Новости криптомира

Неделя выдалась насыщенной на события в сфере цифровой безопасности: от ликвидации крупной мошеннической схемы в Украине до новаторского использования блокчейна в арсенале вымогателей. Разбираю ключевые инциденты, которые формируют ландшафт угроз.

Украинская киберполиция накрыла схему Money 24/7

Правоохранители Украины нейтрализовали деятельность мошеннической сети Money 24/7, которая маскировалась под легальный сервис обмена валют и криптоактивов. Организаторы создали полноценную «иллюзию надежности»: качественные веб-ресурсы, активный Telegram-канал, зарегистрированную торговую марку и даже офис с кассой. Клиенты оставляли заявку онлайн, после чего их приглашали в офис для передачи наличных, но обещанная криптовалюта так и не поступала на кошельки. Для затягивания времени и отсрочки обращений в полицию жертвам частично возвращали средства или выдавали «письменные гарантии». В ходе обысков в семи регионах изъято более 20 млн гривен наличными. Организатору грозит до 12 лет лишения свободы с конфискацией имущества.

ФБР предупреждает о волне атак с кражей интимных фото

Бюро и Национальная ассоциация студенческого спорта фиксируют всплеск кибератак, нацеленных на кражу личных фотографий и видео из облачных аккаунтов. Злоумышленники используют фишинговые СМС и email, пугая жертв блокировкой аккаунта. После получения доступа к откровенным материалам, хакеры требуют выкуп, угрожая публикацией. Примечательно, что даже после оплаты данные часто продаются в даркнете, что приводит к новой волне травли и вымогательств. Отдельной мишенью стали студенты-спортсмены.

Атака на борту Delta Air Lines: хакеры с DEF CON

На рейсе Delta Air Lines, следовавшем из Лас-Вегаса в Атланту с участниками хакерской конференции DEF CON 34, произошел инцидент с бортовым Wi-Fi. Злоумышленники отправляли поддельные пакеты данных, отключая устройства пассажиров от легитимной сети, и развернули собственную сеть «Delta WiFi Fast» с фишинговой страницей авторизации, нацеленной на кражу паролей Google. Экипаж экстренно обесточил Wi-Fi на 30 минут. После посадки полиция допросила подозреваемых и изъяла портативное оборудование для взлома. Безопасности полета ничего не угрожало, так как пассажирская сеть изолирована от навигационных систем.

Jewelbug: двойная жизнь китайских хакеров

Группировка Jewelbug, известная сложным кибершпионажем, оказалась вовлечена и в криптомошенничество. Аналитики Symantec связали финансово мотивированную часть атак с легальной китайской SEO-компанией, что указывает на модель «хакеры по найму». В рамках шпионской кампании группировка скомпрометировала веб-почту 15 правительственных министерств на Ближнем Востоке и в Азии, используя JavaScript-код для кражи сессионных cookie. Параллельно, как выяснилось, они использовали нейросети для генерации фейковых статей на сотнях поддельных доменов, имитирующих Binance и OKX, а ботнеты выводили эти сайты в топ поисковиков. В базе данных группировки обнаружено более миллиона логов, 580 000 украденных cookie и тысячи учетных данных. Для заражения Linux-серверов использовался кастомный троян на Rust под названием ClientKing.

DeadLock: вымогатели переходят на блокчейн Polygon

Группировка вымогателей DeadLock, насчитывающая почти сотню жертв, радикально изменила свою инфраструктуру, полностью перейдя на децентрализованные решения для защиты от блокировок. Вместо традиционной записки с требованием выкупа, вирус оставляет HTML-файл, который является полноценным автономным веб-приложением. JavaScript-код внутри этого файла напрямую взаимодействует со смарт-контрактами в блокчейне Polygon для ротации адресов прокси-серверов. Если правоохранители блокируют один адрес, хакерам достаточно обновить запись в смарт-контракте, и чат снова заработает. Посты о взломах также привязаны к смарт-контрактам и раздаются через децентрализованный протокол Wasabi. Технически вредонос использует гибридную криптографию Curve25519 и XChaCha20, а для маскировки ставит процесс на паузу при высокой нагрузке на систему.

Кибератака на польскую ТЭЦ: новый вектор проникновения

CERT Polska раскрыла детали атаки на теплоэлектроцентраль, обеспечивающую теплом около 50 000 жителей. Уникальность инцидента в том, что злоумышленники проникли в критическую инфраструктуру через частную сотовую сеть местного оператора электросетей. Начав с ветроэлектростанции, хакеры через файрвол и сотовый маршрутизатор Teltonika RUTX50 добрались до контроллера WAGO PFC200, защищенного лишь заводским паролем. Через него они проложили туннель во внутреннюю сеть ТЭЦ, перевели контроллеры Siemens S7 в режим стоп и изменили пароли, что привело к физической остановке паровой турбины. Злоумышленники методично уничтожили улики, сбросив настройки оборудования до заводских.

Мой комментарий: Переход DeadLock на смарт-контракты Polygon — это тревожный звонок для всей индустрии безопасности. Децентрализация, которая должна была стать нашим щитом, теперь становится мечом в руках киберпреступников. Традиционные методы борьбы с инфраструктурой вымогателей, основанные на блокировке доменов и серверов, теряют эффективность. Индустрии необходимо срочно разрабатывать новые стратегии противодействия, возможно, на уровне анализа поведения вредоносного ПО и цепочек транзакций в блокчейне.