Google в ближайшее время планирует внедрить сквозное шифрование (E2EE) электронной почты для всех пользователей, даже тех, кто не использует Google Workspace. Протокол E2EE основан на обмене сертификатами и позиционируется как альтернатива S/MIME (Secure/Multipurpose Internet Mail Extensions), применяемому в крупных организациях. Компания заверила, что процедура шифрования не усложнит жизнь простых пользователей и не создаст чрезмерной нагрузки на IT-администраторов.

Источник изображения: Google

Принцип работы E2EE заключается в том, что электронные письма, зашифрованные на стороне клиента, могут быть отправлены корпоративными пользователями Gmail кому угодно. Если адресат является пользователем Gmail, дополнительной настройки не требуется, а в интерфейсе Gmail отобразится информация о новом зашифрованном сообщении.

Если получатель не использует Gmail, он получит письмо с информацией о поступлении зашифрованного сообщения, которое будет содержать ссылку для повторной аутентификации учётной записи электронной почты. После аутентификации у адресата появится временный доступ через ограниченную учётную запись Gmail для просмотра и ответа на зашифрованное письмо.

Google отметила, что весь процесс сравним с предоставлением доступа к документу Workspace кому-то за пределами компании. IT-администраторы могут требовать от получателей использовать ограниченный Gmail для просмотра зашифрованных сообщений, что позволяет контролировать доступ с помощью политик и гарантировать, что данные не будут храниться на сторонних серверах.

Содержащее ссылку письмо с запросом может быть принято за фишинговое. Поэтому Google в предупреждении над ссылкой рекомендует переходить по ней лишь в том случае, если адресат полностью доверяет отправителю.

В случаях, когда электронные письма E2EE отправляются получателям, у которых уже настроен S/MIME, зашифрованное электронное письмо поступит получателю как обычно.

Источник изображения: unsplash.com

«Эта возможность, требующая минимальных усилий как от IT-отделов, так и от конечных пользователей, абстрагируется от традиционной сложности и нестандартного пользовательского опыта существующих решений, сохраняя при этом улучшенный суверенитет данных, конфиденциальность и контроль безопасности», — говорится в блоге Google.

Внедрение сквозного шифрования будет происходить поэтапно, начиная с сегодняшнего дня.

В дополнение к электронным письмам E2EE, которые можно будет выбрать по умолчанию для всех конечных пользователей, Google запустила ряд других функций для Gmail, включая метки классификации, показывающие уровень конфиденциальности каждого письма. Эти метки также будут информировать о новых правилах предотвращения потери данных, которые IT-администраторы могут установить для автоматической обработки писем на основе назначенных ими меток.

Также Google добавила к существующим детекторам спама и фишинга Gmail инструменты на основе ИИ, которые в теории должны снизить количество вредоносных электронных писем, просачивающихся через фильтры.

Владимир Путин подписал закон, направленный на защиту граждан от телефонных и кибермошенников: сотрудникам ведомств, банков и операторов связи теперь запрещается общаться с клиентами через иностранные системы мгновенных сообщений. Вводятся также ограничения в отношении некредитных финансовых организаций, крупных агрегаторов и прочих сайтов с аудиторией более 500 тыс. посетителей в день.

Источник изображения: Glenn Carstens-Peters / unsplash.com

Появится обязательная маркировка звонков от организаций — название компании будет отображаться при поступающем входящем вызове на экране телефона, благодаря чему можно будет отличить официальный звонок от мошеннического. При дистанционном оформлении займов микрофинансовые организации обязываются идентифицировать клиентов через единую биометрическую систему — подчёркивается, что использование биометрии — это не обязанность, а право.

Граждане получают возможность через операторов связи устанавливать запрет на массовые обзвоны; на «Госуслугах» появится функция установки «самозапрета» на оформление SIM-карт в дистанционном режиме. Законопроект о борьбе с кибермошенничеством Госдума приняла 25 марта сразу во втором и третьем чтениях; 27 марта его одобрил Совет федерации.

