Разоблачение «криптоакадемии» в Украине, кража сид-фраз из галереи смартфона и другие события кибербезопасности

Мы собрали наиболее важные новости из мира кибербезопасности за неделю.

Наркокартель отмывал миллиарды через криптоброкеров в Бразилии.

Кибератака вывела из строя автоматику более 30 водоканалов в Миннесоте.

Полиция разоблачила деятельность «криптоакадемии» в Украине.

Вредонос SparkKitty распознавал сид-фразы в галерее смартфона.

Наркокартель отмывал миллиарды через криптоброкеров в Бразилии

Правоохранители Бразилии ликвидировали международный наркосиндикат, подозреваемый в контрабанде минимум 6,5 тонны кокаина и отмывании денег с использованием криптовалют.

В ходе рейдов в штатах Сан-Паулу, Минас-Жерайс, Санта-Катарина и Эспириту-Санту полиция провела 44 обыска, девять арестов и 13 предварительных заключений под стражу.

По данным следствия, для сокрытия наркодоходов преступники выстроили сложную сеть из подставных фирм-однодневок, скупали элитную недвижимость и предметы роскоши. Ключевым элементом их инфраструктуры были нелегальные финансовые брокеры, помогавшие конвертировать фиат в криптовалюту и переводить за рубеж.

В рамках расследования полиция заморозила активы на сумму до 1 млрд реалов (по курсу на момент написания около $197 млн).

Использование криптовалют наркосиндикатами становится все более распространенной практикой. Операция в Бразилии последовала за майским отчетом Минфина США, в котором ведомство ввело санкции против шести Ethereum-адресов. Эти кошельки использовались финансовой сетью мексиканского картеля Синалоа для конвертации наркодоходов в цифровые активы.

https://forklog.com/exclusive/ubojnaya-detsentralizatsiya

Кибератака вывела из строя автоматику более 30 водоканалов в Миннесоте

26–27 июля неизвестные хакеры нанесли удар по операционным технологиям более чем 30 систем общественного водоснабжения Миннесоты. Местное агентство IT-услуг (MNIT) экстренно задействовало протоколы киберзащиты на уровне всего штата.

В городе Брэхем водоочистная станция внезапно остановилась. Спустя три часа работу удалось возобновить — местные власти подтвердили, что причиной сбоя стала целенаправленная атака на компьютерные системы управления. В других округах оборудование также дало сбой, из-за чего персоналу пришлось экстренно применять резервные планы и переводить насосы и фильтры на ручное управление.

В MNIT подчеркнули, что инцидент не повлиял на качество очистки воды. Агентство ликвидирует последствия атаки совместно с ФБР и Агентством по кибербезопасности США.

Ранее американские власти предупреждали о массированных атаках иранских хакеров, которые целенаправленно искали доступ к программируемым логическим контроллерам Rockwell Automation и Allen-Bradley, чтобы нарушить работу водоканалов и энергетических объектов.

Полиция разоблачила деятельность «криптоакадемии» в Украине

Правоохранители разоблачили мошенническую схему, участники которой выдавали себя за представителей «Украинской финансовой академии». Под предлогом обучения инвестициям в криптовалюты они похитили $1,11 млн примерно у тысячи человек, сообщает киберполиция страны.

Четверо ключевых фигурантов, включая двух организаторов, арестованы после серии обысков в Харьковской и Днепропетровской областях.

Как работала схема:

подозреваемые массово запускали рекламу в Facebook и Instagram, обещая помощь опытных трейдеров и гарантированную быструю прибыль от криптоинвестиций;

менеджеры втирались в доверие к жертвам, выясняли их материальное положение и уговаривали перевести деньги на подконтрольные криптокошельки. На специально созданной фиктивной платформе мошенники демонстрировали графики «успешных торговых балансов»;

в некоторых случаях жертвам позволяли вывести небольшую сумму. При попытке забрать основные средства вывод блокировали, и злоумышленники требовали новые платежи под видом оплаты «комиссий» или «пополнения резервного фонда».

По данным следствия, мошенники целенаправленно выбирали наиболее уязвимых людей — пенсионеров, людей с инвалидностью и тяжелобольных. Так, одна из пострадавших, проходившая лечение от онкологии, перевела злоумышленникам около 500 000 гривен, отложенных на лечение. Когда жертвы лишались собственных средств, их убеждали оформлять кредиты.

Кроме того, ничего не подозревающих пользователей записывали для позитивных видеоотзывов в моменты «успешных сделок» — ролики затем использовали в рекламе.

Арестованным грозит до 12 лет лишения свободы с конфискацией имущества.

Вредонос SparkKitty распознавал сид-фразы в галерее смартфона

Новый вирус для кражи криптовалют проникал на устройства пользователей через магазины Apple App Store и Google Play, а также сторонние каталоги. О стилере SparkKitty сообщили специалисты Check Point.

