Intrusiones en neveras de servicios de transfusión de sangre en Francia, troyanos en el launcher NIKKE y otros eventos de seguridad cibernética

Hemos recopilado las noticias más importantes del mundo de la seguridad cibernética de la semana.

• Debido al robo de las claves de IA, la empresa sufrió pérdidas millonarias.
• El launcher NIKKE distribuía troyanos entre los jugadores para robar contraseñas y datos de monederos criptográficos.
• El fabricante de bolígrafos VOLTA encargó a Claude que evaluara el “valor” de la víctima.
• El ataque a las neveras afectó a supermercados de Europa y al servicio de transfusión de sangre de Francia.

Debido al robo de las claves de IA, la empresa sufrió pérdidas millonarias.

El 2 de noviembre, los expertos del Google Threat Intelligence Group y Mandiant describieron este tipo de ataques (LLMjacking@@). En algunas organizaciones, los costos derivados de las solicitudes no autorizadas a las redes neuronales llegaban a 1 millón de dólares antes de que se pudiera recuperar el acceso.

Al utilizar el método LLMjacking, el atacante consigue el acceso a las API y a los modelos de IA en nombre del propietario. A diferencia del “mining oculto”, los costos aumentan rápidamente (a veces en más de 100 000 dólares al día).

Con frecuencia, los hackers utilizan datos de inicio de sesión de la nube que han filtrado o robado; las claves necesarias para acceder a estos recursos suelen encontrarse en repositorios públicos, a los que los programadores pueden haber subido código conteniendo información confidencial por error.

Группа UNC6993 создала поддельную страницу, выдавая ее за рабочий портал приложений, и обманом заставляла сотрудников вводить туда свои верификационные токены. Получив эти токены, хакеры получали доступ к системам компаний от имени жертв.

По данным аналитиков, украденный доступ к системам перепродают через тайных посредников (типа LLM). Эти посредники собирают чужие ключи доступа, распределяют запросы покупателей между собой и скрывают источник этих запросов. Клиенты платят за использование этих услуг через подпольные сервисы, а расходы на обслуживание нейронных сетей ложатся на компании, у которых был украден доступ.

Источник: Google.

Один из таких подпольных сервисов, Jet Night, предлагал неограниченный доступ к системам за примерно 60 долларов в месяц (в отличие от обычных цен в 100–250 долларов у легальных сервисов). Менее чем за восемь часов этот сервис совершил более 500 000 несанкционированных запросов от имени других пользователей, что привело к убыткам на сумму почти 1 миллиона долларов. По данным Google, сбои в работе Jet Night происходят, когда пострадавшие сообщают о компрометированных ключах доступа.

Google рекомендует организациям следующее:

Хранить все секретные данные в централизованном хранилище и автоматически обновлять их;
• Ограничивать использование каждого ключа доступа к системам конкретными моделями и задачами, устанавливать лимиты на расходы и получать уведомления о расходах;
• Применять многофакторную систему аутентификации, устойчивую к фишинг-атакам, для консолей управления и сервисов разработчиков.

