Взлом холодильников службы крови во Франции, троян в лаунчере NIKKE и другие события кибербезопасности
Мы собрали наиболее важные новости из мира кибербезопасности за неделю.
- Из-за кражи ИИ-ключей компании понесли миллионные убытки.
- Загрузчик NIKKE раздавал игрокам троян для кражи паролей и данных криптокошельков.
- Стилер VOLTA поручил Claude оценить «стоимость» жертвы.
- Атака на холодильники затронула супермаркеты Европы и службу крови Франции.
Из-за кражи ИИ-ключей компании понесли миллионные убытки
2 ноября специалисты Google Threat Intelligence Group и Mandiant описали атаки LLMjacking: в отдельных организациях расходы на чужие запросы к нейросетям доходили до $1 млн, прежде чем доступ удавалось отозвать.
Применяя LLMjacking, злоумышленник завладевает API-ключом и пользуется моделями за счет владельца. В отличие от скрытого майнинга, траты растут не постепенно, а за считанные часы — иногда более чем на $100 000 в день.
Чаще всего хакеры используют утекшие или похищенные облачные учетные данные, а ключи находят и в публичных репозиториях, куда программисты по ошибке могут выложить код с секретами.
Группировка UNC6993 создала фейковую страницу под видом рабочего портала приложений и обманом убеждала сотрудников вставлять туда свой токен верификации. Получив его, хакеры входили в облако от имени жертвы.
По данным аналитиков, украденный доступ перепродают через LLM-миксеры — подпольных посредников. Они собирают в общий пул чужие ключи, распределяют между ними обращения покупателей и скрывают, откуда те на самом деле приходят. Клиенты платят операторам за подписку через теневые витрины, а расходы на нейросети ложатся на взломанные компании.
Одна из таких площадок, Jet Night, предлагала безлимитный тариф примерно за $60 в месяц против обычных $100–250 у легальных сервисов. Менее чем за восемь часов она сделала за чужой счет более 500 000 запросов — почти на $1 млн. Перебои в работе Jet Night, по мнению Google, случаются, когда пострадавшие отзывают скомпрометированные ключи.
Google рекомендует организациям:
- хранить секреты в централизованном менеджере и автоматически их обновлять;
- ограничивать каждый ключ конкретными моделями и задачами, ставить лимиты трат и оповещения о бюджете;
- применить устойчивую к фишингу многофакторную аутентификацию для консолей управления и сервисов разработчиков.
Свежий пример — облачная платформа Northflank, где программисты размещают приложения и базы данных — 30 октября сообщила об инциденте безопасности и попросила пользователей считать все переменные окружения скомпрометированными. В тот же день несколько клиентов обнаружили чужие запросы со своих ИИ-аккаунтов.
2 ноября Northflank заявила, что остановила атаку в течение часа после первого сигнала. Признаков присутствия хакера в инфраструктуре не обнаружили.
Загрузчик NIKKE раздавал игрокам троян для кражи паролей и данных криптокошельков
Хакеры подменили скрипты загрузчика игры Goddess of Victory: NIKKE для ПК и несколько дней поставляли через него троян для кражи паролей и криптокошельков, выяснил исследователь под ником MotherSphere.
По данным издателя Level Infinite 27 сентября третья сторона перехватила домен insightjs.com, который использовали некоторые игровые сервисы, и в тот же день изменила файлы клиента. Распространение зловреда началось 30 октября по корейскому времени. 4 ноября Level Infinite подтвердила инцидент и выпустила исправление, мобильная версия игры не пострадала.
Код в четырех файлах на CDN компании подгружал агент удаленного доступа. Тот выполнял команды, делал скриншоты, вытягивал сохраненные пароли и cookies, SSH-ключи, облачные токены и содержимое 28 расширений криптокошельков.
В Level Infinite рекомендовали найти в журнале debug.log загрузчика строку k2f_chan registered: ее наличие означает, что троян мог запускаться.
Стилер VOLTA поручил Claude оценить «стоимость» жертвы
Новый стилер VOLTA отправляет досье на зараженного пользователя модели Claude Opus 4.6, чтобы та оценила, сколько на нем можно заработать. Об этом сообщили специалисты Cisco Talos.
VOLTA атакует компьютеры на Windows, вытягивает из браузеров пароли, cookies и платежные реквизиты, вскрывает хранилища криптокошельков, похищает сессии мессенджеров, Steam и Roblox.
Затем VOLTA наводит справки через захваченные аккаунты: сверяет домашний адрес по чекам в Gmail, подтягивает историю заказов еды. В итоговую сводку попадают место жительства, работодатель, примерный год рождения, четыре последние цифры карты и даже стоимость профиля в Roblox.
По информации экспертов, досье уходит в Claude Opus 4.6 через агрегатор OpenRouter, который открывает доступ к разным ИИ-сервисам по единому API. Нейросеть просят выступить «криминалистом, готовящим оценку цели» и разложить найденные активы по ценности для монетизации: низкой, средней или высокой. При отказе VOLTA переключается на модели Kimi K2, затем на Gemini 2.5 Flash.
