Zebraliśmy najważniejsze wiadomości dotyczące cyberbezpieczeństwa z tego tygodnia.
- Klipper kryptowalutowy został rozpowszechniony przy użyciu fałszywej reputacji na GitHubie i YouTube.
- Wirus USB samodzielnie rozprzestrzenił się przez ukryte skróty systemu Windows, aby ukraść kryptowalutę.
- Koreańskie organy ścigania rozwiązały sieć prania pieniędzy kryptowalutowych obsługującą kambodżański syndykat.
- Badacze odkryli nowego trojana na Androida do kradzieży kryptowalut.
Klipper kryptowalutowy został rozpowszechniony przy użyciu fałszywej reputacji na GitHubie i YouTube
Nieznany atakujący uruchomił kampanię dystrybucji złośliwego oprogramowania na dużą skalę, wykorzystując legalne techniki marketingowe do stworzenia fałszywej "gospodarki reputacji". Zgłosili to specjaliści z Check Point Research.
Ostatecznym celem ataków jest wdrożenie klipperów kryptowalutowych przebranych za narzędzia handlowe w ekosystemach Solana i Pump.fun, a także oprogramowania do przewidywania wyników zakładów.
Według ekspertów, sam klipper jest napisany w Rust i celuje w systemy operacyjne Windows i macOS. Złośliwe oprogramowanie potajemnie i nieprzerwanie monitoruje schowek urządzenia. Gdy wykryje skopiowany adres portfela kryptowalutowego, oprogramowanie natychmiast zamienia go na dane atakującego, przekierowując cyfrowe aktywa.
Aby zdobyć zaufanie ofiar — głównie inwestorów kryptowalutowych i graczy online — haker zbudował skomplikowaną, wieloplatformową infrastrukturę "Ghost Networks." Analitycy zarejestrowali skoordynowaną aktywność na platformie VirusTotal: klaster fałszywych kont masowo zostawiał pozytywne komentarze i polubienia, aby fałszywie klasyfikować złośliwe pliki jako bezpieczne.
Podobna manipulacja metrykami jest również stosowana na innych zasobach:
- GitHub i SourceForge. Napastnik prowadzi sieć kont do wzajemnej promocji repozytoriów. Na SourceForge licznik pobrań został sztucznie zwiększony do 44 000 przy użyciu farmy urządzeń z Androidem;
- YouTube. Kanał z ponad 91 000 subskrybentów jest wykorzystywany do reklamowania oprogramowania. Filmy instruktażowe są tworzone przy użyciu generatorów głosu AI i są opatrzone fałszywymi pozytywnymi komentarzami;
- Media. Aby legitymizować narzędzie, haker korzysta z usług dystrybucji komunikatów prasowych (na przykład EIN Presswire), których publikacje są następnie automatycznie powielane przez partnerskie strony informacyjne.
Badacze Check Point podkreślili, że manipulacja platformami crowdsourcingowymi wskazuje na niebezpieczną zmianę w taktykach inżynierii społecznej. Skutecznie przetestowany schemat inflacji reputacji międzyplatformowej może w przyszłości być wykorzystywany do masowej dystrybucji ransomware i bardziej zaawansowanych infostealerów.
Wirus USB samopropagował się przez ukryte skróty systemu Windows, aby kraść kryptowaluty.
Eksperci Microsoftu ujawnili szczegóły kampanii dystrybucji złośliwego oprogramowania, które się samoreplikuje, skierowanej do posiadaczy kryptowalut.
Proces infekcji uruchamia się, gdy ofiara otworzy zmodyfikowany plik skrótu (.LNK) na dysku USB. Po uruchomieniu robak potajemnie pobiera dodatkowe ładunki z serwera dowodzenia znajdującego się w strefie domeny .onion.
Złośliwe oprogramowanie skanuje lokalny system w poszukiwaniu dokumentów użytkownika. Po ich znalezieniu program ukrywa oryginały i zastępuje je złośliwymi skrótami o identycznych nazwach. W rezultacie oprogramowanie jest aktywowane za każdym razem, gdy użytkownik próbuje otworzyć swoje pliki robocze. Aby się samoreplikować, robak tworzy zaplanowane zadanie, które monitoruje porty. Gdy tylko nowy dysk USB zostanie włożony do komputera, wirus natychmiast kopiuje się na nośnik zewnętrzny.
Kradzież danych wchodzi w aktywną fazę tylko wtedy, gdy "Menedżer zadań" nie jest uruchomiony w systemie. Nawiązuje połączenie z serwerem dowodzenia za pomocą wbudowanego pliku wykonywalnego Tor i monitoruje schowek co pół sekundy w poszukiwaniu wrażliwych danych:
- 12- i 24-słowne frazy nasienne BIP39;
- adresy portfeli Bitcoin (w tym Legacy, P2SH, Bech32 i Taproot), Ethereum, Tron i Monero.
