Дайджест Start X № 486

Исследователи из компании RiskyPlugins нашли 31 русскоязычное расширение для браузера Chrome, которое построено на общей кодовой базе и подключает пользователей к централизованно управляемой прокси-инфраструктуре. Под удар попали около 356 тысяч человек.

Самым популярным оказалось расширение «РуТрекер VPN, расширение для доступа к сайту» — его установили примерно 200 тысяч раз. В одной компании с ним нашлись «VPN for ChatGPT», Total VPN, VPN for Gemini, VPN for Telegram и VPN for Claude. Все они обещают вернуть доступ к заблокированным сервисам, включая Telegram, Instagram, Netflix, Discord, Spotify, LinkedIn и X. Для работы расширения запрашивают очень щедрые разрешения: управление прокси, доступ ко всем данным на сайтах и многое другое.

Маршруты задаются через удалённо загружаемый PAC-сценарий. Это позволяет владельцам после установки менять прокси-серверы и самим решать, какой трафик направлять через свою инфраструктуру — без обновления расширения и нового согласия пользователя. Конфигурации грузятся с GitHub Pages, Blogspot, Telegram и Google Docs, а их содержимое замаскировано комбинацией Base64 и шифра Цезаря. После расшифровки исследователи нашли адреса прокси и общие учётные данные, которые действуют всего месяц.

Большинство расширений обещает перенаправлять только соединения с отдельными сервисами. Однако Total VPN, по данным RiskyPlugins, пропускает через внешние узлы весь браузерный трафик. Значит, оператор потенциально видит метаданные посещений и может добраться до важных элементов сессий. За «VIP-доступ» при этом просят заплатить 299 рублей. Кто именно управляет этой сетью, исследователи выяснить не смогли.

Почему это важно: человек думает, что просто обходит блокировку, а на деле отдаёт свой трафик и часть данных неизвестной стороне. Это и риски для приватности, и возможность использовать ваш компьютер для чужих атак. Практический совет — удаляйте подозрительные VPN, созданные под один конкретный сайт, особенно если они требуют право проксировать вообще весь трафик.

Источник: RiskyPlugins, 29 сентября 2026 года.

Российский рынок такси оброс серыми посредниками, через которые на линию выходят люди с поддельными аккаунтами, без нужного стажа и даже без российских водительских прав. Журналисты «Известий» выяснили, что между агрегатором и таксистом могут находиться диспетчерские, автопарки, индивидуальные предприниматели и так называемые «подключашки». Последние обещают оформить доступ к сервису за несколько дней, иногда требуя от кандидата только селфи и аванс.

Готовый аккаунт водителя можно купить в интернете за три—семь тысяч рублей. Показательным стал случай в Одинцово, где таксист отказался везти ветерана спецоперации с инвалидностью. Поддержка сначала предложила промокод на сто рублей, водителя позднее депортировали, а проверка вскрыла настоящий корпоративный лабиринт. Машина принадлежала одной фирме, к агрегатору была подключена через ИП, не числившееся в реестре перевозчиков, а сам водитель официально сотрудником посредника не являлся.

По данным материала, в реестре ФГИС «Такси» находится более 900 тысяч автомобилей, при этом свыше полутора миллионов водителей могут работать в серой зоне. Ежедневно россияне совершают около десяти миллионов поездок на такси. Цена такой юридической матрёшки измеряется не только нервами. В 2025 году случилось более 3,1 тысячи ДТП с участием такси: погибли 143 человека, ещё свыше 3,8 тысячи пострадали.

Суды при этом по-разному определяют виновного: где-то отвечает агрегатор, где-то автопарк, а иногда — только водитель. Из-за такой неопределённости пострадавший пассажир может остаться без компенсации, если водитель окажется «ничьим» и без прав. Эксперты предлагают закрепить за агрегаторами статус перевозчиков, обязать их проверять машины и водителей и установить солидарную ответственность.

