MEGANews. Cамые важные события в мире инфосека за август

Усложнение sideloading’а

Пред­ста­вите­ли Google со­общи­ли, что с 2026 года на сер­тифици­рован­ные Android-устрой­ства мож­но будет уста­нав­ливать толь­ко при­ложе­ния от верифи­циро­ван­ных раз­работ­чиков. Эта мера нап­равле­на на борь­бу с вре­донос­ным ПО и финан­совым мошен­ничес­твом и зат­ронет при­ложе­ния, которые уста­нав­лива­ются из сто­рон­них источни­ков.

Тре­бова­ние будет касать­ся всех «сер­тифици­рован­ных Android-устрой­ств», то есть девай­сов, на которых работа­ет Play Protect и пре­дус­танов­лены при­ложе­ния Google.

Еще в 2023 году в магази­не Google Play Store появи­лись похожие тре­бова­ния, и в ком­пании заяв­ляют, что это при­вело к рез­кому сни­жению количес­тва вре­донос­ных прог­рамм и слу­чаев мошен­ничес­тва. Поэто­му теперь тре­бова­ния ста­нут обя­затель­ными для любых при­ложе­ний, вклю­чая те, что рас­простра­няют­ся через сто­рон­ние магази­ны при­ложе­ний и sideloading, то есть уста­нов­ку из сто­рон­них источни­ков (ког­да поль­зователь сам заг­ружа­ет на устрой­ство APK-файл).

В Google срав­нива­ют новые тре­бова­ния с про­вер­кой докумен­тов в аэро­пор­ту.

«Пред­ставь­те, что это как про­вер­ка докумен­тов в аэро­пор­ту — она под­твержда­ет лич­ность путешес­твен­ника, но отде­лена от дос­мотра его багажа. Мы будем под­тверждать лич­ность раз­работ­чика, но не про­верять содер­жимое и про­исхожде­ние его при­ложе­ния», — пишут в ком­пании.

Та­ким спо­собом Google хочет бороть­ся с «убе­дитель­ными фей­ковыми при­ложе­ниями» и усложнить задачу зло­умыш­ленни­кам, которые неред­ко начина­ют рас­простра­нять оче­ред­ную мал­варь вско­ре пос­ле того, как Google уда­лила пре­дыду­щую.

Со­обща­ется, что про­веден­ный недав­но ана­лиз показал, что в сто­рон­них источни­ках, при­ложе­ния из которых уста­нав­лива­ются с помощью sideloading’а, най­дено в 50 раз боль­ше мал­вари, чем в при­ложе­ниях, дос­тупных в магази­не Google Play.

При этом в Google под­черки­вают, что «у раз­работ­чиков сох­ранит­ся та же сво­бода рас­простра­нять свои при­ложе­ния нап­рямую сре­ди поль­зовате­лей через сто­рон­ние источни­ки или исполь­зовать любой магазин при­ложе­ний, который они пред­почита­ют».

Для реали­зации новой ини­циати­вы будет соз­дана отдель­ная упро­щен­ная кон­соль Android Developer Console, пред­назна­чен­ная для раз­работ­чиков, которые рас­простра­няют свои при­ложе­ния за пре­дела­ми Google Play Store. Пос­ле под­твержде­ния лич­ности раз­работ­чикам будет необ­ходимо зарегис­три­ровать имя пакета и клю­чи под­писи сво­их при­ложе­ний.

Те, кто рас­простра­няет при­ложе­ния через магазин Google Play, «веро­ятно, уже соот­ветс­тву­ют тре­бова­ниям верифи­кации через сущес­тву­ющий про­цесс Play Console», где орга­низа­циям тре­бует­ся ука­зать номер D-U-N-S (Data Universal Numbering System — уни­каль­ный девятиз­начный иден­тифика­цион­ный номер для юри­дичес­ких лиц).

Тес­тирова­ние новой сис­темы верифи­кации нач­нется в октябре текуще­го года, и к ней получат дос­туп пер­вые Android-раз­работ­чики. Для всех этот механизм зарабо­тает в мар­те 2026 года.

Сна­чала тре­бова­ние о верифи­кации всту­пит в силу в сен­тябре 2026 года в Бра­зилии, Индо­незии, Син­гапуре и Таилан­де. В Google объ­ясня­ют, что эти стра­ны «осо­бен­но зат­ронуты такими фор­мами мошен­ничес­ких при­ложе­ний». Затем в 2027 году верифи­кация раз­работ­чиков нач­нет при­менять­ся по все­му миру.

20+ опасных VPN

Ана­лити­ки Citizen Lab пре­дуп­редили, что более 20 VPN-при­ложе­ний из магази­на Google Play име­ют серь­езные проб­лемы с безопас­ностью, которые угро­жают при­ват­ности поль­зовате­лей и поз­воля­ют рас­шифро­вывать переда­ваемые дан­ные. Сум­марно эти при­ложе­ния нас­читыва­ют 972 мил­лиона ска­чива­ний.

Спе­циалис­ты рас­ска­зали, что VPN-про­вай­деры, которые рас­простра­няют проб­лемные при­ложе­ния, тес­но свя­заны друг с дру­гом. При этом они заяв­ляют, что явля­ются отдель­ными ком­пани­ями, а так­же исполь­зуют раз­личные спо­собы, что­бы скрыть нас­тоящее положе­ние дел.

От­чет Citizen Lab отталки­вает­ся от пре­дыду­щих иссле­дова­ний, которые выяви­ли вза­имос­вязь меж­ду тре­мя пос­тавщи­ками VPN, яко­бы базиру­ющи­мися в Син­гапуре, — Innovative Connecting, Autumn Breeze и Lemon Clove. Все эти ком­пании ранее уда­лось свя­зать с граж­данином Китая, а теперь ана­лити­ки выяви­ли допол­нитель­ные пересе­чения меж­ду при­ложе­ниями, а так­же наш­ли связь с дру­гими VPN-при­ложе­ниями и их раз­работ­чиками.

Сог­ласно отче­ту, восемь VPN-при­ложе­ний, соз­данных Innovative Connecting, Autumn Breeze и Lemon Clove, исполь­зуют общий код, зависи­мос­ти и жес­тко закоди­рован­ные пароли, что потен­циаль­но поз­воля­ет ата­кующим рас­шифро­вывать весь тра­фик поль­зовате­лей. Сум­марно эти при­ложе­ния нас­читыва­ют более 330 мил­лионов уста­новок в Google Play Store.

Все три ком­пании, которые ранее были свя­заны с Qihoo 360 (китай­ской ИБ‑ком­пани­ей, попав­шей под сан­кции США в 2020 году), пред­лага­ют VPN-сер­висы и полага­ются на про­токол Shadowsocks, который исходно соз­давал­ся для обхо­да «Велико­го китай­ско­го фай­рво­ла».

Ис­сле­дова­тели отме­чают, что про­токол исполь­зует сим­метрич­ное шиф­рование и уяз­вим для раз­личных атак из‑за при­мене­ния уста­рев­ших шиф­ров и жес­тко закоди­рован­ных паролей. Кро­ме того, его вза­имо­дей­ствие с сис­темой отсле­жива­ния соеди­нений в ОС поз­воля­ет ата­кующим зах­ватывать кон­троль над соеди­нени­ями жертв.