Специалисты «Лаборатории Касперского» обнаружили опасный вирус в смартфонах, работающих под управлением операционной системы Android. Вредонос даёт злоумышленникам практически неограниченные возможности контроля над заражёнными устройствами. Об этом пишет РБК со ссылкой на данные «Лаборатории Касперского».

Источник изображения: Luis Villasmil / Unsplash

Опасным вирусом оказалась модифицированная версия трояна Triada, которым обычно заражают новые устройства, являющиеся подделками под популярные модели смартфонов. Отмечается, что троян распространяется с прошивками для разных устройств, а копия Triada попадает в каждый процесс на смартфоне.

По данным источника, вирус может использоваться злоумышленниками для кражи криптовалюты, аккаунтов в мессенджерах и социальных сетях, таких как Telegram и TikTok, отправки сообщений от имени жертв, подмены номеров во время звонков, отслеживания активности жертвы в браузерах и блокировки сетевых соединений. Приобрести поддельные гаджеты, заражённые опасным вирусом, можно в неавторизованных онлайн-магазинах, которые реализуют устройства по сниженным ценам.

«Вероятно, на одном из этапов цепочка поставок оказывается скомпрометированной, поэтому в магазинах могут даже не подозревать, что продают смартфоны с Triada», — рассказал эксперт по кибербезопасности «Лаборатории Касперского» Дмитрий Калинин.

В сообщении сказано, что от модифицированной версии Triada уже пострадали более 2,6 тыс. пользователей из нескольких стран, но в основном из России. В период с июня 2024 года по март 2025 года разработчики трояна перевели на подконтрольные им криптовалютные кошельки около $270 тыс. в разной криптовалюте. В «Лаборатории Касперского» отметили, что реальная сумма похищенных средств может быть существенно выше.

Чтобы не стать жертвой трояна Triada, специалисты рекомендуют приобретать смартфоны только у авторизованных продавцов. В дополнение к этому можно использовать на устройстве программные решения для защиты информации.

Компания Oracle сообщила своим клиентам в сфере здравоохранения о взломе, произошедшем 22 января, в результате которого хакеры получили доступ к её серверам и скопировали данные пациентов, пишет Bloomberg. Согласно данным его источника, хакеры затем пытались вымогать деньги у нескольких провайдеров медицинских услуг в США, угрожая опубликовать похищенную информацию в открытом доступе.

Источник изображения: Oracle

Oracle поставляет программное обеспечение для управления записями пациентов больницам и другим медицинским учреждениям.

Расследованием инцидента занимается ФБР. На данный момент неизвестно, сколько данных хакеры успели скопировать и у скольких провайдеров они пытались вымогать деньги. Oracle заявила, что узнала о взломе примерно 20 февраля. Компания сообщила клиентам, что хакеры получили доступ к старым серверам Cerner, где хранились данные, ещё не перенесённые в облачную службу хранения Oracle.

«Имеющиеся доказательства свидетельствуют о том, что злоумышленник незаконно получил доступ к среде, используя украденные учётные данные клиентов», — указано в уведомлении компании.

В сообщении для клиентов также говорится, что украденные данные могли включать информацию о пациентах из электронных медицинских карт. По словам источника Bloomberg, похищенные сведения касались недавних обращений пациентов к врачам.

«Oracle поддержит вашу организацию в проверке информации о пациентах, чьи данные были украдены», — сообщила компания клиентам.

Следует отметить, что ещё несколько дней назад Oracle категорически отрицала факт взлома, несмотря на то, что хакер опубликовал в даркнете доказательства того, что ему удалось завладеть данными, хранившимися на серверах Oracle Cloud.

Компания Google устранила уязвимость в браузере Chrome для Windows, которую злоумышленники использовали для взлома компьютеров жертв. Ошибку в марте обнаружили специалисты «Лаборатории Касперского».

