Мы собрали наиболее важные новости из мира кибербезопасности за неделю.
Приложение Padre Terminal из App Store, выдававшее себя за популярный инструмент трейдеров, оказалось криптодрейнером. Стоящий за ним злоумышленник с 25 октября вывел около $23 000 с 27 адресов в сети Solana, следует из данных блокчейн-исследователя Iris.
Средства списывались после того, как пользователь импортировал во вредонос приватный ключ. Iris подтверждает лишь одно заражение — как атакующий добрался до остальных пострадавших, неизвестно.
Padre Terminal — терминал для торговли мем-коинами в сети Solana. Iris утверждает, что сервис работает только в браузере, поэтому любые его мобильные версии — подделки. Страницу Padre Terminal в магазине Apple уже удалили, однако кражи продолжились: последняя пришлась на 29 октября.
В тот же день злоумышленник конвертировал в SOL все 4070 USDC. Затем он перевел 192 SOL на новый кошелек. Всего на двух его адресах скопилось 229,66 SOL.
Исследователь нашел в App Store еще четыре подозрительных клона известных криптосервисов: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools и Pump Fun Tokens & Analitycs.
Под первым с февраля появилось около 25 отзывов о пропаже средств. По словам одного из пользователей, программа сначала имитировала площадку для трейдинга, а потом превратилась в приложение для концентрации внимания. Iris не удалось подтвердить сообщения о кражах средств у пользователей этих приложений.
27 октября специалисты Check Point разобрали кампанию Yoba, в ходе которой группа хакеров маскировала майнер Monero под настольные версии ИИ-ассистентов ChatGPT и Claude.
Фейковые проекты разместили на GitHub: первый репозиторий появился в июле, зараженные релизы — в конце августа и начале сентября. Ссылки попадали в верхние строки выдачи Google, несмотря на отсутствие маркетинговой кампании. По оценке исследователей, авторы прибегли к SEO-отравлению — подгоняли названия и описания под популярные запросы.
В архиве находились настоящий установщик, одобренный цифровым сертификатом OpenAI или Anthropic, и зараженная библиотека winmm.dll. Установщик запускал легитимное приложение, которое затем самостоятельно загружало из своей папки вредоносную часть — так работает DLL sideloading.
Вредонос сверял имя родительского процесса — файла, который его запустил, — с ожидаемым. При несовпадении, например в антивирусной песочнице, он «засыпал» почти на 13 дней. Кроме того, Yoba не трогала машины с раскладками клавиатуры для 11 языков: русского, белорусского, армянского, азербайджанского, грузинского, казахского, киргизского, таджикского, туркменского, узбекского и татарского.
Второй модуль, YobaLoader, вычислял адрес управляющего сервера по аватару Telegram-канала yoba_fanclub: брал последние 50 байт изображения и собирал из них домен. Чтобы перенаправить зараженные устройства, оператору достаточно было сменить картинку. Команды прятали в DNS-записях и запрашивали через сервис Google DNS-over-HTTPS — такой трафик сложно отличить от обычного.
На финальном этапе устанавливался майнер XMRig. Он добывал криптовалюту через сеть Tor и замирал, когда за компьютером кто-то работал. По словам экспертов, сам загрузчик универсален и способен доставить любую программу.
Хакер-самоучка атаковал более 90 южнокорейских компаний и похитил около 8,2 млн записей с персональными данными и внутренними документами. Примерно в 60 случаях ему помогал искусственный интеллект, сообщила полиция Сеула.
Подозреваемый руководил группой из семи человек. Профильного образования у него нет: навыки взлома он освоил по блогам и YouTube, а с 2019 по 2022 год работал пентестером — по заказу клиентов проверял защищенность их систем.
Начиная с сентября 2025 года его целями были частные школы, больницы, университеты, гольф-клубы, ритуальные агентства и дочерние структуры крупных конгломератов. Сначала злоумышленник искал бреши на сайтах автоматическими сканерами, но в конце августа 2026 года подключил ИИ и автономный фреймворк, который сам находил и эксплуатировал уязвимости. По словам следователей, софт недавно применяли при утечках из корейских банков, а в BleepingComputer уточнили, что речь идет об ARTEX.
Затем жертвы получали письма с угрозой опубликовать похищенное. Тем, кто выходил на связь в Telegram, предлагали откупиться криптовалютой, сообщает телеканал YTN.
По данным Financial News, всего 38 компаниям выставили требования на 360 млн вон (~$270 000), но до ареста вымогатели успели получить лишь 300 000 вон.