Во­семь при­ложе­ний (Turbo VPN, Turbo VPN Lite, VPN Monster, VPN Proxy Master, VPN Proxy Master Lite, Snap VPN, Robot VPN и SuperNet VPN) под­держи­вают про­токо­лы IPsec и Shadowsocks, тоже демонс­три­руют зна­читель­ные пересе­чения в коде, а так­же исполь­зуют раз­личные механиз­мы для анти­ана­лиза и обхо­да авто­мати­чес­ких про­верок безопас­ности.

Все изу­чен­ные спе­циалис­тами при­ложе­ния ока­зались уяз­вимы перед ата­ками на вме­шатель­ство в соеди­нения и инъ­екци­ями пакетов. Все они тай­но собира­ют информа­цию о мес­тополо­жении поль­зовате­лей, исполь­зуют сла­бое шиф­рование и содер­жат один и тот же жес­тко закоди­рован­ный пароль для кон­фигура­ции Shadowsocks.

Ис­поль­зуя этот пароль, в Citizen Lab обна­ружи­ли, что все три пос­тавщи­ка VPN, пред­лага­ющие эти при­ложе­ния, полага­ются на еди­ную инфраструк­туру, что еще раз под­твержда­ет связь меж­ду ними.

При этом отме­чает­ся, что дру­гая груп­па про­вай­деров — Matrix Mobile Pte Ltd, ForeRaya Technology Limited, Wildlook Tech Pte Ltd, Hong Kong Silence Technology Limited и Yolo Mobile Technology Limited — так­же может быть свя­зана с упо­мяну­той трой­кой, учи­тывая исполь­зование оди­нако­вых про­токо­лов, похожесть кода и обфуска­ции.

Их VPN-решения, сум­марно нас­читыва­ющие более 380 мил­лионов ска­чива­ний, тоже ока­зались уяз­вимы для атак на вме­шатель­ство в соеди­нения, содер­жат обфусци­рован­ные пароли и под­клю­чают­ся к одно­му и тому же набору IP-адре­сов.

Два дру­гих пос­тавщи­ка — Fast Potato Pte Ltd и Free Connected Limited — пред­лага­ют VPN-кли­енты, которые полага­ются на одну и ту же проп­риетар­ную реали­зацию про­токо­ла.

По дан­ным Citizen Lab, выяв­ленные проб­лемы безопас­ности и при­ват­ности в изу­чен­ных при­ложе­ниях по‑раз­ному вли­яют на поль­зовате­лей. Нап­ример, они могут нарушать доверие и при­ват­ность за счет скры­того сбо­ра дан­ных о мес­тополо­жении, а так­же могут под­вергать людей рис­ку перех­вата и модифи­кации тра­фика.

«Обна­ружен­ные нами проб­лемы зат­рагива­ют поль­зовате­лей, про­вай­деров и магази­ны при­ложе­ний. Поль­зовате­лям VPN, которые ценят свою при­ват­ность, как минимум рекомен­дует­ся избе­гать исполь­зования Shadowsocks, вклю­чая при­ложе­ния от этих раз­работ­чиков, пос­коль­ку Shadowsocks был соз­дан не для обес­печения при­ват­ности, а для обхо­да цен­зуры», — зак­лючили в Citizen Lab.

Сто­ит отме­тить, что о дру­гом небезо­пас­ном VPN в этом месяце пре­дуп­редили иссле­дова­тели из ком­пании Koi Security. По их дан­ным, недав­но изме­нилось поведе­ние популяр­ного Chrome-рас­ширения FreeVPN.One. Оно начало тай­но делать скрин­шоты любой активнос­ти поль­зовате­лей и переда­вать их на уда­лен­ный сер­вер.

До 60% трафика СМИ теряют из-за ИИ

• По дан­ным ана­лити­ков Kokoc Performance, с начала 2025 года СМИ потеря­ли от 15% до 60% (в сред­нем 30%) орга­ничес­кого тра­фика из‑за внед­рения ней­роот­ветов в «Яндексе» и Google. При этом показа­тель CTR для некото­рых катего­рий сни­зил­ся более чем вдвое.
• Ста­тис­тика LiveInternet так­же сви­детель­ству­ет о том, что прос­мотры новос­тных сай­тов упа­ли на 12–15%.

• Пред­ста­вите­ли РБК сооб­щают о падении тра­фика на отдель­ных про­ектах до 50%. А в «Ком­мерсан­те» говорят, что за январь — июль показы в «Яндексе» сни­зились с 86,3 мил­лиона до 78 мил­лионов, а в Google — с 62,5 мил­лиона до 51,7 мил­лиона.
• В резуль­тате экспер­ты прог­нозиру­ют сни­жение доходов от рек­ламы на 30–50% к кон­цу года, про­пор­циональ­но потере тра­фика.

Max и использование камеры

В середи­не августа в соци­аль­ных сетях появи­лась жалоба поль­зовате­ля, который писал, что дес­ктоп­ная вер­сия мес­сен­дже­ра Max вызыва­ет сра­баты­вания анти­виру­са «Лабора­тории Кас­пер­ско­го». Защит­ное ПО пре­дуп­режда­ло, что Max исполь­зует камеру даже в неак­тивном сос­тоянии.

О том, что о подоз­ритель­ной активнос­ти мес­сен­дже­ра Max то и дело пре­дуп­режда­ет защит­ное ПО «Лабора­тории Кас­пер­ско­го», рас­ска­зал поль­зователь «Пикабу» под ником maxandrey. Он уточ­нял, что, даже ког­да мес­сен­джер неак­тивен, «Max сидит в трее и зачем‑то пос­тоян­но дер­гает камеру».

При этом maxandrey отме­тил, что не нашел никако­го спо­соба сооб­щить о проб­леме раз­работ­чикам.

Я не нашел в при­ложе­нии Max (дес­ктоп) даже кон­тактов, что­бы свя­зать­ся с раз­работ­чиками и дать им фид­бэк по этой теме. Никакой отла­доч­ной информа­ции, нет воз­можнос­ти соб­рать и отпра­вить им. В при­ложе­нии такой фун­кци­онал отсутс­тву­ет. В раз­деле «О при­ложе­нии» есть воз­можность толь­ко про­верить обновле­ния, в раз­деле «Помощь» есть воз­можность пооб­щать­ся с роботом, — говорит maxandrey. — Воз­можность нас­тро­ить дос­тупы к камере и мик­рофону в фун­кци­она­ле самого при­ложе­ния тоже отсутс­тву­ет.

В 2024 году поль­зовате­ли про­дук­тов «Лабора­тории Кас­пер­ско­го» (в час­тнос­ти Kaspersky Internet Security) уже стал­кивались с пос­тоян­ными уве­дом­лени­ями о том, что то или иное при­ложе­ние исполь­зует камеру. Эти уве­дом­ления «появ­лялись на пару секунд, ког­да запус­кался софт, исполь­зующий камеру».

В начале 2025 года сооб­щалось, что раз­работ­чики устра­нили эту проб­лему в вер­сии 21.20.

Пуб­ликация поль­зовате­ля «Пикабу» выз­вала широкий резонанс и прив­лекла вни­мание мно­гих СМИ и Telegram-каналов. В резуль­тате раз­работ­чики Max завери­ли, что мес­сен­джер не зап­рашива­ет дос­туп к камере в фоновом режиме и не исполь­зует ее без активных дей­ствий со сто­роны поль­зовате­ля.

