Ερευνητές της εταιρείας ασφαλείας Group-IB περιέγραψαν ένα στοιχείο κακόβουλου λογισμικού που ονόμασαν HOLLOWGRAPH, το οποίο αντικαθιστά τον συνηθισμένο διακομιστή ελέγχου εντολών (command-and-control) με ένα παραβιασμένο ημερολόγιο του Microsoft 365, σύμφωνα με δημοσίευση της Group-IB που παρουσίασε το Register.

Σύμφωνα με την περιγραφή της Group-IB, αντί να επικοινωνεί με υποδομή ελεγχόμενη από τους επιτιθέμενους, το λογισμικό αναζητά εντολές μέσα σε συμβάντα ημερολογίου, ανακτά κρυπτογραφημένες εντολές και τοποθετεί κλεμμένα αρχεία σε νέα ραντεβού, τα οποία συλλέγουν αργότερα οι χειριστές του.

Ραντεβού για το 2050

Κάθε συμβάν που δημιουργεί το HOLLOWGRAPH φέρει ημερομηνία 13 Μαΐου 2050, ένα σημείο του ημερολογίου που κατά την Group-IB παραμένει κενή και επομένως λιγότερο πιθανό να τραβήξει την προσοχή, καθώς φιλοξενεί κρυπτογραφημένα συνημμένα. Η εταιρεία περιγράφει το λογισμικό ως στοιχείο που δεν εκμεταλλεύεται κάποια αδυναμία στο Microsoft Graph, αλλά ενσωματώνει την κίνηση ελέγχου εντολών μέσα σε κανονικά αιτήματα προς το Microsoft Graph API, τα οποία μοιάζουν με οποιαδήποτε άλλη εφαρμογή Microsoft 365 που επικοινωνεί με το cloud.

Κατά την Group-IB, το ίδιο το κακόβουλο λογισμικό είναι σχετικά απλό στη λειτουργία του: ανακτά εντολές από ένα συμβάν ημερολογίου, αποθηκεύει κλεμμένα αρχεία σε άλλο, και ανά τακτά διαστήματα ανανεώνει διαπιστευτήρια Entra ID μέσω καναλιού DNS tunneling (τεχνική απόκρυψης δεδομένων μέσα σε αιτήματα DNS), ώστε να συνεχίζει να λειτουργεί η επικοινωνία μέσω Graph.

Πιθανές συνδέσεις με άλλες ομάδες

Η Group-IB ανέφερε ότι συνέδεσε το κακόβουλο λογισμικό με το πλαίσιο Cavern με υψηλή βεβαιότητα, βασιζόμενη σε αντιστοιχίες στη μορφή εντολών και άλλες λεπτομέρειες υλοποίησης. Η εταιρεία εντόπισε επίσης ομοιότητες με την ομάδα κατασκοπείας Lyceum, που συνδέεται με το Ιράν σύμφωνα με προηγούμενες αναφορές, αλλά χαρακτήρισε αυτή τη σύνδεση ως χαμηλής βεβαιότητας και δεν απέδωσε την επιχείρηση στη συγκεκριμένη ομάδα.

Η Group-IB περιέγραψε το HOLLOWGRAPH ως «προηγμένη και ιδιαίτερα στοχευμένη απειλή κατασκοπείας», σημειώνοντας ότι «με την κατάχρηση αξιόπιστων ημερολογίων Microsoft 365 μέσω του Microsoft Graph API και την ανανέωση διαπιστευτηρίων cloud μέσω DNS tunneling, το κακόβουλο λογισμικό αποκρύπτει τον έλεγχο εντολών του μέσα σε νόμιμη κίνηση Microsoft 365 και δικτύου, αποφεύγοντας τους συμβατικούς μηχανισμούς άμυνας περιμέτρου».

Στοχευμένη επιχείρηση, όχι μαζική επίθεση

Σύμφωνα με τα ευρήματα της Group-IB, η καμπάνια φαίνεται να είναι στενά στοχευμένη. Η εταιρεία εντόπισε 12 μολυσμένα συστήματα, εκ των οποίων μόνο 3 επικοινωνούσαν με το παραβιασμένο γραμματοκιβώτιο κατά το χρονικό διάστημα που παρακολούθησε (το ακριβές διάστημα δεν προσδιορίζεται στη δημοσίευση). Το παραβιασμένο γραμματοκιβώτιο που χρησιμοποιήθηκε για τον έλεγχο εντολών ανήκε σε ισραηλινό οργανισμό, ενώ δείγματα του κακόβουλου λογισμικού είχαν ανέβει από το Ισραήλ. Με βάση αυτά τα στοιχεία, οι ερευνητές εκτίμησαν ότι πρόκειται για στοχευμένη επιχείρηση κατασκοπείας και όχι για ευρεία επίθεση.

Η Group-IB διευκρίνισε ότι το HOLLOWGRAPH δεν εκμεταλλεύεται κάποιο τεχνικό ελάττωμα στο Microsoft 365 ή στο Microsoft Graph. Αντίθετα, χρησιμοποιεί υπηρεσίες που είναι ήδη αξιόπιστες μέσα στους περισσότερους οργανισμούς, γεγονός που καθιστά τη δραστηριότητα λιγότερο εμφανή σε σχέση με κακόβουλο λογισμικό που επικοινωνεί με υποδομή ελεγχόμενη απευθείας από επιτιθέμενους.

Πηγές

• The Register: Microsoft 365 calendars become spy drop boxes in HOLLOWGRAPH campaign
• Group-IB (research findings όπως παρατίθενται από το Register)

Το password cracking, δηλαδή η προσπάθεια ανάκτησης κωδικών πρόσβασης μέσω δοκιμής μεγάλου αριθμού πιθανών συνδυασμών, είναι μια διαδικασία που σήμερα βασίζεται σχεδόν αποκλειστικά σε ισχυρές κάρτες γραφικών. Ο μηχανικός ασφαλείας με το ψευδώνυμο solstICE αποφάσισε να δοκιμάσει το αντίθετο άκρο του φάσματος, μεταφέροντας το hashcat, ένα από τα πιο διαδεδομένα εργαλεία στον χώρο, σε ένα Game Boy Advance.

Το project, με το όνομα gba-hashcat, τρέχει πάνω στο πρωτότυπο υλικό της κονσόλας. Ο επεξεργαστής της είναι ένα ARM7TDMI chip, αρχιτεκτονικής RISC στα 32-bit, με ρολόι στα 16,8 MHz. Η μηχανή διαθέτει 288 KB μνήμης RAM και επιπλέον 98 KB μνήμης VRAM, ενώ μεγάλο μέρος της επικοινωνίας με τη μνήμη γίνεται μέσω δίαυλου 16-bit.

Σύμφωνα με τον δημιουργό, το gba-hashcat καταφέρνει να επεξεργαστεί 727 SHA256 hashes το δευτερόλεπτο. Ο ίδιος υπολογίζει πως αυτή η απόδοση είναι περίπου τριάντα εκατομμύρια φορές χαμηλότερη από αυτή μιας σύγχρονης διάταξης επιτάχυνσης cracking με χρήση GPU, με αποτέλεσμα ένας ολόκληρος χρόνος λειτουργίας στο Game Boy Advance να αντιστοιχεί χονδρικά σε ένα μόλις δευτερόλεπτο σε μια τέτοια σύγχρονη διάταξη.

