Скрытый майнинг XMR фейковым ChatGPT, арест хакера-самоучки в Южной Корее и другие события кибербезопасности

Мы собрали наиболее важные новости из мира кибербезопасности за неделю.

• Фейковый Padre Terminal в App Store связали с кражей $23 000 из Solana-кошельков.
• Приложения-приманки ChatGPT и Claude скрыто майнили Monero.
• В Южной Корее арестовали хакера-самоучку после атаки на 90 организаций.
• Frontier Red Team с помощью закрытой модели Claude собрала рабочие эксплойты для Chrome, Safari и Linux.

Фейковый Padre Terminal в App Store связали с кражей $23 000 из Solana-кошельков

Приложение Padre Terminal из App Store, выдававшее себя за популярный инструмент трейдеров, оказалось криптодрейнером. Стоящий за ним злоумышленник с 25 октября вывел около $23 000 с 27 адресов в сети Solana, следует из данных блокчейн-исследователя Iris.

1/ A fake "Padre" trading app on the App Store is draining Solana wallets. One drainer, 13 wallets since Oct 25, and it hasn’t moved a single coin: 78.69 SOL + 836 USDC still sitting there. @Pumpfun @TradingTerminal https://t.co/Ux4e6WK1vY

— Iris (@iris_intel_app) October 28, 2026

Средства списывались после того, как пользователь импортировал во вредонос приватный ключ. Iris подтверждает лишь одно заражение — как атакующий добрался до остальных пострадавших, неизвестно.

Padre Terminal — терминал для торговли мем-коинами в сети Solana. Iris утверждает, что сервис работает только в браузере, поэтому любые его мобильные версии — подделки. Страницу Padre Terminal в магазине Apple уже удалили, однако кражи продолжились: последняя пришлась на 29 октября.

В тот же день злоумышленник конвертировал в SOL все 4070 USDC. Затем он перевел 192 SOL на новый кошелек. Всего на двух его адресах скопилось 229,66 SOL.

Исследователь нашел в App Store еще четыре подозрительных клона известных криптосервисов: Axiom Pro: Focus, GMGN AI, HyperTerminal-HyperliquidTools и Pump Fun Tokens & Analitycs. 

Под первым с февраля появилось около 25 отзывов о пропаже средств. По словам одного из пользователей, программа сначала имитировала площадку для трейдинга, а потом превратилась в приложение для концентрации внимания. Iris не удалось подтвердить сообщения о кражах средств у пользователей этих приложений.

В iOS-приложении FomoPeek обнаружили стилер криптовалют

Приложения-приманки ChatGPT и Claude скрыто майнили Monero

27 октября специалисты Check Point разобрали кампанию Yoba, в ходе которой группа хакеров маскировала майнер Monero под настольные версии ИИ-ассистентов ChatGPT и Claude.

Фейковые проекты разместили на GitHub: первый репозиторий появился в июле, зараженные релизы — в конце августа и начале сентября. Ссылки попадали в верхние строки выдачи Google, несмотря на отсутствие маркетинговой кампании. По оценке исследователей, авторы прибегли к SEO-отравлению — подгоняли названия и описания под популярные запросы.

В архиве находились настоящий установщик, одобренный цифровым сертификатом OpenAI или Anthropic, и зараженная библиотека winmm.dll. Установщик запускал легитимное приложение, которое затем самостоятельно загружало из своей папки вредоносную часть — так работает DLL sideloading. 

Вредонос сверял имя родительского процесса — файла, который его запустил, — с ожидаемым. При несовпадении, например в антивирусной песочнице, он «засыпал» почти на 13 дней. Кроме того, Yoba не трогала машины с раскладками клавиатуры для 11 языков: русского, белорусского, армянского, азербайджанского, грузинского, казахского, киргизского, таджикского, туркменского, узбекского и татарского.

Второй модуль, YobaLoader, вычислял адрес управляющего сервера по аватару Telegram-канала yoba_fanclub: брал последние 50 байт изображения и собирал из них домен. Чтобы перенаправить зараженные устройства, оператору достаточно было сменить картинку. Команды прятали в DNS-записях и запрашивали через сервис Google DNS-over-HTTPS — такой трафик сложно отличить от обычного.

На финальном этапе устанавливался майнер XMRig. Он добывал криптовалюту через сеть Tor и замирал, когда за компьютером кто-то работал. По словам экспертов, сам загрузчик универсален и способен доставить любую программу.