«Поль­зователь акти­виру­ет камеру компь­юте­ра в Max, толь­ко ког­да самос­тоятель­но ини­циирует эту фун­кцию, нап­ример во вре­мя виде­озвонка. Без активно­го дей­ствия поль­зовате­ля при­ложе­ние не зап­рашива­ет дос­тупа к камере и не исполь­зует ее», — заяви­ли в пресс‑служ­бе Max.

Дуров о своем аресте

В кон­це августа 2024 года Пав­ла Дурова арес­товали во Фран­ции, где ему предъ­яви­ли шесть обви­нений, свя­зан­ных с раз­личны­ми прес­тупле­ниями, выяв­ленны­ми в Telegram (вклю­чая педофи­лию, отмы­вание денег и незакон­ный обо­рот нар­котиков).

К годов­щине этой даты Дуров опуб­ликовал в сво­ем Telegram-канале сооб­щение, в котором заявил, что Фран­ция лишь нанес­ла ущерб сво­ей репута­ции:

Год назад фран­цуз­ская полиция задер­жала меня на четыре дня, пос­коль­ку нес­коль­ко человек, о которых я никог­да не слы­шал, исполь­зовали Telegram для коор­динации прес­тупле­ний. Арест генераль­ного дирек­тора круп­ной плат­формы из‑за дей­ствий ее поль­зовате­лей был не толь­ко бес­пре­цеден­тным — он был юри­дичес­ки и логичес­ки абсур­дным.

Год спус­тя «уго­лов­ное рас­сле­дова­ние» все еще пыта­ется обна­ружить хоть что‑то, что я или Telegram сде­лали неп­равиль­но. Наши методы модера­ции соот­ветс­тву­ют отрасле­вым стан­дартам, и Telegram всег­да отве­чал на каж­дый име­ющий юри­дичес­кую силу зап­рос из Фран­ции.

По иро­нии судь­бы меня арес­товали из‑за ошиб­ки самой фран­цуз­ской полиции: до августа 2024 года они игно­риро­вали законы Фран­ции и ЕС и не отправ­ляли зап­росы в Telegram в соот­ветс­твии с уста­нов­ленной юри­дичес­кой про­цеду­рой. Они мог­ли бы узнать о пра­виль­ном поряд­ке дей­ствий, прос­то погуг­лив или спро­сив.

Спус­тя год пос­ле это­го стран­ного арес­та я все еще вынуж­ден воз­вра­щать­ся во Фран­цию каж­дые 14 дней, и дата подачи апел­ляции по‑преж­нему неиз­вес­тна. К сожале­нию, единс­твен­ным резуль­татом моего арес­та на дан­ный момент явля­ется огромный ущерб, нанесен­ный имид­жу Фран­ции как сво­бод­ной стра­ны.

Мы будем про­дол­жать бороть­ся и победим.

Windows ломает SSD и HDD

Не­дав­ние обновле­ния для Windows 11 24H2 могут вызывать пов­режде­ние дан­ных и сбои в работе некото­рых моделей SSD и HDD. Microsoft пока не уда­лось вос­про­извести проб­лему, и в ком­пании про­сят людей при­сылать информа­цию о выяв­ленных неис­прав­ностях.

Впер­вые о воз­можной проб­леме пре­дуп­редил япон­ский иссле­дова­тель, который заметил, что ОС перес­тает видеть накопи­тели с NAND-кон­трол­лерами Phison во вре­мя интенсив­ных опе­раций записи (нап­ример, запись боль­ших фай­лов или мно­жес­тва фай­лов одновре­мен­но, уста­нов­ка боль­ших обновле­ний в играх). Он писал, что проб­лема воз­ника­ет пос­ле уста­нов­ки августов­ско­го обновле­ния безопас­ности KB5063878 и preview-обновле­ния KB5062660.

Хо­тя некото­рые из пос­тра­дав­ших накопи­телей вос­ста­нав­ливались пос­ле перезаг­рузки сис­темы, дру­гие все рав­но оста­вались недос­тупны. Иссле­дова­тель пред­положил, что проб­лема может быть свя­зана с ошиб­кой кеша накопи­теля и утеч­кой памяти в буфери­зуемой ОС области.

Тес­ты показы­вают, что сим­пто­мы появ­ляют­ся на SSD с запол­ненностью свы­ше 60% пос­ле при­мер­но 50 Гбайт неп­рерыв­ной записи. Сооб­щения ука­зыва­ют на похожие сим­пто­мы и на HDD, — писал спе­циалист. — Так­же тес­ты показы­вают, что NAND-кон­трол­леры Phison более склон­ны к проб­лемам, при­чем модели без DRAM этой же ком­пании, как пра­вило, демонс­три­руют проб­лемы даже при мень­ших объ­емах записи.

Дру­гие поль­зовате­ли сооб­щали, что стол­кну­лись с такой же проб­лемой, работая с накопи­теля­ми SanDisk Extreme Pro, Corsair Force MP600, Maxio SSD, KIOXIA EXCERIA PLUS G4, KIOXIA M.2 SSD и дру­гими устрой­ства­ми, осна­щен­ными кон­трол­лерами Phison PS5012-E12 и InnoGrit.

Вско­ре пред­ста­вите­ли Microsoft сооб­щили СМИ, что им извес­тно о проб­леме и они уже занима­ются ее изу­чени­ем сов­мес­тно с пар­тне­рами.

По­ка спе­циалис­там ком­пании не уда­лось вос­про­извести проб­лему. В Microsoft утвер­жда­ют, что «ни внут­реннее тес­тирова­ние, ни телемет­рия не выяви­ли уве­личе­ния количес­тва сбо­ев в работе дис­ков или пов­режде­ний фай­лов».

Кро­ме того, утвер­жда­ется, что служ­ба под­дер­жки кли­ентов не получа­ла сооб­щений от людей, которые стол­кну­лись с этой проб­лемой. Поэто­му в нас­тоящее вре­мя Microsoft пыта­ется соб­рать отче­ты поль­зовате­лей с допол­нитель­ной информа­цией об этих сбо­ях и про­сит всех пос­тра­дав­ших исполь­зовать Support for Business или Feedback Hub для уве­дом­ления о проб­лемах.

Пред­ста­вите­ли ком­пании Phison так­же сооб­щили СМИ, что пос­ледс­твия от обновле­ний KB5063878 и KB5062660 для Windows 11 потен­циаль­но мог­ли зат­ронуть ряд устрой­ств хра­нения дан­ных, в том чис­ле некото­рые из под­держи­ваемых Phison.

«Мы понима­ем, какие неудобс­тва это мог­ло выз­вать, и опе­ратив­но свя­зались с заин­тересо­ван­ными учас­тни­ками отрасли. В нас­тоящее вре­мя про­водит­ся про­вер­ка кон­трол­леров, которые мог­ли быть зат­ронуты, и мы работа­ем с нашими пар­тне­рами», — заяви­ли в Phison.

По­ка проб­лема не будет решена, поль­зовате­лям Windows рекомен­дует­ся избе­гать записи боль­ших фай­лов (на десят­ки гигабайт) или мно­жес­тва круп­ных фай­лов под­ряд и вмес­то это­го записы­вать их неболь­шими пар­тиями. Так­же рас­паков­ку боль­ших архи­вов со мно­жес­твом эле­мен­тов (нап­ример, 200 фай­лов по 200 Мбайт каж­дый) рекомен­дует­ся про­водить в нес­коль­ко эта­пов.

У Google утекли данные

Ком­пания Google про­информи­рова­ла, что пос­тра­дала от утеч­ки дан­ных. Этот инци­дент стал оче­ред­ной ата­кой хак­груп­пы ShinyHunters, которая в пос­ледние месяцы нацеле­на на Salesforce CRM.

