Атакуващите продължават да намират нови ключове. Забавното е, че защитниците продължават да измислят къде да ги съхраняват.

Тази седмица тези ключове се намират в инструменти с изкуствен интелект, публично достъпни услуги, стари грешки, слаби данни за вход и софтуер, продаван като месечен абонамент. Някои атаки използват нови трикове. Други просто използват повторно това, което вече е било наблизо. И двата подхода работят достатъчно често.

Така че средата на заплахите не става по-чиста. Тя просто получава повече места за допускане на същата грешка. Ето какво се появи тази седмица.

  1. Разкрита е PPI операция със зловреден софтуер CL-CRI-1171 предлага PPI пазар Злонамерен субект, известен като CL-CRI-1171, остава незабелязан поне две години, предлагайки пазар за разпространение с плащане при инсталация (pay-per-install или PPI), който позволява на други атакуващи да разпространяват своя зловреден софтуер чрез канали в YouTube и успоредна фуния за компрометиране на оптимизацията за търсачки (SEO-poisoning). „Тези канали активно взаимодействаха със зрителите, за да промотират гейминг съдържание, съдържащо връзки за изтегляне на зловреден софтуер“, посочват от Unit 42 на Palo Alto Networks. „Въпреки че видеоклиповете предоставяха реално съдържание за геймъри, те също така служеха като средство за заразяване, подтиквайки зрителите да изтеглят злонамерени инструменти. SEO фунията беше насочена към по-професионална аудитория, рекламирайки софтуер с внедрени троянски коне, което доведе до внедряване на зловреден софтуер върху корпоративни крайни точки, включително критична инфраструктура и дори правителствени структури.“ И двете вериги водят до персонализиран зареждащ модул, наречен OfferLoader, който е доставил три зловредни кода между юли 2025 г. и април 2026 г.: Docro Hijacker (задна врата за Chrome, която може да заобикаля съвременните защити за цялост), ARKTunnel (RAT с тунелиране през WebSocket) и нов вариант на неименувана досега междуплатформена задна врата, получила кодовото име Insomnia троянски кон за отдалечен достъп (RAT), който може да атакува както Windows, така и macOS. След април 2026 г. PPI инфраструктурата води до GCleaner и Socks5Systemz.
  2. Компрометирани са публично достъпни инстанции на LocalAI Мащабни атаки са насочени към инфраструктура на LocalAI Установено е, че мащабна кампания атакува инстанции на LocalAI, изложени в интернет без автентикация, и постига изпълнение на команди, присъщо на MCP STDIO конфигурацията. „Артефактите на атакуващите показват, че 230 от 243 неавтентикирани инстанции на LocalAI са оценени като уязвими за експлоатация“, съобщават от Oasis Security. „Дневниците за обратна връзка независимо потвърдиха изпълнение на команди с root привилегии на 23 сървъра. Дейността след компрометирането включваше източване на данни от работна станция, свързана с тайландските военни сили, и събиране на 127 записа с идентификационни данни за AWS.“ Твърди се, че неизвестният киберпрестъпник е избрал инфраструктура с висока стойност от тези цели на LocalAI и е компрометирал десктоп работна станция с LocalAI и свързана частна мрежа. Това е последвано от източване на чувствителни данни, включително лична информация, GPS координати, екранни снимки от банкови приложения и сканирани копия на национални лични карти. Допълнителните действия по компрометиране се състояха от експлоатация на остаряла инфраструктура, заобикаляне на автентикацията, мащабно събиране на криптовалутни портфейли и API ключове, както и кражба на идентификационни данни за задачи в AWS ECS.