Источник изображения: kaspersky.ru

Речь идёт об уязвимости за номером CVE-2025-2783, эксплойт для которой активно применялся. Такие ошибки относятся к уязвимостям нулевого дня, потому что у разработчика, в данном случае Google, не было времени на её исправление до появления эксплойта. Она использовалась в ходе хакерской кампании, нацеленной на компьютеры под управлением Windows с установленным браузером Chrome.

В «Лаборатории Касперского» кампанию назвали «Форумный тролль»: потенциальным жертвам рассылали фишинговые письма с приглашениями на международный политический саммит. При попытке открыть ссылку из письма, жертвы попадали на вредоносный сайт, эксплуатирующий уязвимость для получения доступа к данным на ПК жертвы.

Подробного описания ошибки специалисты «Лаборатории Касперского» не представили, но отметили, что она позволяла обходить защиту «песочницы» в Chrome, ограничивающей доступ браузера к другим данным на компьютере пользователя. Подчёркивается, что уязвимость затронула все остальные браузеры на движке Google Chromium. Ошибка использовалась в рамках кампании, целью которой были скрытое наблюдение и кража данных с устройства жертвы, предположили эксперты по кибербезопасности.

Google рассказала о новых функциях безопасности, которые появятся в магазине приложений «Play Маркет» и Android в 2025 году. Усовершенствуется механизм обнаружения вредоносных приложений, злоумышленникам станет сложнее заставить пользователя установить вредоносное ПО, повысится надёжность Play Integrity API, появятся новые метки приложений.

Источник изображения: android-developers.googleblog.com

Система Google Play Protect, направленная на обнаружение угроз в реальном времени, уже работает: она предупреждает пользователей о приложениях, которые собирают конфиденциальные данные или следят за пользователями без их согласия, а также анализирует шаблоны активности приложений. Эти функции расширятся — система будет пытаться обнаруживать вредоносные приложения, выдающие себя за клиенты финансовых служб, а также обращать внимание на те, что бездействуют или пытаются скрывать свою активность.

Google также намеревается «усложнить злоумышленникам возможность заставить пользователей устанавливать вредоносные приложения скрытным или обманным образом». В сторонних источниках вредоносного ПО оказалось в 50 раз больше, чем в магазине «Play Маркет», подсчитали в компании. В магазине увеличится присутствие маркировки для различных приложений, например, пометок «Проверено» для сетевых служб и в других категориях.

Повысится надёжность инструмента Play Integrity API — он сможет повторно идентифицировать устройства с повышенным риском, сохраняя при этом конфиденциальность пользователей. Функция Play Integrity, отметили в Google, уже помогла на 80 % снизить недобросовестное использование приложений. Разработчики смогут проводить большее число проверок прямо в Android Studio, чтобы избежать распространённых нарушений политики. Компания намеревается улучшить общение с разработчиками через Play Console; а также открыть сообщества поддержки разработчиков Google Play на индонезийском, японском, корейском, португальском и других языках.

На пленарном заседании Госдумы сразу во втором и третьем чтении принят законопроект, направленный на защиту граждан от мошеннических действий с использованием телефонной связи и интернета. Он был внесён в феврале и принят в первом чтении в марте.

Источник изображения: Jefferson Santos / unsplash.com

Будет создана база голосов киберпреступников в рамках государственной информационной системы «Антифрод», абоненты телефонной связи получат возможность отказаться от звонков и сообщений рекламного характера, государственные органы и банки лишатся права связываться к гражданами через иностранные системы сообщений, говорится в документе. Абоненты операторов мобильной связи смогут установить запрет на выдачу SIM-карт без личного присутствия — передавать SIM-карты третьим лицам за исключением близких родственников также будет запрещено.

Ко второму чтению комитет Госдумы по информполитике принял 21 поправку. Банки обяжут распространять направленные на пресечение мошенничества действия на онлайн-обслуживание и банкоматы. Клиенты кредитных организаций смогут назначать доверенных лиц — к ним банк будет обращаться за подтверждением при совершении денежных операций; банки станут запрашивать доверенности на совершение операций и хранить их копии в течение пяти лет. Для счетов, которые ранее были скомпрометированы и попали в соответствующие списки Банка России, вводится ограничение на сумму снятия наличных в размере 100 тыс. руб. в месяц.

«Газета.Ru» сообщила, что в Российском технологическом университете (РТУ МИРЭА) разработали программный модуль для идентификации пользователей по их уникальному клавиатурному почерку. Сделано это не ради забавы, а для малозатратного повышения уровня безопасности доступа к информационной системе предприятия, ведь установка программы не потребует никакого дополнительного оборудования.

Источник изображения: ИИ-генерация Grok 3/3DNews

Общеизвестно, что традиционные методы аутентификации на основе паролей могут оказаться и оказываются уязвимыми. Предложенное разработчиками РТУ МИРЭА решение может служить необычной альтернативой паролям. Подделать манеру работы отдельных пользователей с клавиатурой может оказаться сложнее, чем подобрать пароль, а внедрение программных модулей значительно снизит затраты на систему безопасности.

Новая система защиты анализирует скорость печати, её динамику, частоту возникновения ошибок и другие параметры набора текста, которые очевидно отличаются у разных пользователей. Всё это затем попадает в базу и воспроизводится в виде шаблонов. Если параметры совпадают, пользователь успешно проходит авторизацию. Система также автоматически обновляет шаблоны, адаптируясь к изменениям в поведении пользователя.

Другим нововведением обещает стать исследование влияния физического состояния человека на его клавиатурный почерк, что сделает систему ещё более точной и адаптивной, добавляют в РТУ МИРЭА.

Компания Google объявила о поглощении стартапа Wiz, специализирующегося на решениях в области облачной безопасности. Сумма сделки составит $32 млрд — она будет выплачена в денежных средствах. Сделка станет крупнейшей за всю историю Google.

Источник изображения: wiz.io

Wiz останется независимой платформой, которая сможет работать со всеми поставщиками облачных услуг, а не только с Google Cloud. Новый владелец расширит штат подразделения и, возможно, приобретёт несколько других компаний, над чем Wiz и сама работала весь последний год. По неофициальным данным, годовой регулярный доход Wiz в настоящее время составляет $700 млн. Сделка будет напоминать поглощение профессиональной соцсети LinkedIn корпорацией Microsoft: стартап сохранит значительную автономию, но со временем может интегрировать больше сервисов Google. До настоящего момента крупнейшим приобретением Google была покупка Motorola Mobility в 2011 году за $12,5 млрд.

В прошлом году Google выдвинула Wiz предложение о поглощении за $23 млрд, но переговоры сорвались: возникли сомнения в отношении соответствия сделки антимонопольному законодательству, разногласия в отношении автономии Wiz и, возможно, даже цены, если верить неофициальной информации. Незадолго перед переговорами стартап привлёк $1 млрд при оценке $12 млрд. Вскоре после срыва сделки компания привлекла дополнительные инвестиции при оценке уже в $16 млрд; ходили слухи, что готовился ещё один раунд финансирования при более высокой оценке.

Google заинтересована в поглощении Wiz, чтобы усилить позиции своего облачного подразделения, которое продолжает уступать конкурентам в лице AWS и Microsoft Azure, а также в области решений по безопасности — здесь у Google уже есть ряд продуктов, но ни один из них не обладает масштабом Wiz. Бизнес стартапа стремительно растёт: в минувшем году его прибыль превысила $500 млн, и есть вероятность, что в этом году она удвоится и достигнет $1 млрд. В прошлом году, когда переговоры с Google завершились безрезультатно, генеральный директор Wiz Ассаф Раппапорт (Assaf Rappaport) не исключил, что сделка может состояться в будущем. Он также отметил, что именно его компания отказалась от предложения, назвав это «самым сложным решением в истории», но в то же время «правильным выбором».

Активное развитие систем искусственного интеллекта стало вызовом для информационной безопасности, поскольку огромные массивы данных могут включать и довольно чувствительную информацию. Руководствуясь соображениями национальной безопасности, Министерство торговли США запретило своим сотрудникам использовать DeepSeek на рабочих устройствах.

Источник изображения: Unsplash, Solen Feyissa

Служебные устройства сотрудников этого ведомства, как следует из цитируемой Reuters рассылки для внутреннего пользования, лишаются доступа к ресурсам и приложениям DeepSeek — китайской компании, разрабатывающей большие языковые модели и одноимённый чат-бот. Такое ограничение, по словам чиновников, вводится для защиты информационных систем министерства. Рекомендация сотрудникам буквально гласит следующее: «Не скачивайте, не просматривайте и не используйте любые мобильные и настольные приложения, а также сайты, имеющие отношение к DeepSeek».

Ещё в феврале группа американских парламентариев выступила с инициативой законодательного запрета на использование решений DeepSeek на служебных устройствах американских чиновников. В этом месяце письмо с рекомендацией прибегнуть к этому запрету было разослано в различные ведомства США. Конгрессменов беспокоит тот факт, что пользователи DeepSeek могут невольно предоставить доступ китайской стороны к важным правительственным документам, включая тексты контрактов и финансовую отчётность. Коалиция из генеральных прокуроров 21 штата уже обращалась к американскому парламенту с призывом запретить использование DeepSeek на служебных устройствах чиновников. На локальном уровне подобные запреты уже действуют в Вирджинии, Техасе и штате Нью-Йорк, а также в некоторых других штатах.

Британские и американские официальные лица провели переговоры в стремлении развеять опасения, что Великобритания пытается создать бэкдор и получить зашифрованные данные, принадлежащие американцам, сообщило Bloomberg со ссылкой на информированные источники.

В феврале стало известно, что британские правоохранительные органы запросили у Apple доступ к зашифрованным данным пользователей. Вскоре компания лишила британских клиентов функции сквозного шифрования облачной информации Advanced Data Protection. В результате компания получила доступ к резервным данным пользователей, например, к переписке в iMessage, который у неё в противном случае отсутствовал, и возможность передать эту информацию властям при поступлении надлежащего запроса.

Технологические компании и власти уже не первый год ведут борьбу за надёжные средства шифрования для защиты коммуникаций пользователей — эти средства рассматриваются ведомствами как препятствие для программ массового наблюдения и борьбы с преступностью. Но требования Великобритании оказались беспрецедентными. Американские власти решили провести проверку и установить, нарушил ли Лондон соглашения между двумя странами, потребовав доступа к зашифрованным данным в облаке.

Apple решила обжаловать требование британских властей — слушания по делу должны состояться сегодня, 14 марта.

Пользователям устаревших версий Mozilla Firefox рекомендуется обновиться до 14 марта — в противном случае возникает риск получить неработающие расширения, сбои при воспроизведении медиафайлов с защитой DRM и другие ошибки, потому что истекает корневой сертификат.

Источник изображения: mozilla.org

Проблемы грозят пользователям Firefox версии ниже 128, которая вышла 9 июля минувшего года, а также выпуска расширенной поддержки версии 115.13. 14 марта истекает срок действия корневого сертификата безопасности, который используется для проверки содержимого с цифровой подписью, защищённых медиафайлов и расширений. Обновить браузер до более свежей или в идеале последней версии потребуется пользователям Firefox под Windows, macOS, Linux и Android — версию для iOS это не затрагивает, потому что она работает на движке WebKit. На Firefox также основан браузер Tor, поэтому и его пользователям лучше убедиться, что используется актуальная версия браузера Mozilla.

Корневой сертификат, грозящий сложностями, был выпущен Mozilla для защиты самого браузера и экосистемы вокруг него, и на конкурентов в лице Chrome, Edge и Safari он не повлияет. Помимо функциональных сбоев, истекший сертификат может стать проблемой и для безопасности — с ним пользователи могут установить вредоносное расширение или перейти на сомнительный веб-сайт. На этот раз Mozilla решила предупредить об истечении сертификата заблаговременно — в мае 2019 года это произошло внезапно и вызвало недовольство пользователей, а компании пришлось исправлять ситуацию.

