Noticias de Seguridad de la Información - FSTEC

📚Москвич потерял рекордные 450 млн рублей из-за кибермошенников 27 августа. / КИБЕР МЕДИА /. В Москве зафиксировали крупнейший известный ущерб от кибермошенничества. Из материалов столичного главка МВД следует, что весной 2025 года один из жителей столицы потерял 450 млн рублей. Подробности самой схемы и данные потерпевшего ведомство не раскрывает. Эта сумма превышает ущерб по делу Ларисы Долиной, которую телефонные мошенники убедили переводить деньги и продать квартиру в центре Москвы. Общий ущерб с учетом банковских комиссий и расходов на сделку составил 317,6 млн рублей, из которых более 175 млн рублей пришлись непосредственно на похищенные средства. В МВД ранее рассказали, что размеры потерь от киберпреступлений заметно растут. Если раньше речь часто шла о десятках тысяч рублей, то сейчас ущерб в миллион рублей перестал быть редкостью, а около 80% таких преступлений относятся к тяжким и особо тяжким. Одновременно меняется и подход мошенников. Вместо массовых рассылок они все чаще используют длительную социальную инженерию, изучают потенциальную жертву и убеждают ее оформить кредит, заложить имущество или продать недвижимость. Рекордный случай на 450 млн рублей показывает, что один успешный сценарий уже может приносить преступникам суммы, сопоставимые с бюджетами крупных компаний.

$74 млн и сотни фальшивых сайтов. Популярных блогеров превратили в приманку для криптоаферы 26 августа. / securitylab.ru /. Расследование началось с поддельного профиля, а закончилось куда более масштабной картиной. Современные инвестиционные аферы всё чаще маскируются под знакомые лица из соцсетей, и расследование Норвежской вещательной корпорации (NRK) показало масштаб одной такой сети. Мошенники копировали TikTok-профили популярных авторов, в том числе инфлюэнсерши Ми Ле Хаген, а затем от их имени предлагали подписчикам вложиться в криптовалюту через поддельные инвестиционные сайты, обещая быстрый заработок. На сайтах жертвы видели растущую прибыль, но деньги на самом деле никуда не инвестировались. При попытке вывести средства появлялись новые комиссии и налоги. Специалист Даниэль Кристенсен обнаружил у нескольких площадок одинаковую ошибку, которая открывала доступ к внутренней части системы и спискам пользователей, а также позволяла менять показанную «доходность». Кристенсен сначала нашёл около 100 таких сайтов, а NRK затем выявила ещё примерно 200. У 60 площадок обнаружилась одна и та же уязвимость. По данным журналистов, более 5000 человек оставили на мошеннических ресурсах имена, телефоны и адреса электронной почты. Некоторые жертвы также загружали паспорта для прохождения проверки личности перед внесением средств. NRK выявила более 140 платёжных адресов, которые получили около 1,2 млн долларов. Криптоаналитик Арильд Мёллер-Холст из KPMG Norway проследил дальнейшее движение средств как минимум к 54 адресам, связанным с криптобиржами. Через эти адреса прошло 74 млн долларов, однако расследование допускает, что часть инфраструктуры могла обслуживать и другие мошеннические схемы. След привёл журналистов к нигерийской компании iSkySoftic и сервису StoreVase. По данным NRK, через инфраструктуру iSkySoftic размещались более 300 мошеннических сайтов, а в старых публикациях Эрубюре фигурировали шаблоны для инвестиционных площадок. Руководитель iSkySoftic Дэвид Эджиро Эрубюре подтвердил принадлежность хостинга, но отверг участие компании в мошенничестве. NRK также связала Эрубюре с псевдонимом Eagleworker, который встречался на десятках поддельных инвестиционных сайтов и, предположительно, использовался для проверки их работы. Эрубюре отверг связь с этим аккаунтом. После вопросов журналистов глава iSkySoftic заявил, что компания будет тщательнее проверять сайты, размещённые на своей инфраструктуре.