В Южной Корее арестовали хакера-самоучку после атаки на 90 организаций

Хакер-самоучка атаковал более 90 южнокорейских компаний и похитил около 8,2 млн записей с персональными данными и внутренними документами. Примерно в 60 случаях ему помогал искусственный интеллект, сообщила полиция Сеула.

Подозреваемый руководил группой из семи человек. Профильного образования у него нет: навыки взлома он освоил по блогам и YouTube, а с 2019 по 2022 год работал пентестером — по заказу клиентов проверял защищенность их систем.

Начиная с сентября 2025 года его целями были частные школы, больницы, университеты, гольф-клубы, ритуальные агентства и дочерние структуры крупных конгломератов. Сначала злоумышленник искал бреши на сайтах автоматическими сканерами, но в конце августа 2026 года подключил ИИ и автономный фреймворк, который сам находил и эксплуатировал уязвимости. По словам следователей, софт недавно применяли при утечках из корейских банков, а в BleepingComputer уточнили, что речь идет об ARTEX.

Затем жертвы получали письма с угрозой опубликовать похищенное. Тем, кто выходил на связь в Telegram, предлагали откупиться криптовалютой, сообщает телеканал YTN.

По данным Financial News, всего 38 компаниям выставили требования на 360 млн вон (~$270 000), но до ареста вымогатели успели получить лишь 300 000 вон. 

Правоохранители задержали всех семерых участников группы, однако под стражей остался только организатор: 23 октября его дело передали в прокуратуру. Расследование началось в июне после жалобы одной из пострадавших фирм. Полиция анализировала улики собственной ИИ-системой и вышла на подозреваемых через четыре месяца.

Атака на финансовый сектор Кореи затронула криптовалютные биржи

Frontier Red Team с помощью закрытой модели Claude собрала рабочие эксплойты для Chrome, Safari и Linux

Внутренняя модель Claude нашла десятки уязвимостей в браузерах и операционных системах, а затем собрала из них пять рабочих цепочек атак. Об этом сообщили специалисты Frontier Red Team.  

Такие эксплойты объединяют отдельные бреши в полноценный взлом. По словам разработчиков, ей хватало первоначальных указаний, а все находки заранее передали производителям и уже исправили.

Самый наглядный пример — связка из четырех ошибок в Chrome на macOS. Через считанные секунды после загрузки страницы код покидал песочницу и запускал «Калькулятор». Всего Anthropic сообщила Google о 62 багах, все — с критическим или высоким рейтингом. Среди них было 13 способов обойти изоляцию.

В Safari ИИ отключил same-origin policy — правило, которое запрещает одному сайту читать данные другого. Вредоносный ресурс добирался до истории посещений и cookie и мог, например, просматривать почту пользователя. На Android Claude сумел через USB скопировать фото с украденного Pixel 9 без разблокировки, а в Windows — удаленно обрушить машину с поддержкой HTTP/3. Таких узлов в интернете, по оценке Anthropic, миллионы.

Наибольшую угрозу представляла брешь в сетевом стеке ядра Linux. Атакующий без пароля и каких-либо действий жертвы получал права root на серверах, где активирован Multipath TCP — расширение, которое пускает TCP-соединение сразу по разным маршрутам. В демонстрации на это ушло 53 минуты. Неудачные попытки не разрушали цепочку, так что ее можно было повторить.

Linux-уязвимость CVE-2026-98432 закрыли 15 октября, однако на момент написания исправленных сборок еще не выпустили.

OpenAI помогла найти критические уязвимости в PHP

Telegram для Android можно было взломать голосовым звонком

29 октября исследователи кибербезопасности NebuSec рассказали об уязвимости в Telegram для Android, которая позволяла удаленно выполнить произвольный код. Жертве было достаточно ответить на голосовой вызов.

Remember when scam callers only ask for your password? Good times. Now picking up a wrong call can get you hacked. Telegram RCE discovered by NebuSec Code Security, powered by GPT-5.4. Yes, GPT-5.4. We turned a dinosaur model into a cyber powerhouse. Fixed in Telegram Android 12.10.4（7099)

— NebuSec (@nebusecurity) October 29, 2026

Во время соединения в мессенджере устройства обмениваются служебными сообщениями. Одно из них, MediaState, передает, включены ли микрофон и камера, а также какая ориентация у видео. По данным экспертов, если в MediaState отсутствовала часть полей, Telegram обращался к памяти, доступа к которой у него быть не должно.