Gdy wykryje skopiowany adres, program natychmiast zamienia go na dane napastnika. Aby oszukać ofiarę, algorytm wybiera portfele, których początkowe znaki wizualnie pasują do oryginalnych.
Oprócz przechwytywania schowka, wirus co dziesięć sekund wykonuje pięć zrzutów ekranu i wysyła je do hakerów za pomocą narzędzia Curl. Na specjalne polecenie serwera oprogramowanie może pobierać i wykonywać dowolne skrypty JavaScript na zainfekowanej maszynie.
Aktywność tego robaka USB była nieprzerwanie rejestrowana od co najmniej lutego. Badacze podkreślili, że najbardziej oczywiste wskaźniki infekcji mają charakter behawioralny, a nie oparty na sygnaturach. Główne "czerwone flagi" kompromitacji to podejrzana aktywność w tle procesów wscript.exe i cscript.exe, niespodziewane uruchomienia Curl, PowerShell i cmd.exe, a także nieautoryzowane połączenia sieciowe z localhost:9050 (standardowy port serwera proxy Tor).
Koreańskie organy ścigania rozwiązały sieć prania kryptowalut służącą kambodżańskiemu syndykatowi.
Koreańskie organy ścigania zatrzymały 23 podejrzanych w sprawie prania pieniędzy dla kambodżańskiej organizacji phishingowej. Donosi o tym Newsis.
Schemat był realizowany poprzez złożoną sieć routingu transakcji, wykorzystując zarówno krajowe południowokoreańskie, jak i zagraniczne giełdy kryptowalut. Według śledztwa, od lutego 2024 do kwietnia 2025 grupa przeniosła około 11,1 miliona USDT.
Policja wskazała na kolosalną skalę zaangażowanej infrastruktury: aby wyprać pieniądze, napastnicy użyli około 11 300 różnych kont. Te konta tranzytowe były bezpośrednio powiązane z skradzionymi funduszami o łącznej wartości około 17 milionów dolarów, które przestępcy uzyskali w wyniku 265 incydentów.
Podczas policyjnych nalotów skonfiskowano przestępcze dochody o wartości 650 milionów wonów (około 430 000 dolarów). W tym samym czasie aktywna faza operacji wymiaru sprawiedliwości jeszcze się nie zakończyła: podejrzewany organizator grupy wciąż jest na wolności. Już wydano "czerwoną notę" Interpolu w jego sprawie, co oznacza międzynarodowe poszukiwania i ekstradycję.
Badacze odkryli nowego trojana na Androida do kradzieży kryptowalut.
Badacze bezpieczeństwa w Zimperium odkryli trojana na Androida, który ma na celu kradzież kryptowalut.
Według analityków, arsenał złośliwego oprogramowania Rokarolla składa się z 137 zdalnych poleceń. Zestaw narzędzi umożliwia przechwytywanie kodów PIN, odczytywanie i wysyłanie SMS-ów, manipulowanie schowkiem w celu kradzieży aktywów cyfrowych oraz wymuszanie wyłączenia wbudowanych mechanizmów ochrony systemu operacyjnego.
Oprogramowanie jest dystrybuowane przez złośliwe strony internetowe podszywające się pod instalatory popularnych usług, takich jak TikTok i Google Chrome.
W pierwszym etapie ofiara pobiera program, który wizualnie naśladuje komponent systemowy Google Play Protect. Używając tego przebrania, dropper stosuje inżynierię społeczną, aby zmusić użytkownika do przyznania mu dostępu do "Accessibility." Po uzyskaniu zgody, złośliwe oprogramowanie uruchamia główny ładunek i przede wszystkim wyłącza prawdziwy skaner Play Protect.
Rokarolla pobiera fałszywe strony autoryzacji HTML z własnego serwera dla każdej aktywnej aplikacji z listy docelowej. Gdy ofiara otwiera legalny portfel kryptowalutowy, trojan natychmiast nakłada na niego fałszywe okno i przechwytuje wszystkie wprowadzone dane.
Dodatkowo, osobna nakładka dokładnie naśladuje standardowy ekran blokady Androida. Umożliwia to oprogramowaniu kradzież kodu PIN, hasła lub wzoru, dając operatorom możliwość kontrolowania smartfona nawet w zablokowanym stanie. Aby ukraść kryptowalutę, trojan wykorzystuje wbudowany klipper: potajemnie monitoruje schowek i zamienia skopiowane adresy portfeli na dane atakujących, przekierowując transakcje.