Ένας από τους βασικούς περιορισμούς του εγχειρήματος είναι η χωρητικότητα των cartridges του Game Boy Advance, που φτάνει έως τα 32 MB. Τα περισσότερα εργαλεία cracking βασίζονται σε προϋπολογισμένους πίνακες (precomputed tables) για να επιταχύνουν τις επαναλαμβανόμενες δοκιμές, όμως ο περιορισμένος χώρος ανάγκασε τον solstICE να συμπεριλάβει μόνο τη λίστα λέξεων ignis-1M, μεγέθους 8 MB, που περιέχει περίπου ένα εκατομμύριο πιθανούς κωδικούς.

Για την υλοποίηση του λογισμικού, ο δημιουργός αξιοποίησε το Butano, ένα πλαίσιο (framework) που επιτρέπει τη συγγραφή παιχνιδιών και εφαρμογών για Game Boy Advance σε γλώσσα C++. Το αποτέλεσμα είναι μια ελάχιστη διεπαφή χρήστη, που περιλαμβάνει μια οθόνη εισαγωγής, στατιστικά προόδου, και την τρέχουσα δοκιμή κωδικού πρόσβασης σε πραγματικό χρόνο.

Το gba-hashcat δεν προορίζεται για πρακτική χρήση σε πραγματικά σενάρια ανάκτησης κωδικών. Πρόκειται περισσότερο για επίδειξη τεχνικής δεξιότητας και για άσκηση πάνω στους περιορισμούς ενός chip που σχεδιάστηκε στα τέλη της δεκαετίας του 1990 για φορητό gaming, όχι για υπολογιστικά απαιτητικές εργασίες.

Πηγές

• tomshardware.com

Το Notebookcheck δημοσίευσε καταγγελία σύμφωνα με την οποία τηλεοράσεις και οθόνες της LG φέρονται να παρακολουθούν τη δραστηριότητα των χρηστών και να εγκαθιστούν bloatware χωρίς να ζητείται ρητή συναίνεση. Η αναφορά θέτει ζητήματα ιδιωτικότητας για συσκευές που είναι ήδη συνδεδεμένες σε δίκτυο και λειτουργούν σε καθημερινή βάση σε εκατομμύρια νοικοκυριά.

Τι αναφέρει η καταγγελία

Σύμφωνα με το δημοσίευμα, οι συσκευές LG φέρονται να συγκεντρώνουν δεδομένα σχετικά με τη χρήση τους και να εγκαθιστούν bloatware στη συσκευή χωρίς προηγούμενη ενημέρωση ή επιλογή αποδοχής από τον χρήστη. Η ακριβής φύση των δεδομένων που φέρεται να συλλέγονται, καθώς και τα συγκεκριμένα μοντέλα τηλεοράσεων και οθονών που αναφέρονται στην καταγγελία, δεν αποσαφηνίζονται με λεπτομέρεια στη διαθέσιμη πληροφόρηση που έχουμε επεξεργαστεί.

Τι δεν επιβεβαιώνεται προς το παρόν

Δεν υπάρχει, μέχρι τη στιγμή σύνταξης αυτού του άρθρου, ανεξάρτητη επιβεβαίωση των συγκεκριμένων τεχνικών λεπτομερειών της καταγγελίας από δεύτερη πηγή. Δεν είναι σαφές αν πρόκειται για πρακτική που εφαρμόζεται μέσω συγκεκριμένης ενημέρωσης λογισμικού, ρύθμισης λειτουργικού συστήματος (webOS) ή προεγκατεστημένων εφαρμογών τρίτων. Επίσης δεν έχει εντοπιστεί δημόσια απάντηση ή επίσημη τοποθέτηση από την LG αναφορικά με τους ισχυρισμούς αυτούς.

Το πλαίσιο των smart TV

Οι κατασκευαστές smart TV χρησιμοποιούν εδώ και χρόνια τεχνολογίες αναγνώρισης περιεχομένου (γνωστές διεθνώς ως ACR, automatic content recognition) για τη συλλογή στατιστικών χρήσης και τη στόχευση διαφημίσεων, πρακτική που έχει απασχολήσει κατά καιρούς ρυθμιστικές αρχές και οργανώσεις προστασίας καταναλωτών σε διάφορες χώρες. Το αν η συγκεκριμένη καταγγελία αφορά τέτοιου τύπου λειτουργία ή κάτι διαφορετικό δεν προκύπτει με σαφήνεια από το διαθέσιμο υλικό.

Το thelab.gr θα παρακολουθήσει την εξέλιξη της υπόθεσης και θα επικαιροποιήσει το άρθρο εφόσον προκύψουν επιβεβαιωμένα τεχνικά στοιχεία ή επίσημη απάντηση από την LG.

Πηγές

• notebookcheck.net

Σύμφωνα με το Guru3D, ερευνητές ασφαλείας εντόπισαν νέα ευπάθεια στο 7-Zip, ένα από τα πιο διαδεδομένα εργαλεία συμπίεσης αρχείων σε συστήματα Windows. Το κενό χαρακτηρίζεται ως υψηλής σοβαρότητας και επιτρέπει απομακρυσμένη εκτέλεση κώδικα (remote code execution), με τους ειδικούς να συνιστούν άμεση αναβάθμιση σε όλους τους χρήστες.

Το πρόβλημα εντοπίζεται στον τρόπο επεξεργασίας αρχείων συμπίεσης από το πρόγραμμα. Ένα ειδικά διαμορφωμένο αρχείο αρκεί από μόνο του για να ενεργοποιήσει την ευπάθεια, χωρίς να χρειάζεται ο χρήστης να εξάγει το περιεχόμενό του. Αυτό σημαίνει ότι το απλό άνοιγμα ενός κακόβουλου αρχείου μέσω του 7-Zip μπορεί να είναι αρκετό για να θέσει σε κίνδυνο το σύστημα.

Πώς λειτουργεί η επίθεση

Σύμφωνα με τις διαθέσιμες πληροφορίες ασφαλείας που παραθέτει το Guru3D, οι επιτιθέμενοι μπορούν να εκμεταλλευτούν αδυναμίες στην ανάλυση αρχείων συμπίεσης διανέμοντας ειδικά κατασκευασμένα πακέτα, μεταμφιεσμένα σε νόμιμα προγράμματα λήψης, πακέτα λογισμικού ή κοινόχρηστα έγγραφα. Όταν ένα τέτοιο αρχείο υποστεί επεξεργασία από ευάλωτη έκδοση του 7-Zip, μπορεί να προκαλέσει καταστροφή μνήμης (memory corruption) και εν δυνάμει να εκτελέσει κώδικα υπό τον έλεγχο του επιτιθέμενου, με τα δικαιώματα του τρέχοντος χρήστη.

Όπως συμβαίνει με τις περισσότερες επιθέσεις που στοχεύουν την πλευρά του χρήστη (client-side), απαιτείται κάποιου βαθμού αλληλεπίδραση από τον ίδιο· τα μηνύματα ηλεκτρονικού «ψαρέματος» (phishing) και τα κακόβουλα αρχεία λήψης θεωρούνται οι πιθανότεροι τρόποι διανομής.

