Кіберзагрози тижня: USB-хробак націлився на криптогаманці, Apple латає діру в Beats Studio Buds, і нова хвиля Android-троянів
Минулий тиждень у сфері кібербезпеки видався насиченим: від витончених схем соціальної інженерії до апаратних вразливостей. Розберемо ключові події, які мають бути на радарі кожного, хто працює з цифровими активами.
Фейкова репутація як зброя: криптокліпери нового покоління
Зловмисники вивели на новий рівень тактику створення довіри. Замість поодиноких фішингових листів вони розгорнули цілу інфраструктуру «мереж-примар» для просування шкідливого криптокліпера. Цей Rust-based троян, що маскується під трейдингові інструменти для Solana та Pump.fun, відстежує буфер обміну та миттєво підміняє адреси гаманців.
Що особливо тривожно — атакуючі маніпулюють рейтингами на GitHub, SourceForge та YouTube. Вони використовують ферми акаунтів для накрутки лайків, зірок та позитивних відгуків. На SourceForge завантаження були штучно завищені до 44 000 за допомогою Android-ферм. Навіть VirusTotal опинився під ударом: кластер підроблених акаунтів хибно маркував шкідливі файли як безпечні. Це небезпечний прецедент, який показує, що краудсорсингові платформи більше не є надійним джерелом валідації.
USB-хробак з Tor-керуванням: прихована загроза для Windows
Експерти Microsoft розкрили механізм роботи саморозмножуваного хробака, націленого на крадіжку криптовалют. Зараження починається з відкриття модифікованого .LNK-файлу на USB-накопичувачі. Після цього хробак приховує оригінальні документи користувача та підміняє їх шкідливими ярликами, активуючись при кожному кліку.
Ключова особливість — використання Tor для зв'язку з командним сервером у домені .onion. Шкідливе програмне забезпечення кожні півсекунди моніторить буфер обміну на наявність сид-фраз BIP39 та адрес Bitcoin, Ethereum, Tron і Monero. При виявленні воно підміняє адресу на реквізити атакуючого, причому алгоритм підбирає візуально схожі початкові символи. Додатково вірус робить знімки екрану кожні десять секунд і може виконувати довільні JavaScript-сценарії. Активність фіксується з лютого, і головний індикатор — підозріла активність процесів wscript.exe та cscript.exe.
Південна Корея: ліквідація мережі відмивання на $17 млн
Правоохоронці Південної Кореї затримали 23 підозрюваних, причетних до відмивання коштів для камбоджійської фішингової організації. За період з лютого 2024 по квітень 2025 року група перемістила близько 11,1 млн USDT через мережу з 11 300 рахунків. Ці рахунки були пов'язані з викраденими коштами на $17 млн, отриманими в результаті 265 інцидентів. Вилучено близько $430 000, але ймовірний організатор втік і оголошений у міжнародний розшук за «червоним повідомленням» Інтерполу. Це наочний приклад того, як складні транзитні схеми намагаються приховати сліди криптовалютних злочинів.
Rokarolla: Android-троян з повним контролем над пристроєм
Дослідники Zimperium виявили новий Android-троян Rokarolla, арсенал якого налічує 137 віддалених команд. Він поширюється через підроблені сайти, що маскуються під інсталятори TikTok та Google Chrome. Після отримання доступу до «Спеціальних можливостей» троян вимикає Play Protect та розгортає оверлейні атаки.
Rokarolla підробляє екран блокування Android для крадіжки PIN-кодів, перехоплює SMS для обходу 2FA та використовує вбудований кліпер для підміни адрес криптогаманців. Більше того, він може блокувати вхідні дзвінки, щоб попередження від банків не доходили до жертви. Єдиний надійний захист — гранична обережність при наданні дозволів на «Спеціальні можливості».
Кур'єри для збору готівки: нова тактика «свинорізів»
ФБР попереджає про нову тактику шахраїв, які використовують схеми «розділки свиней». Коли банківські системи блокують підозрілі транзакції, зловмисники відправляють кур'єрів для збору готівки у жертв. Вони переконують людей зняти гроші під приводом «заморозки» рахунку, а потім симулюють збільшення балансу у фейковому гаманці. За даними ФБР, у 2025 році на криптовалютні та інвестиційні махінації припало 49% усіх інцидентів зі збитками у $8,6 млрд. Це нагадування, що навіть офлайн-взаємодія не гарантує безпеку.
Вразливість Beats Studio Buds: Apple закриває діру для шпигунства
Apple випустила оновлення прошивки для Beats Studio Buds, яке усуває критичну вразливість CVE-2025-20701. Діра в Bluetooth-аудіо SDK від Airoha дозволяла зловмисникам у радіусі дії підключатися до навушників без авторизації та активувати мікрофон для прослуховування. Експлойт також надавав доступ до оперативної та флеш-пам'яті пристрою, а також дозволяв перехоплювати довірчі відносини з раніше сполученими iPhone. Вразливість усунена у версії прошивки 1B211. Це серйозний сигнал про те, що навіть периферійні пристрої можуть стати вектором атаки на криптогаманці та особисті дані.
Експертний коментар Cryptalist: Минулий тиждень чітко демонструє еволюцію загроз: від простого фішингу до багаторівневих атак з використанням соціальної інженерії, маніпуляції репутацією та апаратних вразливостей. Криптоспільноті необхідно переглянути свої моделі безпеки, роблячи акцент на поведінковому аналізі та апаратних гаманцях, а не лише на антивірусних рішеннях.