  3. Агенти пренаписват собствените си модели AI агентите могат да преобучават собствените си модели по време на изпълнение на задача Ново проучване на Irregular установи, че AI агентите могат да преобучават модела, който ги управлява, като в процеса разкриват тайни и премахват отказите, които моделът преди това е бил обучен да налага. „При рутинна задача за софтуерна поддръжка за коригиране на неправилни отговори на приложение, агентът идентифицира споделения модел като източник на проблема, дообучи го и замени модела, захранващ както приложението, така и бъдещите инстанции на самия агент“, заявяват от Irregular. „Той направи това, без да е получавал инструкции да обучава, модифицира модела или внедрява негов заместител.“ Този феномен получи кодовото име агентна самомодификация. „Нищо в тези експерименти не доказва злонамерени намерения, инстинкт за самосъхранение или измама; агентите модифицираха моделите, защото обучението очевидно помагаше за изпълнението на възложената инженерна задача“, добавиха от Irregular. „Агентната самомодификация може да възникне по време на обичайна софтуерна поддръжка, когато агент за програмиране има достъп до теглата на модела, инструментите за обучение и път за внедряване, позволяващ директно модифициране на модела.“
  4. AI агент е свързан с пробив в сигурността на данни Испанската агенция за защита на данните получи първия доклад за пробив в сигурността на данни, извършен от AI Испанската агенция за защита на данните (AEPD) съобщи, че е била уведомена за пробив в сигурността на данните, за който се твърди, че е извършен от AI агент. „Атакуващият е стартирал сканиране за уязвимости в общи файлове и успешно е влязъл в системата“, посочва AEPD. „След като се е озовал в системата, атакуващият е започнал самостоятелно да търси уязвимости в приложението; след като ги е открил, това му е позволило да модифицира лични данни и да получи достъп до фактури. Това, което е важно от гледна точка на защитата на данните, е, че трета страна изглежда е използвала AI агент като инструмент за успешно свързване на различните фази на атаката в обща верига.“
  5. Рансъмуер експлоатира VMware RCE Критична RCE уязвимост във VMware вече се експлоатира от рансъмуер банди Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) предупреди, че банди за разпространение на рансъмуер вече са започнали да експлоатират критична уязвимост във VMware vCenter, коригирана през юли. Пропускът, проследяван като CVE-2026-59310, представлява критична уязвимост за обхождане на директории в Syslog сървъра на vCenter, която неавтентикирани атакуващи могат да експлоатират за изпълнение на произволен код. През август 2026 г. германската компания за реагиране при инциденти QUIRSO разкри доказателства, че напреднала постоянна заплаха (APT), свързана с Китай, е експлоатирала уязвимостта малко след публичното ѝ оповестяване.
  6. Oracle отстранява над 800 уязвимости Oracle обявява корекции за сигурност за стотици уязвимости Oracle обяви пускането на нови корекции за сигурност като част от своята критична актуализация на корекциите за сигурност (CSPU) за септември 2026 г. Корекциите отстраняват над 800 уязвимости. Нито една от тях не е отбелязана като активно експлоатирана. „Трудно е да не звучиш като развалена грамофонна плоча в наши дни, когато говориш за актуализации на сигурността“, заяви Тайлър Регули, асоцииран директор по изследвания и разработки в областта на сигурността във Fortra. „Непрекъснато виждаме огромен брой уязвимости и всички започваме да се чувстваме малко претоварени. Казвал съм го и преди, казвам го отново: има светлина в края на тунела и рекордният брой корекции за сигурност за рекордния брой уязвимости няма да продължи вечно. Убеден съм в това. Направете всичко възможно, за да избегнете бърнаут, и просто работете върху оцеляването при този натиск. Мисля, че директива CISA BOD 26-04 свърши чудесна работа, помагайки на хората да разберат как да приоритизират въз основа на риска. Смятам, че срок от 3 дни за реакция е много кратък, когато трябва и да тествате вашите корекции за сигурност, но това помага да се определят приоритети, които имат реално значение – публично достъпна ли е, в списъка с известни експлоатирани уязвимости ли е, може ли да се автоматизира и дава ли пълен контрол. Когато можете да отговорите на тези въпроси, можете да започнете да определяте риска, който тя носи. Има ли други компоненти, които можете да включите? Разбира се, но това е чудесно начало, ако наистина не знаете как изглежда рискът за вашата организация. След като разберете как изглежда рискът, можете да започнете да приоритизирате корекциите за сигурност по по-подходящ начин.“
  7. Вътрешна подмяна на SIM карти доведе до присъда „лишаване от свобода“ Мъж от Орегон е осъден на 16 месеца затвор за подмяна на SIM карти Бивш служител на магазин на AT&T в Орегон, 44-годишният Кенет Картър, беше осъден на 16 месеца лишаване от свобода за злоупотреба с правата си за достъп с цел извършване на подмяна на SIM карти, което е помогнало на престъпници да превземат банковите сметки на клиенти. Три жертви са претърпели планирани загуби от близо 600 000 долара, като Картър обикновено е получавал между 1000 и 2000 долара за всяка измамна подмяна на SIM карта. На Картър, който е работил в магазина от май 2018 г. до ноември 2019 г., също така е наредено да изплати 99 528 долара обезщетение. Картър се призна за виновен по обвиненията по-рано през март тази година.
