Фейковый ChatGPT майнит Monero, арест хакера в Южной Корее и другие события кибербезопасности
За неделю специалисты обнаружили криптодрейнер в App Store, кампанию по скрытому майнингу Monero под видом ИИ-ассистентов и уязвимость в Telegram для Android. Полиция Сеула задержала хакера, атаковавшего более 90 южнокорейских компаний.
Приложение Padre Terminal в App Store, выдававшее себя за инструмент трейдеров, оказалось криптодрейнером. По данным блокчейн-исследователя Iris, стоящий за ним злоумышленник с 25 октября вывел около $23 000 с 27 адресов в сети Solana. Средства списывались после того, как пользователь импортировал во вредонос приватный ключ. Iris подтверждает лишь одно заражение — как атакующий добрался до остальных пострадавших, неизвестно.
Padre Terminal — терминал для торговли мем-коинами в сети Solana. Iris утверждает, что сервис работает только в браузере, поэтому любые его мобильные версии — подделки. Страницу Padre Terminal в магазине Apple уже удалили, однако кражи продолжились: последняя пришлась на 29 октября. В тот же день злоумышленник конвертировал в SOL все 4070 USDC, затем перевел 192 SOL на новый кошелек. Всего на двух его адресах скопилось 229,66 SOL. Исследователь нашел в App Store еще четыре подозрительных клона известных криптосервисов: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools и Pump Fun Tokens & Analitycs. Под первым с февраля появилось около 25 отзывов о пропаже средств. Iris не удалось подтвердить сообщения о кражах у пользователей этих приложений.
27 октября специалисты Check Point разобрали кампанию Yoba, в ходе которой группа хакеров маскировала майнер Monero под настольные версии ИИ-ассистентов ChatGPT и Claude. Фейковые проекты разместили на GitHub: первый репозиторий появился в июле, зараженные релизы — в конце августа и начале сентября. Ссылки попадали в верхние строки выдачи Google. По оценке исследователей, авторы прибегли к SEO-отравлению — подгоняли названия и описания под популярные запросы.
В архиве находились настоящий установщик, одобренный цифровым сертификатом OpenAI или Anthropic, и зараженная библиотека winmm.dll. Установщик запускал легитимное приложение, которое затем самостоятельно загружало из своей папки вредоносную часть — так работает DLL sideloading. Вредонос сверял имя родительского процесса с ожидаемым. При несовпадении, например в антивирусной песочнице, он «засыпал» почти на 13 дней. Кроме того, Yoba не трогала машины с раскладками клавиатуры для 11 языков: русского, белорусского, армянского, азербайджанского, грузинского, казахского, киргизского, таджикского, туркменского, узбекского и татарского.
Второй модуль, YobaLoader, вычислял адрес управляющего сервера по аватару Telegram-канала yoba_fanclub: брал последние 50 байт изображения и собирал из них домен. Команды прятали в DNS-записях и запрашивали через Google DNS-over-HTTPS. На финальном этапе устанавливался майнер XMRig, который добывал криптовалюту через сеть Tor и замирал, когда за компьютером кто-то работал. По словам экспертов, сам загрузчик универсален и способен доставить любую программу.
Хакер-самоучка атаковал более 90 южнокорейских компаний и похитил около 8,2 млн записей с персональными данными и внутренними документами. Примерно в 60 случаях ему помогал искусственный интеллект, сообщила полиция Сеула. Подозреваемый руководил группой из семи человек. Профильного образования у него нет: навыки взлома он освоил по блогам и YouTube, а с 2019 по 2022 год работал пентестером. С сентября 2025 года его целями были частные школы, больницы, университеты, гольф-клубы, ритуальные агентства и дочерние структуры крупных конгломератов. В конце августа 2026 года он подключил ИИ и автономный фреймворк, который сам находил и эксплуатировал уязвимости. По словам следователей, софт недавно применяли при утечках из корейских банков, а в BleepingComputer уточнили, что речь идет об ARTEX.
Жертвы получали письма с угрозой опубликовать похищенное. Тем, кто выходил на связь в Telegram, предлагали откупиться криптовалютой, сообщает телеканал YTN. По данным Financial News, всего 38 компаниям выставили требования на 360 млн вон (~$270 000), но до ареста вымогатели успели получить лишь 300 000 вон. Правоохранители задержали всех семерых участников группы, однако под стражей остался только организатор: 23 октября его дело передали в прокуратуру. Расследование началось в июне после жалобы одной из пострадавших фирм. Полиция анализировала улики собственной ИИ-системой и вышла на подозреваемых через четыре месяца.
Внутренняя модель Claude нашла десятки уязвимостей в браузерах и операционных системах, а затем собрала из них пять рабочих цепочек атак. Об этом сообщили специалисты Frontier Red Team. Такие эксплойты объединяют отдельные бреши в полноценный взлом. По словам разработчиков, модели хватало первоначальных указаний, а все находки заранее передали производителям и уже исправили. Самый наглядный пример — связка из четырех ошибок в Chrome на macOS. Через считанные секунды после загрузки страницы код покидал песочницу и запускал «Калькулятор». Всего Anthropic сообщила Google о 62 багах, все — с критическим или высоким рейтингом. Среди них было 13 способов обойти изоляцию.
В Safari ИИ отключил same-origin policy — правило, которое запрещает одному сайту читать данные другого. Вредоносный ресурс добирался до истории посещений и cookie и мог, например, просматривать почту пользователя. На Android Claude сумел через USB скопировать фото с украденного Pixel 9 без разблокировки, а в Windows — удаленно обрушить машину с поддержкой HTTP/3. Таких узлов в интернете, по оценке Anthropic, миллионы. Наибольшую угрозу представляла брешь в сетевом стеке ядра Linux. Атакующий без пароля и каких-либо действий жертвы получал права root на серверах, где активирован Multipath TCP. В демонстрации на это ушло 53 минуты. Linux-уязвимость CVE-2026-98432 закрыли 15 октября, однако на момент написания исправленных сборок еще не выпустили.
29 октября исследователи кибербезопасности NebuSec рассказали об уязвимости в Telegram для Android, которая позволяла удаленно выполнить произвольный код. Жертве было достаточно ответить на голосовой вызов. Во время соединения устройства обмениваются служебными сообщениями. Одно из них, MediaState, передает, включены ли микрофон и камера, а также какая ориентация у видео. По данным экспертов, если в MediaState отсутствовала часть полей, Telegram обращался к памяти, доступа к которой у него быть не должно. Журналисты The Hacker News изучили исходники Telegram и нашли участок, который соответствует этому описанию. Аналитики NebuSec не выложили технический разбор, поэтому путь от сбоя к взлому смартфона известен лишь по опубликованной записи. Исправление в общей библиотеке звонков вышло 21 апреля 2026 года. В iOS-клиент оно попало в мае, в десктопный — в июле.