Слоу

Медленный туман подтвердил, что программа для Windows, которая выдает себя за взломанную версию TradingView Premium, будет красть учетные данные браузера, данные криптокошельков и Telegram.

Главный специалист по информационной безопасности Slow Fog 23pds опубликовал сообщение на платформе X, в котором говорится, что профессиональная организация APT29, связанная с Восточной Европой, распространяет инструменты эксплуатации уязвимостей для iOS и Android через взломанные веб-сайты и скрипты перехвата сетевого анализа.Он отметил, что DarkSword и AndroSnitch начали массовые атаки, и что обычные веб-сайты или приложения, которые посещают пользователи, могут содержать задние двери. Он рекомендовал пользователям обновить свои системы до последней версии.

Основатель компании по безопасности блокчейна Slow Mist Ю Сян на платформе X заявил, что многие, посмотрев на процесс кражи, раскрытый Binance, считают, что вовлеченный инженер допустил грубую ошибку и имел слишком большие полномочия.Ю Сян отметил, что такие события относятся к высокоуровневым постоянным угрозам (APT), которые включают в себя использование человеческих факторов, разведывательные действия, обход антивирусного ПО, использование цепочки доверия, целенаправленное горизонтальное отравление, проникновение в облачную среду, обход контроля рисков и уязвимости 0day, и не следует смотреть только на начальный этап социальной инженерии.

Основатель Slow Mist Ю Сян в твите заявил, что хакеры Binance выбрали механизм EIP-7702 на Ethereum, чтобы упростить работу по очистке, то есть массово украсть токены с горячих кошельков, связанных с Binance.Ю Сян отметил, что с точки зрения блокчейна действия хакеров были довольно грубыми, и перед реальным кражей они провели несколько часов подготовительных тренировок. Он подчеркнул, что сам механизм EIP-7702 не имеет проблем, и даже без этого протокола существуют другие способы для выполнения аналогичных операций.

Главный специалист по информационной безопасности Slow Fog 23pds сообщил, что утечка данных Coinbase подтверждена, но еще не установлено, были ли украдены пароли или средства. Хакеры получили контактную информацию более 70,000 пользователей.

Согласно информации от Slow Fog, их сотрудники по безопасности в ходе регулярной проверки угроз обнаружили, что скрипт, связанный с системой обслуживания клиентов Udesk, udeskApi.2026-10-16.cached.js, был внедрен в вредоносный загрузчик. Этот загрузчик скрывает адрес с помощью шестнадцатеричного кодирования и асинхронно загружает удаленный скрипт deeps.js (источник udeskqlobal[.]com, обратите внимание, что доменное имя начинается с буквы q). Этот скрипт считывает доступные на странице Cookie, localStorage и sessionStorage, а также перехватывает запросы форм и аутентификации, отправляя данные на udeskqlobal[.]com/c.php; злоумышленник может использовать это для захвата сессии или аккаунта. Действия по сбору данных не ограничены правилами целевого сайта, и неподходящие страницы также могут быть затронуты.По анализу Slow Fog, этот скрипт также нацелен на три типа сайтов: mgbx[.]com, bikingex[.] и bitxex[.]io, сканируя страницы пополнения каждые 200 миллисекунд и заменяя распознанные адреса пополнения на предустановленные адреса BTC, EVM, TRON, Solana, LTC и DOGE. В то же время, скрипт, оборачивая API буфера обмена, заменяет кнопки копирования и перехватывает события копирования, так что пользователи видят и копируют только измененные адреса. Если пользователь переведет средства по этому адресу, деньги поступят на адрес злоумышленника.

Главный специалист по информационной безопасности Slow Mist 23pds заявил, что если PCB устройства Ledger была изменена так, как описал бывший CEO Mt. Gox Марк Карпелес, то у злоумышленников будет довольно высокий уровень технической подготовки.23pds утверждает, что возможный процесс атаки заключается в том, что кошелек генерирует мнемоническую фразу внутри защищенного элемента и отображает ее на экране для записи пользователем. Зловредный модуль получает отображаемый контент через такие линии данных экрана, как SPI, записывает полную мнемоническую фразу, а затем отправляет данные злоумышленнику через LTE/eSIM. Защищенный элемент может предотвратить прямое считывание или экспорт приватного ключа, но не может остановить внешние модули от получения информации, отображаемой на экране. Он отметил, что вышеуказанный анализ основан на предположении, что PCB действительно была модифицирована указанным образом, и соответствующие пути атаки и случаи аппаратного внедрения все еще требуют независимой проверки.Марк Карпелес ранее заявил, что один из полученных им аппаратных кошельков Ledger подозревается в наличии шпионского модуля. Устройство поступило из Малайзии, упаковка была цела, а имплантат скрыт в месте, где должна находиться оригинальная подушка экрана, и включает компоненты LTE связи, антенну, eSIM и микроконтроллер, подключенный к шине SPI Ledger, который может анализировать символы, отображаемые устройством пользователю, и отправлять соответствующие данные после завершения настройки мнемонической фразы.

Глава по информационной безопасности компании Ман Ву 23pds написал в Твиттере, что публичный WiFi сам по себе не крадет монеты. Убытки вызывают фишинговые страницы, открытые через поддельный WiFi, а также действия пользователей, подписывающих транзакции или импортирующих приватные ключи. То, какие сайты посещаются и какие действия выполняются после подключения, является ключевым фактором, который может привести к потере активов.Ранее пользователь X Xiaoyu_184CM написал в Твиттере, что после подключения к бесплатному WiFi в аэропорту Сингапура, его кошелек, который не использовался для торговли в течение месяца, был украден на 3.7 BNB. Основатель Binance CZ ответил, что всегда не рекомендует подключаться к публичному WiFi, но просто подключение к WiFi не должно приводить к краже кошелька, и спросил, были ли какие-либо другие действия. Крипто KOL AB KuaiDong предположил, что кто-то мог специально настроить бесплатный WiFi, а маршрутизатор был модифицирован, на что Xiaoyu ответил, что считает, что это именно так.

Согласно предупреждению безопасности от SlowMist, инструмент AI памяти MemTensor был взломан. Открытая долгосрочная память MemoryOS (PyPI) для LLM и AI Agent, а также официальный плагин memtensor/memos-cloud-openclaw-plugin (npm), подключающийся к OpenClaw, были заражены кроссплатформенным бинарным файлом на Go, который активируется при загрузке или импорте пакета.Затронутые версии включают: MemoryOS==2.34 на PyPI, а также плагины npm 0.1.21, 0.1.23, 0.1.25. При этом затронутые плагины npm также могут привести к утечке содержимого prompt пользователей. SlowMist рекомендует принять следующие меры: удалить или понизить до известной безопасной версии (npm 0.1.20, PyPI 2.33); завершить процесс sckit; заблокировать соответствующую инфраструктуру; проверить сетевую активность; и сменить учетные данные в затронутой среде.