Ποιοι επηρεάζονται

Το εύρος επίπτωσης ξεπερνά τις αυτόνομες εγκαταστάσεις σε προσωπικούς υπολογιστές. Το 7-Zip ενσωματώνεται συχνά σε εφαρμογές δημιουργίας αντιγράφων ασφαλείας, προγράμματα antivirus, εργαλεία διανομής λογισμικού και περιβάλλοντα αυτοματισμού, με αποτέλεσμα ο αριθμός των δυνητικά ευάλωτων συστημάτων να είναι σημαντικά μεγαλύτερος από όσα φαίνονται σε πρώτη ανάγνωση.

Η ευπάθεια αφορά όλες τις εκδόσεις πριν την 7-Zip 26.02, η οποία περιλαμβάνει τη διόρθωση και αποτελεί προς το παρόν τη συνιστώμενη αναβάθμιση για όλους τους χρήστες.

Προηγούμενα προβλήματα και δυσκολία ενημέρωσης

Η νέα ευπάθεια ακολουθεί σειρά διορθώσεων που είχαν γίνει νωρίτερα φέτος με την έκδοση 26.01. Εκείνες οι διορθώσεις αφορούσαν πολλαπλά προβλήματα στην ανάλυση αρχείων UEFI capsule, εικόνων WIM, δίσκων UDF και αρχείων Unix ar. Αρκετά από αυτά τα προβλήματα οδηγούσαν κυρίως σε διαρροή πληροφοριών ή άρνηση υπηρεσίας (denial-of-service), ενώ το νέο κενό θεωρείται πιο σοβαρό επειδή επιτρέπει πλήρη εκτέλεση κώδικα.

Μία επιπλέον δυσκολία για διαχειριστές συστημάτων είναι ότι το 7-Zip δεν διαθέτει ενσωματωμένο μηχανισμό αυτόματης ενημέρωσης. Παλαιότερες εκδόσεις παραμένουν συχνά εγκατεστημένες για μεγάλα χρονικά διαστήματα, ιδίως σε φορητές (portable) εκδόσεις ή σε αντίγραφα που συνοδεύουν λογισμικό τρίτων κατασκευαστών. Για τον λόγο αυτό, οι οργανισμοί καλούνται να ελέγξουν όχι μόνο τις αυτόνομες εγκαταστάσεις αλλά και τις εφαρμογές που ενσωματώνουν βιβλιοθήκες 7-Zip.

Οι χρήστες συνιστάται να εγκαταστήσουν την έκδοση 26.02 το συντομότερο δυνατό και να αποφεύγουν το άνοιγμα αρχείων συμπίεσης από άγνωστες ή μη έμπιστες πηγές, μέχρι να ολοκληρωθεί η ενημέρωση όλων των επηρεαζόμενων συστημάτων.

Πηγές

• Guru3D: Critical 7-Zip Vulnerability Fixed in Version 26.02 found

Η Microsoft προχώρησε στην κυκλοφορία του μηνιαίου πακέτου ενημερώσεων ασφαλείας για τον Ιούλιο του 2026, γνωστού ως Patch Tuesday, με το BleepingComputer να καταγράφει συνολικά 570 διορθώσεις. Πρόκειται για έναν από τους μεγαλύτερους όγκους ενημερώσεων που έχει κυκλοφορήσει η εταιρεία σε μία μόνο έκδοση, σύμφωνα με τα δεδομένα που παρουσιάζει το δημοσίευμα.

Η κατανομή των ευπαθειών

Από το σύνολο των 570 διορθώσεων, το BleepingComputer αναφέρει ότι 59 ταξινομούνται ως κρίσιμες (Critical). Μέσα σε αυτές τις κρίσιμες ευπάθειες περιλαμβάνονται 48 περιπτώσεις απομακρυσμένης εκτέλεσης κώδικα (RCE), εννέα περιπτώσεις κλιμάκωσης προνομίων (elevation of privilege), μία παράκαμψη μηχανισμού ασφαλείας (security bypass) και μία περίπτωση πλαστογράφησης (spoofing). Η μεγάλη πλειονότητα των υπόλοιπων διορθώσεων αφορά ζητήματα χαμηλότερης σοβαρότητας, κάτι που σημαίνει ότι δεν πρέπει να αντιμετωπίζονται όλες οι 570 ευπάθειες ως εξίσου επείγουσες· η προτεραιότητα, σύμφωνα με το δημοσίευμα, πρέπει να δοθεί στις κρίσιμες περιπτώσεις και ιδίως στα ενεργά εκμεταλλεύσιμα zero-day.

Τα τρία zero-day και η κατάσταση εκμετάλλευσης

Στο πακέτο περιλαμβάνονται τρία ελαττώματα τύπου zero-day. Σύμφωνα με τη Microsoft και το BleepingComputer, δύο από αυτά χρησιμοποιούνται ήδη ενεργά σε επιθέσεις, ενώ το τρίτο έχει δημοσιοποιηθεί χωρίς να έχει επιβεβαιωθεί ενεργή εκμετάλλευση. Οι λεπτομέρειες για συγκεκριμένες εκστρατείες επίθεσης δεν έχουν επιβεβαιωθεί από ανεξάρτητους φορείς πληροφόρησης απειλών ή τον οργανισμό CISA στο υλικό που έχει δημοσιευτεί μέχρι στιγμής, οπότε συστήνεται προσοχή στην απόδοση συγκεκριμένων ομάδων ή σκοπών πίσω από τις επιθέσεις αυτές. Η ύπαρξη ενεργά εκμεταλλεύσιμων zero-day καθιστά την άμεση εφαρμογή των ενημερώσεων προτεραιότητα για διαχειριστές συστημάτων Windows.

Διαφορές στην καταμέτρηση: BleepingComputer έναντι Zero Day Initiative

Ο αριθμός των 570 διορθώσεων που αναφέρει το BleepingComputer δεν ταυτίζεται με την καταμέτρηση του Zero Day Initiative (ZDI), το οποίο καταγράφει 621 CVE για το ίδιο πακέτο ενημερώσεων. Η διαφορά αυτή οφείλεται σε διαφορετική μεθοδολογία καταμέτρησης μεταξύ των δύο πηγών, με το ZDI να συμπεριλαμβάνει πιθανώς πρόσθετες διορθώσεις που αφορούν υπηρεσίες cloud ή τον περιηγητή Edge, οι οποίες δεν προσμετρώνται με τον ίδιο τρόπο στην καταμέτρηση του BleepingComputer. Η ασυμφωνία αυτή δεν αναιρεί το μέγεθος της ενημέρωσης, αλλά υπογραμμίζει ότι ο ακριβής συνολικός αριθμός εξαρτάται από την πηγή που χρησιμοποιείται.

Ο ρόλος του αυτοματοποιημένου συστήματος εντοπισμού ευπαθειών

Η Microsoft αναφέρει, σύμφωνα με δηλώσεις της εταιρείας, ότι ο ασυνήθιστα μεγάλος όγκος διορθώσεων αυτού του μήνα συνδέεται με την ανάπτυξη ενός εσωτερικού συστήματος εντοπισμού ευπαθειών που αξιοποιεί τεχνικές τεχνητής νοημοσύνης, γνωστού με το εσωτερικό όνομα MDASH, το οποίο έχει αναπτυχθεί σε όλη την αρχιτεκτονική κώδικα των Windows. Πρόκειται για ισχυρισμό της ίδιας της εταιρείας, χωρίς ανεξάρτητη επιβεβαίωση από τρίτο φορέα στο υλικό που έχει δημοσιευτεί, και θα πρέπει να αντιμετωπίζεται ως δήλωση της Microsoft και όχι ως επαληθευμένο τεχνικό γεγονός.