  8. AI стимулира избягването на засичане от зловреден софтуер Злонамерени субекти използват AI за полиморфно избягване на засичане Притежаваната от Google компания Mandiant заяви, че е наблюдавала усъвършенствани кампании със зловреден софтуер, използващи вградени олекотени AI модели за осигуряване на скрито, дългосрочно присъствие в мрежите на жертвите. „В тези среди зловредният софтуер не разчита на статичен зловреден код, който би могъл да бъде засечен от традиционното разпознаване по сигнатури“, съобщи Google. „Вместо това той използва локално AI извличане на заключения, за да анализира хост средата и да идентифицира конкретните инструменти за сигурност, които в момента са активни на крайната точка. По време на фазата на атака зловредният софтуер динамично пренаписва своите низове за изпълнение на команди по време на работа, за да заобиколи засичането. Чрез постоянна промяна на синтаксиса и логиката на своите автоматизирани действия зловредният код успешно избягва статичните сигнатури на решенията за засичане и реагиране на крайни точки (EDR).“ Технологичният гигант също така предупреди, че злонамерените субекти използват AI интерфейси с команден ред (CLI) за координиране и управление на инфраструктура за командване и контрол (C2) чрез заявки на естествен език и компрометират облачни среди, за да „инициализират неизолирана инстанция на виртуална машина и да я трансформират в активен, подпомаган от AI офанзивен център“ с цел отстраняване на грешки и оптимизиране на инструментите за атака в реално време.
  9. Cyclops Blink се завръща върху Cisco FMC Забелязан е нов вариант на Cyclops Blink От Sophos съобщиха, че през август 2026 г. са наблюдавали вариант на Cyclops Blink – модулна ботнет и зловредна рамка – върху множество компрометирани устройства Cisco Firewall Management Center (FMC). „За разлика от образците, насочени към WatchGuard и документирани през 2022 г., вариантът от 2026 г. работи върху x86-64 Linux и използва стандартно запазване на присъствието чрез System V (SysV) вместо специфична за производителя модификация на фърмуера“, заявиха от Sophos. „Тази промяна разширява обхвата на потенциално съвместимите периферни мрежови устройства. Разширените възможности на импланта включват активно откриване на мрежи и услуги, програмируемо наблюдение на пакети, пренос на файлове и изпълнение на зловреден код, което позволява на компрометираното устройство да служи като платформа за вътрешно разузнаване, събиране на данни и последващи операции. Зловредният софтуер поддържа пет работни модула, които извършват разузнаване на хоста, пренос на файлове и изпълнение на зловреден код, активно мрежово откриване, селективно прихващане на пакети и наблюдение на съдържание, както и запазване на присъствието.“ Cisco описа активността на Cyclops Blink като една от три отделни кампании, включващи две уязвимости в нейния софтуер Secure FMC: CVE-2026-20079 и CVE-2026-20316. Констатациите за пореден път показват как компрометираните мрежови устройства и друго периферно оборудване могат да осигурят на атакуващите привилегирована позиция в корпоративните среди и да им позволят да следят трафика, да извършват мрежово сондиране и да предприемат допълнителни атаки.