В июне 2025 года спе­циалис­ты Google пре­дуп­режда­ли, что груп­пиров­ки, которые они отсле­жива­ют под кодовы­ми наз­вани­ями UNC6040 и UNC6240 (они же ShinyHunters), ата­куют ком­пании с помощью соци­аль­ной инже­нерии и вишин­га (голосо­вого фишин­га). Целью хакеров при этом явля­ется ком­про­мета­ция Salesforce и получе­ние дос­тупа к дан­ным кли­ентов.

По­хитив дан­ные, зло­умыш­ленни­ки вымога­ют у пос­тра­дав­ших ком­паний день­ги, угро­жая опуб­ликовать укра­ден­ную информа­цию.

В этом месяце ком­пания обно­вила свою июнь­скую пуб­ликацию и опуб­ликова­ла заяв­ление, в котором сооб­щила, что в июне и сама Google ста­ла жер­твой ана­логич­ной ата­ки: хакеры сумели взло­мать один из инстан­сов Salesforce CRM и укра­ли дан­ные кли­ентов.

В июне один из кор­поратив­ных инстан­сов Salesforce ком­пании Google пос­тра­дал от ана­логич­ной активнос­ти UNC6040. Google отре­аги­рова­ла на слу­чив­шееся, про­вела ана­лиз пос­ледс­твий и при­няла меры по их устра­нению, — гла­сит заяв­ление. — Этот инстанс исполь­зовал­ся для хра­нения кон­так­тной информа­ции и свя­зан­ных с ней заметок о пред­при­ятиях малого и сред­него биз­неса. Ана­лиз показал, что дан­ные были извле­чены зло­умыш­ленни­ками за корот­кий про­межу­ток вре­мени до зак­рытия дос­тупа. Получен­ная ата­кующи­ми информа­ция в основном огра­ничи­валась базовы­ми и обще­дос­тупны­ми дан­ными, нап­ример наз­вани­ями ком­паний и кон­так­тны­ми дан­ными.

Как выяс­нилось поз­же, утеч­ка зат­ронула кли­ентов Google Ads. Ском­про­мети­рован­ные дан­ные содер­жали наз­вания ком­паний, номера телефо­нов и «свя­зан­ные замет­ки», которые исполь­зуют­ся менед­жерами для пов­торной свя­зи с кли­ента­ми.

Од­нако инци­дент не кос­нулся пла­теж­ной информа­ции, а так­же дан­ных акка­унтов Google Ads, Merchant Center, Google Analytics и дру­гих рек­ламных про­дук­тов ком­пании.

«Наши записи показы­вают, что в резуль­тате были ском­про­мети­рова­ны базовые кон­так­тные дан­ные и свя­зан­ные с ними замет­ки», — заяви­ли в Google.

Хо­тя в Google не сооб­щили о количес­тве пос­тра­дав­ших, хакеры, взяв­шие на себя ответс­твен­ность за эту ата­ку, заяви­ли, что похити­ли у ком­пании при­мер­но 2,55 мил­лиона записей, а пос­ле пот­ребова­ли выкуп в раз­мере 20 бит­коинов (око­ло 2,3 мил­лиона дол­ларов США по кур­су на момент ата­ки).

По информа­ции изда­ния Bleeping Computer, за этой ата­кой сто­ит сущес­тву­ющая мно­го лет хакер­ская груп­па ShinyHunters. В прош­лом эта груп­пиров­ка была извес­тна взло­мами Oracle Cloud, Snowflake, AT&T, NitroPDF, Wattpad, MathWay и так далее.

За пос­ледние месяцы от прак­тичес­ки ана­логич­ных уте­чек, свя­зан­ных с ком­про­мета­цией Salesforce, уже пос­тра­дали: Adidas, ави­аком­пания Qantas, стра­ховая ком­пания Allianz Life, ряд брен­дов LVMH (Louis Vuitton, Dior и Tiffany & Co), сайт Cisco.com, а так­же мод­ный дом Chanel и дат­ская юве­лир­ная ком­пания Pandora.

Пред­ста­вите­ли ShinyHunters заяв­ляют, что теперь работа­ют сов­мес­тно с груп­пиров­кой Scattered Spider, которая отве­чает за получе­ние пер­воначаль­ного дос­тупа к целевым сис­темам. В нас­тоящее вре­мя ата­кующие называ­ют себя Sp1d3rHunters, объ­еди­нив наз­вания обе­их хак­групп.

Самые распространенные вредоносы в РФ

• Спе­циалис­ты Positive Technologies под­счи­тали, что чаще все­го сре­ди мал­вари в Рос­сии встре­чались шпи­онские прог­раммы из семей­ств FormBook, Agent Tesla и Snake Keylogger.
• Так­же в этом году в топ-10 вре­доно­сов попали мал­варь для уда­лен­ного дос­тупа DarkWatchman и модуль­ный бот­нет Prometei.

• В целом доля атак с исполь­зовани­ем мал­вари про­дол­жает рас­ти: в 2024 году и пер­вой полови­не 2025 года такие ата­ки сос­тавили 65% по срав­нению с 60% в 2023 году и 54% в 2022 году.

• В ата­ках на орга­низа­ции по‑преж­нему пре­обла­дает исполь­зование шиф­роваль­щиков, хотя их доля замет­но сни­зилась: с 57% в 2023 году до 44% в 2024 году.
• В качес­тве основно­го метода дос­тавки мал­вари по‑преж­нему домини­рует элек­трон­ная поч­та (47%), вырос­ла доля атак, свя­зан­ных с ком­про­мета­цией компь­юте­ров, сер­веров и сетево­го обо­рудо­вания (с 31% до 38%).
• Ча­ще все­го жер­тва­ми атак мал­вари ста­новят­ся государс­твен­ные учрежде­ния (14% от обще­го чис­ла атак), про­мыш­ленные (11%) и IT-ком­пании (8%).

Рекомендуем почитать:

Хакер #315. Positive Hack Days Fest 3

• Содержание выпуска
• Подписка на «Хакер»-60%

Девять признаков мошенничества

Банк Рос­сии опре­делил девять приз­наков мошен­ничес­ких опе­раций при сня­тии налич­ных через бан­коматы. С 1 сен­тября 2025 года кре­дит­ные орга­низа­ции будут руководс­тво­вать­ся эти­ми приз­наками, а в слу­чае их обна­руже­ния вво­дить вре­мен­ный лимит на выдачу налич­ных денег в бан­комате на 48 ч.

Так, бан­ки, которые офор­мили кли­енту пла­теж­ную кар­ту, при выдаче налич­ных через бан­коматы будут про­верять, не находит­ся ли человек под воз­дей­стви­ем мошен­ников, а так­же не совер­шает ли эту опе­рацию зло­умыш­ленник.

Ес­ли опе­рация соот­ветс­тву­ет хотя бы одно­му из кри­тери­ев ЦБ РФ, банк уве­домит об этом кли­ента и на 48 ч вве­дет вре­мен­ный лимит на выдачу налич­ных денег в бан­комате — до 50 тысяч руб­лей в сут­ки. Снять более круп­ную сум­му в этот пери­од мож­но будет толь­ко в отде­лении бан­ка.

Ре­гуля­тор сооб­щил, что сре­ди приз­наков воз­можно­го мошен­ничес­тва — нехарак­терное для челове­ка поведе­ние при сня­тии денег.

