Неделя кибербезопасности: криптоклипперы, трояны и уязвимости

20.06.2026 Дайджест кибербезопасности Дайджесты Новости

Мы собрали ключевые события из мира кибербезопасности за прошедшую неделю.

* Криптоклиппер маскировали под легитимный софт с помощью накрученной репутации на GitHub и YouTube.
* USB-червь распространялся через скрытые ярлыки Windows для похищения криптовалют.
* Южнокорейская полиция пресекла деятельность сети, отмывавшей криптовалюту для камбоджийской группировки.
* Специалисты обнаружили новый Android-троян, нацеленный на кражу цифровых активов.

Криптоклиппер маскировали под легитимный софт с помощью накрученной репутации на GitHub и YouTube

Неизвестный злоумышленник запустил масштабную кампанию по распространению вредоносного ПО, используя методы легитимного маркетинга для создания фальшивой «экономики репутации». Об этом сообщили эксперты Check Point Research.

Конечная цель атак — внедрение криптоклипперов под видом инструментов для трейдинга в экосистемах Solana и Pump.fun, а также программ для прогнозирования результатов ставок.

По данным экспертов, сам клиппер написан на языке Rust и ориентирован на Windows и macOS. Вредонос скрыто и непрерывно отслеживает буфер обмена устройства. При обнаружении скопированного адреса криптокошелька программа мгновенно заменяет его на реквизиты злоумышленника, перенаправляя цифровые средства.

Чтобы вызвать доверие у жертв — в основном криптоинвесторов и онлайн-игроков, — хакер создал сложную кроссплатформенную инфраструктуру «сетей-призраков». Аналитики зафиксировали скоординированную активность на платформе VirusTotal: кластер фейковых аккаунтов массово оставлял положительные комментарии и ставил лайки, чтобы ложно пометить вредоносные файлы как безопасные.

Подобная манипуляция метриками применяется и на других ресурсах:

* GitHub и SourceForge. Злоумышленник управляет сетью аккаунтов для взаимного продвижения репозиториев. На SourceForge счетчик загрузок был искусственно завышен до 44 000 с помощью фермы Android-устройств.
* YouTube. Для рекламы софта используется канал с более чем 91 000 подписчиков. Обучающие видео создаются с помощью ИИ-генераторов голоса и сопровождаются накрученными положительными комментариями.
* СМИ. Для легализации инструмента хакер использует сервисы рассылки пресс-релизов (например, EIN Presswire), публикации которых затем автоматически перепечатываются партнерскими новостными сайтами.

Исследователи Check Point подчеркнули, что манипулирование краудсорсинговыми платформами указывает на опасный сдвиг в тактике социальной инженерии. Успешно отработанная схема с кроссплатформенной накруткой репутации в будущем может быть использована для массового распространения программ-вымогателей и более сложных инфостилеров.

USB-червь распространялся через скрытые ярлыки Windows для похищения криптовалют

Эксперты Microsoft раскрыли детали кампании по распространению саморазмножающегося вредоносного ПО, направленной против владельцев криптовалют.

Процесс заражения запускается, когда жертва открывает измененный файл ярлыка (.LNK) на USB-накопителе. После запуска червь скрытно устанавливает дополнительные полезные нагрузки с командного сервера, расположенного в доменной зоне .onion.

Вредонос сканирует локальную систему на наличие пользовательских документов. Обнаружив их, программа скрывает оригиналы и заменяет их вредоносными ярлыками с такими же названиями. В результате ПО активируется каждый раз, когда пользователь пытается открыть свои рабочие файлы. Для самораспространения червь создает запланированную задачу, отслеживающую порты. Как только в компьютер вставляется новый USB-диск, вирус мгновенно копирует себя на внешний носитель.

Стилер переходит в активную фазу только в том случае, если в системе не запущен «Диспетчер задач». Он устанавливает связь с командным сервером через встроенный исполняемый файл Tor и каждые полсекунды отслеживает буфер обмена на наличие чувствительных данных:

* 12- и 24-словные сид-фразы BIP39.
* адреса биткоин-кошельков (включая Legacy, P2SH, Bech32 и Taproot), Ethereum, Tron и Monero.

При обнаружении скопированного адреса программа мгновенно заменяет его на реквизиты злоумышленника. Чтобы обмануть жертву, алгоритм подбирает кошельки, начальные символы которых визуально совпадают с оригинальными.

Помимо перехвата буфера обмена, каждые десять секунд вирус делает пять снимков экрана и отправляет их хакерам с помощью утилиты Curl. По специальной команде сервера ПО может загружать и выполнять произвольные JavaScript-сценарии на зараженной машине.

Активность этого USB-червя непрерывно фиксируется как минимум с февраля. Исследователи подчеркнули, что наиболее явные индикаторы заражения носят поведенческий, а не сигнатурный характер. Главными «красными флагами» взлома являются подозрительная фоновая активность процессов wscript.exe и cscript.exe, неожиданные запуски Curl, PowerShell и cmd.exe, а также несанкционированные сетевые подключения к localhost:9050 (стандартный порт прокси-сервера Tor).

Южнокорейская полиция пресекла деятельность сети, отмывавшей криптовалюту для камбоджийской группировки

Правоохранители Южной Кореи задержали 23 подозреваемых по делу об отмывании средств для камбоджийской фишинговой организации. Об этом сообщает Newsis.

Схема осуществлялась через сложную сеть маршрутизации транзакций с использованием как внутренних южнокорейских, так и зарубежных криптовалютных бирж. По данным следствия, с февраля 2024 по апрель 2025 года группа переместила около 11,1 млн USDT.

В полиции указали на колоссальный масштаб задействованной инфраструктуры: для отмывания денег злоумышленники использовали около 11 300 различных счетов. Эти транзитные учетные записи были напрямую связаны с похищенными средствами на общую сумму примерно $17 млн, которые преступники получили в результате 265 инцидентов.

В ходе полицейских рейдов изъяли криминальные доходы на сумму 650 млн вон (около $430 000). При этом активная фаза операции правоохранительных органов еще не завершена: предполагаемый организатор группировки по-прежнему находится на свободе. В отношении него уже выдано «красное уведомление» Интерпола, подразумевающее международный розыск и экстрадицию.

Специалисты обнаружили новый Android-троян, нацеленный на кражу цифровых активов

Исследователи безопасности Zimperium обнаружили троян для Android, нацеленный на кражу криптовалют.

По данным аналитиков, арсенал вредоноса Rokarolla насчитывает 137 удаленных команд. Инструментарий позволяет перехватывать PIN-коды, читать и отправлять СМС, манипулировать буфером обмена для кражи цифровых активов и принудительно отключать встроенные механизмы защиты ОС.

ПО распространяется через вредоносные веб-сайты, ма

Обменять