Почему это важно: за двумя нажатиями в приложении может скрываться цепочка из пяти компаний, и понять, кто отвечает за водителя и пассажира, очень трудно. Практический совет — перед поездкой проверяйте данные водителя и машины в приложении, пользуйтесь проверенными агрегаторами, а после ДТП фиксируйте информацию и сохраняйте чеки. Если водитель выглядит неподготовленным или машина не та, смело отменяйте заказ.

Источник: Известия, 28 сентября 2026 года.

Исследователи из Huntress обнаружили новую схему, в которой мошенники создают фальшивые версии ChatGPT прямо на официальном сайте chatgpt.com. Кастомные варианты чат-бота, продвигаемые через спонсорские ссылки в Google, ведут доверчивых пользователей на вредоносные сайты. Там применяется атака ClickFix — приём, при котором жертве показывают поддельную проверку «вы не робот» и просят скопировать команду в терминал.

Когда пользователь пытается воспользоваться созданным злоумышленником «кастомным GPT», тот сообщает, что сервис недоступен, и отправляет его на «резервный домен» — страницу на Google Sites. Она оформлена как проверка Cloudflare, а на деле запускает цепочку заражения. Пользователю предлагают скопировать и вставить в окно терминала команду PowerShell, которая устанавливает вредоносное ПО.

Huntress связала с этой кампанией два кастомных GPT. Атака доставляет восьмиэтапный троян удалённого доступа: он умеет следить за происходящим на экране, включать камеру и микрофон, а также воровать сохранённые логины и пароли. Как только одну поддельную модель удавалось прикрыть, в течение нескольких дней появлялась новая.

Почему это важно: жертва уверена, что общается с официальным ИИ-помощником, а на деле сама запускает вредонос на своём компьютере. Это ещё один пример того, как мошенники эксплуатируют доверие к популярным сервисам. Практический совет — никогда не вставляйте команды в терминал или PowerShell по инструкции с сайта, какой бы «проверкой безопасности» это ни объяснялось. Официальные сервисы не требуют запускать команды вручную. Проверяйте адресную строку и не верьте страницам, которые просят что-то «скопировать и запустить».

Источник: BleepingComputer, 29 сентября 2026 года.

В США предъявили обвинения 37-летнему гражданину Вьетнама Чунг Нгуен Вану за его роль в масштабной схеме «разделка свиней», в ходе которой у одной из жертв украли криптовалюты на 16 миллионов долларов США. Мужчине вменяют отмывание денег. Дело ведёт прокуратура Западного округа штата Миссури, в расследовании участвует ФБР.

«Разделка свиней» — это вид онлайн-мошенничества, при котором злоумышленник сначала строит с жертвой доверительные отношения, часто романтические, а затем постепенно уговаривает её вложить деньги в якобы прибыльный криптовалютный проект. Когда жертва «откармливается» крупными суммами, её «забивают» — то есть забирают все деньги и исчезают. Здесь такая схема принесла одному человеку потерю в 16 миллионов долларов.

Прокуроры отмечают, что и другие пострадавшие в США сообщали о миллионных потерях, и эти средства поступали на криптовалютный кошелёк Вана. Следствие полагает, что он выступал одним из звеньев в цепочке, помогая выводить и прятать украденные активы. Обвинение в отмывании денег говорит о том, что речь идёт не только о манипуляциях с жертвой, но и о сложной схеме сокрытия следов.

Почему это важно: «разделка свиней» считается одной из самых разрушительных схем современного кибермошенничества, и суммы потерь доходят до десятков миллионов долларов США. Жертвами становятся обычные люди, которые искренне верят в чувства собеседника. Практический совет — с осторожностью относитесь к новым знакомым, которые быстро переводят разговор на инвестиции и обещают высокий доход. Никогда не переводите деньги на «торговые площадки», куда вас приводит собеседник. Проверяйте, существует ли платформа, и помните: если человек, которого вы не видели лично, зовёт вложить крупную сумму — это почти наверняка обман.

Источник: BleepingComputer, 25 сентября 2026 года.

Специалисты департамента киберразведки компании F6 обнаружили новую кибершпионскую группировку, которой присвоили название Mimbrob. С весны 2026 года она провела несколько волн атак околовоенной направленности: целями стали предприятия оборонно-промышленного комплекса, IT-компании и, предположительно, российские военнослужащие. По оценке исследователей, выбор целей и качество фишинговых писем указывают на шпионаж.

Самая ранняя зафиксированная кампания датируется 22 апреля: фишинговое письмо пришло в российское предприятие, производящее авиационные и ракетные двигатели. Оно было замаскировано под служебную записку о срочной метрологической поверке продукции и отправлено с почты на домене легитимной, но взломанной ранее компании. Во вложении лежал архив с несколькими переименованными легитимными файлами «Яндекс Браузера» и вредоносной DLL-библиотекой — при запуске любого из исполняемых файлов подгружался загрузчик FBULoader. Командные серверы атакующих мимикрировали под инфраструктуру «Яндекса», например checker[.]yandex-update[.]ru.

Параллельно группировка использовала и другую цепочку: вместо установщика «Яндекс Браузера» жертве подсовывали переименованный файл редактора Notepad++, после чего компьютер заражался трояном RAT-Go. Архивы назывались «Зарплаты.rar» и «Новые.rar», чтобы выглядеть как деловые документы. В мае атакующие запустили красивый сайт для скачивания приложения Dronner — якобы инструмента «для оперативной осведомлённости личного состава о пролётах и местах минирования дронов типа „Баба-яга“». На деле вместо помощника по мониторингу беспилотников жертва получала шпионскую программу, которая проверяла язык системы на соответствие языкам стран СНГ и румынскому, собирала данные о компьютере и отправляла их на командный сервер.

С начала сентября группировка возобновила активность и начала новую фишинговую рассылку в адрес нескольких IT-компаний — на этот раз на тему судебных разбирательств. Письма отправлялись с домена npkarns[.]ru, который мимикрирует под домен российского научно-производственного предприятия ООО НПК «АМС». Пострадавшая компания даже выпустила официальное предупреждение: настоящий домен — npkams[.]ru, отдела ИТ-интеграции и сотрудника «Зайцева Игоря Анатольевича» не существует, а вложения открывать нельзя, «там может быть вирус». Насчёт вируса компания не ошиблась, только за рассылкой стояли не мошенники, а кибершпионы.

Почему это важно: письма группировки написаны грамотным деловым языком, со ссылками на законы, и отправляются с адресов, похожих на настоящие, — заметить подвох очень трудно. Хотя цели у атакующих крупные, те же приёмы работают против любого пользователя. Практический совет — не открывайте архивы и вложения из неожиданных писем, даже если отправитель кажется знакомым; внимательно сверяйте домен по буквам; при сомнениях свяжитесь с отправителем по официальному каналу из открытых источников. И не скачивайте приложения с незнакомых сайтов, какой бы полезной ни казалась их функция.

Источник: F6, 29 сентября 2026 года.

Сеть ресторанов «Додо Пицца» сообщила о кибератаке на свою ИТ-систему и предупредила о возможной утечке персональных данных клиентов. Ответственность за атаку взяла на себя группировка DataSuckers, которая утверждает, что получила доступ ко всем базам компании и скачала несколько терабайт информации. В компании подчеркнули, что уже уведомили Роскомнадзор, а доступ злоумышленников заблокирован.

По официальной версии, могли оказаться доступны имена, адреса, электронные почты, телефоны, даты рождения и составы заказов части клиентов. Платёжные данные, как заявляют в «Додо Пицце», компания не хранит, поэтому они в безопасности. Пользователей предупреждают, что их может разлогинить — это одна из мер по защите аккаунтов.

В ночь на 28 сентября в Telegram-канале DataSuckers появилось сообщение о скачивании базы «популярного сервиса доставки фастфуда» объёмом в несколько терабайт, позже хакеры уточнили, что речь о «Додо Пицце». По их версии, работу над атакой они начали 26 сентября, а уже на следующий день получили полный доступ к базам. Выгрузка якобы заняла около трёх часов, и в руках злоумышленников оказалась база примерно на 68 миллионов клиентов из разных стран и 65 миллионов уникальных телефонных номеров.

Хакеры заявляют, что похитили полные имена, электронные адреса, телефоны, даты рождения, адреса и истории заказов за все 15 лет работы сети. По их подсчётам, 53,1 миллиона зарегистрированных клиентов хотя бы раз делали заказ, а всего в базах около 860—870 миллионов заказов, из которых 744 миллиона, то есть 86 процентов, приходятся на Россию.

Почему это важно: утечка такого объёма данных о россиянах открывает широкие возможности для фишинга и социальной инженерии. Мошенники могут использовать реальные детали заказов, чтобы усыпить бдительность. Практический совет — если вы делали заказы в «Додо Пицце», будьте внимательны к подозрительным письмам и звонкам, не переходите по ссылкам из сообщений, где вас просят «подтвердить данные» или ввести пароль. Смените пароль от аккаунта, если заметите, что вас разлогинило, и не вводите данные карт на незнакомых сайтах.

Источник: Хакер, 29 сентября 2026 года.

Криптовалютная биржа Bitget раскрыла детали взлома, в ходе которого у неё неделей ранее украли 387,5 миллиона долларов США. По итогам двух независимых расследований — компаний SlowMist и Mandiant — злоумышленники получили доступ к среде кошельков биржи, взломав два сторонних устройства защиты через уязвимости нулевого дня, о которых заранее никто не знал.

После проникновения атакующие разместили веб-шелл на одном из взломанных устройств и вредоносное ПО на производственном сервере биржи, отвечающем за операции с кошельками. Также они установили собственный инструмент для вывода средств, с помощью которого и запустили кражу после полуночи 25 сентября. По данным SlowMist, самые ранние признаки активности относятся к 31 августа, а похожие действия наблюдались на других узлах 23 и 25 сентября.

Mandiant уточняет, что 24 сентября злоумышленник получил несанкционированный привилегированный доступ к двум сторонним устройствам защиты. Затем он развернул веб-шелл на втором устройстве, установил канал управления и через него переместился на производственный сервер кошельков, где развернул вредоносные пакеты. SlowMist добавила, что первый перевод украденных средств произошёл около 02:31 по местному времени, последний — в 05:23, атака длилась почти три часа и затронула несколько блокчейнов.

Биржа приостановила все выводы после обнаружения множества несанкционированных переводов с горячих и тёплых кошельков. Глава компании Грейси Чен отметила, что пострадали разные активы, включая ETH, XRP, BNB, AVAX, USDT и USDC, а переводы шли через сети Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC и Base. Она также возложила вину на северокорейских хакеров, сославшись на характер поведения IP-адресов и анализ блокчейна.

Почему это важно: даже крупная и, казалось бы, защищённая платформа может пасть из-за уязвимости в стороннем оборудовании. Для обычных пользователей это напоминание о том, что хранение всех средств на бирже связано с риском. Практический совет — держите крупные суммы на аппаратном кошельке, который не подключён к интернету, используйте двухфакторную аутентификацию и следите за новостями платформы. Если биржа приостанавливала выводы, не спешите возвращать всё сразу.

Источник: BleepingComputer, 30 сентября 2026 года.

Нидерландский институт раскрытия уязвимостей DIVD, который сам помогает другим защищаться, пострадал от кибератаки с применением искусственного интеллекта. Организация описала случившееся как «громкую и очень-очень грязную» атаку. Злоумышленник использовал техническую уязвимость в одной из внутренних систем, а затем с помощью автономного ИИ-агента проводил действия уже после проникновения.

В DIVD подчеркнули, что уязвимость не имеет отношения к Citrix NetScaler, о котором ранее много говорили. По мнению организации, использованный ИИ-агент был плохо обучен и настроен для таких операций, поэтому оставил после себя достаточно следов, позволивших исследователям восстановить картину инцидента. Институт пообещал опубликовать более подробный отчёт 1 октября и уведомить других возможных жертв той же уязвимости.

Позднее выяснилось, что речь шла о двух уязвимостях нулевого дня в системе Zammad (CVE-2026−102 489 и CVE-2026−102 490), которые позволили перехватить сессии, выполнить код и получить права администратора. Именно эти бреши открыли путь к атаке, которой затем управлял ИИ-агент.