Правоохранители задержали всех семерых участников группы, однако под стражей остался только организатор: 23 октября его дело передали в прокуратуру. Расследование началось в июне после жалобы одной из пострадавших фирм. Полиция анализировала улики собственной ИИ-системой и вышла на подозреваемых через четыре месяца.
Внутренняя модель Claude нашла десятки уязвимостей в браузерах и операционных системах, а затем собрала из них пять рабочих цепочек атак. Об этом сообщили специалисты Frontier Red Team.
Такие эксплойты объединяют отдельные бреши в полноценный взлом. По словам разработчиков, ей хватало первоначальных указаний, а все находки заранее передали производителям и уже исправили.
Самый наглядный пример — связка из четырех ошибок в Chrome на macOS. Через считанные секунды после загрузки страницы код покидал песочницу и запускал «Калькулятор». Всего Anthropic сообщила Google о 62 багах, все — с критическим или высоким рейтингом. Среди них было 13 способов обойти изоляцию.
В Safari ИИ отключил same-origin policy — правило, которое запрещает одному сайту читать данные другого. Вредоносный ресурс добирался до истории посещений и cookie и мог, например, просматривать почту пользователя. На Android Claude сумел через USB скопировать фото с украденного Pixel 9 без разблокировки, а в Windows — удаленно обрушить машину с поддержкой HTTP/3. Таких узлов в интернете, по оценке Anthropic, миллионы.
Наибольшую угрозу представляла брешь в сетевом стеке ядра Linux. Атакующий без пароля и каких-либо действий жертвы получал права root на серверах, где активирован Multipath TCP — расширение, которое пускает TCP-соединение сразу по разным маршрутам. В демонстрации на это ушло 53 минуты. Неудачные попытки не разрушали цепочку, так что ее можно было повторить.
Linux-уязвимость CVE-2026-98432 закрыли 15 октября, однако на момент написания исправленных сборок еще не выпустили.
29 октября исследователи кибербезопасности NebuSec рассказали об уязвимости в Telegram для Android, которая позволяла удаленно выполнить произвольный код. Жертве было достаточно ответить на голосовой вызов.
Во время соединения в мессенджере устройства обмениваются служебными сообщениями. Одно из них, MediaState, передает, включены ли микрофон и камера, а также какая ориентация у видео. По данным экспертов, если в MediaState отсутствовала часть полей, Telegram обращался к памяти, доступа к которой у него быть не должно.
Журналисты The Hacker News изучили исходники Telegram и нашли участок, который соответствует этому описанию. Если в MediaState было указано, как должен быть развернут экран, программа проверяла это значение, а следом считывала состояние камеры — даже когда отправитель его не присылал.
Аналитики NebuSec не выложили технический разбор, поэтому путь от сбоя к взлому смартфона известен лишь по опубликованной записи.
Исправление в общей библиотеке звонков вышло 21 апреля 2026 года. В iOS-клиент оно попало в мае, в десктопный — в июле. Android-версию обновили через пять месяцев, в конце сентября. Были ли до этого уязвимы приложения на iPhone и компьютерах, неясно.
Проблема затрагивала сборки с 8.6.2 по 12.10.3, то есть все выпуски за четыре с половиной года. По словам экспертов NebuSec, брешь удалось обнаружить с помощью их продукта Code Security на базе GPT-5.4.
27 октября Управление радиотехнической разведки Австралии (ASD) раскрыло ранее засекреченные детали наступательных операций против киберпреступников, сообщает ABC News.
По словам исполняющего обязанности замглавы ведомства Таури Грегори, сотрудники ASD получили доступ к командному серверу ботнета Amadey и отключили от него 180 000 зараженных машин по всему миру, в том числе внутри страны.
Amadey похищает логины и личную информацию, которую потом перепродают в даркнете, а также подтягивает на устройство дополнительные стилеры, например StealC. Троян прячут в бесплатном софте: в одном из случаев ASD нашло его в пиратской версии Photoshop. Сам Amadey на подпольных форумах предлагали примерно за $500.
Кроме того, к ASD поступила наводка о торговле 5 ТБ сведений, украденных у компании, которая не подозревала об утечке. В архиве были деловые документы, персональные данные, учетные записи и пароли.
Специалисты ASD взломали инфраструктуру злоумышленников и уничтожили массив до сделки. До покупателей не дошли около 4,8 млн файлов австралийцев и сотни тысяч иностранцев.
