые в итоге запускают крадущий данные Phantom Stealer.

Phantom Stealer — новый «сборщик» данных, основанный на коде Stealerium. Он вытягивает пароли, данные банков и криптокошельков, содержимое браузеров и мессенджеров, делает скриншоты и перехватывает нажатия клавиш.

Для отправки награбленного используют Telegram, Discord или SMTP; в одной из кампаний фигурировал телеграм-бот papaobilogs (активен минимум с апреля 2025-го).

Как распространяют

  • Письма приходят с провокационными темами и корявым переводом на русский — явный след онлайн-переводчика.
  • Во вложениях — архивы .rar с образами .iso/.img, которые при открытии монтируются как диск и маскируют запуск «сборщика».
  • По данным F6 Business Email Protection, письма летят в компании из ретейла, промышленности, строительства, ИТ и др.

Масштаб

В логах обнаружены IP с устройств в 19 странах (включая США, Россию, Великобританию, Румынию, Испанию, Венгрию, Казахстан, Азербайджан, Эстонию, Сербию, Швейцарию, Сингапур, Беларусь и др.). Часть адресов — исследовательские виртуальные машины, но кампания явно не локальная.

 

Детали, на которые стоит обратить внимание

  • Из писем: «See My Nude Pictures and Videos», «Смотрите мои видео с обнаженными фотографиями», «Прикрепленная копия платежа №06162025».
  • Примеры хэшей вложений: 0f0192a4ee52729730cffb49c67f1e3b, 91441a640db47a03a4e6b4a8355cf4c4.
  • После запуска «сборщик» может:
    • закрепляться в системе (через планировщик задач/автозапуск),
    • добавлять исключение в Windows Defender,
    • отправлять архив с данными сразу на C2 либо, если он больше 20 МБ, — на файлообменник и передавать ссылку.

 

Отдельная ниточка тянется к семейству Agent Tesla: F6 нашла старые образцы с такой же иконкой и одинаковыми параметрами почтового аккаунта-получателя логов, что и в одной из конфигураций Phantom Stealer. Это может указывать на пересечение операторов или «наследование» инфраструктуры.

Где это продают

Исследователи нашли сайт phantomsoftwares[.]site (домен с февраля 2025 года), где рекламируются «продукты» линейки Phantom: от «crypter» до «stealer basic/advanced».

Что делать компаниям прямо сейчас

  • Фильтровать вложения и образы (.iso, .img) на почтовых шлюзах, включить разархивацию и статический анализ вложений.
  • Резко ограничить исполнение из пользовательских каталогов и отключить автозапуск образов.
  • Мониторить аномалии: создание задач в планировщике, правки настроек защитника, подозрительные сетевые соединения к Telegram/Discord API и SMTP-узлам.
  • Проверить утечки учёток и принудительно сбросить пароли в браузерах/мессенджерах.
  • Провести обучение сотрудников: не открывать «пикантные» вложения и «платёжки» из неожиданных писем, даже если тема выглядит убедительно.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru