Вымогательство против Kraken, ФБР восстановило чаты Signal и другие ключевые события кибербезопасности

Минувшая неделя ознаменовалась рядом серьёзных инцидентов в сфере кибербезопасности — от вымогательства в адрес одной из крупнейших криптобирж до обнаружения нового трояна, нацеленного на сотрудников финансовых компаний. Собрали основные события.

Арест криптоактивов хакерской группировки на $8,3 млн в Украине

Украинские правоохранительные органы задержали члена международной хакерской группы, осуществлявшей кибератаки на организации в Европе и США. Информацию подтвердил генеральный прокурор Руслан Кравченко.

Участники группировки применяли вредоносное программное обеспечение для хищения конфиденциальных данных и документов, требуя за них выкуп. Полученные средства переводились на криптовалютные кошельки, после чего обналичивались и легализовывались на территории Украины — в том числе путём приобретения недвижимости и дорогостоящего имущества.

Общий ущерб от деятельности группировки оценивается более чем в $100 млн. В ходе расследования проведено свыше 30 обысков, арестованы активы на сумму порядка $11,1 млн: жилые объекты, автомобили, $1 млн наличными и криптовалюта примерно на $8,3 млн. Кроме того, установлено местонахождение сообщника, ответственного за отмывание денег.

Почему это важно

События недели затрагивают сразу несколько критически значимых направлений — безопасность централизованных бирж, приватность мессенджеров и новые векторы атак через легитимное ПО. Для пользователей криптовалют каждый из этих инцидентов несёт практические уроки: от необходимости проверять источники загрузки софта до настройки уведомлений в мессенджерах.

Троян ClipBanker подменяет криптоадреса через поддельный Proxifier

Специалисты «Лаборатории Касперского» выявили кампанию распространения трояна ClipBanker, который отслеживает содержимое буфера обмена и подставляет адреса криптокошельков злоумышленников вместо оригинальных.

Вредоносная программа маскируется под популярную утилиту Proxifier, предназначенную для маршрутизации трафика через прокси-серверы. Ссылка на заражённый репозиторий GitHub занимала верхние позиции в поисковой выдаче Google и Яндекс.

При установке троян разворачивается скрытно, используя бесфайловую технику — код исполняется непосредственно в оперативной памяти. Далее через планировщик задач запускается скрипт из системного реестра, обращающийся к GitHub за файлом с кодом. Финальная нагрузка внедряется в процесс fontdrvhost.exe.

С начала 2025 года с этой угрозой столкнулись более 2000 пользователей «Лаборатории Касперского», преимущественно из Индии и Вьетнама.

Криптобиржа Kraken стала жертвой вымогателей

Руководитель службы информационной безопасности Kraken Ник Перкоко (Nick Percoco) рассказал о серии инцидентов, связанных с сотрудниками биржи, в результате которых руководство подверглось шантажу.

«Kraken Security Update — We are currently being extorted by a criminal group threatening to release videos of our internal systems with client data shown if we do not comply with their demands. It's important to start with the most important points: our systems were never…» — Nick Percoco (@c7five), оригинальный пост

Преступная группа угрожала обнародовать видеозаписи, на которых якобы отображаются пользовательские данные. По заявлению Перкоко, инфраструктура биржи не была скомпрометирована, клиентские средства не пострадали. Причиной утечки стал несанкционированный доступ сотрудников службы поддержки к информации с ограниченным допуском.

Уведомления получили владельцы затронутых аккаунтов — всего около 2000 учётных записей, что составляет 0,02% клиентской базы. Расследование показало, что один из сотрудников поддержки был завербован хакерами ещё в феврале 2025 года. Позднее произошёл аналогичный инцидент с другим работником. Kraken сотрудничает с правоохранительными органами нескольких юрисдикций и передала им собранные доказательства.

ФБР восстановило удалённые сообщения из Signal

Федеральное бюро расследований сумело извлечь переписку из мессенджера Signal, несмотря на удаление сообщений и самого приложения с iPhone. Об этом сообщило издание 404 Media.

В рамках судебного разбирательства по делу о нападении на центр ICE в Алверейдо (Техас) ФБР представило удалённые сообщения обвиняемой Линетт Шарп как доказательства. Данные удалось восстановить благодаря пуш-уведомлениям, сохранившимся во внутренней базе iOS.

Если в настройках Signal разрешён показ содержимого сообщений в превью на заблокированном экране, текст фиксируется в хранилище устройства даже после деинсталляции приложения. В Signal предусмотрена опция отключения отображения контента, однако обвиняемая, судя по всему, её не активировала.

Сооснователь Telegram Павел Дуров прокомментировал произошедшее, назвав это «ещё одним доказательством» превосходства секретных чатов как способа защиты переписки. Представители Signal подтвердили получение запроса от журналистов, но затем прекратили отвечать. Apple отказалась от комментариев.

Троян PHANTOMPULSE распространяется через приложение Obsidian

Исследователи Elastic Security Labs зафиксировали атаку, в которой злоумышленники используют популярное приложение для заметок Obsidian в качестве вектора доставки ранее неизвестного трояна PHANTOMPULSE. Целью являются сотрудники финансовых и криптовалютных организаций.

Механизм атаки выглядит так:

• Хакеры выдают себя за представителей венчурной фирмы и переносят общение в Telegram, где несколько «партнёров» создают видимость легитимного делового взаимодействия.
• Жертве предлагают подключиться к облачному хранилищу (vault) в Obsidian с якобы общим аналитическим дашбордом.
• Для запуска вредоносного кода задействуются плагины сообщества Obsidian: Shell Commands (исполнение команд) и Hider (сокрытие следов).
• Поскольку сторонние плагины отключены по умолчанию, жертву убеждают активировать их вручную, после чего конфигурация хранилища автоматически запускает вредоносные команды.

На Windows вирус загружается через скрипт. Среди его возможностей: использование блокчейна Ethereum в качестве Dead Drop Resolver для определения адреса командного сервера, сбор телеметрии, создание скриншотов, повышение привилегий до уровня SYSTEM. На macOS троян запускает AppleScript, а роль DDR выполняет Telegram, позволяя оперативно менять домены при обнаружении. По данным исследователей, PHANTOMPULSE создан с применением ИИ.