Кибербезопасность недели: кражи, бластеры и взломы

09.05.2026 Дайджест кибербезопасности Дайджесты Новости

Вот переработанный текст новости на русском языке без изменений смысла, но с изменёнными формулировками для повышения уникальности и читаемости.

Ключевые события недели
— Злоумышленники через мини-приложения Telegram воровали криптовалюту
— В Канаде впервые нашли и обезвредили SMS-бластер
— Хакеры-стервятники атаковали группировку TeamPCP
— Заражённая версия DAEMON Tools распространилась по сотне стран

Мошенники использовали мини-приложения Telegram для кражи криптовалют

Специалисты по кибербезопасности из CTM360 выявили мошенническую схему в Telegram, нацеленную на хищение криптовалют и распространение вирусов. Платформа FEMITBOT задействует ботов и встроенные Mini Apps для создания убедительных поддельных приложений внутри мессенджера на темы криптовалют, финансов, ИИ и стриминга. Чтобы вызвать доверие, аферисты маскируются под известные бренды, включая Bitget, OKX, Binance, Apple, Coca-Cola, Disney, eBay, MoonPay и Nvidia. Вся инфраструктура использует общие серверы, но с разными доменами и ботами.

При нажатии кнопки «Старт» бот запускает мини-приложение, показывающее фишинговую страницу во встроенном WebView. Внутри интерфейса находятся панели с поддельными цифрами «доходов», часто сопровождаемые таймерами обратного отсчёта для создания эффекта срочности. При попытке вывести средства пользователей просят внести тестовый депозит или выполнить реферальные задания — классическая схема инвестиционного мошенничества. Некоторые Mini Apps распространяют вредоносные APK-файлы для Android, также маскируясь под известные бренды.

Инфраструктура спроектирована для лёгкой адаптации под разные кампании. Для отслеживания активности жертв и оптимизации мошенничества хакеры используют алгоритмы Meta Pixel и TikTok Pixel.

В Торонто обнаружили первый в стране СМС-бластер

Полиция арестовала трёх подозреваемых за использование SMS-бластера в центре Торонто. Такие устройства генерируют более мощный сигнал, чем сотовые вышки в радиусе действия, заставляя ближайшие гаджеты подключаться к фальшивой станции. После этого они могут рассылать текстовые сообщения со ссылками на фишинговые сайты, копирующие страницы входа в личные кабинеты известных компаний. SMS-бластеры эксплуатируют уязвимости устаревших 2G-сетей и, помимо прямой угрозы, нарушают работу мобильной связи, создавая помехи для экстренных служб.

Целью схемы была кража имён пользователей и паролей, включая банковские данные. Вредоносная кампания стартовала в ноябре 2025 года. За несколько месяцев спам-сообщения получили десятки тысяч устройств. Это первый известный случай работы такого оборудования в Канаде. Власти отметили уникальность сборки: устройство располагалось в задней части автомобиля, позволяя быстро менять локации. В 2024 году полиция Таиланда арестовала банду с похожей установкой, которую перевозили в кузове грузовика по Бангкоку, разослав за три дня почти миллион сообщений.

Хакеры-стервятники атаковали группировку TeamPCP

Неизвестные злоумышленники целенаправленно ищут системы, уже заражённые скандальной группировкой TeamPCP, взламывают их и блокируют доступ. Кампанию под названием PCPJack обнаружила старший исследователь SentinelOne Алекс Деламотт. Хакеры проникают в скомпрометированную инфраструктуру, удаляют бэкдоры, чтобы перекрыть доступ предыдущим взломщикам, и разворачивают собственное ПО, распространяющееся по облачным сетям как червь. Инструменты PCPJack автоматически подсчитывают серверы, успешно «отбитые» у конкурентов.

Злоумышленники крадут учётные данные для перепродажи другим преступникам или шантажа жертв. В отличие от большинства облачных хакеров, которые заражают системы майнерами, PCPJack целенаправленно удаляет их программы. Группировка предпочитает похищать криптовалюту напрямую, используя алгоритмы для перехвата паролей от криптокошельков. Мошенники не ограничиваются системами TeamPCP, а также сканируют интернет на наличие уязвимых сервисов, таких как облачные платформы Docker и базы данных MongoDB. Деламотт предположила, что хакеры могут быть недовольными бывшими участниками TeamPCP, членами конкурирующей группировки или подражателями.

Заражённый DAEMON Tools обнаружили в сотне стран

Хакеры внедрили троян в установщик популярного ПО DAEMON Tools Lite. С 8 апреля они использовали вредонос для установки бэкдоров на тысячах систем из более чем 100 стран. Об инциденте сообщили эксперты «Лаборатории Касперского». После установки бесплатной версии DAEMON Tools вредоносный код разворачивал полезную нагрузку для закрепления в системе и активации бэкдора при запуске Windows.

На первом этапе атаки злоумышленники использовали базовый инфостилер, который собирал системные данные и отправлял их на подконтрольные серверы для профилирования жертв. На основе результатов на нескольких заражённых системах хакеры запускали второй этап — бэкдор, способный выполнять команды, скачивать файлы и запускать код напрямую в оперативной памяти. В некоторых случаях использовался вредонос QUIC RAT, который может внедрять код в стандартные процессы и поддерживает несколько протоколов связи.

Среди жертв кампании оказались ритейлеры, научные, государственные и промышленные организации в России, Беларуси и Таиланде, а также домашние ПК в РФ, Бразилии, Турции, Испании, Германии, Франции, Италии и Китае. Разработчик DAEMON Tools — компания Disc Soft — продолжает расследование инцидента. Пользователям, скачавшим DAEMON Tools Lite 12.5.1 после 8 апреля, рекомендуют удалить приложение, провести полное сканирование системы и установить последнюю версию 12.6 с официального сайта.

В Тайване студента арестовали за взлом системы высокоскоростных поездов

Власти Тайваня задержали студента, подозреваемого во взломе системы связи TETRA, используемой сетью высокоскоростных железных дорог страны (THSR). THSR представляет собой двухпутную линию протяжённостью 350 км вдоль западного побережья Тайваня, поезда на ней развивают скорость до 300 км/ч. 5 апреля гражданин по фамилии Линь на 48 минут остановил четыре состава с помощью программно-определяемой радиосистемы (SDR) и портативных раций, передав высокоприоритетный сигнал «Общая тревога», что привело к экстренному торможению.

Перед атакой Линь перехватил и декодировал параметры радиосвязи через купленное на маркетплейсе оборудование, затем внёс данные в портативные рации для имитации сигналов служебных радиомаяков. По данным полиции, у подозреваемого был сообщник, помогавший настроить связь. THSR эксплуатировалась 19 лет, и её параметры, вероятно, не менялись, что позволило хакеру обойти семь уровней верификации.

Обменять