Τι πρέπει να κάνουν οι χρήστες

Δεδομένης της ύπαρξης δύο ενεργά εκμεταλλεύσιμων zero-day, οι διαχειριστές συστημάτων και οι απλοί χρήστες Windows συνιστάται να προχωρήσουν στην εγκατάσταση των ενημερώσεων του Ιουλίου 2026 το συντομότερο δυνατό, με προτεραιότητα στα συστήματα που εκτίθενται άμεσα σε δίκτυα ή υπηρεσίες υψηλού κινδύνου. Η αναμονή για τον προγραμματισμένο κύκλο ενημερώσεων σε εταιρικά περιβάλλοντα ενέχει αυξημένο ρίσκο, δεδομένης της ενεργής εκμετάλλευσης που έχει ήδη καταγραφεί.

Πηγές

• BleepingComputer: Microsoft July 2026 Patch Tuesday fixes massive 570 flaws, 3 zero-days
• Zero Day Initiative (ZDI), αναφορά καταμέτρησης CVE για τον Ιούλιο 2026

Η Microsoft Threat Intelligence ανακοίνωσε την ανακάλυψη ενός νέου, ιδιαίτερα επικίνδυνου backdoor με την ονομασία GigaWiper. Σύμφωνα με τη Microsoft, το κακόβουλο λογισμικό εντοπίστηκε για πρώτη φορά τον Οκτώβριο του 2025 και ξεχωρίζει επειδή συγκεντρώνει σε ένα ενιαίο πακέτο δυνατότητες κατασκοπείας, ψεύτικου ransomware και πλήρους καταστροφής δεδομένων.

Τρεις μηχανισμοί καταστροφής δεδομένων

Το GigaWiper είναι γραμμένο σε γλώσσα προγραμματισμού Go και περιλαμβάνει, σύμφωνα με τη Microsoft, τρεις ξεχωριστές δυνατότητες διαγραφής δεδομένων. Η πρώτη είναι ένας αυτόνομος μηχανισμός (wiper) που αντικαθιστά τα δεδομένα σε ωμή μορφή (raw mode), λειτουργώντας απευθείας στο φυσικό επίπεδο του δίσκου, χωρίς να ελέγχει μεταδεδομένα αρχείων ή κατατμήσεων.

Η δεύτερη δυνατότητα είναι μια λειτουργία «ψεύτικου» ransomware, προερχόμενη από την οικογένεια κακόβουλου λογισμικού Crucio. Αυτή κρυπτογραφεί αρχεία, όμως δεν αποθηκεύει πουθενά το κλειδί αποκρυπτογράφησης, καθιστώντας την ανάκτηση δεδομένων αδύνατη σε κάθε περίπτωση. Η τρίτη δυνατότητα αναπαράγει τη λογική του γνωστού FlockWiper και μπορεί να διαγράψει τον δίσκο συστήματος των Windows μέσω διαδικασίας «ασφαλούς» διαγραφής πολλαπλών περασμάτων.

Κατασκοπεία και έλεγχος σε πραγματικό χρόνο

Πέρα από τις καταστροφικές λειτουργίες, το GigaWiper υποστηρίζει, σύμφωνα με τη Microsoft, 20 διαφορετικές εντολές που μπορούν να δοθούν απομακρυσμένα μέσω διακομιστή εντολών και ελέγχου (command-and-control, C2). Ανάμεσά τους περιλαμβάνονται λήψη στιγμιότυπων οθόνης, καταγραφή βίντεο και ζωντανή μετάδοση (streaming) της οθόνης του θύματος με υποστήριξη απομακρυσμένου ελέγχου πληκτρολογίου και ποντικιού.

Η μετάδοση αυτή βασίζεται σε πρωτόκολλο TCP και, σύμφωνα με τη Microsoft, το κακόβουλο λογισμικό αποκρύπτει τη δραστηριότητά του δημιουργώντας προσαρμοσμένες εξαιρέσεις στο Windows Firewall. Το GigaWiper μπορεί επίσης να συλλέγει εκτεταμένες πληροφορίες για το μηχάνημα και το λογισμικό περιβάλλον του θύματος, ενώ διαθέτει δυνατότητες διαχείρισης διεργασιών λογισμικού, αρχείων καταγραφής συμβάντων των Windows και μητρώου συστήματος (registry).

Σύνδεση με γνωστές οικογένειες κακόβουλου λογισμικού

Η Microsoft αναφέρει ότι το GigaWiper συναρμολογήθηκε από τουλάχιστον τρεις προϋπάρχουσες οικογένειες κακόβουλου λογισμικού. Η εταιρεία συνδέει άμεσα τον κώδικα με τις οικογένειες Crucio και FlockWiper, βασιζόμενη σε κοινή ροή εκτέλεσης, ονοματολογία συναρτήσεων και αντίστοιχα αλφαριθμητικά (strings) στον κώδικα. Οι υπογραφές ανίχνευσης της ίδιας της Microsoft αναφέρονται επίσης σε ένα τρίτο στοιχείο με την ονομασία CutBrooch, το οποίο πιθανότατα αντιστοιχεί στην αυτόνομη λειτουργία διαγραφής δεδομένων.

Όποιος ελέγχει την υποδομή C2 του GigaWiper διατηρεί, σύμφωνα με τη Microsoft, εκτεταμένο έλεγχο πάνω σε μολυσμένα συστήματα και μπορεί να ενεργοποιήσει καταστροφική εντολή όποτε το επιλέξει.

Μέτρα προστασίας

Η Microsoft προτείνει συγκεκριμένα μέτρα για οργανισμούς που θέλουν να περιορίσουν τον κίνδυνο μόλυνσης πριν αυτή προκαλέσει μόνιμη ζημιά. Ανάμεσά τους περιλαμβάνεται η ενεργοποίηση της προστασίας από παραποίηση (tamper protection) στο Microsoft Defender, καθώς και η ενεργοποίηση της προστασίας βάσει νέφους (cloud-based protection) του antimalware εργαλείου, ώστε να εντοπίζονται ταχέως εξελισσόμενες απειλές πριν ενημερωθούν οι τοπικές υπογραφές ιών.

Πηγές

• TechSpot: GigaWiper malware can wipe your hard drive, spy on you, and stream your screen live

Το περιστατικό

Ο Joel Feder, Director of Content and Product στο The Drive, βρέθηκε κυκλωμένος από τέσσερα περιπολικά σε πάρκινγκ καταστήματος ενώ οδηγούσε ένα δανεικό Range Rover αξίας 155.000 δολαρίων, όπως αναφέρει το Tom's Hardware επικαλούμενο ρεπορτάζ του The Drive. Όταν ρώτησε τον λόγο της παρέμβασης, οι αστυνομικοί απάντησαν ότι η πινακίδα του είχε καταχωριστεί ως κλεμμένη και ότι τον παρακολουθούσαν επί ημέρες μέσω της εφαρμογής Flock, συστήματος αναγνώρισης πινακίδων που χρησιμοποιείται από αστυνομικά τμήματα στις ΗΠΑ.

Η κράτηση κράτησε περίπου μία ώρα, όσο διήρκεσε η προσπάθεια των αρχών να διαπιστώσουν τι ακριβώς είχε συμβεί, σύμφωνα με το ίδιο ρεπορτάζ.