Aby pokonać uwierzytelnianie dwuskładnikowe, Rokarolla odczytuje wszystkie SMS-y na urządzeniu i może samodzielnie wysyłać wiadomości, przechwytując jednorazowe kody bankowe. Co więcej, ustawiając się jako domyślna aplikacja do połączeń i SMS-ów, trojan jest w stanie zablokować przychodzące połączenia — więc ostrzegawcze połączenie z systemem przeciwdziałania oszustwom banku po prostu nie dotrze do właściciela.
Eksperci podkreślili, że główną ochroną przed takimi zagrożeniami jest zwiększona czujność przy przyznawaniu uprawnień "Dostępność", ponieważ to właśnie one uruchamiają cały łańcuch ataku.
Organizatorzy oszustw kryptograficznych używali kurierów do zbierania gotówki
Napastnicy zaczęli zatrudniać kurierów do zbierania funduszy od ofiar, których transakcje są blokowane przez systemy bezpieczeństwa bankowego. FBI zgłosiło tę nową taktykę operatorów schematów "pig butchering" w kryptowalutach.
Zazwyczaj takie oszustwa zaczynają się od kontaktu oszustów z potencjalnymi ofiarami za pośrednictwem mediów społecznościowych, serwisów randkowych i komunikatorów, zdobywając ich zaufanie, a następnie wciągając je w fałszywe schematy inwestycyjne.
Po przekonaniu ofiary do wypłaty gotówki (na przykład pod pretekstem tymczasowego "zamrożenia" konta), oszuści wysyłają kuriera do osoby, która im zaufała. Do identyfikacji używa się wcześniej uzgodnionego hasła lub numeru seryjnego konkretnego banknotu dolarowego. Po otrzymaniu pieniędzy hakerzy symulują wzrost salda w wirtualnym portfelu ofiary i rozpoczynają cykl na nowo, żądając nowych wpłat na zapłatę fikcyjnych "podatków" od wypłaty funduszy.
Według danych FBI na rok 2025, oszustwa związane z kryptowalutami i inwestycjami pozostają "najbardziej destrukcyjną formą" cyberprzestępczości w USA: stanowiły 49% wszystkich incydentów, z całkowymi stratami wynoszącymi 8,6 miliarda dolarów.
Luka w bezprzewodowych słuchawkach pozwoliła hakerom podsłuchiwać użytkowników iPhone'a
Apple wydało aktualizację oprogramowania dla bezprzewodowych słuchawek Beats Studio Buds, która zamyka lukę o wysokim stopniu zagrożenia.
Wada, zgłoszona przez ekspertów SentinelOne w styczniu, pozwalała atakującym na tajne połączenie z urządzeniem i wykorzystanie wbudowanego mikrofonu do szpiegowania.
Problem, który otrzymał identyfikator CVE-2025-20701, dotyczy nieprawidłowej autoryzacji w SDK audio Bluetooth od dewelopera chipów Airoha. Defekt pozwala hakerowi w zasięgu Bluetooth na zdalne połączenie własnego sprzętu ze słuchawkami bez wiedzy lub zgody użytkownika — pod warunkiem, że zestaw słuchawkowy nie jest jeszcze sparowany i aktywnie poszukuje połączeń. Luka została pomyślnie usunięta w aktualizacji oprogramowania Beats w wersji 1B211.
Według specjalistów, exploit można aktywować za pomocą standardowego Bluetooth lub protokołu niskiej energii (BLE) bez jakiejkolwiek autoryzacji. Oprócz podsłuchiwania, atak daje atakującym niemal pełną kontrolę nad urządzeniem: pozwala na odczyt i nadpisywanie pamięci RAM i pamięci flash słuchawek. Co więcej, hakerzy mogą przejąć ustalone relacje z wcześniej sparowanymi smartfonami, co otwiera wektor do rozwoju bardziej zaawansowanych, wieloetapowych ataków.
Również na ForkLog:
- Przestarzały kontrakt w sieci Aztec został zhakowany na kwotę 2 milionów dolarów.
- Kentucky, po innych stanach, złożyło pozew przeciwko Polymarket.
- Wielka Brytania zakazuje mediów społecznościowych dla dzieci poniżej 16. roku życia.
- Sąd Najwyższy Federacji Rosyjskiej uznał kryptowalutę za przedmiot kradzieży.
- Bitbank zagroził blokadami dla transakcji związanych z Polymarket.
Co czytać w weekend?
Pomysły, które zmieniają świat, niemal zawsze rodzą się na peryferiach — wśród ludzi, których ich współcześni uważają za ekscentryków. W nowym artykule ForkLog zbadano, dlaczego pionierzy, tacy jak Jack Parsons, często pozostają w cieniu rewolucji, które wywołali.
Źródło: ForkLog
