Тиждень кіберзагроз: USB-хробак полює на криптогаманці, Apple латає діру в Beats, і нові схеми відмивання
Минулий тиждень у сфері кібербезпеки видався насиченим на події, які безпосередньо зачіпають інтереси власників криптовалют. Від троянів, що еволюціонують, до складних схем соціальної інженерії — розберемо ключові загрози, які не можна ігнорувати.
Новий виток фішингу: фейкова репутація на GitHub і YouTube
Зловмисники опанували справді професійний маркетинговий підхід. Замість грубих фішингових листів вони будують цілі «мережі-привиди» для просування шкідливого ПЗ. Основна ціль — криптокліпер, написаний на Rust і націлений на Windows та macOS. Він непомітно підміняє адреси гаманців у буфері обміну, перенаправляючи кошти атакуючих.
Щоб викликати довіру, хакери створюють фальшиву репутацію на платформах на кшталт VirusTotal, GitHub і YouTube. Сотні ботів залишають позитивні відгуки та «лайкають» шкідливі файли. На SourceForge завантаження були накручені до 44 000 за допомогою ферми Android-пристроїв. Для переконливості використовується YouTube-канал із понад 91 000 підписників та згенерованими ШІ голосами в навчальних роликах. Це небезпечний тренд: маніпуляція краудсорсинговими платформами робить соціальну інженерію майже невловимою.
USB-хробак із функціями самопоширення
Експерти Microsoft розкрили деталі кампанії з використанням саморозмножуваного хробака. Зараження починається з відкриття модифікованого .LNK-файлу на USB-накопичувачі. Шкідник сканує систему, ховає оригінальні документи користувача та замінює їх шкідливими ярликами. Щоразу, коли жертва намагається відкрити файл, хробак активується знову.
Його головна мета — крадіжка криптовалют. Шкідник моніторить буфер обміну кожні півсекунди, вишукуючи сид-фрази BIP39 та адреси гаманців Bitcoin, Ethereum, Tron і Monero. При виявленні він підміняє адресу на свою, причому алгоритм підбирає гаманці з візуально схожими початковими символами. Крім того, кожні десять секунд робляться скріншоти. Найтривожніше — активність хробака фіксується з лютого, а виявити його можна лише за поведінковими аномаліями, такими як несподівані запуски wscript.exe або підключення до localhost:9050.
Південна Корея проти криптовідмивачів
Правоохоронці Південної Кореї затримали 23 особи у справі про відмивання коштів для камбоджійського фішингового угруповання. З лютого 2024 по квітень 2025 року через мережу з 11 300 рахунків було переміщено близько 11,1 млн USDT. Загальна сума викрадених коштів оцінюється в $17 млн. Вилучено близько $430 000, але ймовірний організатор досі в розшуку за «червоним повідомленням» Інтерполу.
Android-троян Rokarolla: повний контроль над пристроєм
Дослідники Zimperium виявили троян Rokarolla з арсеналом із 137 віддалених команд. Він поширюється через підроблені сайти, маскуючись під інсталятори TikTok або Chrome. Після отримання доступу до «Спеціальних можливостей» він вимикає Play Protect і розгортає повний функціонал.
Троян вміє перехоплювати PIN-коди, читати SMS, підміняти буфер обміну і навіть блокувати вхідні дзвінки, щоб жертва не отримала попередження від банку. Окремий оверлей імітує екран блокування Android, дозволяючи вкрасти графічний ключ. Це серйозна загроза, і єдиний захист — гранична обережність при наданні дозволів.
Кур'єри для збору готівки та вразливість у Beats
ФБР попереджає про нову тактику в схемах «розбирання свиней»: шахраї наймають кур'єрів для збору готівки у жертв, чиї банківські транзакції блокуються. У 2025 році криптоінвестиційні махінації склали 49% усіх кіберінцидентів у США зі збитками в $8,6 млрд.
Тим часом Apple закрила небезпечну вразливість CVE-2025-20701 у Beats Studio Buds. Вона дозволяла хакерам у радіусі дії Bluetooth підключатися до навушників без авторизації, активувати мікрофон для прослуховування і навіть перехоплювати довірчі відносини з раніше сполученими iPhone. Оновлення прошивки версії 1B211 усуває проблему.
Думка експерта: Ринок кіберзагроз явно переходить на новий рівень професіоналізму. Ми бачимо не просто віруси, а цілі екосистеми з маркетингом, логістикою та складною інфраструктурою. Для власників криптовалют це означає одне: базової гігієни — антивіруса та складних паролів — більше недостатньо. Необхідно критично оцінювати будь-які сторонні посилання, файли і навіть «перевірені» репозиторії.