В Talos пришли к выводу, что ИИ здесь не ускоряет атаку, а избавляет оператора от самой трудоемкой ручной задачи — сортировки жертв. Резервная цепочка говорит о том, что создатель вредоноса заранее рассчитывал на срабатывание защитных фильтров, а шесть заменяемых слотов в параметрах — о продаже сборок под каждого покупателя.
Как VOLTA распространяют и сколько у нее жертв, неизвестно.
Атака на холодильники затронула супермаркеты Европы и службу крови Франции
В ночь на 2 ноября хакеры удаленно перенастроили холодильное оборудование в продуктовых магазинах Швеции, Бельгии, Ирландии и других стран Европы, сообщает CNBC. В ту же ночь взломали камеры с плазмой Французской службы крови (EFS).
Инцидент повторил октябрьскую атаку на сотни французских супермаркетов. В одном из филиалов шведской ICA температуру в морозильниках выставили на 50 °C, испорченные товары пришлось выбросить.
Carrefour в Бельгии насчитал 15 пострадавших точек из более чем 700, ирландская Musgrave, владелец сети SuperValu, — 13 из 223. Сбой затронул как минимум один гипермаркет IKEA.
Часть взломанных контроллеров, как и во Франции, выпустил датский производитель систем охлаждения Danfoss. В октябре компания объясняла, что рискам подвержены в основном устаревшие модели, которые больше не получают обновлений. Исследователь Кевин Бомонт утверждает, что у всех устройств из новой волны интерфейс управления был доступен онлайн.
Злоумышленники также проникли к подрядчику, удаленно обслуживающему холодильники EFS, и выставили «крайне высокие» пороги температуры и разморозки на трех региональных площадках. Системы мониторинга быстро заметили отклонения, сотрудники успели перенести или защитить запасы плазмы.
Google обезвредила ботнет из 1,3 млн ТВ-приставок с бэкдором от производителя
Google вместе с партнерами ликвидировала ботнет XCPE в более чем 1,3 млн ТВ-приставок на Android. Бэкдор в них намеренно встроил производитель Videostrong Technology из Шэньчжэня.
Компания выпускает такую технику под собственным брендом и для других марок, а управление этими устройствами продавала преступникам. Те зарабатывали на рекламном мошенничестве и пропускали чужой трафик через домашний интернет владельцев.
Специалисты по кибербезопасности из Synthient вышли на Videostrong, обнаружив зараженную прошивку в модели MECOOL KM9PRO Max, купленной в конце 2025 года. Похожие закладки были в телемедицинском оборудовании, караоке-системах и цифровых вывесках.
Отключив командные серверы более десятка связанных семейств вредоносов, Google при помощи партнеров лишила злоумышленников контроля еще как минимум над 10 млн гаджетов.
Корпорация отозвала у Videostrong лицензию на выпуск ТВ-боксов с сервисами Google и запретила ей и будущим аффилированным с ней структурам производить сертифицированные устройства на Android. Сам бэкдор никуда не делся — он лишь перестал получать указания.
Также на ForkLog:
- Взлом кошелька Binance на $2,5 млрд обошелся хакерам в $15 и начался с фальшивого собеседования.
- OpenAI сообщила об обнаружении 948 уязвимостей в ядре Linux.
- В Индии предупредили об атаках ИИ-хакеров на криптобиржи.
- Polygon предложила вернуть Binance и Polymarket $6,5 млн через хардфорк.
- Банк Crédit Mutuel Arkéa подтвердил атаку на сумму порядка $133 млн.
- Разработчик Ethereum предложил ускорить защиту сети от квантовых угроз.
- Хакеры взломали GitBook с помощью ИИ-агентов.
- Liquid Network восстановила полное обеспечение L-BTC после взлома на $320 млн.
- Нейросети опаснее кубитов: основатель Swan предупредил об ИИ-угрозах.
- КНДР отвергла обвинения во взломе Binance на $6,3 млрд.
- Solana Foundation предупредила валидаторов о критической уязвимости в Linux.
- Chainalysis: сбой в THORChain замедлил отмывание похищенных у Binance средств.
- Хакеры похитили биткоины из горячих кошельков BTCPay Server.
- Хакеры перехватили домены 15 DeFi-проектов.
- Chainalysis заявила о взломе.
Что почитать на выходных
Министерство энергетики США готово выделить до $215 млн разработчикам отказоустойчивого квантового компьютера минимум на 100 логических кубитов — его ждут к 2028 году.
Это лишь часть плана. В июне Дональд Трамп подписал два профильных указа: один запускает создание научной квантовой машины, другой обязывает федеральные ведомства перевести самые критичные системы на постквантовую криптографию к 2030–2031 годам. Однако, по данным Счетной палаты США, осенью 2025 года ни одно из 24 проверенных агентств не выполнило все три ключевых шага подготовки. Рассказываем, на что делает ставку Белый дом и насколько реалистичны его сроки.