Почему это важно: этот случай показывает, что киберпреступники начинают использовать ИИ не просто как помощника, а как самостоятельного исполнителя, который способен двигаться по сети и менять поведение. Для обычного пользователя это сигнал, что атаки становятся умнее и быстрее. Практический совет — вовремя обновляйте программное обеспечение, особенно те сервисы, которые выставляете в интернет, и обращайте внимание на любые подозрительные действия в аккаунтах. Если сервис сообщает о взломе, смените пароли и проверьте, не было ли несанкционированного доступа.

Источник: BleepingComputer, 29 сентября 2026 года.

Вице-премьер Дмитрий Григоренко сообщил, что до конца года на портале «Госуслуги» заработает специальный сервис «красная кнопка» для защиты граждан от мошенников. Сейчас к нему подключаются банки и операторы связи. По его словам, при нажатии на «красную кнопку» все значимые онлайн-операции будут заблокированы.

Механизм призван помочь людям, которые уже поверили мошенникам, но ещё не успели потерять деньги. Если человек понял, что его обманывают, он может нажать кнопку, и система приостановит переводы и другие важные действия, не дав злоумышленникам вывести средства или сменить пароли. Это своего рода «экстренный стоп-кран» для ситуации, когда мошенники уже ведут жертву за руку.

Григоренко отметил, что к сервису подключаются банки и операторы связи, то есть блокировка будет срабатывать не только на самом портале, но и в связанных сервисах. Кроме того, 30 сентября Минцифры сообщило о планах запретить продажу предоплаченных и предактивированных SIM-карт в рамках третьего пакета мер по борьбе с мошенничеством. Это должно упростить идентификацию абонентов и снизить число анонимных номеров, которыми пользуются злоумышленники.

Почему это важно: «красная кнопка» даёт обычному человеку простой инструмент, чтобы остановить мошенников, когда тревога уже поднята. Это особенно полезно пожилым людям и тем, кто легко поддаётся психологическому давлению. Практический совет — заранее узнайте, где находится эта функция на «Госуслугах», и расскажите о ней родным. Если вам кажется, что вами манипулируют, нажмите кнопку и прекратите общение, а затем обратитесь в банк и полицию. Помните: лучше перебдеть, чем потерять деньги.

Источник: Известия, 1 октября 2026 года.

Компания Microsoft приостановила распространение обновления KB5002907 для Microsoft 365 после массовых жалоб пользователей. Выяснилось, что это обновление деактивировало бессрочные лицензии Office 2016 и Office 2019, а в ряде случаев полностью удаляло программы. Обновление вышло на прошлой неделе и предназначалось для приложений Microsoft 365, которые не обновлялись более девяноста дней.

Предполагалось, что KB5002907 поможет устаревшим установкам снова получать обновления и перейти на актуальную версию. Однако вскоре после релиза пользователи начали сообщать о проблемах с Office 2016 и 2019, купленными по бессрочной лицензии, то есть за разовую покупку без подписки. Люди писали как о деактивации программ, так и о полном их исчезновении с компьютера.

Управляющий одной из бельгийских MSP-компаний Кристиан Ван Хаутте рассказал изданию BleepingComputer, что только 24 сентября, всего за десять минут, к нему обратились пять никак не связанных между собой клиентов. Во всех пострадавших системах Office внезапно переходил в состояние «Нелицензированный продукт». Повторный ввод ключа обычно восстанавливал активацию, но иногда пользователи сообщали, что им не удаётся сделать это.

По наблюдениям специалиста, KB5002907 не просто обновляет Office, а удаляет и переустанавливает существующий пакет или выполняет его миграцию. Из-за этого особенно серьёзные проблемы могут возникать на компьютерах, где одновременно установлено несколько версий офисного пакета. Microsoft признала возможные проблемы, но полное решение пока не представлено.

Почему это важно: это неприятный сценарий для тех, кто честно купил лицензию и рассчитывал пользоваться программой постоянно. Оказавшись «нелицензированным», офис может перестать открывать документы и сохранять файлы. Практический совет — не отключайте автоматические обновления совсем, но перед установкой крупного обновления делайте точку восстановления системы. Если программа перестала работать, попробуйте ввести ключ заново и проверьте состояние лицензии в настройках аккаунта Microsoft. Ждите официального исправления от компании.