Так, бан­ки будут учи­тывать неп­ривыч­ное вре­мя суток, нетипич­ную сум­му или мес­тонахож­дение бан­комата, а так­же зап­рос на выдачу средств нехарак­терным для кли­ента спо­собом, нап­ример не с кар­ты, а по QR-коду или циф­ровой (вир­туаль­ной) кар­те.

Еще один приз­нак — наличие у кре­дит­ной орга­низа­ции информа­ции, что как минимум за шесть часов до опе­рации у челове­ка изме­нилась активность телефон­ных раз­говоров, вырос­ло количес­тво SMS-сооб­щений с новых номеров, в том чис­ле в мес­сен­дже­рах.

Банк может решить, что кли­ент находит­ся под вли­янием зло­умыш­ленни­ков, если сни­мает день­ги в течение 24 ч пос­ле офор­мле­ния кре­дита (зай­ма) или уве­личи­вает лимит на выдачу налич­ных, в том чис­ле по кре­дит­ной кар­те, а так­же перево­дит на свой счет более 200 тысяч руб­лей по СБП со сво­его сче­та в дру­гом бан­ке либо дос­рочно зак­рыва­ет вклад на ана­логич­ную сум­му.

Сре­ди подоз­ритель­ных приз­наков так­же перечис­лены: сме­на номера телефо­на для авто­риза­ции в интернет‑бан­ке, получе­ние информа­ции (в том чис­ле от опе­рато­ров свя­зи) о том, что изме­нились харак­терис­тики телефо­на, с помощью которо­го кли­ент сни­мает день­ги, или наличие на его устрой­стве вре­донос­ных прог­рамм.

Кро­ме того, в докумен­те отме­чает­ся, что отдель­ные кри­терии пре­дус­мотре­ны для сня­тия денег с исполь­зовани­ем токени­зиро­ван­ных карт.

Экс-глава GitHub о работе с ИИ

В середи­не августа 2025 года генераль­ный дирек­тор GitHub Томас Дом­ке (Thomas Dohmke) ушел в отстав­ку, и дол­жность CEO в ком­пании будет упраз­дне­на, так как Microsoft реконс­тру­ирует руководс­тво сво­ей дочер­ней ком­пании. Фак­тичес­ки теперь GitHub ста­нет частью Microsoft CoreAI, которую воз­глав­ляет Джей Парих (Jay Parikh).

Од­нако незадол­го до сво­ей отстав­ки Дом­ке написал боль­шой пост, пос­вящен­ный работе прог­раммис­тов в текущих реалиях. По его сло­вам, у раз­работ­чиков нет выбора и им либо нуж­но сми­рить­ся с пов­семес­тным внед­рени­ем ИИ и про­дол­жать карь­еру сооб­разно это­му, либо менять работу. По прог­нозу Дом­ке, через 2–5 лет ИИ будет писать 90% кода:

Это не гипоте­тичес­кая тран­сфор­мация. Она про­исхо­дит пря­мо сей­час. Раз­работ­чики про­ходят через чет­ко выражен­ные фазы: от скеп­тичес­ки нас­тро­енных нович­ков до стра­теги­чес­ких кол­лабора­торов ИИ. Те, кто дос­тига­ет пос­ледней ста­дии, говорят, что их пред­став­ление о себе как о раз­работ­чиках изме­нилось. Теперь их вни­мание сос­редото­чено не на соз­дании кода, а на про­екти­рова­нии сис­тем, управле­нии аген­тами и про­вер­ке резуль­татов. Как ска­зал нам один раз­работ­чик, его сле­дующей дол­жностью может стать дол­жность кре­атив­ного дирек­тора по коду. Это не гипер­бола — это реаль­ность. Вот что мы наб­люда­ем.

• В бли­жай­шие 2–5 лет 90% кода будет писать искусс­твен­ный интеллект.
• Раз­работ­чики не бес­поко­ятся. Они опти­мис­тично и реалис­тично смот­рят на гря­дущие переме­ны.
• Сей­час важ­ны новые навыки, нап­ример оркес­тров­ка аген­тов, ите­ратив­ное сот­рудни­чес­тво и кри­тичес­кие про­вер­ки.
• Эко­номия вре­мени? Безус­ловно. Но реаль­ный сдвиг — это амби­ции. Раз­работ­чики под­нима­ют потолок, а не прос­то сни­жают сто­имость.

Кро­ме того, это име­ет серь­езные пос­ледс­твия для обра­зова­ния. Пре­пода­вание одно­го лишь син­такси­са уста­рело. Теперь сту­ден­ты дол­жны учить­ся управлять ИИ, кри­тико­вать его работу и мыс­лить в рам­ках раз­ных дис­циплин. Дол­жно оце­нивать­ся сот­рудни­чес­тво с ИИ, а не изо­лиро­ван­ность от него.

Это уже не воп­рос про­изво­дитель­нос­ти. Речь идет о пере­осмысле­нии. Работа раз­работ­чика прог­рам­мно­го обес­печения не исче­зает. Она воз­рожда­ется.

Сбой «Великого китайского файрвола»

Ис­сле­дова­тели из коман­ды Great Firewall Report замети­ли, что в ночь на 20 августа в работе «Велико­го китай­ско­го фай­рво­ла» про­изо­шел сбой или про­водил­ся некий тест. Весь тра­фик на TCP-пор­те 443 был заб­локиро­ван на 74 мин, из‑за чего Китай ока­зал­ся отре­зан прак­тичес­ки от все­го гло­баль­ного интерне­та.

«При­мер­но с 00:34 до 01:48 (по пекин­ско­му вре­мени, UTC+8) 20 августа 2025 года «Великий китай­ский фай­рвол» демонс­три­ровал ано­маль­ное поведе­ние, безус­ловно внед­ряя под­дель­ные пакеты TCP RST + ACK для раз­рыва любых соеди­нений на TCP-пор­те 443 (как в Китай, так и из Китая)», — писали иссле­дова­тели.

Из‑за это­го китай­ские поль­зовате­ли не мог­ли получить дос­туп к боль­шинс­тву сай­тов, раз­мещен­ных за пре­дела­ми стра­ны. Так­же инци­дент заб­локиро­вал работу сер­висов, которые полага­ются на порт 443, стан­дар­тный для HTTPS-соеди­нений. Нап­ример, Apple и Tesla исполь­зуют этот порт для под­клю­чения к зарубеж­ным сер­верам, которые обес­печива­ют работу ряда их базовых служб.

Фин­гер­прин­тинг устрой­ства, которое реали­зова­ло эту бло­киров­ку, не сов­пал ни с одним извес­тным узлом или ком­понен­том «Велико­го китай­ско­го фай­рво­ла».

Ис­сле­дова­тели полага­ют, что этот инци­дент был выз­ван либо новым устрой­ством, под­клю­чен­ным к «Велико­му китай­ско­му фай­рво­лу», либо уже извес­тным устрой­ством, «которое работа­ло в новом или неп­равиль­но нас­тро­енном сос­тоянии».

Та­ким обра­зом, основные теории спе­циалис­тов гла­сят, что Китай мог тес­тировать воз­можность бло­киров­ки соеди­нений на пор­те 443 или кто‑то поп­росту допус­тил ошиб­ку, которую быс­тро испра­вили. Одна­ко рас­сле­дова­ние слу­чив­шегося зат­рудне­но из‑за корот­кой про­дол­житель­нос­ти инци­ден­та.