  10. Радиочестотни сигнали източват аналогови тайни Подробности за новата атака InjectEave Група учени от Хонконгския университет за наука и технологии и Хонконгския политехнически университет демонстрираха InjectEave – нов клас електромагнитни атаки по страничен канал, при които външен радиочестотен (RF) сигнал индуцира хардуерни нелинейности, излъчващи нискочестотни аналогови тайни. „Тази уязвимост съществува в масово разпространени нелинейни аналогови интерфейси в тестваните от нас 11 стандартни търговски устройства, което позволява на атакуващите да подслушват звук от слушалки и стационарни телефони, да установяват скоростта на смарт вентилатори и яркостта на смарт лампи, както и да извличат други аналогови тайни, които цифровото криптиране и софтуерните защити трудно могат да защитят“, посочват изследователите. „Ние демонстрираме подслушване на аудио, възпроизвеждано през кабелни и безжични слушалки от разстояние до 30 метра, както и през стени, и характеризираме индуцираното от инжектиране електромагнитно изтичане на други нискочестотни тайни.“ Тестовете върху 11 търговски устройства, включително слушалки, VoIP телефони, смарт вентилатори и лампи, показаха, че атакуващите могат да възстановят личен звук или да определят състоянието на уредите без физически достъп или модифициране на устройствата. „Мерки за ограничаване на ниво хардуер, като усукана двойка проводници, екраниране и филтриране, могат да намалят енергията, която инжектираната носеща честота предава към устройството, намалявайки уязвимостта“, казаха изследователите. „Тези мерки вдигат летвата, но не гарантират пълен имунитет.“
  11. Рансъмуерът Settra разширява атаките си Появява се рансъмуерът Settra Нова рансъмуер група, наречена Settra, внедри софтуер за отдалечен достъп MeshAgent при два пробива, анализирани от Huntress. „Въпреки че методът за първоначален достъп не можа да бъде потвърден, и двете атаки са използвали изпълними файлове на рансъмуера, кръстени на домейна на организацията жертва, и са следвали изключително сходен оперативен модел“, съобщиха от Huntress. „При наблюдаваните прониквания атакуващите са внедрили инструменти за дистанционно наблюдение и управление (RMM) за запазване на присъствието, след което са криптирали файлове, оставили са бележки за откуп RESTORE_FILES.txt, изчистили са регистрационните файлове на събитията в Windows и са деактивирали опциите за възстановяване на Windows. Един от инцидентите включваше и признаци за използване на уязвим драйвер от атакуващия (BYOVD), както и забележима правописна грешка от авторите на заплахата по време на атаката, поради която те не са успели да изчистят регистъра на събитията на Windows Defender.“ Settra се появи през юни 2026 г. и според изследователя Ракеш Кришнан е атакувала предимно организации в САЩ, Германия, Великобритания, Канада и Австралия в секторите на технологиите, професионалните услуги, производството и търговията на дребно. Към днешна дата групата твърди, че има 70 жертви. При друг случай, разследван от Cynet, „двигателят на рансъмуера е бил скрит в криптиран масив от данни и защитен с парола, предоставена от оператора. Без правилната парола изпълнимият файл просто се прекратяваше, оставяйки на изследователите и автоматизираните пясъчници твърде малко за анализ.“
