В корпоративной сети одной корейской компании несколько недель работала многофакторная аутентификация, которая пускала внутрь по одному конкретному коду. Не из приложения и не по SMS – по значению, которое актор выбрал сам и вписал в файлы обработки аутентификации на портале VDI. Второй фактор честно запрашивался у всех, журналы молчали: механизм не сломали, а расширили ровно на одно постоянное значение.
Эпизод описан в совместном адвайзори AA26-222A от 10 августа 2026 года – ФБР, CISA, DC3, АНБ, Секретная служба США и Национальное полицейское агентство Кореи. Под именем Gunra там сведены наблюдения по разным жертвам и, судя по почерку, по разным рукам: в одних эпизодах работают с облачным тенантом и гоняют Impacket по контроллерам домена, в других живут на сетевом железе и правят обработчики аутентификации. Проанализируем весь путь, от дыры в файрволе до зашифрованного NAS. И отдельно то, чем эта аккуратность закончилась: локер, который франшиза выдала акторам под Linux, не держит собственные ключи.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Оформить подписку →Автор: hacker@shifry.local