Πώς προέκυψε το λάθος

Σύμφωνα με το Tom's Hardware, η πραγματική κλεμμένη πινακίδα στην Καλιφόρνια είχε τον κωδικό 34 03 DTM, όμως στην αναφορά της αστυνομίας του Λος Άντζελες (LAPD) καταγράφηκε ελλιπώς ως «34 DTM», χωρίς τον ενδιάμεσο αριθμό. Αυτό το λάθος καταχώρισης δημιούργησε από μόνο του πρόβλημα αντιστοίχισης σε εθνικό επίπεδο, καθώς το σύστημα Flock είχε πλέον στη βάση του μια ελλιπή καταγραφή αντί της πλήρους πινακίδας.

Το πρόβλημα επιδεινώθηκε από ένα δεύτερο, ανεξάρτητο σφάλμα: η πινακίδα του Range Rover που οδηγούσε ο Feder ήταν 34 10 DTM, με τον αριθμό «10» τυπωμένο σε μικρότερη γραμματοσειρά. Πρόκειται για μη τυπικό σχέδιο πινακίδας κατασκευαστή (manufacturer plate) που χρησιμοποιεί η πολιτεία του Νιου Τζέρσεϊ, με την ένδειξη «VEHICLE MFR» στο κάτω μέρος. Το σύστημα Flock, όπως αναφέρει το Tom's Hardware, διάβασε μόνο τους μεγαλύτερους χαρακτήρες της πινακίδας και αγνόησε τους μικρότερους αριθμούς, με αποτέλεσμα η ανάγνωση να ταιριάξει εσφαλμένα με την ελλιπή καταχώριση της κλεμμένης πινακίδας.

Ο συνδυασμός δύο σφαλμάτων

Το περιστατικό δεν προέκυψε από ένα μεμονωμένο τεχνικό πρόβλημα, αλλά από την επικάλυψη δύο ξεχωριστών σφαλμάτων: ενός ανθρώπινου λάθους καταχώρισης στην αναφορά της LAPD και ενός σφάλματος ανάγνωσης του συστήματος Flock σε μη τυπική μορφή πινακίδας. Το αποτέλεσμα ήταν ένα εθνικό ειδοποιητήριο (nationwide alert) που ενεργοποιήθηκε λανθασμένα και οδήγησε στην παρακολούθηση και τελικά στη διακοπή της κίνησης ενός οδηγού που δεν είχε καμία σχέση με την κλοπή.

Το πηγαίο κείμενο του Tom's Hardware, όπως έχει διαθέσιμο, δεν περιλαμβάνει επίσημη απάντηση της Flock ή περιγραφή τυχόν διορθωτικών μέτρων που ενδέχεται να έχουν ληφθεί μετά το περιστατικό.

Πηγές

• Tom's Hardware: Flock cameras mistakenly track car reviewer over 'stolen' tags — police ambush tester in store parking lot and detain him for an hour
• The Drive (αναφορά μέσω Tom's Hardware)

Ο δημιουργός του DLSS Swapper, ενός δημοφιλούς εργαλείου ανοιχτού κώδικα για την αντικατάσταση αρχείων DLL σχετικών με τεχνολογίες της NVIDIA όπως το DLSS, το DLSS Frame Generation και το DLAA, προειδοποίησε τους χρήστες ότι κάποια αρχεία DLL τα οποία έχουν ανέβει από την κοινότητα στη βάση δεδομένων του εργαλείου ενδέχεται να περιέχουν κακόβουλο λογισμικό.

Τι είναι το DLSS Swapper

Το DLSS Swapper δίνει τη δυνατότητα σε χρήστες να κατεβάζουν και να εγκαθιστούν διαφορετικές εκδόσεις αρχείων DLL για τεχνολογίες αναβάθμισης εικόνας και δημιουργίας καρέ της NVIDIA, χωρίς να χρειάζεται χειροκίνητη αντικατάσταση αρχείων μέσα στους φακέλους των παιχνιδιών. Η λειτουργία αυτή απευθύνεται κυρίως σε χρήστες που θέλουν να δοκιμάσουν νεότερες ή παλαιότερες εκδόσεις DLSS από αυτές που παρέχει από προεπιλογή ένα παιχνίδι, χωρίς να περιμένουν ενημέρωση από τον εκάστοτε εκδότη.

Ο κίνδυνος από αρχεία που ανεβάζουν χρήστες

Σύμφωνα με την προειδοποίηση, μέρος των αρχείων DLL που είναι διαθέσιμα μέσα από το εργαλείο προέρχεται από συνεισφορές χρηστών, χωρίς να υπάρχει πάντα επίσημος έλεγχος ή επαλήθευση προέλευσης πριν αυτά καταστούν διαθέσιμα προς λήψη. Αυτό δημιουργεί περιθώριο ώστε ένα αρχείο DLL να εμφανίζεται ως νόμιμη έκδοση κάποιας τεχνολογίας της NVIDIA, ενώ στην πραγματικότητα να έχει τροποποιηθεί ώστε να περιέχει κακόβουλο κώδικα.

Το διαθέσιμο υλικό από την πηγή δεν περιλαμβάνει συγκεκριμένα στοιχεία για τον αριθμό των επηρεαζόμενων αρχείων, τον τύπο του κακόβουλου λογισμικού που εντοπίστηκε ή τη χρονική στιγμή κατά την οποία έγινε αντιληπτό το πρόβλημα. Δεν είναι επίσης ξεκάθαρο από το κείμενο ποιος ακριβώς είναι ο δημιουργός του εργαλείου, καθώς αυτή η πληροφορία δεν αναφέρεται ρητά στο διαθέσιμο απόσπασμα.

Τι σημαίνει για τους χρήστες

Για όσους χρησιμοποιούν εργαλεία αντικατάστασης DLL σε παιχνίδια, η προειδοποίηση αποτελεί υπενθύμιση ότι αρχεία τα οποία δεν προέρχονται απευθείας από την NVIDIA ή από επίσημο εκδότη παιχνιδιού ενέχουν εγγενή ρίσκο, ακόμη κι όταν διανέμονται μέσα από δημοφιλή και ευρέως χρησιμοποιούμενα εργαλεία της κοινότητας. Η σύσταση που προκύπτει είναι η επαλήθευση της προέλευσης κάθε αρχείου πριν την εγκατάστασή του, καθώς και η χρήση ενημερωμένου λογισμικού προστασίας για σάρωση πριν την αντικατάσταση αρχείων συστήματος ή παιχνιδιού.

Δεν υπάρχει επιβεβαίωση για το αν έχουν ήδη ληφθεί μέτρα μετριασμού, όπως αφαίρεση συγκεκριμένων αρχείων από τη βάση δεδομένων του εργαλείου ή αλλαγή στη διαδικασία υποβολής αρχείων από χρήστες.

Πηγές

• videocardz.com

Μια κακόβουλη επέκταση για τον Microsoft Edge, με την ονομασία Edgecution, χρησιμοποιήθηκε σε επίθεση που σύμφωνα με αναφορά του BleepingComputer και της Zscaler συνδέεται με δραστηριότητα γύρω από ransomware. Το ενδιαφέρον στοιχείο δεν είναι απλώς ότι η επίθεση βασίστηκε σε browser extension, αλλά ότι αξιοποίησε το Chrome Native Messaging protocol, έναν νόμιμο μηχανισμό που επιτρέπει σε επεκτάσεις να επικοινωνούν με τοπικές εφαρμογές στο σύστημα.