Журналисты The Hacker News изучили исходники Telegram и нашли участок, который соответствует этому описанию. Если в MediaState было указано, как должен быть развернут экран, программа проверяла это значение, а следом считывала состояние камеры — даже когда отправитель его не присылал.

Аналитики NebuSec не выложили технический разбор, поэтому путь от сбоя к взлому смартфона известен лишь по опубликованной записи. 

Исправление в общей библиотеке звонков вышло 21 апреля 2026 года. В iOS-клиент оно попало в мае, в десктопный — в июле. Android-версию обновили через пять месяцев, в конце сентября. Были ли до этого уязвимы приложения на iPhone и компьютерах, неясно.

Проблема затрагивала сборки с 8.6.2 по 12.10.3, то есть все выпуски за четыре с половиной года. По словам экспертов NebuSec, брешь удалось обнаружить с помощью их продукта Code Security на базе GPT-5.4.

Разведка Австралии отключила от вредоноса Amadey 180 000 зараженных компьютеров 

27 октября Управление радиотехнической разведки Австралии (ASD) раскрыло ранее засекреченные детали наступательных операций против киберпреступников, сообщает ABC News.

По словам исполняющего обязанности замглавы ведомства Таури Грегори, сотрудники ASD получили доступ к командному серверу ботнета Amadey и отключили от него 180 000 зараженных машин по всему миру, в том числе внутри страны.

Граждан Бразилии «предупредили» о нападении инопланетян, в старых моделях D-Link обнаружили угрозу и другие события кибербезопасности

Amadey похищает логины и личную информацию, которую потом перепродают в даркнете, а также подтягивает на устройство дополнительные стилеры, например StealC. Троян прячут в бесплатном софте: в одном из случаев ASD нашло его в пиратской версии Photoshop. Сам Amadey на подпольных форумах предлагали примерно за $500.

Кроме того, к ASD поступила наводка о торговле 5 ТБ сведений, украденных у компании, которая не подозревала об утечке. В архиве были деловые документы, персональные данные, учетные записи и пароли. 

Специалисты ASD взломали инфраструктуру злоумышленников и уничтожили массив до сделки. До покупателей не дошли около 4,8 млн файлов австралийцев и сотни тысяч иностранцев.

Также на ForkLog:

• Trezor предупредила о возможном шпионском импланте в Safe 5.
• Binance оценила последствия взлома в $6,3 млрд.
• Хакеры похитили у пользователей Polymarket $2,7 млн.
• Исследование: для взлома ключа биткоина может хватить 29 588 кубитов и 62 минуты.
• Минфин США ввел санкции против пособников IT-схемы КНДР.
• Эксперт призвал судить компании за взломы со стороны их ИИ-агентов.
• Bithumb и Wagyu подтвердили утечку данных.
• DeepSeek уличили в обходе ограничений.
• Qwen попыталась отправить файл на сервер в Китае во время теста безопасности.
• СМИ: Стартап выходцев из DOGE заявил, что за 12 часов нашел путь в системы Anthropic.
• Исследователь получил $2000 за взлом PHP в конкурсе Steal My Bitcoin.
• Пользователь Electrum потерял биткоины при попытке ускорить транзакцию.
• Keystone подтвердила утечку данных покупателей аппаратных кошельков и уничтожит 18 835 устройств.
• Власти Швеции заблокируют ChatGPT и Claude на рабочих компьютерах.
• Moonshot AI выпустила Kimi K3.1 Pro и ограничила ее кибервозможности.
• Хакер вывел $2,7 млн из блокчейна Initia.

Что почитать на выходных

Закрытие Ормузского пролива ударило не только по рынку сырой нефти. В сентябре оптовые цены на дизельное топливо в США и Европе достигли рекордных значений, а около 70% опрошенных американских фермеров не могли позволить себе необходимый объем удобрений. 

Разбираемся, как энергетический кризис доходит до тарелки и почему даже точные прогнозы ИИ не добавят ни литра топлива.

Мир из тонких нитей

Подписывайтесь на ForkLog в социальных сетях

Telegram (основной канал) Facebook X