  12. Нецензуриран AI се продава в ъндърграунд средите Рекламира се нецензурирана AI услуга Luciferus Киберпрестъпник с псевдоним Optimus_Prime (известен още като OptimusPrimero) рекламира абонаментна услуга за нецензуриран AI, наречена Luciferus, в подземния форум Exploit като алтернатива на заобикалянето на ограниченията на масовите доставчици като ChatGPT, Claude или Gemini. „Рекламата от август описва Luciferus като AI система, която отговаря на заявки без морални или етични ограничения, и твърди, че се базира на патентован модел със „120 милиарда параметри““, заявяват от Sophos, добавяйки, че инструментът вероятно е изграден върху семейството от AI модели Qwen на Alibaba. Услугата струва 35 долара на месец и твърди, че поддържа три модела на своя уебсайт („luciferus[.]io“). „Появата на Luciferus съвпада с по-широка тенденция, при която авторите на заплахи все по-активно комерсиализират AI чрез нелегални форуми, канали в Telegram и киберпрестъпни пазари“, посочват от Sophos. „Вместо да разработват собствени модели, много атакуващи предлагат достъп до нецензурирани или модифицирани LLM чрез схеми „AI като услуга“ по същия начин, по който зловредният софтуер, фишинг пакетите и рансъмуерът се превърнаха в масова стока.“
  13. VectraRAT MaaS се появява на пазара Нова MaaS услуга VectraRAT се пуска в продажба SOCRadar разкри подробности за нова платформа тип „зловреден софтуер като услуга“ (MaaS), наречена VectraRAT, която е създадена от нулата и се предлага за 250 долара на месец. „Тя предоставя на операторите контрол върху скрит работен плот, запис на клавиши, прихващане на съдържанието на клипборда, кражба на идентификационни данни от браузъри и заобикаляне на UAC, което повишава правата без предупреждение“, посочват от SOCRadar. „Тя съчетава контролен сървър на Go, наречен VectraHub, с операторски панел на Vue3, компилиран в изпълнимия файл, и собствен Windows имплант, написан на C++. Двата компонента комуникират чрез патентован бинарен TCP протокол, използващ MessagePack през порт 3308.“ Операторът „Vectra“ е ребрандиране на „Nyxel“, активен поне от август 2022 г. Зловредният софтуер се разпространява чрез Amadey и примамващи страници на ClickFix.
  14. Casbaneiro атакува Латинска Америка Латинска Америка е мишена на Casbaneiro През август 2026 г. беше наблюдавана кампания от атаки с Casbaneiro, насочена към потребители в Латинска Америка, използваща фишинг имейли и PDF файлове с фалшиви фактури и правни известия като вектор за първоначален достъп. „Casbaneiro проявява характеристики, общи за други семейства зловреден софтуер, насочени към финансови институции и потребители в Латинска Америка, включително инжектиране в клипборда и използване на фалшиви прозорци за улесняване на измамни дейности“, заявиха от Fortinet FortiGuard Labs. „В тази кампания на атаки зловредният софтуер се доставя чрез многостепенна верига на заразяване, която включва HTA програма за изтегляне и AutoIt зареждащ модул, като последният отговаря за инжектирането на крайния зловреден код в процес на Windows.“
  15. KATARU осъществява груба атака за Telnet достъп IoT зловредният софтуер KATARU прониква чрез груба атака срещу Telnet Зловреден софтуер за IoT устройства, наречен KATARU, използва атаки с груба сила срещу идентификационни данни за Telnet, за да проникне в Linux и вградени системи. „Макар да запазва познатата ботнет функционалност в стил Mirai, той се отличава с необичайно широк набор от възможности, включително множество n-day експлойти за локално ескалиране на привилегии в Linux, обширно покритие за запазване на присъствието в Linux и вградени среди, криптирани C2 комуникации, проверки срещу анализ и трафик за отвличане на вниманието“, заявиха от Nozomi Networks. Крайната цел е установяване на комуникация с C2 сървър и получаване на команди за DDoS атаки. Подозира се, че KATARU е създаден с помощта на AI.