Το Native Messaging υπάρχει για θεμιτές χρήσεις. Για παράδειγμα, μια επέκταση μπορεί να χρειάζεται επικοινωνία με μια τοπική εφαρμογή, όπως συμβαίνει σε ορισμένα password managers ή enterprise εργαλεία. Σύμφωνα με την τεκμηρίωση της Microsoft, οι native εφαρμογές δεν εγκαθίστανται ή δεν διαχειρίζονται απευθείας από τον Edge, ενώ η επικοινωνία γίνεται μέσω ενός native messaging host που ανταλλάσσει μηνύματα με την επέκταση.

Πώς χρησιμοποιήθηκε στην επίθεση

Σύμφωνα με την αναφορά, η αλυσίδα ξεκινούσε με κοινωνική μηχανική. Ο επιτιθέμενος παρουσιαζόταν ως προσωπικό IT support μέσω Microsoft Teams και οδηγούσε εργαζόμενους σε ψεύτικη σελίδα, η οποία υποτίθεται ότι αφορούσε ενημέρωση ή έλεγχο λογισμικού. Από εκεί, ο χρήστης παραπλανιόταν ώστε να εκτελέσει στοιχεία που οδηγούσαν στην εγκατάσταση των κακόβουλων components.

Η κακόβουλη επέκταση λειτουργούσε ως μέρος της αλυσίδας, αλλά το κρίσιμο στοιχείο ήταν η σύνδεσή της με τοπικό component. Με απλά λόγια, το extension δεν έμενε μόνο μέσα στα όρια του browser. Μέσω Native Messaging μπορούσε να επικοινωνεί με ένα τοπικό backdoor, το οποίο είχε δυνατότητα εκτέλεσης ενεργειών στο ίδιο το σύστημα. Αυτό ακριβώς κάνει την τεχνική πιο σοβαρή από ένα απλό κακόβουλο πρόσθετο browser.

Το BleepingComputer αναφέρει ότι το malware έτρεχε σε headless Edge browser, δηλαδή χωρίς ορατό παράθυρο για τον χρήστη, και χρησιμοποιούσε το Native Messaging για επικοινωνία με το τοπικό component. Η Zscaler συνδέει τη δραστηριότητα με initial access broker που σχετίζεται με την επιχείρηση ransomware Payouts King.

Γιατί αφορά και τους απλούς χρήστες

Το περιστατικό έχει σημασία επειδή δείχνει ότι οι επεκτάσεις browser δεν είναι “μικρά πρόσθετα”. Σε ορισμένα σενάρια μπορούν να γίνουν κρίσιμο σημείο εισόδου, ειδικά όταν συνδυάζονται με παραπλάνηση χρηστών, ψεύτικες σελίδες ενημερώσεων και τοπικά components που εγκαθίστανται εκτός του browser.

Για εταιρικά περιβάλλοντα, το μήνυμα είναι σαφές: οι browser extensions πρέπει να ελέγχονται κεντρικά, με allowlist πολιτικές όπου είναι δυνατόν, παρακολούθηση των native messaging hosts και περιορισμό εγκατάστασης πρόσθετων από μη εγκεκριμένες πηγές. Για απλούς χρήστες, το πρακτικό συμπέρασμα είναι πιο απλό: δεν εγκαθιστούμε επεκτάσεις ή “ενημερώσεις” που μας προτείνονται μέσω μηνυμάτων, άγνωστων σελίδων ή δήθεν οδηγιών υποστήριξης.

Τι πρέπει να ελέγχουν οι χρήστες

Οι χρήστες καλό είναι να ελέγχουν τακτικά τις εγκατεστημένες επεκτάσεις στον browser τους και να αφαιρούν όσες δεν αναγνωρίζουν ή δεν χρησιμοποιούν. Σε εταιρικά συστήματα, οι διαχειριστές θα πρέπει να εξετάζουν όχι μόνο τις ίδιες τις επεκτάσεις, αλλά και τα native messaging host configurations, καθώς αυτά καθορίζουν ποιες τοπικές εφαρμογές μπορούν να επικοινωνούν με browser extensions.

Ιδιαίτερη προσοχή χρειάζεται σε περιπτώσεις όπου κάποιος ζητά από τον χρήστη να εγκαταστήσει “update”, “spam filter”, “security verification” ή παρόμοιο εργαλείο εκτός των επίσημων μηχανισμών ενημέρωσης. Τέτοιες τακτικές είναι πλέον συνηθισμένες σε επιθέσεις που ξεκινούν με κοινωνική μηχανική και καταλήγουν σε εγκατάσταση malware.

Συμπέρασμα

Η υπόθεση Edgecution δεν σημαίνει ότι το Native Messaging είναι από μόνο του κακόβουλο. Είναι νόμιμο χαρακτηριστικό των Chromium-based browsers, με πραγματικές χρήσεις. Δείχνει όμως ότι όταν ένα τέτοιο χαρακτηριστικό συνδυαστεί με κακόβουλη επέκταση, κοινωνική μηχανική και τοπικό backdoor, το browser extension μπορεί να μετατραπεί σε γέφυρα προς βαθύτερη πρόσβαση στο σύστημα.

Για τους χρήστες, η βασική άμυνα παραμένει η προσεκτική εγκατάσταση επεκτάσεων και η αποφυγή οδηγιών που έρχονται από μη επαληθευμένες πηγές. Για οργανισμούς, το περιστατικό είναι ακόμη μία υπενθύμιση ότι η πολιτική ασφαλείας πρέπει να καλύπτει και το επίπεδο του browser, όχι μόνο το λειτουργικό σύστημα και τα κλασικά endpoints.

Πηγές

• Malicious Edge extension abuses Native Messaging as bridge to malware - BleepingComputer
• Native messaging - Microsoft Learn

Η ερευνητική δημοσιογραφική ιστοσελίδα ProPublica δημοσίευσε στις 17 Ιουνίου 2026 εκτενή έρευνα για τις διμερείς συμφωνίες υγείας που έχει συνάψει η κυβέρνηση Τραμπ με αφρικανικές χώρες στο πλαίσιο της λεγόμενης America First Global Health Strategy. Η απαίτηση πρόσβασης σε δεδομένα υγείας βρίσκεται στον πυρήνα της νέας στρατηγικής, η οποία αντιμετωπίζει ανοιχτά την ανάγκη για ιατρικές θεραπείες στο εξωτερικό ως μοχλό διαπραγμάτευσης. Σύμφωνα με δήλωση του υπουργού Εξωτερικών Μάρκο Ρούμπιο τον Σεπτέμβριο, η βοήθεια θα παρέχεται πλέον «κατά τρόπο που ωφελεί άμεσα τον αμερικανικό λαό και προωθεί άμεσα το εθνικό συμφέρον».

Τι αποκαλύπτει η έρευνα

Το Υπουργείο Εξωτερικών των ΗΠΑ αρνήθηκε να δημοσιοποιήσει τις συμφωνίες βοήθειας και κοινής χρήσης δεδομένων που έχει υπογράψει με περισσότερες από 30 χώρες, ωστόσο η ανάλυση εννέα από αυτές από την ProPublica αποτυπώνει την έκταση των αμερικανικών απαιτήσεων πρόσβασης σε δεδομένα και τους κινδύνους για τους πολίτες των χωρών που τις υπέγραψαν. Η ProPublica εξέτασε επίσης ανέκδοτη έως τώρα συμφωνία κοινής χρήσης δεδομένων με την Ουγκάντα, αντίστοιχη με την Κένυα, έξι συμφωνίες για την κοινή χρήση παθογόνων που δημοσίευσε το Υπουργείο Εξωτερικών, καθώς και γενικά πρότυπα συμφωνιών — μαζί με ανάλυση εγγράφων που παρείχε αποκλειστικά στην ProPublica η οργάνωση Public Citizen.