Ограничение звонков

13 августа пред­ста­вите­ли Рос­комнад­зора (РКН) сооб­щили о час­тичном огра­ниче­нии звон­ков в мес­сен­дже­рах Telegram и WhatsApp (при­над­лежит ком­пании Meta, приз­нанной экс­тре­мист­ской и зап­рещен­ной в РФ) в соот­ветс­твии с матери­ала­ми пра­воох­ранитель­ных орга­нов для про­тиво­дей­ствия прес­тупни­кам.

За нес­коль­ко дней до это­го рос­сий­ские поль­зовате­ли мес­сен­дже­ров ста­ли мас­сово жаловать­ся на проб­лемы со звон­ками. Кро­ме того, незадол­го до это­го СМИ писали, что рос­сий­ские опе­рато­ры свя­зи вооб­ще пред­ложили заб­локиро­вать звон­ки в зарубеж­ных мес­сен­дже­рах.

Как объ­ясни­ли в РКН, «по дан­ным пра­воох­ранитель­ных орга­нов и мно­гочис­ленных обра­щений граж­дан», мес­сен­дже­ры ста­ли «основны­ми голосо­выми сер­висами, исполь­зуемы­ми для обма­на и вымога­тель­ства денег, вов­лечения в дивер­сион­ную и тер­рорис­тичес­кую деятель­ность рос­сий­ских граж­дан».

«Информи­руем, что для про­тиво­дей­ствия прес­тупни­кам в соот­ветс­твии с матери­ала­ми пра­воох­ранитель­ных орга­нов при­нима­ются меры по час­тично­му огра­ниче­нию звон­ков в дан­ных инос­тран­ных мес­сен­дже­рах. Никаких иных огра­ниче­ний их фун­кци­она­ла не вво­дит­ся», — заяви­ли в ведомс­тве.

По сло­вам пред­ста­вите­лей ведомс­тва, неод­нократ­ные тре­бова­ния о при­нятии мер про­тиво­дей­ствия были про­игно­риро­ваны вла­дель­цами мес­сен­дже­ров. Так­же в РКН добави­ли, что «борь­ба со звон­ками прес­тупни­ков ведет­ся пос­ледова­тель­но».

«С 2024 года работа­ет сис­тема «Антифрод», обес­печива­ющая бло­киров­ку звон­ков с под­меной номера в тра­дици­онных телефон­ных сетях рос­сий­ских опе­рато­ров свя­зи. В резуль­тате подоб­ные звон­ки прак­тичес­ки все переш­ли в инос­тран­ные мес­сен­дже­ры, отка­зыва­ющиеся обес­печивать безопас­ность рос­сий­ских поль­зовате­лей и общес­тва», — отме­чает Рос­комнад­зор.

В свою оче­редь, пред­ста­вите­ли Мин­цифры сооб­щили, что решение Рос­комнад­зора про­дик­товано тем, что мес­сен­дже­ры не выпол­няют тре­бова­ния рос­сий­ско­го законо­датель­ства.

«Решение Рос­комнад­зора огра­ничить голосо­вые вызовы в инос­тран­ных мес­сен­дже­рах смо­жет положи­тель­но пов­лиять на сни­жение количес­тва мошен­ничес­ких вызовов. Час­тичное огра­ниче­ние каса­ется толь­ко голосо­вых вызовов, речи о бло­киров­ке дру­гих фун­кций не идет.

В Рос­сии пос­ледова­тель­но ведет­ся работа по борь­бе с кибер­мошен­ничес­твом. Бла­года­ря сис­теме «Антифрод», к которой уже под­клю­чились все опе­рато­ры свя­зи, сво­евре­мен­но бло­киру­ется 90% мошен­ничес­ких вызовов, совер­шаемых с под­менных номеров.

Эф­фектив­ное про­тиво­дей­ствие со сто­роны государс­тва и опе­рато­ров зас­тавля­ет мошен­ников искать дру­гие спо­собы обма­на. Боль­шая часть опас­ных звон­ков переш­ла в инос­тран­ные мес­сен­дже­ры — у телеком‑ком­паний нет воз­можнос­ти бло­киро­вать такие вызовы.

При этом инос­тран­ные мес­сен­дже­ры, сре­ди которых Telegram и WhatsApp (при­над­лежит Meta, приз­нанной экс­тре­мист­ской и зап­рещен­ной в РФ), нес­мотря на неод­нократ­ные пре­дуп­режде­ния со сто­роны рос­сий­ских влас­тей, отка­зыва­ются соб­людать тре­бова­ния рос­сий­ско­го законо­датель­ства. В час­тнос­ти, не пре­дос­тавля­ют информа­цию по зап­росам пра­воох­ранитель­ных орга­нов не толь­ко по мас­совым слу­чаям мошен­ничес­тва, но и по фак­ту пла­ниро­вания и совер­шения тер­рорис­тичес­ких актов на тер­ритории Рос­сий­ской Федера­ции. При этом все тре­бова­ния о пре­дос­тавле­нии такой информа­ции по зап­росу зарубеж­ных спец­служб опе­ратив­но выпол­няют­ся.

Дос­туп к услу­гам звон­ков в инос­тран­ных мес­сен­дже­рах будет вос­ста­нов­лен в слу­чае выпол­нения ими тре­бова­ний по соб­людению рос­сий­ско­го законо­датель­ства.

Ре­шение Рос­комнад­зора поможет эффектив­нее про­тивос­тоять зло­умыш­ленни­кам, сде­лать обще­ние в интерне­те безопас­нее и сни­зить риск финан­совой ответс­твен­ности для опе­рато­ров свя­зи, которую они могут нес­ти в слу­чае дей­ствий мошен­ников. Для поль­зовате­лей при этом дос­тупны оте­чес­твен­ные ана­логи инос­тран­ных сер­висов с защищен­ной инфраструк­турой», — гла­сит заяв­ление Мин­цифры.

Пред­ста­вите­ли Telegram сооб­щили СМИ, что самос­тоятель­но борют­ся с мошен­никами на сво­ей плат­форме.

«Telegram борет­ся с вре­донос­ным исполь­зовани­ем сво­ей плат­формы, вклю­чая при­зывы к дивер­сии, насилию и мошен­ничес­тву. Модера­торы, исполь­зующие спе­циаль­ные инс­тру­мен­ты ИИ, активно отсле­жива­ют обще­дос­тупные раз­делы плат­формы и при­нима­ют жалобы, что­бы ежед­невно уда­лять мил­лионы вре­донос­ных сооб­щений. Кро­ме того, Telegram пер­вым внед­рил деталь­ные нас­трой­ки кон­фиден­циаль­нос­ти для звон­ков, что­бы каж­дый поль­зователь мог самос­тоятель­но опре­делить, от кого при­нимать звон­ки, или пол­ностью отклю­чать их», — говорят в пресс‑служ­бе ком­пании.

Пред­ста­вите­ли WhatsApp так­же опуб­ликова­ли заяв­ление на офи­циаль­ной стра­нице WhatsApp в Instagram (при­над­лежит ком­пании Meta, приз­нанной экс­тре­мист­ской и зап­рещен­ной в РФ). В нем ком­пания напом­нила, что WhatsApp кон­фиден­циален и по умол­чанию защищен сквоз­ным шиф­ровани­ем.