  16. AI подпомага проникванията в Латинска Америка Използване на AI инструменти срещу организации в Латинска Америка От Unit 42 на Palo Alto Networks съобщиха, че са засекли две текущи, многостепенни кампании за мрежово проникване и източване на данни, насочени към организации в Латинска Америка, които използват AI за разширяване на възможностите на атакуващите: CL-CRI-1131, която използва техники тип living-off-the-land (LotL) и изпълнява итеративни командни скриптове за отстраняване на проблеми и източване на чувствителни данни, и CL-CRI-1163, която използва фишинг имейли на тема автобиографии за разполагане на персонализирани RAT и инструменти за тунелиране, включително SOCKS5 прокси, базирано на Go. CL-CRI-1131 засегна транспортна организация, както и федерални правителствени министерства и общински водоснабдителни дружества в Мексико и Еквадор, докато CL-CRI-1163 се насочи към бразилския финансов сектор. „Авторите на заплахи, стоящи зад кампаниите CL-CRI-1131 и CL-CRI-1163, подобриха своите технически възможности чрез интегриране на търговски LLM модели в работните си процеси“, заявяват от Unit 42. „Тази интеграция им позволява да създават усъвършенствани конфигурации на прокси сървъри и динамично да разрешават сложни грешки при изпълнението. Инфраструктурата, която внедриха за използване на този AI обаче, се превърна в тяхната ахилесова пета.“
  17. Azalea RAT осигурява пълен контрол Azalea RAT предлага широки възможности за отдалечен контрол Предложение като услуга (MaaS), наречено Azalea RAT, се рекламира като модулна платформа за зловреден софтуер с широк спектър от възможности след компрометиране. „Azalea RAT съчетава отдалечена администрация, механизми за прикриване, ескалация на привилегии, запазване на присъствието, кражба на информация и разширяема плъгин архитектура“, съобщават от Rubrik Zero Labs. „След стартиране RAT позволява на оператора да управлява заразения хост, да изпълнява команди и допълнителен зловреден код, да събира чувствителна информация, да манипулира системни ресурси и да поддържа отдалечен достъп чрез разширена рамка за командване и контрол.“ Този .NET RAT е проектиран за постоянно и интерактивно управление на компрометирани Windows системи. Azalea RAT пристига под формата на пряк път в Windows, маскиран като PDF документ, за да задейства изпълнението на първоначален зареждащ модул, който след това извършва проверки срещу анализ, преди да извлече DLL файл, отговорен за задаване на пътища за изключване в Microsoft Defender и в крайна сметка за стартиране на RAT.
  18. Зловреден софтуер за кражба на данни се прицелва в AI агенти Инфостийлърите посягат на AI агентите Инфостийлъри като Amatera и Remus разширяват фокуса си на събиране на данни отвъд паролите в браузърите и криптовалутните портфейли, за да събират токени за достъп, MCP конфигурации, истории на запитванията и проектни данни, съхранявани от AI инструменти. „Amatera се прицелва в данни, свързани с Cline и Continue, докато Remus атакува Claude, Cursor и OpenCode“, съобщиха от Gen Digital. „Данните могат да се припокриват и да описват открити опити, а не успешни заразявания, но те показват, че данните от AI агенти вече са навлезли в икономиката на кражба на информация. Това, което зловредният софтуер събира, далеч надхвърля безобидни потребителски предпочитания. В зависимост от агента и неговата конфигурация, локалните файлове могат да съдържат токени за достъп и опресняване, идентификационни данни, съхранявани в MCP конфигурации, история на запитванията, бази данни с разговори, подробности за профили и следи от проектите, по които е работил даден програмист. В рамките на един архив атакуващият може да получи както средствата за достъп до профила, така и контекста, необходим за разбиране на това какво ценно стои зад него.“
  19. Трима руснаци са екстрадирани по дела за киберпрестъпления САЩ екстрадират 3 руснаци, обвинени в киберпрестъпления The Moscow Times съобщи, че властите в САЩ са екстрадирали трима руски граждани от юни насам, за да се изправят пред обвинения по отделни дела за киберпрестъпления, включващи атаки със зловреден софтуер, банкови измами и хакване на правителствени организации и компании от частния сектор. Един от случаите касае 40-годишния Сярудзин Актулаев, който беше арестуван в Кипър през май 2025 г. и екстрадиран в САЩ на 28 август 2026 г. Другите два случая са свързани с руския уеб разработчик Сергей Филимонов и Денис Обрезко, който беше арестуван в Тайланд през ноември 2025 г. и екстрадиран в САЩ през юни във връзка с мащабна кампания за кибершпионаж, провеждана от група, известна като Void Blizzard.