Σύμφωνα με εκπρόσωπο του Υπουργείου Εξωτερικών, οι συμφωνίες «αφορούν μόνο τον ίδιο τύπο συγκεντρωτικών, ανωνυμοποιημένων δεδομένων που χρησιμοποιούνται εδώ και χρόνια στην καταπολέμηση του HIV/AIDS, της ελονοσίας και της φυματίωσης», με «κανένα προσωπικό αναγνωριστικό δεδομένο να μην παραλαμβάνεται ή κοινοποιείται από την αμερικανική κυβέρνηση». Ωστόσο, εμπειρογνώμονες χαρακτηρίζουν τις συμφωνίες αόριστες και ελλιπείς σε τυπικές διατάξεις προστασίας προσωπικών δεδομένων από έκθεση, κατάχρηση ή εμπορική εκμετάλλευση χωρίς τη συγκατάθεση των πολιτών.

Το δίλημμα της Ουγκάντα και οι αντιδράσεις

Αν η Ουγκάντα δεχόταν τους όρους της συμφωνίας, θα έπρεπε να παρέχει στις ΗΠΑ πρόσβαση στα δεδομένα εκατομμυρίων πολιτών της· αν αρνούνταν, θα έχανε πάνω από ένα δισεκατομμύριο δολάρια για την αντιμετώπιση HIV, ελονοσίας, φυματίωσης και άλλων ασθενειών. Στις 10 Δεκεμβρίου, υπέγραψε. Συνολικά, σχεδόν 2,3 δισεκατομμύρια δολάρια αμερικανικής βοήθειας κατευθύνονται στην Ουγκάντα, η οποία δεσμεύτηκε να συνεπενδύσει πάνω από 500 εκατομμύρια δολάρια στην υγεία.

Αξιωματούχοι της Ζάμπιας, της Ζιμπάμπουε και της Γκάνας αρνήθηκαν τις αρχικές συμφωνίες. Στη Ζιμπάμπουε, η κυβέρνηση αποχώρησε από συμφωνία 367 εκατομμυρίων δολαρίων λόγω ρητρών που απαιτούσαν ταχεία κοινοποίηση δεδομένων παθογόνων και επιδημικών εκρήξεων χωρίς σαφείς εγγυήσεις για τον τρόπο χρήσης τους. Στην Κένυα, το Ανώτατο Δικαστήριο ανέστειλε την εφαρμογή του Μνημονίου Συνεργασίας μετά από δύο χωριστές προσφυγές, λόγω ανησυχιών για την ιδιωτικότητα των ιατρικών δεδομένων και την παράκαμψη του κοινοβουλίου.

Κίνδυνοι ανωνυμοποίησης και εμπορική αξία

Ακόμη και όταν τα προσωπικά στοιχεία έχουν αφαιρεθεί, τα άτομα σε «ανωνυμοποιημένα» δεδομένα μπορούν να επαναπροσδιοριστούν με χρήση τεχνητής νοημοσύνης και άλλων εργαλείων. Στην εποχή της τεχνητής νοημοσύνης, μεγάλα σύνολα δεδομένων υγείας έχουν αποκτήσει τεράστια αξία — η ακριβής αξία των δεδομένων υγείας ολόκληρου ενός έθνους παραμένει αδιευκρίνιστη, αλλά εκτιμάται ότι θα μπορούσε να είναι εξαιρετικά πολύτιμη για εταιρείες που αναπτύσσουν μοντέλα τεχνητής νοημοσύνης.

Η κυβέρνηση Τραμπ σχεδιάζει επίσης πρωτοφανή εμπλοκή ιδιωτικών εταιρειών στη διαχείριση και επεξεργασία αυτών των δεδομένων. Οι συμφωνίες με Μοζαμβίκη, Ρουάντα και Λιβερία απαιτούν από αυτές να παρέχουν «οποιαδήποτε δεδομένα» ζητηθούν από τις ΗΠΑ, ενώ η συμφωνία με την Ουγκάντα επιτρέπει στις ΗΠΑ να πραγματοποιούν αιφνιδιαστικούς ελέγχους σε κλινικές και εγκαταστάσεις υγείας.

Σύμφωνα με ανάλυση του Center for Global Development, οι συμφωνίες αντιστοιχούν κατά μέσο όρο σε μείωση 49% της ετήσιας αμερικανικής χρηματοδότησης υγείας σε κάθε χώρα, σε σύγκριση με τις δαπάνες του οικονομικού έτους 2024.

Πηγές

• ProPublica — "Digital Colonialism": U.S. Demands to Access Africans' Data Raise Privacy, Sovereignty Concerns (17 Ιουνίου 2026)
• Common Dreams / Human Rights Watch — Troubling Conditions in Trump Health Aid Agreements With Africa
• Health Policy Watch — December Deals: US Signs Bilateral Health Agreements With 14 African Countries
• The Africa Report — Some African governments are refusing Trump's 'America First' health deals
• Center for Global Development — What We Know About the Trump Administration's Global Health Agreements
• Carnegie Endowment for International Peace — Kenya's Health Deal Is a Stress Test for the America First Global Health Strategy

Ένα νέο, μέχρι πρότινος άγνωστο botnet με την ονομασία AryStinger έχει μολύνει πάνω από 4.000 παλαιούς routers, μετατρέποντάς τους σε διαμεσολαβητές (proxies) για κακόβουλη κυκλοφορία. Σύμφωνα με ερευνητές του τμήματος threat intelligence XLab της Qianxin, το κακόβουλο λογισμικό μετατρέπει τις μολυσμένες συσκευές σε απομακρυσμένα ελεγχόμενα «executors» που εκτελούν σάρωση, proxying, tunneling και εντολές για λογαριασμό του επιτιθέμενου.

Στόχοι και ευπάθειες

Το AryStinger εκμεταλλεύεται παλαιότερες ευπάθειες, όπως τις CVE-2013-3307, CVE-2016-5681 και CVE-2025-11837, στοχεύοντας κυρίως τα μοντέλα D-Link DIR-850L και D-Link DIR-818LW. Τα δύο αυτά μοντέλα είχαν στοχευθεί στο παρελθόν και από το botnet AVrecon, το οποίο εξουδετέρωσε η Lumen το 2023.

Τα τηλεμετρικά δεδομένα της Qianxin δείχνουν ότι σχεδόν οι μισές μολύνσεις εντοπίζονται στη Νότια Κορέα (48,5%), ακολουθεί η Κίνα (31,8%), η Σουηδία (6,4%), η Μαλαισία (3,5%) και η Σιγκαπούρη (2,5%).

Δύο παραλλαγές — routers και NAS

Οι ερευνητές του XLab εντόπισαν δύο παραλλαγές του AryStinger: μία γραμμένη σε C που στοχεύει κυρίως παλαιούς routers, και μία σε Go που εστιάζει σε NAS συσκευές, με σαφώς πιο περιορισμένη εμβέλεια προς το παρόν.