Трюк из девяностых ломает Windows. Бэкдор Sleepwalker воскресил «магические пакеты» 26 августа. / securitylab.ru /. Вредоносной программе не обязательно связываться с сервером злоумышленников, чтобы оставаться под их контролем. Специалист Доминик Райхель обнаружил ранее неизвестный бэкдор Sleepwalker для Windows, который молча работает в памяти и ждёт специально сформированный сетевой пакет. После получения сигнала программа расшифровывает вложенную команду и начинает её выполнять. Sleepwalker скрывается внутри 64-битной библиотеки DLL, которая выдаёт себя за системный файл Microsoft dpapi.dll. Вредоносный модуль загружается через подмену библиотеки рядом с ERAAgent.exe, компонентом ESET Management Agent. После запуска Sleepwalker проверяет имя процесса, остаётся в памяти и не устанавливает обычное соединение с управляющим сервером. Вместо исходящего соединения бэкдор просматривает проходящие сетевые пакеты и ищет заданную последовательность, так называемый «магический пакет». Создатели вредоносных программ активно применяли подобную тактику пассивного ожидания команд ещё в конце девяностых годов. Возврат к старому методу мешает современным системам защиты, которые ищут подозрительные домены, открытые порты и необычный исходящий трафик. Заражённый компьютер способен долго не проявлять заметную сетевую активность. Команды Sleepwalker защищены AES-256-CCM и используют собственный двоичный язык из 23 инструкций. С их помощью оператор может передавать и скрывать данные, принимать новые задания, открывать TCP- и UDP-порты, работать с именованными каналами Windows, загружать файлы и запускать код прямо в памяти. Некоторые инструкции позволяют связываться и с целями VMware VMCI. Райхель считает устройство Sleepwalker признаком целевой и хорошо обеспеченной операции, но подтвердить применение бэкдора в реальной атаке пока нельзя. Специалист не располагает данными о жертвах, странах или отраслях, где мог работать вредоносный модуль. Также неизвестны способ первоначального проникновения, разработчики Sleepwalker и возможная связь с известными группировками. Для анализа Райхель подготовил набор инструментов, который помогает разбирать команды, зашифрованные данные и сетевые артефакты без запуска вредоносных инструкций. Отдельное руководство описывает действия после обнаружения Sleepwalker и содержит сценарий для устранения заражения. Главный риск связан с пассивным режимом бэкдора, поэтому отсутствие подозрительных исходящих соединений само по себе не исключает заражение.

Мошенники все реже взламывают смартфоны - теперь они взламывают людей 25 августа. / КИБЕР МЕДИА /. Главной причиной успешных атак на смартфоны становится не слабость самих устройств, а действия пользователей. Специалисты РУДН выяснили, что злоумышленники все чаще отказываются от поиска технических уязвимостей в пользу социальной инженерии - психологического давления, фишинговых ссылок, поддельных сообщений и звонков. Дополнительным усилителем стал искусственный интеллект. Нейросети позволяют быстро создавать персонализированные сообщения, подделывать голоса и генерировать реалистичные дипфейки. В результате жертве становится сложнее определить, общается она с настоящим человеком или с автоматизированной системой мошенников. Тенденция подтверждается и международной статистикой. Свежий отчет показывает, что злоумышленники активнее переходят от традиционного почтового фишинга к звонкам и сообщениям на смартфонах: эффективность таких атак оказалась примерно на 40% выше. Другие специалисты также фиксируют смещение от технического взлома платежных систем к схемам, где человека убеждают самостоятельно выполнить нужное преступникам действие. Отдельный риск исследователи связывают с тем, что пользователи сами загружают в нейросети документы и персональные данные. Для снижения угроз рекомендуют не передавать коды подтверждения, устанавливать приложения только из официальных источников, обновлять систему, использовать многофакторную аутентификацию и регулярно проверять разрешения приложений.

🔸Хакеры научились угонять Google и WhatsApp* через настоящие окна авторизации 25 августа. / КИБЕР МЕДИА /. Исследователи выявили три предполагаемые российские кибершпионские группы - UNC6293, UNC7005 и UNC5976, которые атакуют дипломатов, сотрудников оборонных и аэрокосмических компаний, ученых и аналитиков в Европе и США. Вместо привычных поддельных форм входа злоумышленники все чаще используют настоящие механизмы авторизации Google, Microsoft и WhatsApp*. Одна из схем строится на OAuth. Жертву отправляют на легитимную страницу входа Google или Microsoft, после чего убеждают передать код подтверждения или разрешить доступ приложению. Пароль при этом может вообще не попасть к злоумышленникам - им достается токен, позволяющий войти в аккаунт. UNC6293 также продолжает выдавать себя за представителей Госдепартамента США и организаторов дипломатических мероприятий. UNC7005 применяет похожий прием против WhatsApp*. Жертве предлагают подключиться к «защищенному звонку» или получить документ, а затем показывают настоящий QR-код привязки нового устройства. После подтверждения аккаунт оказывается связан с устройством атакующих. Некоторые фишинговые страницы дополнительно запрашивали камеру и микрофон и могли записывать видео и звук пользователя. Третья группа, UNC5976, создавала поддельные сервисы обмена файлами, которые перенаправляли пользователей на настоящий вход Google и автоматически перехватывали полученные токены. За три месяца после первой блокировки атакующие создали как минимум 12 новых доменов и начали переносить инфраструктуру к другим облачным провайдерам. Исследователи с высокой уверенностью связывают все три группы с российским направлением, однако конкретная принадлежность UNC5976 к определенной спецслужбе пока не установлена. * Принадлежит компании Meta, признанной экстремистской организацией на территории Российской Федерации.