Новый пример: облачная платформа Northflank, на которой программисты размещают свои приложения и базы данных. 30 октября компания сообщила о произошедшем инциденте с безопасностью и попросила пользователей считать все переменные, связанные с работой этой платформы, компрометированными. В тот же день несколько клиентов обнаружили чужие запросы, отправляемые с их учетных записей в системах искусственного интеллекта. () 2 ноября компания Northflank заявила, что прекратила атаку в течение часа после получения первого сигнала о возникновении проблемы; признаков присутствия хакера в их инфраструктуре не было обнаружено. () Загрузчик программы NIKKE распространял среди игроков троянские программы, предназначенные для кражи паролей и данных их криптовалютных кошельков. () Хакеры изменили скрипты загрузчика игры Goddess of Victory: NIKKE для персональных компьютеров и в течение нескольких дней распространяли через него троянские программы с аналогичными целями; это было выявлено исследователем под псевдонимом MotherSphere. () Источник: NIKKE. По данным издателя Level Infinite, 27 сентября третья сторона захватила домен insightjs.com, используемый некоторыми игровыми сервисами, и в тот же день изменила файлы клиентов. Распространение вредоносного программного обеспечения началось 30 октября по корейскому времени. 4 ноября Level Infinite подтвердила инцидент и выпустила исправления; мобильная версия игры не пострадала. () В четырех файлах, хранящихся на серверах CDN компании, содержался код, позволяющий хакеру выполнять различные действия: снимать экраны, извлекать сохраненные пароли, данные из кошельков, SSH-ключи, облачные токены и содержимое файлов с расширениями, связанными с криптовалютами. () В компании Level Infinite рекомендовали игрокам проверить файл журнала ошибок (debug.log) на строку k2f_chan registered; наличие этой строки свидетельствует о возможном запуске троянской программы. () Стилер VOLTA поручил специалисту по оценке ущерба (Claude) оценить «стоимость» угрозы, представленной хакером. () Новый стилер VOLTA отправляет данные зараженного пользователя модели Claude Opus 4.6 специалистам для оценки потенциальной прибыли от его использования; об этом сообщили специалисты Cisco Talos. ()

VOLTA атакует компьютеры с операционной системой Windows, извлекает пароли, данные из кошиков пользователей (cookies) и платежные информацию из браузеров, взламывает хранилища криптовалют, похищает данные сессий пользователей мессенджеров, сервисов Steam и Roblox.

Затем VOLTA использует захваченные учетные записи для сбора информации о пользователях: проверяет их адреса по чекам в почтовом ящике Gmail, получает историю заказов еды и т. д. В итоговый отчет попадают такие данные, как место жительства, работодатель, приблизительная дата рождения, последние четыре цифры банковской карты, а также стоимость профиля пользователя в сервисе Roblox.

Источник: Talos.

По информации экспертов, данный вредоносный код передается на сервер Claude Opus 4.6 с помощью агрегатора OpenRouter, который обеспечивает доступ к различным сервисам на основе единого API. Искусственный интеллект (ИИ) применяется для анализа собранных данных: определения ценности пользовательских активов (низкая, средняя или высокая) с целью их последующей монетизации. В случае отказа ИИ переключается на другие модели (Kimi K2, Gemini 2.5 Flash).

В компании Talos пришли к выводу, что ИИ не ускоряет саму атаку, а лишь освобождает вредоносное программное обеспечение от сложной ручной работы по сортировке данных о жертвах. Наличие резервных механизмов свидетельствует о том, что создатель вредоносного программного обеспечения заранее рассчитывал на работу защитных систем, а наличие шести сменных параметров позволяет продавать каждую установленную копию вредоносного программного обеспечения отдельно.

Как именно распространяется VOLTA и сколько у нее жертв, неизвестно.

Атака также затронула холодильники в супермаркетах Европы, а также систему хранения крови Франции.

В ночь на 2 ноября хакеры удаленно изменили настройки холодильного оборудования в супермаркетах Швеции, Бельгии, Ирландии и других европейских стран, сообщает CNBC. В ту же ночь были взломаны камеры видеонаблюдения во Французской службе крови (EFS).

Этот инцидент повторяет октябрьскую атаку на сотни французских супермаркетов.В одном из филиалов шведской компании ICA температура в морозильниках была установлена на уровне 50 °C; поврежденные товары пришлось выбросить.