В субботу, 15 марта, выходит обновлённая политика хранения корневых сертификатов Mozilla — MRSP v3.0. Она призвана улучшить обработку отозванных сертификатов безопасности. Центры сертификации также должны будут постепенно отказаться от двойных сертификатов, которые обрабатывают TLS и S/MIME, поскольку такая практика не обеспечивает надлежащей безопасности.

Средняя стоимость утёкшей базы данных российских компаний в 2024 году составила $450, пишут «Ведомости» со ссылкой на исследование компании Positive Technologies, в котором проанализировано 3500 объявлений на теневых форумах за второе полугодие прошлого года.

Источник изображения: Joan Gamell/unsplash.com

В более чем половине (55 %) таких объявлений в мире в среднем указана цена ниже $1 тыс. и лишь в 6 % из них за похищенную информацию просят больше $10 тыс. Самая высокая цена похищенной российской базы данных составила в даркнете в 2024 году $3 тыс. Впрочем, зачастую указывается договорная цена, которая на практике может оказаться выше, уточнили в Positive Technologies, добавив, что обычно стоимость зависит от уникальности данных, их типа, актуальности, размера выборки и значимости компании.

В последние годы средняя цена похищенных данных в даркнете не меняется и составляет от $100 до $1000, рассказали в F6 (ранее F.A.A.C.T. и Group IB). По словам представителя F6, встречаются лоты, за которые требовали $5000–10 000 и даже $500 000, но это редкость. При этом базы в основном содержат компиляции уже ранее встречавшейся в других утечках информации, отметил директор департамента расследований T.Hunter Игорь Бедеров.

Positive Technologies также сообщила о тренде на увеличение размеров утёкших баз данных. Объем баз с данными пользователей и компаний из России составляет в 71 % объявлений более 100 тыс. строк, а на «маленькие» базы данных (менее 10 тыс. строк) приходится около 4 %.

Тренд на увеличение размеров утечек подтверждается статистикой Роскомнадзора, сообщившего о 135 случаях утечек баз данных россиян в сеть с более 710 млн записей в 2024 году. Для сравнения, в 2023 году было зафиксировано 168 фактов утечек, содержащих более 300 млн записей. Следует учесть, что речь идёт об утечках, которые были проверены и подтверждены РКН.

Во второй половине 2024 года большинство обнаруженных в даркнете объявлений об утечках данных в России и странах СНГ касалось баз данных систем магазинов, аптек, онлайн-сервисов, а также сайтов ресторанов и служб доставки, сообщили в Positive Technologies. В топ-3 отраслей по количеству утечек вошли онлайн-торговля, сфера услуг, тематические сайты форумов и личные блоги, отметили в департаменте киберразведки Threat Intelligence компании F6.

По словам директора департамента расследований T.Hunter Игоря Бедерова, рост таких утечек связан с увеличением количества целевых кибератак и низким уровнем кибербезопасности в малом и среднем бизнесе.

Хакерская группировка, предположительно связанная с властями КНДР, разместила несколько вредоносных приложений для Android в Google Play и обманом заставила некоторых пользователей платформы установить заражённое ПО. Об этом сообщила специализирующаяся на кибербезопасности компания Lookout.

Источник изображений: lookout.com

Кампания включала несколько образцов вредоносного ПО KoSpy; по крайней мере одно из заражённых приложений было скачано более десяти раз, гласит снимок экрана из магазина Google Play. Северокорейские хакеры, утверждают эксперты, часто используют свои навыки для кражи средств, но в данном случае их задачей является сбор данных — KoSpy является приложением-шпионом. Оно собирает «огромный объём конфиденциальной информации», в том числе SMS-сообщения, журналы вызовов, данные о местоположении устройства, файлы на устройстве, вводимые с клавиатуры символы, сведения о сетях Wi-Fi и списки установленных приложений. KoSpy записывает звук, делает снимки с помощью камер и скриншоты. Для получения «начальных конфигураций» использовалась облачная база данных Firestore в инфраструктуре Google Cloud.