Касперский нашёл вредонос в автомагнитолах: машины массово превращали в узлы ботнета 25 августа. / securitylab.ru /. Автомобильная мультимедийная система всё чаще напоминает обычный компьютер, а значит, получает и знакомые компьютерам угрозы. Специалисты Kaspersky обнаружили вредоносное ПО на головных устройствах DoFun под управлением Android. По данным компании, речь идёт о первом задокументированном случае заражения таких систем через схему, созданную специально для автомобильных устройств. Источником заражения стала легитимная системная программа TWCore, установленная на устройствах DoFun. Приложение собирает аналитические данные, получает обновления и умеет загружать новые программы для Android. Злоумышленники воспользовались этой возможностью и начали устанавливать вредонос JarService без каких-либо действий со стороны водителя. JarService не показывает интерфейс и работает как загрузчик дополнительного вредоносного кода, поэтому заметить заражение сложно. Среди обнаруженных функций Kaspersky называет показ рекламы и создание мошеннических рекламных кликов. Однако специалисты считают, что главная задача кампании заключается в расширении сети заражённых устройств. Один из загружаемых модулей превращает автомобильную систему в обратный прокси-сервер. Через заражённое устройство можно перенаправлять чужой интернет-трафик, поэтому внешние сервисы будут видеть соединение как исходящее от подключения автомобиля. Так головные устройства становятся частью инфраструктуры, которую можно использовать для перенаправления трафика и других операций ботнета. Kaspersky с высокой уверенностью связала кампанию с группировкой MoYu Group, которую ранее связывали с вредоносной инфраструктурой BadBox. Участники этой операции уже заражали Android-смартфоны, планшеты, ТВ-приставки и другие подключённые устройства. В 2024 году немецкие власти нарушили работу первоначального ботнета BadBox, но позднее появилась его обновлённая версия. Kaspersky сообщила DoFun о схеме распространения вредоносного ПО, после чего производитель заявил, что устранил проблемы безопасности. Компания рекомендует автопроизводителям учитывать мультимедийные устройства под управлением Android как полноценную цель для вредоносов и применять к таким системам средства защиты от вредоносного ПО.