  20. Верига ClickFix разпространява SloppyRAT SloppyRAT се разпространява чрез ClickFix примамки Нов зловреден софтуер, наречен SloppyRAT, вероятно използван от свързан с рансъмуер злонамерен субект, се разпространява чрез многостепенна верига за заразяване ClickFix с цел установяване на първоначален плацдарм за странично придвижване. Той беше идентифициран от Zscaler ThreatLabz през юни 2026 г. „Зловредният софтуер поддържа разнообразни функции, включително голям брой вградени команди, наподобяващи PowerShell, криптирани кодови блокове, EtherHiding за установяване на връзка за командване и контрол (C2) чрез протокола Polygon JSON-RPC и множество техники срещу анализ“, заявиха от ThreatLabz. „SloppyRAT използва привързване на сертификати, за да предотврати проверката на TLS трафика от решения за наблюдение на мрежата чрез атаки тип „човек по средата“. Наред с възможностите на SloppyRAT, зловредният софтуер се отличава и с това, че кодовата му база съдържа множество софтуерни дефекти, което подсказва, че все още е в процес на разработка.“
  21. Петостепенна верига инсталира AsyncRAT AsyncRAT се разпространява чрез AutoIT Наблюдавана е петостепенна верига за заразяване, използваща манипулиран чрез социално инженерство команден файл за доставка на AsyncRAT. Въпреки че точният вектор за първоначален достъп е неизвестен, авторите на заплахи обикновено разчитат на фишинг имейли, злонамерени връзки, софтуер с внедрени троянски коне и платформи за незабавни съобщения за разпространение на зловреден софтуер. „Командният файл стартира PowerShell със скрит прозорец и деактивиран профил, след което сглобява обратно Base64 зловреден код от десет фрагмента, премахва умишлено вмъкнати излишни символи и го декодира чрез XOR с повтарящ се ключ“, посочват от Point Wild. „Той поставя три файла в обфускирана папка, специфична за конкретната компилация, под %LOCALAPPDATA%\Temp: преименуван, но легитимен подписан интерпретатор на AutoIT, зареждащ AutoIT скрипт (kojuyn.ini) и криптиран зловреден код без файлово разширение. Командният файл, записан в папката Startup, рестартира двойката при всяко влизане в системата, без да използва ключ в регистъра.“ AutoIT скриптът е проектиран да декриптира зловредния код в паметта и да го инжектира в подписан от Microsoft процес на Windows. След това зловредният код задейства процес в три стъпки за стартиране на финалния зловреден софтуер AsyncRAT.
  22. Лидери на Black Axe са екстрадирани 5 предполагаеми лидери на Black Axe са екстрадирани в САЩ Петима предполагаеми базирани в Нигерия лидери на киберпрестъпния синдикат Black Axe (Пери Осагиеде, Франклин Едоса Осагиеде, Осариемен Ерик Клемент, Колинс Оухофаса Отугуор и Муса Мудаширу), известни с участието си във финансови измами в глобален мащаб с помощта на компютърни технологии, бяха екстрадирани от Южна Африка в САЩ, за да се изправят пред обвинения в електронна измама и пране на пари. Пери Осагиеде, Франклин Осагиеде и Клемент са обвинени също в електронна измама, а Пери Осагиеде, Франклин Осагиеде и Отугуор са обвинени и в квалифицирана кражба на самоличност. „Най-малко от 2011 г. до 2021 г. подсъдимите от Black Axe и други заговорници са работили заедно от Кейптаун за извършване на широкомащабни интернет измами, включващи романтични измами и схеми с предварително плащане на такси“, съобщиха от Министерството на правосъдието на САЩ. „Много от тези измамни сценарии включваха твърдения, че дадено лице пътува до Южна Африка по работа и се нуждае от пари или други ценности след поредица от злополучни и непредвидени събития, често свързани със строителна площадка или проблеми с кран. Заговорниците са използвали уебсайтове на социални мрежи, сайтове за онлайн запознанства и телефонни номера през протокола VoIP, за да откриват и разговарят с жертви в Съединените щати, използвайки множество псевдоними. Жертвите на романтичните измами на заговорниците вярваха, че са в романтична връзка с лицето зад псевдонима, и при поискване изпращаха пари и ценности в чужбина, включително в Южна Африка. Понякога, когато жертвите показваха колебание относно изпращането на пари, заговорниците използваха манипулативни тактики за принуда, включително заплахи за разпространение на компрометиращи лични снимки на жертвата.“