Lookout сообщила о своих открытиях в Google, после чего проекты Firebase были деактивированы, приложения с KoSpy удалены, а сам вредонос добавили в систему автоматического обнаружения. Некоторые приложения с KoSpy эксперты Lookout обнаружили в альтернативном магазине приложений APKPure, но его администрация не подтвердила факта обращения специалистов по кибербезопасности. Предполагаемыми жертвами кампании являются лица из Южной Кореи — некоторые из обнаруженных заражённых приложений имели корейские названия, а также интерфейс на корейском и английском языках. В коде приложений обнаружены ссылки на доменные имена и IP-адреса, ранее связанные с другими вредоносными кампаниями, в которых обвиняли хакеров из КНДР.

Согласно исследованию компании по кибербезопасности Human Security, не менее 1 млн устройств на базе Android, изготовленных малоизвестными брендами и продающиеся на китайских интернет-площадках, заражены вредоносным ПО, которое превращает их в ботнет, контролируемый мошенниками. Заражение устройств производится с помощью вредоносных приложений и прошивок или даже на стадии производства.

Источник изображения: Mika Baumeister / unsplash.com

Как сообщает ресурс Wired, сеть киберпреступников Badbox, ставшая известной в 2023 году из-за внедрения секретных бэкдоров в десятках тысяч ТВ-приставок на Android, используемых в домах, школах и на предприятиях, запустила кампанию следующего поколения Badbox 2.0, которая шире по масштабу и ещё более изобретательна.

Заражённые телевизионные потоковые приставки, планшеты, проекторы и автомобильные информационно-развлекательные системы используются злоумышленниками для мошенничества с рекламой или как часть прокси-сервиса для маршрутизации и маскировки веб-трафика. При этом владельцы скомпрометированных устройств даже не подозревают об этом.

Согласно исследованию, большинство заражённых устройств находятся в Южной Америке, преимущественно в Бразилии. В частности, заражению подверглись десятки потоковых ТВ-приставок, но большей частью бэкдор Badbox 2.0 получил распространение в семействах устройств TV98 и X96, которые широко представлены, например, на Aliexpress. Практически все целевые устройства используют ОС Android с открытым исходным кодом, то есть они работают на версиях Android, но не входят в экосистему защищённых устройств Google.

Google сообщила, что сотрудничала с исследователями, чтобы удалить учётные записи издателей, связанных с мошенничеством, и заблокировать возможность этих аккаунтов получать доход через рекламную экосистему Google.

В рамках проекта Badbox 2.0 злоумышленники используют традиционное вредоносное ПО, распространяемое с помощью, например, попутных загрузок, когда пользователь случайно загружает вредоносное ПО, не осознавая этого.

Исследователи из нескольких фирм полагают, что нынешняя кампания проводится несколькими киберпреступными группами, у каждой из которых есть свои версии бэкдора Badbox 2.0 и вредоносных модулей, и они распространяют программное обеспечение различными способами.

К примеру, злоумышленники создают безобидную программу, ту же игру, размещают её в магазине Google Play, чтобы показать, что оно проверено, но затем обманом заставляют пользователей загружать почти идентичные версии приложения, но уже вредоносные, и не из официальных магазинов ПО.

«Масштаб операции огромен», — отметил Фёдор Ярочкин, старший исследователь угроз в Trend Micro. По его словам, многие из групп, участвующих во вредоносной кампании, похоже, имеют связи с китайскими рекламными и маркетинговыми фирмами серого рынка. Сообщается, что Human, Trend Micro и Google также сотрудничали с группой интернет-безопасности Shadow Server, чтобы максимально нейтрализовать инфраструктуру Badbox 2.0.

«Как потребитель, вы должны помнить, что если устройство слишком дешёвое, вы должны быть готовы к тому, что в нём могут скрываться некоторые дополнительные “сюрпризы”, — говорит эксперт. — Бесплатный сыр бывает только в мышеловке».