«WhatsApp кон­фиден­циален, по умол­чанию защищен сквоз­ным шиф­ровани­ем и про­тивос­тоит попыт­кам пра­витель­ств нарушить пра­во людей на безопас­ное обще­ние — имен­но поэто­му рос­сий­ские влас­ти пыта­ются бло­киро­вать WhatsApp для более 100 мил­лионов наших поль­зовате­лей в стра­не. Мы про­дол­жим делать все воз­можное, что­бы обще­ние, защищен­ное сквоз­ным шиф­ровани­ем, оста­валось дос­тупным для людей по все­му миру, вклю­чая Рос­сию», — написа­ли пред­ста­вите­ли мес­сен­дже­ра.

Stack Overflow собрал статистику за 2025 год

• Ре­сурс Stack Overflow про­вел тра­дици­онный еже­год­ный опрос сре­ди сво­их поль­зовате­лей. В общей слож­ности в голосо­вании при­няли учас­тие более 49 тысяч раз­работ­чиков со все­го мира, которые рас­ска­зали, как они учат­ся и повыша­ют свой уро­вень, а так­же какие инс­тру­мен­ты исполь­зуют и какие хотели бы исполь­зовать.
• Три самые популяр­ные тех­нологии оста­лись поч­ти такими же, как и в прош­лом году: лидиру­ют JavaScript (66%), HTML/CSS (61%), а третье мес­то занима­ет SQL (58%), в этом году потес­нивший Python (57%).

• Са­мыми популяр­ными облачны­ми плат­форма­ми рес­понден­ты наз­вали Docker (71%), npm (56%), AWS (43%), pip (40%) и Kubernetes (28%).
• На­ибо­лее популяр­ные IDE и редак­торы кода в этом году VS Code (75%), Visual Studio (29%), Notepad++ (27%), IntelliJ IDEA (27%), Vim (24%), Cursor (17%), PyCharm (15%) и Android Studio (15%).
• Ин­терес­но, что 47% рес­понден­тов сооб­щили, что ежед­невно исполь­зуют ИИ‑инс­тру­мен­ты. Еще 17% и 13% говорят, что исполь­зуют их нес­коль­ко раз в неделю и месяц.

• Свы­ше полови­ны опро­шен­ных (66%) заяви­ли, что тра­тят боль­ше вре­мени на отладку ИИ‑кода, чем на его написа­ние.
• Са­мыми популяр­ными LLM были наз­ваны OpenAI GPT (81%), Claude Sonnet (42%), Gemini Flash (35%), OpenAI Reasoning (34%) и OpenAI Image (26%).

Flipper и автоугоны

Те­ма взло­ма и уго­на авто­моби­лей при помощи Flipper Zero сно­ва попала в заголов­ки мировых СМИ. На этот раз хакеры заяви­ли, что про­дают «сек­ретные про­шив­ки» для гад­жета, которые яко­бы мож­но исполь­зовать про­тив авто­моби­лей Ford, Audi, Volkswagen, Subaru, Hyundai, Kia и ряда дру­гих марок.

Все началось с пуб­ликации изда­ния 404 Media, в которой рас­ска­зыва­лось о под­поль­ной тор­говле модифи­циро­ван­ными про­шив­ками для Flipper Zero, которые яко­бы поз­воля­ют взла­мывать и уго­нять авто­моби­ли.

Жур­налис­ты пооб­щались с хакером по име­ни Дэни­ел (Daniel), который яко­бы живет в Рос­сии, а так­же его пар­тне­ром Дер­роу (Derrow), которые раз­работа­ли и про­дают в дар­кне­те спе­циаль­ные про­шив­ки для Flipper Zero.

Дэ­ниел сооб­щил, что купил и получил раз­личные фраг­менты исходно­го кода, необ­ходимые для соз­дания про­шив­ки, у дру­гих людей. По его сло­вам, про­шив­ки, воз­можно, дей­стви­тель­но исполь­зуют­ся для авто­уго­нов, но так­же они популяр­ны сре­ди спе­циалис­тов в авто­сер­висах.

Ха­керы утвер­жда­ют, что модифи­циро­ван­ное устрой­ство может перех­ватывать сиг­налы бре­локов и вычис­лять сле­дующий код для раз­бло­киров­ки авто­моби­ля, соз­давая «теневую копию ори­гиналь­ного клю­ча». Сог­ласно пре­дос­тавлен­ной изда­нию докумен­тации, такие ата­ки работа­ют про­тив поч­ти 200 моделей авто, вклю­чая вер­сии 2025 года от Ford, Audi, Volkswagen, Subaru, Hyundai, Kia, Fiat, Mitsubishi, Suzuki, Peugeot, Citroën и Skoda.

В про­даже пред­став­лены две вер­сии про­шивок: базовая за 600 дол­ларов (толь­ко текущая вер­сия) и рас­ширен­ная за 1000 дол­ларов (с будущи­ми обновле­ниями и под­дер­жкой), опла­та при­нима­ется в крип­товалю­те. При этом про­шив­ки яко­бы при­вязы­вают­ся к кон­крет­ному устрой­ству через серий­ный номер для пре­дот­вра­щения несан­кци­они­рован­ного рас­простра­нения. Для это­го у покупа­телей тре­буют фотог­рафии с короб­ки Flipper Zero, на которой вид­но серий­ный номер устрой­ства, и фотог­рафию опре­делен­ной час­ти нас­тро­ек гад­жета.

Дэ­ниел заявил жур­налис­там, что за два года про­дал эту тех­нологию при­мер­но 150 покупа­телям. Дер­роу же утвер­жда­ет, что «про­дажи заш­калива­ют».

В статье жур­налис­ты выс­казали опа­сения, что, если эта тех­нология получит широкое рас­простра­нение, это может при­вес­ти к всплес­ку авто­уго­нов. Изда­ние писало, что к 2026 году «Kia Boys могут прев­ратить­ся во Flipper Boys», имея в виду из­вес­тный тренд, свя­зан­ный с уго­нами авто­моби­лей Kia и Hyundai молодежью.

В ответ на мно­гочис­ленные пуб­ликации в СМИ один из авто­ров Flipper Zero Павел Жов­нер написал боль­шое сооб­щение в офи­циаль­ном бло­ге.

«В некото­рых магази­нах дар­кне­та начали про­давать так называ­емые «при­ват­ные» про­шив­ки для Flipper Zero, утвер­ждая, что с их помощью мож­но взло­мать бес­числен­ное количес­тво авто­моби­лей. Яко­бы в сеть про­сочи­лась информа­ция о новых уяз­вимос­тях, поз­воля­ющих взла­мывать динами­чес­кие про­токо­лы, такие как KeeLoq.

На самом деле все эти методы были опуб­ликова­ны более десяти лет назад. Ничего нового. Авто­ры таких про­шивок прос­то перера­баты­вают извес­тные уяз­вимос­ти, выдавая их за «новые хаки». И, что важ­но, эти уяз­вимос­ти не име­ют никако­го отно­шения к реаль­ным уго­нам авто­моби­лей, пос­коль­ку не поз­воля­ют завес­ти дви­гатель», — пишет Жов­нер.

Раз­работ­чик объ­ясня­ет, что KeeLoq был раз­работан в 1980-х годах и в основном исполь­зовал­ся в ста­рых сис­темах дос­тупа (нап­ример, гараж­ные ворота и ран­ние авто­мобиль­ные сиг­нализа­ции). Это сис­тема со сколь­зящим кодом (rolling code или hopping code), где каж­дая переда­ча исполь­зует новый уни­каль­ный сиг­нал, зашиф­рован­ный 64-бит­ным клю­чом про­изво­дите­ля.

