СреднийII Кибервойна и критическая инфраструктура24 октября 2026 г., суббота
Группа, предположительно связанная с КНДР, готовит атаки на банки через PHP
24 октября сингапурская компания по кибербезопасности CYFIRMA сообщила, что корейскоязычная группа готовит атаки на госорганы и финансовые институты через уязвимости PHP2Shell. План атаки компания оценивает с высокой уверенностью, связь с Lazarus — со средней. Список целей, как ожидается, будет готов 25 октября.
По данным Aju Press, CYFIRMA выяснила, что 22 октября операторы обсуждали цели и подготовку в закрытой анонимной сети. Группа развернула онлайн-инфраструктуру из 15 элементов; конкретная дата атаки не назначена. 23 октября компания зафиксировала 17 IP-адресов, испытывавших похожую технику, но их принадлежность той же группе не доказана. Операторы собирают публичные методы атак, ранжируют их с помощью модели искусственного интеллекта и затем проверяют в контролируемой среде.
По данным Electronic Times, CYFIRMA назвала кампанию «June 2026 Minjun» и указала, что операторы используют анонимную сеть I2P. Речь идёт об уязвимостях CVE-2026-109618 и CVE-2026-109619 с оценкой критичности 9,2 из 10. Они позволяют выполнять команды на сервере без авторизации. Разработчики PHP выпустили исправления 21 октября. В списке целей — Южная Корея, США, Япония, Австралия, Тайвань, Индия, Сингапур, ОАЭ и Саудовская Аравия; в приоритете госорганы и банки.
Связь с Lazarus опирается на 3 признака: инструкции на корейском, выбор государственных и финансовых целей и метод веб-шелла, похожий на прошлые операции. CYFIRMA отметила, что прямых совпадений с известным вредоносным ПО или инфраструктурой Lazarus не нашла. 22 октября Министерство науки и ИКТ и KISA повысили уровень киберугрозы для частного сектора с «Внимание» до «Предупреждение». CYFIRMA рекомендовала организациям искать следы проникновения начиная с 17 октября.
Оценка Talay
Вывод
Предупреждение показывает, что PHP2Shell входит в окно перехода от массового сканирования к целевым операциям: группа выбирает цели до широкого сканирования. Атрибуция остаётся на среднем уровне уверенности, поэтому главный сигнал — не имя Lazarus. Важнее, что непропатченные серверы госорганов и банков 9 стран попали в один список. Наиболее вероятен не массовый обвал, а взломы, которые будут вскрываться по одному в течение недель.
Возможные последствия
- Финансовая инфраструктура АзииНегативноНедели
Банки в приоритете; новая волна атак поверх взломов корейских банков, идущих с сентября, увеличит нагрузку по надзору и уведомлениям.
- ГосуслугиНегативноНедели
Рекомендация изолировать или отключать серверы, которые нельзя обновить, может продлить превентивные простои государственных сайтов.
- Политика кибератрибуцииНеопределённо1–6 месяцев
Атрибуция средней уверенности удерживает Сеул от официальных обвинений в адрес Пхеньяна; без доказательств дипломатических шагов ждать не стоит.
Вероятные сценарии
- 1Целевые, но ограниченные взломы55 %
Кампания стартует, в нескольких непропатченных организациях находят веб-шеллы, но системного сбоя в финансах нет.
Что отслеживать: Первое официальное уведомление KISA или Японии о взломе через PHP2Shell
- 2Кампания откладывается30 %
Быстрое распространение исправлений и задержка надёжного эксплойта заставляют группу отступить; уровень угрозы снижают.
Что отслеживать: Понижение Кореей уровня угрозы для частного сектора до «Внимание»
- 3Крупный взлом в финансах15 %
Подтверждается масштабная утечка данных в банке или госоргане, атрибуция выходит на официальный уровень.
Что отслеживать: Заявление Комиссии по финансовым услугам Кореи или полиции о новом взломе
Вероятности — это откалиброванное суждение на основе источников, а не измерение; они пересматриваются с появлением новых данных. Не является инвестиционной рекомендацией.
Реакция рынка
Затронутые индикаторы
- Критичность уязвимости▼ 9,2/10
- Развёрнутая инфраструктура▼ 15 элементов
- Подозрительные IP-адреса▼ 17