Киберугрозы недели: USB-черви, Android-трояны и уязвимости в наушниках Apple — полный разбор
За прошедшую неделю мир кибербезопасности встряхнула серия атак, направленных на криптовалютных пользователей. От самораспространяющихся USB-червей до сложных Android-троянов — злоумышленники не оставляют попыток добраться до цифровых активов. Разберем ключевые события.
USB-червь: новый уровень угрозы для владельцев криптовалют
Эксперты Microsoft зафиксировали кампанию по распространению уникального USB-червя, нацеленного на кражу криптовалют. Вредонос использует скрытые ярлыки Windows (.LNK) на USB-накопителях. Как только жертва открывает такой файл, червь активируется, сканирует систему и подменяет пользовательские документы на вредоносные ярлыки с теми же названиями. Каждый раз, когда владелец пытается открыть свой файл, вредонос запускается снова, обеспечивая персистентность.
Особенность этой угрозы — самораспространение. Червь создает запланированную задачу, которая отслеживает подключение новых USB-дисков и мгновенно копирует себя на них. В активной фазе он подключается к командному серверу через Tor и каждые полсекунды мониторит буфер обмена на наличие сид-фраз BIP39 и адресов кошельков Bitcoin, Ethereum, Tron и Monero. При обнаружении адрес мгновенно подменяется на реквизиты злоумышленника, причем алгоритм подбирает кошельки с визуально похожими начальными символами. Активность фиксируется с февраля, и главный индикатор заражения — поведенческий: подозрительная активность процессов wscript.exe, cscript.exe и подключения к localhost:9050.
Android-троян Rokarolla: полный захват устройства
Исследователи Zimperium обнаружили новый Android-троян Rokarolla, который обладает 137 удаленными командами. Он распространяется через поддельные сайты, маскирующиеся под установщики TikTok или Google Chrome. На первом этапе жертва загружает программу, которая имитирует Google Play Protect. Используя социальную инженерию, троян вынуждает пользователя выдать доступ к «Специальным возможностям», после чего отключает настоящий сканер Play Protect и разворачивает основную нагрузку.
Rokarolla перехватывает PIN-коды, читает СМС, подменяет буфер обмена для кражи криптовалют и даже блокирует входящие вызовы от банковских антифрод-систем. Он способен генерировать фейковые HTML-страницы авторизации для криптокошельков и имитировать стандартный экран блокировки Android, чтобы украсть пароль. Эксперты подчеркивают: главная защита — не давать разрешений «Специальным возможностям» подозрительным приложениям.
Южная Корея ликвидировала сеть отмывателей для камбоджийского синдиката
Правоохранители Южной Кореи задержали 23 подозреваемых по делу об отмывании средств для камбоджийской фишинговой организации. С февраля 2024 по апрель 2025 года группа переместила около 11,1 млн USDT через 11 300 счетов, связанных с похищенными средствами на $17 млн. В ходе рейдов изъято около $430 000, но предполагаемый организатор пока на свободе — на него выдан ордер Интерпола.
Уязвимость в Beats Studio Buds: прослушка через Bluetooth
Apple выпустила обновление прошивки для Beats Studio Buds, закрывающее уязвимость CVE-2025-20701. Брешь, обнаруженная SentinelOne, позволяла хакерам в радиусе действия Bluetooth подключаться к наушникам без ведома пользователя, если они не были сопряжены. Эксплойт давал доступ к микрофону для шпионажа, а также возможность читать и перезаписывать память устройства. Уязвимость устранена в версии прошивки 1B211.
Экспертное мнение
Эта неделя четко демонстрирует эволюцию угроз: от простых клипперов до сложных многоступенчатых атак с использованием USB-червей и троянов. Криптосообщество должно уделять особое внимание поведенческим индикаторам — не только антивирусной защите, но и мониторингу фоновой активности системы. В противном случае даже опытные пользователи рискуют потерять активы из-за, казалось бы, безобидного USB-накопителя.