«Лаборатория Касперского» обновила Kaspersky MDR 24 августа. / КИБЕР МЕДИА /. «Лаборатория Касперского» обновила решение Kaspersky Managed Detection and Response (MDR). Улучшения направлены на то, чтобы повысить эффективность мониторинга, обнаружения угроз и анализа инцидентов, а также предоставлять более широкий контекст для ИБ-специалистов, чтобы они могли принимать более быстрые и информированные решения. По данным глобального отчёта «Анатомия ландшафта киберугроз» от экспертов центра сервисов по кибербезопасности «Лаборатории Касперского», в 2025 году 25% атак начинались с использования скомпрометированных легитимных учётных данных. Злоумышленники всё чаще прибегают к такому методу, помимо эксплуатации уязвимостей в ПО, поскольку их действия выглядят в системе как обычное поведение пользователя — и их значительно сложнее обнаружить. Чтобы организации могли отслеживать свой цифровой след и снижать риски, в Kaspersky MDR появилась интеграция с данными Kaspersky Digital Footprint Intelligence. Теперь решение в автоматическом режиме сопоставляет информацию об утечках логинов и паролей с событиями безопасности в режиме реального времени. Это позволяет ИБ-специалистам на самых ранних этапах выявлять возможные случаи компрометации аккаунтов, точнее приоритизировать инциденты и осуществлять проактивный поиск угроз, чтобы снизить риск несанкционированного доступа ещё до того, как произойдёт полномасштабная атака. Также в Kaspersky MDR улучшена операционная видимость — благодаря новым уведомлениям о состоянии активов. Если состояние защищаемых активов может повлиять на качество мониторинга, администраторы получат об этом оповещение. Это упрощает обнаружение проблем со сбором телеметрии или подключением до того, как это отразится на качестве мониторинга. Администраторы также могут изменить рекомендуемые правила оповещения, что позволяет учитывать специфику компании или её отдельных подразделений. Провайдерам услуг безопасности теперь также доступна возможность устанавливать ожидаемые лимиты использования лицензий для каждого клиента — чтобы лучше контролировать распределение и управление лицензиями. В обновлённой версии Kaspersky MDR также появилась поддержка Kaspersky Embedded Systems Security для Linux 4.0, что позволяет использовать MDR для встраиваемых сред на базе Linux. «Мы постоянно совершенствуем Kaspersky MDR, чтобы помочь организациям выявлять сложные угрозы на ранних стадиях и эффективно на них реагировать. Интеграция с Kaspersky Digital Footprint Intelligence позволяет расширить контекст для аналитиков, что даст им возможность сопоставлять информацию о скомпрометированных учётных данных с событиями безопасности и заблаговременно устранять риски. Эти и другие улучшения в обновлённой версии помогут ИБ-командам ещё быстрее принимать информированные решения и повышать киберустойчивость организаций к сложным атакам», — комментирует Ренат Турианов, руководитель продукта Kaspersky MDR. Kaspersky Managed Detection and Response (MDR) — это решение для управляемой защиты, которое охватывает весь цикл работы с инцидентами — от обнаружения до устранения, и обеспечивает круглосуточный мониторинг, что помогает противостоять сложным кибератакам. MDR подходит для организаций, которые не располагают достаточными ресурсами для обеспечения безопасности, или хотят усилить свою защиту.

📚Социнженерия остается главным способом угона аккаунтов: пользователям советуют усилить защиту соцсетей 24 августа. / КИБЕР МЕДИА /. Большинство успешных атак на аккаунты в социальных сетях начинается не со сложного взлома, а с социальной инженерии. Пользователей пытаются заставить перейти по фишинговой ссылке, ответить на поддельное сообщение от знакомого или «техподдержки» либо срочно передать данные для подтверждения личности. Специалисты рекомендуют проверять подобные запросы только через официальные каналы и не использовать одинаковые пароли для разных сервисов. Одной из базовых мер защиты остается двухфакторная аутентификация: даже при утечке пароля злоумышленнику потребуется дополнительный фактор для входа. Однако обычные SMS-коды и подтверждения через приложения также могут перехватываться с помощью фишинга, поэтому наиболее надежными считаются устойчивые к нему методы аутентификации. Специалисты также советуют использовать длинные уникальные пароли, менеджеры паролей и своевременно устанавливать обновления. Дополнительный риск создают избыточно открытые профили. Телефон, электронная почта и другие персональные данные помогают мошенникам сделать фишинговое сообщение убедительнее. Регулярная проверка активных сессий и подключенных устройств позволяет быстрее заметить посторонний вход и закрыть доступ злоумышленнику.

Троян ToxicPanda научился отключать защиту Android и захватывать ADB 24 августа. / anti-malware.ru /. Банковский троян ToxicPanda получил серьёзный апгрейд: теперь он отслеживает 349 финансовых и криптовалютных приложений в 16 странах, поддерживает 167 удалённых команд и способен самостоятельно добраться до системной оболочки Android. По данным Zimperium, ToxicPanda 2.0 запрашивает разрешение на создание локального VPN. Через него зловред контролирует сетевой трафик и блокирует соединения Google Play и Google Play Services. Это может помешать проверкам приложений, обновлениям и обмену данными с Play Protect. После установки полезной нагрузки вредонос выпрашивает доступ к специальным возможностям. Он накладывает невидимые окна поверх 349 приложений и перехватывает нажатия, а отдельный модуль собирает ПИН-коды из 140 финансовых сервисов. Также ToxicPanda подделывает экран блокировки Android, крадёт пароли и графические ключи и прикрывает свои действия фальшивым системным обновлением. Самая интересная функция — автоматический захват беспроводного ADB. Троянец самостоятельно включает режим разработчика и отладку по Wi-Fi, считывает шестизначный код сопряжения и подключается к локальной службе ADB. Получив шелл-доступ, он выдаёт себе дополнительные разрешения и отключает ограничения фоновой работы. Распространяется ToxicPanda 2.0 через файлы в хранилищах Amazon AWS. Индикаторы компрометации опубликованы в репозитории Zimperium.