В Бельгии в сети Carrefour было обнаружено 15 пострадавших магазинов из более чем 700; в сети SuperValu (которой принадлежит компания Musgrave из Ирландии) — 13 магазинов из 223. Сбой затронул по меньшей мере один из супермаркетов IKEA. Часть поврежденных контроллеров, как и во Франции, произведена датской компанией Danfoss, специализирующейся на системах охлаждения. В октябре компания Danfoss объяснила, что риск возникновения проблем связан в основном с устаревшими моделями устройств, для которых больше не выпускаются обновления. Исследователь Кевин Бомонт утверждает, что у всех устройств из новой серии интерфейс управления был доступен онлайн. Злоумышленники также проникли в системы дистанционного обслуживания холодильников EFS и установили «чрезвычайно высокие» значения температур в морозильных камерах на трех региональных площадках. Системы мониторинга быстро обнаружили аномалии; сотрудники успели переместить или защитить запасы продукции. Компания Google устранила ботнет, затронувший 1,3 миллиона телевизионных приставок, в которых был встроен вредоносный код от производителя. Google совместно с партнерами уничтожила ботнет, влияющий на более чем 1,3 миллиона телевизионных приставок с операционной системой Android. Вредоносный код был преднамеренно встроен производителем Videostrong Technology из Шэньчжэня. Компания Videostrong Technology производит такое оборудование под собственным брендом, а также для других брендов; управление этими устройствами продавалось преступникам, которые зарабатывали на рекламных мошенничествах и пропускали чужой трафик через домашние интернет-сети владельцев устройств. Специалисты по кибербезопасности из компании Synthient выявили вредоносное программное обеспечение в телевизионных приставках модели MECOOL KM9PRO Max, купленных в конце 2025 года.Аналогичные функции (фиксация страниц) были реализованы в оборудовании для телемедицинских услуг, системах караоке и цифровых вывесках. После отключения командных серверов более десяти семейств вредоносных программ Google в сотрудничестве с партнерами лишила злоумышленников контроля над по меньшей мере 10 миллионами устройств. Источник: Google. Компания Google отозвала у компании Videostrong лицензию на производство телевизионных устройств с функциями Google и запретила ей, а также будущим аффилированным с ней организациям, производить сертифицированные устройства на базе операционной системы Android. Сам вредоносный код не был устранен; он просто перестал получать команды от злоумышленников. Кража средств с кошелька Binance на сумму 2,5 миллиарда долларов обошлась хакерам в 15 долларов; всё началось с фальшивого собеседования. OpenAI сообщила об обнаружении 948 уязвимостей в ядре операционной системы Linux. В Индии было предупреждено о возможных атаках хакеров, использующих искусственный интеллект, на криптобиржи. Компания Polygon предложила вернуть Binance и Polymarket сумму в 6,5 миллиона долларов путем проведения хардфорка. Банк Crédit Mutuel Arkéa подтвердил, что его система подверглась атаке на сумму около 133 миллионов долларов. Разработчикец Ethereum предложил усилить защиту сети от квантовых угроз. Хакеры взломали сайт GitBook с использованием программ, основанных на технологиях искусственного интеллекта. После взлома кошелька L-BTC на сумму 320 миллионов долларов компания Liquid Network восстановила работу всей системы. Основатель компании Swan предупредил о возможных угрозах, связанных с использованием искусственного интеллекта. @@TAG130*** КНДР отвергла обвинения в взломе кошелька Binance на сумму 6,3 миллиарда долларов. @@TAG132*** Фонд Solana предупредил пользователей криптобирж о серьезной уязвимости в системе Linux. @@TAG134*** Проблемы с работой сети THORChain замедлили процесс отмывания украденных средств.

Хакеры похитили биткоины из горячих кошельков BTCPay Server.

Хакеры перехватили домены 15 DeFi-проектов.

Компания Chainalysis объявила о хакерской атаке.

Что почитать на выходных?

Министерство энергетики США готово выделить до 215 миллионов долларов разработчикам устойчивых квантовых компьютеров с минимум 100 логическими кубитами; их создание запланировано к 2028 году.

Это лишь часть плана. В июне Дональд Трамп подписал два важных указа: один способствует разработке научных квантовых устройств, другой обязывает федеральные ведомства перевести критически важные системы на постквантовую криптографию к 2030–2031 годам. Однако, по данным Бухгалтерской палаты США, к осени 2025 года ни одно из проверенных агентств не выполнило всех трех ключевых этапов подготовки. Рассказываем, на что ставит Белый дом и насколько реалистичны его сроки.