По сло­вам Жов­нера, имен­но ключ про­изво­дите­ля — сла­бое мес­то KeeLoq. Проб­лема в том, что автопро­изво­дите­ли час­то исполь­зовали один и тот же ключ для все­го модель­ного ряда. В слу­чае утеч­ки это­го клю­ча зло­умыш­ленни­ки получа­ли воз­можность перех­ватывать сиг­налы с любого бре­лока дис­танци­онно­го управле­ния этой мар­ки.

Ав­торы «хакер­ских» про­шивок прос­то рас­простра­няют ста­рые, укра­ден­ные у раз­ных автопро­изво­дите­лей клю­чи. В этом нет ничего нового, такие уяз­вимос­ти были под­робно опи­саны еще в 2006 году, — объ­яснил соз­датель Flipper. — С тех пор автопро­изво­дите­ли переш­ли на более сов­ремен­ные ради­опро­токо­лы с двус­торон­ней аутен­тифика­цией, где авто­мобиль и ключ обме­нива­ются сооб­щени­ями для про­вер­ки под­линнос­ти.

Пос­ле это­го Жов­нер пов­торил тезисы, которые авто­ры Flipper Zero под­робно объ­ясня­ли в 2024 году, ког­да пра­витель­ство Канады сооб­щило, что намере­но зап­ретить про­дажу Flipper Zero и ана­логич­ных устрой­ств в стра­не, так как с их помощью яко­бы мож­но уго­нять авто­моби­ли.

В час­тнос­ти, он напом­нил, что нас­тоящие авто­угон­щики обыч­но нацеле­ны на сис­темы бес­клю­чево­го дос­тупа и запус­ка дви­гате­ля. Они исполь­зуют рет­ран­сля­торы и передат­чики, которые переда­ют сиг­нал с нас­тояще­го клю­ча, вынуж­дая авто­мобиль счи­тать, буд­то нас­тоящий ключ находит­ся где‑то рядом.

«Если вашу машину мож­но ата­ковать с помощью Flipper Zero, ее с тем же успе­хом мож­но взло­мать при помощи кус­ка про­вода», — резюми­ровал Жов­нер.

Исчезнуть из поиска

Инс­тру­мент Refresh Outdated Content («Обно­вить уста­рев­ший кон­тент») поз­волял любому жела­юще­му уда­лять кон­крет­ные стра­ницы из резуль­татов поис­ка Google. С его помощью из поис­ка про­пали негатив­ные статьи о генераль­ном дирек­торе круп­ной тех­нологи­чес­кой ком­пании из Сан‑Фран­циско.

Эта исто­рия берет начало в 2023 году, ког­да незави­симый жур­налист Джек Поул­сон (Jack Poulson) в сво­ей пуб­ликации рас­ска­зал об арес­те в 2021 году Мори Блэк­мана (Maury Blackman), свя­зан­ном с обви­нени­ями в домаш­нем насилии.

Тог­да Блэк­ман воз­глав­лял ком­панию Premise Data Corp, занима­ющуюся раз­работ­кой сис­тем наб­людения, и край­не негатив­но отнесся к пуб­ликации о сво­их юри­дичес­ких проб­лемах. Хотя дело не дош­ло до выд­вижения обви­нений (25-лет­няя девуш­ка Блэк­мана отоз­вала свое заяв­ление про­тив 53-лет­него CEO), в сво­ей статье Поул­сон опуб­ликовал неп­рият­ные под­робнос­ти из пуб­лично­го полицей­ско­го рапор­та.

Но если рань­ше Блэк­ман борол­ся с негатив­ными пуб­ликаци­ями о себе с помощью судеб­ных исков и жалоб на наруше­ние DMCA, на этот раз он исполь­зовал инс­тру­мент Google — Refresh Outdated Content.

В кон­це прош­лого года неком­мерчес­кая орга­низа­ция Freedom of the Press Foundation, занима­ющаяся защитой прав жур­налис­тов, уже рас­ска­зыва­ла о рас­сле­дова­нии Поул­сона и ответных дей­стви­ях Блэк­мана. Но в июне 2025 года жур­налист вновь обра­тил­ся в орга­низа­цию за помощью, так как его статья вне­зап­но вооб­ще исчезла из поис­ковой выдачи Google.

НКО про­вела собс­твен­ное рас­сле­дова­ние, которое в ито­ге при­вело к мало­извес­тной фун­кции Google под наз­вани­ем Refresh Outdated Content. Изна­чаль­но Google соз­дала этот инс­тру­мент, что­бы поль­зовате­ли мог­ли самос­тоятель­но сооб­щать о неак­туаль­ных или при­водя­щих к ошиб­кам стра­ницах, что­бы поис­ковую выдачу мож­но было очи­щать от мусора. При этом Refresh Outdated Content не фик­сиру­ет, кто имен­но отправ­ляет такие зап­росы.

Ху­же того, выяс­нилось, что баг в этом инс­тру­мен­те поз­волял любому жела­юще­му уда­лять из поис­ковой выдачи кон­крет­ные стра­ницы. В дан­ном слу­чае — упо­мина­ния об арес­те Блэк­мана.

Так, статья о Блэк­мане пол­ностью про­пала из поис­ка и не отоб­ражалась в резуль­татах, даже если искать матери­ал по точ­ному заголов­ку. Кро­ме того, Поул­сон заметил, что из поис­ка так­же про­пали две дру­гие статьи на Substack.

Хо­тя Google не уда­ляет ссыл­ки из поис­ка прос­то так, по чьей‑то прось­бе, в этом слу­чае баг поз­волял сде­лать имен­но это. При подаче зап­роса через Refresh Outdated Content мож­но было ука­зать URL с изме­нен­ным регис­тром — нап­ример, вмес­то anatomy написать AnAtomy, а вмес­то censorship — censorSHip. Из‑за нечувс­тви­тель­нос­ти к регис­тру поис­ковый кра­улер Google про­верял изме­нен­ный URL, получал в ответ ошиб­ку 404 («Стра­ница не най­дена») и уда­лял ссыл­ку из индекса.

Ис­сле­дова­тели Freedom of the Press Foundation уста­нови­ли, что сам Блэк­ман или кто‑то, дей­ство­вав­ший в его инте­ресах, вос­поль­зовались этим багом «десят­ки раз» в мае и июне 2025 года. При этом отме­чает­ся, что пос­ле ухо­да из ком­пании Premise Блэк­ман воз­гла­вил ком­панию The Transparency Company, спе­циали­зиру­ющуюся как раз на управле­нии онлайн‑репута­цией.

В ито­ге иссле­дова­тели обра­тились к пред­ста­вите­лям Google, и в ком­пании под­твер­дили наличие уяз­вимос­ти. В нас­тоящее вре­мя статьи Поул­сона и Freedom of the Press Foundation сно­ва дол­жны отоб­ражать­ся в резуль­татах поис­ка Google, а Refresh Outdated Content боль­ше нель­зя зло­упот­реблять для исклю­чения стра­ниц из поис­ка.

Од­нако оста­лось неяс­ным, было ли извес­тно об этом баге ранее и нас­коль­ко широко он мог при­менять­ся. В Google завери­ли иссле­дова­телей, что проб­лема зат­ронула лишь «нез­начитель­ную долю сай­тов», одна­ко не наз­вали кон­крет­ных цифр.