Кіберзагрози тижня: USB-хробак атакує криптогаманці, Apple латає діру в Beats, і новий Android-троян
Минулий тиждень у сфері кібербезпеки видався насиченим: від складних багатоступеневих атак на криптоінвесторів до критичних вразливостей у популярних гаджетах. Розберемо ключові події, які не можна ігнорувати.
USB-хробак із функцією саморозповсюдження: нова загроза для Windows
Експерти Microsoft детально описали кампанію з поширення саморозмножуваного шкідливого ПЗ, націленого на крадіжку криптовалют. Процес зараження запускається під час відкриття модифікованого .LNK-файлу на USB-накопичувачі. Далі хробак приховано підключається до командного сервера через мережу Tor і починає сканування системи.
Його ключова особливість — підміна оригінальних користувацьких документів на шкідливі ярлики з тими ж назвами. Щоразу, коли жертва намагається відкрити свій файл, активується шкідливе ПЗ. Для поширення на нові USB-носії створюється заплановане завдання, яке миттєво копіює вірус при підключенні нового диска.
В активній фазі стілер моніторить буфер обміну кожні півсекунди, підміняючи адреси гаманців Bitcoin, Ethereum, Tron та Monero, а також викрадаючи 12- та 24-слівні сид-фрази BIP39. Алгоритм підбирає гаманці, початкові символи яких візуально збігаються з оригінальними, щоб жертва не помітила підміни. Додатково, кожні десять секунд робиться п'ять скріншотів екрана. Головні індикатори зараження — аномальна активність процесів wscript.exe та cscript.exe, а також підключення до localhost:9050 (порт Tor).
Apple закриває вразливість у Beats Studio Buds
Компанія Apple випустила оновлення прошивки (версія 1B211) для бездротових навушників Beats Studio Buds, що усуває критичну вразливість CVE-2025-20701. Проблема, виявлена в Bluetooth-аудіо SDK від Airoha, дозволяла зловмиснику в радіусі дії Bluetooth віддалено підключатися до навушників без згоди користувача, якщо гарнітура перебувала в режимі пошуку сполучення.
Експлойт надавав хакеру доступ до вбудованого мікрофона для прослуховування, а також можливість читати та перезаписувати оперативну та флеш-пам'ять пристрою. Більше того, атакуючий міг перехоплювати довірчі відносини з раніше сполученими iPhone, відкриваючи шлях до складніших багатоступеневих атак. Настійно рекомендую всім власникам Beats Studio Buds негайно встановити оновлення.
Android-троян Rokarolla: повний контроль над пристроєм
Дослідники Zimperium виявили новий Android-троян Rokarolla, арсенал якого налічує 137 віддалених команд. Шкідливе ПЗ поширюється через підроблені сайти, що маскуються під інсталятори TikTok або Google Chrome. На першому етапі він імітує системний компонент Google Play Protect і через соціальну інженерію змушує користувача надати доступ до «Спеціальних можливостей».
Отримавши дозвіл, троян вимикає справжній сканер Play Protect і завантажує фейкові HTML-сторінки авторизації для криптогаманців. Коли жертва відкриває легітимний додаток, Rokarolla перекриває його підробленим вікном і перехоплює введені дані. Окремий оверлей імітує екран блокування Android для крадіжки PIN-коду. Вбудований кліпер підміняє адреси гаманців у буфері обміну. Для обходу 2FA троян читає та надсилає SMS, а також може блокувати вхідні дзвінки від антифрод-систем банків.
Експертне резюме
Тренд цього тижня — ускладнення векторів атак. Ми бачимо не просто окремі шкідливі програми, а цілі екосистеми: від USB-хробаків із власним каналом керування через Tor до троянів, здатних повністю паралізувати роботу смартфона. Особливе занепокоєння викликає використання USB-хробаками прихованих ярликів — це елегантний і небезпечний метод персистентності, який важко виявити традиційними сигнатурними методами. Рекомендую користувачам Windows звертати увагу на поведінкові аномалії системи, а власникам Android — критично ставитися до будь-яких запитів на доступ до «Спеціальних можливостей».