С мая 2026 года кто-то методично обходит кафедры физики и астрофизики в университетах США и Канады – не через фишинговые лендинги и не перебором паролей, а через одну дыру в Roundcube, которую большинство админов почтовых серверов вообще не держит в списке критичных. Цель выбрана прицельно: не приёмная комиссия и не бухгалтерия, а именно те кафедры, чьи исследования рано или поздно попадают в списки экспортного контроля – физика частиц, астрофизика, всё, что смежно с нацбезопасностью. Атакующих Proofpoint пока не дорастил до полноценного actor ID – кластер идёт под техническим именем UNK_MassTraction, буквально «неклассифицированный», – но почерк уже вполне узнаваем.
Инженерия здесь ровно на том уровне, что заставляет читать до конца. Одно письмо запускает XSS в браузере жертвы (CVE-2024-42009), стилер внутри этого XSS ворует не абы что, а CSRF-токен нужного формата, и этот токен тут же скармливается второй, уже серверной уязвимости (CVE-2025-49113) – десериализации, которая превращает обычную вебмейл-сессию в рут на почтовом сервере. Один клик, два независимых бага, один конвейер захвата. Дальше – как именно устроена эта склейка и почему её стиль выдаёт в операторах не одиночек, а структуру с бюджетом и дисциплиной.
Эта статья доступна только подписчикам. Оформите подписку, чтобы получить доступ ко всем премиум статьям.
Автор: hacker@shifry.local