Η παραλλαγή για NAS είναι η πιο εξελιγμένη, με πρόσθετες δυνατότητες όπως σάρωση IP και DNS, εκτέλεση εντολών, εκτέλεση ωφέλιμου φορτίου και εσωτερική αναγνώριση δικτύου μέσω ενσωμάτωσης εργαλείων ανοικτού κώδικα δοκιμών διείσδυσης. Για την εκτέλεση κώδικα, η παραλλαγή NAS υποστηρίζει εντολές shell, καθώς και πηγαίο κώδικα σε Go, Java και Python.

Επιπλέον, το κακόβουλο λογισμικό μπορεί να τροποποιεί τις ρυθμίσεις DNS για να υποκλέπτει την κυκλοφορία του χρήστη στο web και να παρακολουθεί αθόρυβα όλα τα δεδομένα που διέρχονται από τη μολυσμένη συσκευή.

Απόδοση και κατάσταση

Οι ερευνητές δεν απέδωσαν το AryStinger σε κάποια γνωστή ομάδα επιτιθεμένων, σημειώνοντας ότι «πολλά μυστήρια γύρω από το AryStinger παραμένουν άλυτα».

Οι χρήστες των επηρεαζόμενων μοντέλων D-Link DIR-850L και DIR-818LW καλούνται να αντικαταστήσουν τις συσκευές τέλους κύκλου ζωής με ενεργά υποστηριζόμενα μοντέλα. Επιπλέον, συνιστάται η εφαρμογή των τελευταίων διαθέσιμων ενημερώσεων firmware, η αλλαγή του προεπιλεγμένου κωδικού διαχειριστή και η απενεργοποίηση των πάνελ απομακρυσμένης διαχείρισης.

Πηγές

• BleepingComputer — AryStinger botnet infected thousands of D-Link routers worldwide
• XLab / Qianxin — AryStinger Botnet Hijacks Legacy Routers for Global Attacks

Το Arch User Repository (AUR) — το αποθετήριο πακέτων που συντηρείται από την κοινότητα χρηστών του Arch Linux — δέχθηκε μεγάλης κλίμακας επίθεση κακόβουλου λογισμικού αυτή την εβδομάδα, με πάνω από 400 πακέτα να έχουν παραβιαστεί. Σύμφωνα με αναλύσεις που δημοσιεύθηκαν στις 12 Ιουνίου 2026, φαίνεται ότι ένας νέος συντηρητής πακέτων με το username «arojas» υιοθέτησε και μόλυνε 408 ή και περισσότερα πακέτα.

Πώς λειτούργησε η επίθεση «Atomic Arch»

Η εκστρατεία, που ονομάστηκε «Atomic Arch» από ερευνητές της Sonatype, στοχεύει εγκαταλελειμμένα πακέτα του AUR. Οι επιτιθέμενοι δεν τροποποίησαν άμεσα τον κώδικα των πακέτων, αλλά παρενέβησαν στα αρχεία PKGBUILD τους, προσθέτοντας ένα script εγκατάστασης που εκτελεί την εντολή npm install atomic-lockfile minimist chalk κατά τη διάρκεια της εγκατάστασης.

Όταν οι χρήστες — ή τα AUR helpers όπως το yay — δημιουργούσαν αυτά τα πακέτα μέσω του makepkg, εκτελούνταν αυτόματα η npm install atomic-lockfile. Το πακέτο αυτό, που δημοσιεύθηκε πολύ πρόσφατα, περιλαμβάνει ένα preinstall script (ένα Rust binary στη διαδρομή ./src/hooks/deps) που τρέχει αυτόματα κατά την εγκατάσταση.

Η ανάλυση του κακόβουλου atomic-lockfile αποκάλυψε ένα ενσωματωμένο Linux payload με λειτουργικότητα συλλογής διαπιστευτηρίων (credential harvesting), απόκρυψης ενεργειών, anti-debugging και πιθανής εξαγωγής δεδομένων. Η Sonatype απέδωσε στην εκστρατεία βαθμολογία CVSS 8.7, καταχωρώντας την ως Sonatype-2026-003775.

Η «Atomic Arch» αναδεικνύει έναν αυξανόμενο κίνδυνο αλυσίδας εφοδιασμού: οι επιτιθέμενοι δεν χρειάζεται πλέον να χτίσουν εμπιστοσύνη από το μηδέν — αρκεί να την κληρονομήσουν από εγκαταλελειμμένα αλλά ακόμα αξιόπιστα πακέτα.

Τι επηρεάστηκε και τι όχι

Πάνω από 400 πακέτα θεωρείται ότι επηρεάστηκαν από αυτή την εκστρατεία κακόβουλου λογισμικού στο AUR. Διευκρινίζεται ρητά ότι επηρεάζονται αποκλειστικά πακέτα του AUR και όχι τα επίσημα πακέτα του Arch Linux.

Πολλά πακέτα του AUR έλαβαν κακόβουλα commits, και οι συντηρητές τα αφαιρούν, ενώ οι χρήστες καλούνται να ελέγξουν τα AUR πακέτα πριν από την εγκατάσταση. Η κοινότητα του Arch αξιολογεί ακόμα την πλήρη έκταση του περιστατικού, και ο αριθμός των επηρεαζόμενων πακέτων ενδέχεται να αλλάξει.

Τα συστήματα που επηρεάστηκαν πρέπει να αντιμετωπιστούν ως πλήρως παραβιασμένα. Η απλή αφαίρεση του πακέτου ενδέχεται να μην είναι επαρκής, εφόσον το δεύτερο στάδιο του payload έχει ήδη εκτελεστεί.

Τι πρέπει να κάνεις αν είσαι χρήστης AUR

Οι χρήστες που ενημέρωσαν πρόσφατα πακέτα του AUR πρέπει να ελέγξουν το ιστορικό πακέτων, να εξετάσουν τυχόν ύποπτα install scripts που εκτελέστηκαν, και να θεωρήσουν οποιαδήποτε απροσδόκητη συμπεριφορά εγκατάστασης βασισμένη σε npm ως πιθανό σημάδι παραβίασης.

Αν εγκατέστησες ένα από τα επηρεαζόμενα πακέτα, η σύσταση είναι να αποσυνδεθείς άμεσα από το δίκτυο και να επανεγκαταστήσεις το λειτουργικό σύστημα το συντομότερο δυνατό, καθώς το κακόβουλο λογισμικό αυτού του τύπου μπορεί να είναι επίμονο. Επιπλέον, αντικατέστησε τα SSH keys και τους κωδικούς σου και έλεγξε τα αρχεία καταγραφής πρόσβασης (access logs) για ασυνήθιστη δραστηριότητα.

Το συμβάν αποτελεί υπενθύμιση ότι το AUR είναι ανοιχτό, ανεπίσημο, περιεχόμενο παραγόμενο από χρήστες. Ο μόνος ασφαλής τρόπος χρήσης του Arch User Repository είναι η προσεκτική ανάγνωση κάθε PKGBUILD πριν από οποιαδήποτε εγκατάσταση.

Πηγές

• Phoronix – Arch Linux's AUR Sees More Than 400 Packages Compromised With Malware
• Sonatype – Atomic Arch: Attackers Hijack Trusted AUR Packages to Deliver Rootkit-Like Malware
• CachyOS Forums – AUR Compromised: 400+ packages affected
• Linuxiac – Arch Linux AUR Malware Campaign Hits Multiple User-Contributed Packages
• IFIN Threat Intel – 400+ AUR Packages Compromised with Infostealer and Rootkit