Децентрализация инфраструктуры вымогателей и шпионаж
Неделя кибербезопасности отметилась серией инцидентов, связанных с эволюцией тактик злоумышленников. Группировка DeadLock, на счету которой почти сотня жертв в США, Европе и Турции, полностью перестроила свою инфраструктуру на базе блокчейн-экосистемы. Согласно данным Microsoft Threat Intelligence, операторы отказались от традиционных серверов.
Аналитики Group-IB описали механизм работы: JavaScript-код внутри оставляемого на дисках файла RECOVERY_CHAT.UID.html напрямую взаимодействует со смарт-контрактами в сети Polygon. Приложение считывает актуальный IP-адрес прокси-сервера для связи с жертвой. При блокировке адреса правоохранителями хакерам достаточно обновить запись в смарт-контракте, после чего чат со сквозным шифрованием восстанавливает работу без перерегистрации доменов.
Техническая реализация шифровальщика включает гибридную связку криптографии на эллиптических кривых Curve25519 и потокового шифра XChaCha20. Файлы получают расширение .dlock. Процесс шифрования приостанавливается при загрузке процессора выше 70% или потреблении оперативной памяти (ОЗУ) свыше 29%. Вредоносное программное обеспечение (ПО) заблокировано от запуска в странах Содружества Независимых Государств (СНГ) и части государств Ближнего Востока, а после завершения работы удаляет системные журналы, теневые копии файлов и самоликвидируется.
Параллельно китайская группировка Jewelbug совмещала правительственный кибершпионаж с масштабным криптомошенничеством. По информации Symantec, в недавней кампании злоумышленники скомпрометировали платформу веб-хостинга государственного телеком-провайдера, получив доступ к шаблонам веб-почты 15 различных министерств и ведомств на Ближнем Востоке, в Юго-Восточной и Южной Азии.
Мошеннические схемы и атаки на объекты инфраструктуры
В Украине правоохранители задержали организатора сети фейковых криптообменников Money 24/7. Злоумышленники создали веб-ресурсы, зарегистрировали торговую марку и оборудовали офисное помещение под кассу. Клиенты оставляли онлайн-заявки, передавали наличные в офисе, но криптовалюта на их кошельки не поступала. Для затягивания времени некоторым потерпевшим переводили малую часть суммы и выдавали «письменные гарантии».
По одному из подтвержденных эпизодов ущерб составил почти 1,6 млн гривен. В ходе более 20 обысков в семи регионах Украины изъята компьютерная техника, телефоны, документация и более 20 млн гривен наличными. Организатору схемы грозит до 12 лет лишения свободы с конфискацией имущества.
Государственная группа реагирования на компьютерные инциденты Польши CERT Polska раскрыла детали атаки на теплоэлектроцентраль (ТЭЦ), произошедшей в декабре 2025 года. Злоумышленники проникли в критическую инфраструктуру через частную сотовую сеть местного оператора электросетей. Отправной точкой стала ветроэлектростанция с незащищенным многофакторной аутентификацией элементом системы. Далее через файрвол, сотовый маршрутизатор Teltonika RUTX50 и контроллер WAGO PFC200, защищенный лишь заводским паролем по умолчанию, хакеры проложили туннель во внутреннюю сеть ТЭЦ. 29 декабря промышленные логические контроллеры Siemens S7 были переведены в режим стоп, что вызвало физическую остановку паровой турбины и системы водоподготовки. Оперативное вмешательство персонала позволило восстановить работу систем.