Источник: BleepingComputer, 26 сентября 2026 года.

Apple выпустила срочные обновления для iPhone, iPad и macOS, закрывающие уязвимость нулевого дня CVE-2026−86 950. Компания подтвердила, что брешь могли использовать в сложных кибератаках против отдельных пользователей iOS. Проблему обнаружили специалисты Meta Product Security в системном компоненте CoreGraphics, который отвечает за отрисовку изображений, текста и двумерной графики.

Как следует из официального сообщения Apple, обработка специально подготовленного файла могла привести к выполнению произвольного кода на устройстве. Уязвимость относится к классу ошибок записи за пределами выделенного буфера. Проще говоря, вредоносный файл мог заставить систему записать данные не туда, куда положено, и в результате жертву ждал набор проблем — от падения приложения до полного захвата управления устройством.

Apple заявляет, что атаки затрагивали конкретных людей на версиях iOS, выпущенных до iOS 27. Детали кампании, личности целей и способ доставки вредоносных файлов компания не раскрывает. Судя по формулировке, речь идёт о точечных операциях, а не о массовом заражении всех подряд. Такие атаки обычно нацелены на журналистов, активистов и других значимых персон.

Патч вошёл в iOS 26.7.1 и iPadOS 26.7.1, а также в macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Обновиться рекомендуется владельцам iPhone 11 и новее, поддерживаемых моделей iPad Pro, iPad Air, обычных iPad и iPad mini, а также компьютеров на уязвимых версиях macOS. Разработчики усилили проверку границ памяти, чтобы заблокировать эксплуатацию.

Почему это важно: уязвимость нулевого дня означает, что злоумышленники уже знали о ней раньше, чем компания успела выпустить исправление. Хотя вероятность столкнуться именно с такой целевой атакой для большинства пользователей невелика, откладывать установку патча нет смысла. Практический совет — обновите iPhone, iPad и Mac до последних версий, как только появится уведомление, и не отключайте автоматические обновления. Регулярные обновления — самый надёжный способ защититься от подобных угроз.

Источник: BleepingComputer, 29 сентября 2026 года.

Мессенджер Signal выпустил версию 8.30, завершив внедрение защищённых резервных копий на всех поддерживаемых платформах — Android, iOS, Linux, macOS и Windows. Теперь локальные зашифрованные копии переписки доступны и на iPhone, и на компьютерах. Это значит, что пользователи могут восстановить свои сообщения, даже если телефон потерян или повреждён.

Резервные копии хранятся в зашифрованном виде. При включении функции на устройстве генерируется 64-символьный ключ восстановления, который никогда не передаётся в Signal и является единственным способом расшифровать бэкап при восстановлении. Потеря этого ключа означает потерю доступа к копии навсегда, и компания не сможет помочь его вернуть.

Бесплатная версия позволяет сохранить все текстовые сообщения и медиа за последние 45 дней. Для тех, кто хочет хранить медиа дольше, предлагается платная подписка за 1,99 доллара в месяц. Бесплатный тариф включает 100 мегабайт под сообщения, а лимит платных копий — 100 гигабайт. Это первый платный сервис в истории Signal.

После включения бэкапы создаются автоматически ежедневно, при этом не сохраняются сообщения, которые должны исчезнуть в ближайшие 24 часа, и сообщения «для просмотра один раз». Новая копия заменяет архив предыдущего дня.

Почему это важно: раньше пользователи Signal, потеряв телефон, могли лишиться всей истории переписки. Теперь у них появляется официальный способ хранить и восстанавливать сообщения, не жертвуя конфиденциальностью. Практический совет — если вы активно пользуетесь Signal, включите защищённые бэкапы и обязательно сохраните ключ восстановления в надёжном месте, например в менеджере паролей или в бумажном виде. Никому не сообщайте этот ключ, ведь с его помощью можно расшифровать всю переписку.

Источник: BleepingComputer, 30 сентября 2026 года.