На этой неделе опасные вещи продолжают появляться, маскируясь под что-то скучное. Обновление. Окно входа. Ответ на поиск. Инструмент кодирования. Ссылка, на которую вы кликали сотни раз ранее. Это нить, проходящая через всю кучу. Доверенные пути отравляются. Старые ошибки находят новые работы. Инструменты ИИ утечкуют больше, чем ожидалось. Ложные подсказки выглядят достаточно правдоподобно. А некоторые атаки едва ли требуют эксплуатации — всего лишь одна слабая настройка или один человек, делающий то, что говорит экран. Ничто из этого не выглядит особенно драматично. Именно это делает его полезным. Угрозы меняются каждую неделю. Подпишитесь, и мы уведомим вас, когда выйдет следующий бюллетень ThreatsDay.
AI-Assisted Banking Trojan
Ранее не задокументированный банковский троян для Android под названием RemControl нацеливается на клиентов розничного банковского обслуживания по всей Западной Европе (Италия, Франция, Испания, Польша, Португалия), на Ближнем Востоке и в Канаде. Вредоносное ПО распространяется через поддельные страницы Google Play Store, выдающие себя за приложение TVTap IPTV. Пользователи перенаправляются на веб-страницу через рекламу Meta. Впервые он был замечен в июле 2026 года. "Вредоносное ПО использует Службу доступности Android для внедрения фишинговых наложений поверх легитимных банковских приложений, транслирует экран устройства в реальном времени, регистрирует нажатия клавиш и предоставляет оператору полный удаленный контроль над зараженными устройствами," — заявила компания Group-IB. "Адрес C2 динамически разрешается через зашифрованный Telegram dead-drop, что делает ротацию инфраструктуры простой без повторной компиляции вредоносного ПО. Документация панели оператора и фишинговые наложения содержат артефакты разработки с помощью ИИ, включая полный ответ ИИ-ассистента, оставленный дословно на живой фишинговой странице, обслуживаемой банковским жертвам." Наличие комментариев на русском языке в нескольких HTML-файлах наложений указывает на участие носителя русского языка. Перекрывающиеся названия кампаний, механизмы доставки, использование Telegram dead-drop и сходство тегов аффилиатов предполагают возможную связь с ботнетом Medusa UNKN.
AI Code Privacy Concern
Китайская компания искусственного интеллекта Z.ai отключила несколько функций своего помощника по кодированию ZCode после того, как была обнаружена настройка по умолчанию, отправляющая локальные репозитории кода пользователей на серверы Alibaba Cloud в Китае без их согласия, всего через пару месяцев после того, как CLI для кодирования Grok Build от SpaceXAI был найден, загружающим целые Git-репозитории в облачное хранилище Google под своим контролем. Хотя Z.ai с тех пор отключила рабочий процесс, ответственный за создание и загрузку снимков локальных репозиториев в своем клиенте ZCode, и открыла свой код для общественного контроля, это развитие вызывает новые опасения у предприятий относительно того, как инструменты ИИ обрабатывают чувствительный исходный код.
Critical Infrastructure Access Risk
Федеральное бюро расследований США (FBI) и Агентство по кибербезопасности и безопасности инфраструктуры (CISA) опубликовали информационный лист, чтобы "подчеркнуть соображения для субъектов критической инфраструктуры, чтобы снизить риски и минимизировать уязвимости при работе с интеграторами промышленных систем управления (ICS) третьих сторон." В уведомлении призывается владельцев и операторов критической инфраструктуры соблюдать осторожность при предоставлении интеграторам ICS третьих сторон высоких уровней доступа или контроля над промышленными процессами и обеспечивать применение принципа наименьших привилегий (PoLP). "Не принятие таких принципов, как PoLP, может подвергнуть владельцев и операторов риску со стороны злонамеренных кибер-актеров, стремящихся скомпрометировать критическую инфраструктуру, возможно, предоставляя чувствительный доступ к путям, которые актеры могут использовать для причинения разрушительных и разрушительных последствий для оборудования и критических функций," — заявили авторские агентства.
Super-App Surveillance Capabilities
MAX — это поддерживаемое государством российское мобильное "супер-приложение", разработанное VK (также известным как ВКонтакте), которое сочетает в себе мгновенные сообщения, электронную коммерцию, банковское дело и государственные услуги. Новое судебно-медицинское исследование, опубликованное группой исследователей из Университета Мичигана, Университета Калгари, Технологического института Джорджии и Индийского института технологий в Дели, выявило масштабы его возможностей слежки: "Играя роль активного противника, мы нашли пять различных возможностей, которые позволяют MAX действовать как посредник для всех взаимодействий мини-приложений: (1) MAX может захватывать скриншоты содержимого мини-приложений, не обладая какими-либо специальными системными разрешениями и не предупреждая пользователя; (2) У него есть полный доступ на чтение и запись ко всем локальным хранилищам мини-приложений, что означает, что никакие данные, которые мини-приложение сохраняет на устройстве, не являются частными для MAX; (3) Он внедряет JavaScript в работающие мини-приложения, позволяя тихо и незаметно изменять функции мини-приложений во время выполнения; (4) Он медиирует весь сетевой трафик мини-приложений, и в российской региональной сборке в частности, направляет этот трафик через прокси-сервер GOST TLS, вызывая острые опасения по поводу перехвата на уровне государства [18]; (5) Наконец, он контролирует токены аутентификации и контекст сеанса, предоставляемые каждому мини-приложению, что дает ему возможность тихо выдавать себя за любого пользователя для любой службы, размещенной в экосистеме супер-приложения. Эти выводы показывают, что архитектура супер-приложения MAX может активно и незаметно подрывать гарантии безопасности, которые пользователи предполагают при взаимодействии с каждым мини-приложением."
Fake Giveaway Phishing Trap
Фальшивый розыгрыш Claude Max использовал поддельное окно входа в Google, чтобы украсть учетные данные пользователей, используя атаку браузер-в-браузере (BitB). "Формы для сбора данных карты нет, и загрузок тоже нет," — заявила компания Malwarebytes. "Вместо этого он предлагает бесплатное обновление и просит вас войти с помощью вашей учетной записи Google. Нажатие кнопки Google не открывает настоящее окно входа в Google. Вместо этого страница создает окно браузера внутри существующей вкладки, с замком и правильно написанным адресом входа в Google. Его даже можно перетаскивать по странице."
EDR Evasion Technique
В июле 2026 года исследователи Макс Хиршбергер и Огулджан Угур подробно описали технику, называемую отравлением параметров процесса, для внедрения кода в чужие процессы без активации традиционных систем обнаружения.