Вредонос представляет собой эволюцию стилера SparkCat с главной особенностью — охотой за галереей пользователя. Вместо стандартного перехвата ввода с клавиатуры или мониторинга буфера обмена, софт запрашивает доступ к фото и видео жертвы. Получив его, вирус запускал движок оптического распознавания символов (OCR) и непрерывно сканировал снимки в поисках сид-фраз криптокошельков, паролей и QR-кодов.

Распространение SparkKitty:

iOS. Вирус был спрятан внутри приложения 币coin в App Store. Хакеры обошли модерацию Apple, замаскировав вредоносные функции внутри системных фреймворков;

Android. SparkKitty обнаружили в мессенджере с функцией криптобиржи SOEX. До удаления из Google Play его скачали более 10 000 раз;

сторонние каналы. Альтернативные сборки под Android распространялись через другие магазины, модифицированные клиенты TikTok, гемблинг-софт и ручную установку APK. На смартфонах с root-доступом вирус закреплялся в системе с помощью модулей Xposed.

По данным Check Point, весь распознанный на фотографиях текст вместе с базовой информацией об устройстве отправлялся на командный сервер злоумышленников.

Эксперты посоветовали не хранить сид-фразы и пароли в виде скриншотов или фотографий в галерее телефона. Резервные копии кошельков они рекомендовали держать исключительно офлайн — на бумаге или аппаратных носителях. По их словам, также стоит регулярно проверять и ограничивать доступ мобильных приложений к галерее.

Хакер использовал DeepSeek для автономных атак через Telegram

Китайскоговорящий злоумышленник использовал ИИ-модель DeepSeek для проведения полностью автономных кибератак. Он управлял нейросетью через Telegram с помощью фреймворка Hermes Agent, сообщают специалисты подразделения Unit 42.

Хакер, известный под никами knaithe и KnYuan, настроил ИИ-агента таким образом, что от оператора требовалось лишь ввести команду в Telegram:

получив задачу, DeepSeek сканировала интернет на наличие уязвимых систем, используя поисковик FOFA;

ИИ самостоятельно анализировал версии ПО, искал свежие публичные эксплойты на GitHub, скачивал их и пытался применить.

По данным экспертов, нейросеть демонстрировала логику принятия решений: когда атака на платформу Langflow провалилась из-за неподходящей конфигурации жертвы, ИИ остановил кампанию. Проанализировав другие популярные системы, агент выбрал платформу автоматизации n8n и попытался ее взломать, комбинируя две уязвимости: CVE-2026-21858 и CVE-2025-68613.

Автономные действия DeepSeek не увенчались успехом, так как найденные серверы не отвечали требованиям эксплойтов. Однако в ручном режиме хакер успешно извлек данные из трех организаций через уязвимость в NetScaler (CVE-2026-3055) и взломал 11 объектов Marimo (CVE-2026-39987). Всего атакам подверглись более 460 целей.

Исследователям удалось детально изучить схему благодаря банальной ошибке оператора. Hermes Agent случайно запустил открытый HTTP-сервер с портом 8888 в директории /home/worker. В результате инфраструктура злоумышленника стала публичной: API-ключи, списки целей, скрипты, конфигурации моделей и полные логи «общения» с автономным агентом.

По данным Unit 42, хакер, вероятнее всего, базируется в Чжухае (Китай). Прямых связей с государственными структурами эксперты не обнаружили.

Также на ForkLog:

Anthropic признала три взлома реальных систем на тестах Claude.

У владельцев кошельков Coldcard украли биткоины на $38 млн.

В Южной Корее ликвидировали схему с фейковым стейкингом XRP на $8,5 млн.

В США выступили против камер слежения Flock.

ИИ-агент OpenAI получил доступ к четырем внешним аккаунтам.

В США оценили ущерб от криптомошенничества в $80,7 млрд.

Claude помог найти слабые места в криптографических алгоритмах.

Blockaid назвала первое полугодие рекордным по криптовзломам.

Мьянма приняла закон против скам-центров.

В выдаче Google нашли чаты Claude с ключами от криптокошельков.

Исследователи уличили ИИ-модели в обходе правил кибертестов.

Потери Triple-A от взлома выросли до $11,8 млн.

СМИ: в КНДР арестовали ИТ-специалистов за отмывание госсредств через криптовалюту.

Что почитать на выходных?

В новой еженедельной рубрике «Quantum & After» объясняем, чем постквантовая криптография отличается от квантовой физики, кто готовится к новым угрозам всерьез, а кто просто клеит модный ярлык ради хайпа.

https://forklog.com/exclusive/quantum-amp-after-vopros-2-kak-blokchejny-gotovyatsya-k-kvantovoj-ere