Киберугрозы недели: USB-червь против криптоинвесторов, Android-троян Rokarolla и уязвимость в Beats Studio Buds
На этой неделе ландшафт киберугроз для криптосообщества пополнился рядом серьезных инцидентов. От саморазмножающихся USB-червей до сложных Android-троянов — злоумышленники продолжают совершенствовать свои методы. Ниже — ключевые события, которые требуют пристального внимания каждого, кто работает с цифровыми активами.
USB-червь с червоточиной в Tor
Специалисты Microsoft зафиксировали кампанию по распространению уникального USB-червя, нацеленного на кражу криптовалют. Вредонос активируется при открытии модифицированного .LNK-файла на USB-накопителе. После этого он устанавливает связь с командным сервером в домене .onion и начинает сканировать систему. Червь скрывает оригинальные пользовательские документы, подменяя их вредоносными ярлыками. Для самораспространения он создает задачу, отслеживающую подключение новых USB-дисков.
В активной фазе стилер мониторит буфер обмена каждые полсекунды, выискивая сид-фразы BIP39 и адреса кошельков Bitcoin, Ethereum, Tron и Monero. При обнаружении он мгновенно подменяет их на адреса злоумышленников, причем алгоритм подбирает визуально похожие начальные символы. Дополнительно каждые десять секунд делаются скриншоты. Активность червя фиксируется с февраля, и главные индикаторы заражения — поведенческие аномалии, такие как неожиданные запуски wscript.exe и подключения к localhost:9050.
Android-троян Rokarolla: полный захват устройства
Исследователи Zimperium обнаружили новый Android-троян Rokarolla, арсенал которого насчитывает 137 удаленных команд. Вредонос распространяется через поддельные сайты, маскирующиеся под установщики TikTok и Google Chrome. После установки он имитирует системный компонент Google Play Protect и с помощью социальной инженерии вынуждает пользователя предоставить доступ к «Специальным возможностям». Получив его, троян отключает настоящий Play Protect и разворачивает полный функционал.
Rokarolla умеет подменять окна легитимных криптокошельков фейковыми страницами авторизации, перехватывать PIN-коды через поддельный экран блокировки, читать и отправлять СМС для обхода 2FA, а также блокировать входящие вызовы от банковских антифрод-систем. Встроенный клиппер завершает картину, подменяя адреса кошельков в буфере обмена.
Уязвимость в Beats Studio Buds: шпионаж через наушники
Apple выпустила обновление прошивки для Beats Studio Buds, закрывающее критическую уязвимость CVE-2025-20701. Брешь, обнаруженная экспертами SentinelOne, позволяла злоумышленникам в радиусе действия Bluetooth подключаться к наушникам без аутентификации. Это давало возможность не только прослушивать разговоры через встроенный микрофон, но и перехватывать доверительные отношения с ранее сопряженными iPhone, открывая путь для многоступенчатых атак.
Проблема была связана с некорректной авторизацией в Bluetooth-аудио SDK от Airoha. Уязвимость устранена в версии прошивки 1B211.
Аналитика и выводы
Текущая неделя демонстрирует тревожную тенденцию: злоумышленники все активнее используют физические векторы атак (USB-носители) и глубокую интеграцию в мобильные экосистемы. USB-червь с Tor-коммуникацией — это элегантное, но опасное решение для обхода сетевых защит, а Rokarolla показывает, что даже «Специальные возможности» Android могут стать ахиллесовой пятой. Единственная надежная защита — это комбинация поведенческого анализа, минимальных привилегий для приложений и физической изоляции критических устройств.