  23. Заговор за джакпотинг на банкомати приключи с признаване на вина 5 граждани на Венецуела се признаха за виновни за джакпотинг на банкомати Петима граждани на Венецуела се признаха за виновни в опит за кражба на щатска валута от банкомати. Луис Алберто Веласкес-Артигас (27 г.), Ройдер Ейдриън Фигера-Перес (29 г.), Хавиер Мехия-младши (27 г.), Габриел Алехандро Коралес-Гарсия (33 г.) и Итало Лисандро Коралес-Карильо (26 г.) се признаха за виновни по едно обвинение за заговор за извършване на банкова кражба. „През декември 2025 г. подсъдимите са пътували от Индиана до Канзас, за да се опитат да откраднат пари в брой от банкомати в Уамиго и Манхатън чрез джакпотинг“, заявиха от Министерството на правосъдието. „Техният план е бил един от заговорниците физически да инсталира зловредния софтуер в банкоматите, а по-късно групата да активира дистанционно команда, която да накара банкоматите да пуснат пари в брой, които те да приберат. Заговорниците не са успели да инсталират зловредния софтуер на банкомата в Уамиго, но опитите им за инсталиране са задействали алармата, което е довело до реакция на правоприлагащите органи и извършителите не са се върнали на мястото. В Манхатън групата също не е успяла да накара банкомата да пусне пари. И двата опита за кражба са заснети от охранителни камери, а извършителите са арестувани няколко дни по-късно.“ Според Федералното бюро за разследване на САЩ от 2020 г. насам са регистрирани 1900 подобни инцидента. Само през 2025 г. са отчетени над 700 инцидента със загуби за над 20 милиона долара.
  24. Осем години затвор за джакпотинг на банкомати Венецуелец е осъден на 8 години затвор за джакпотинг на банкомати Във връзка с още действия срещу джакпотинг на банкомати друг 27-годишен гражданин на Венецуела, Хуан Мануел Гувея-Агилера, беше осъден на осем години затвор за участието си в заговор за внедряване на зловреден софтуер Ploutus и кражба на милиони долари от банкомати в САЩ. Като част от присъдата на Гувея-Агилера също така беше наредено да изплати обезщетение. „Съдът призна Гувея-Агилера за отговорен за загуби в размер на над 3,5 милиона долара и се смята, че тази присъда е най-дългата федерална присъда, налагана за роля на отделно лице в джакпотинг на банкомати“, съобщиха от Министерството на правосъдието. „По-конкретно, Гувея-Агилера беше осъден за заговор за извършване на банкова измама, заговор за извършване на взломна кражба от банка и компютърни измами, банкова измама, взломна кражба от банка и компютърни измами след признаване на вината.“ През последните години киберпрестъпниците са използвали зловреден софтуер ATMii, ATMitch, GreenDispenser, Alice, RIPPER, Skimer, SUCEFUL и Ploutus, за да крадат пари в брой при джакпотинг атаки срещу банкомати.
  25. Близо 13 млрд. долара са свързани със съмнения за криптоизмами FinCEN идентифицира около 13 млрд. долара, свързани със съмнителни измами с дигитални активи Мрежата за борба с финансовите престъпления към Министерството на финансите на САЩ (FinCEN) съобщи, че е анализирала 33 904 доклада по Закона за банковата тайна (BSA), включващи подозрителна дейност, свързана с инвестиционни измами с дигитални активи, подадени между 8 септември 2023 г. и 31 декември 2025 г., на обща стойност около 12,7 милиарда долара във финансова активност, свързана с предполагаеми измами с инвестиции в дигитални активи, извършвани от задгранични измамнически центрове. „Извършителите често са използвали измислени имена или самоличности, за да се представят като потенциални романтични партньори, нови приятели или нови бизнес партньори, насочвайки се към жертвите на измамите“, заявиха от FinCEN. „Измамниците често са създавали уебсайтове и мобилни приложения, имитиращи легитимни инвестиционни услуги, за да осъществяват своята престъпна дейност“, посочват от FinCEN, като добавят, че операторите на измамнически центрове използват гаранционни пазари за закупуване на незаконни услуги, като създаване на онлайн акаунти, фишинг и услуги за пране на пари.