НеИБи

Уж лучше бы это был взлом Revolut подтвердил утечку персональных данных клиентов, о которой мы не успели рассказать в субботу. А группировка, называющая себя Revolut Smilik, (атрибутации посерьезней пока не было, но суффикс уже проглядывается) сегодня перешла к вымогательству. Требование: 10 тыс. BTC. По текущему курсу это около $780 млн, или примерно 65 млрд руб. История началась 12 сентября, когда Revolut сообщил, что передал конфиденциальные данные клиентов посторонним после запроса, пришедшего с домена, принадлежащего реальному государственному ведомству. Письмо прошло проверку подлинности, поэтому в банке изначально сочли его легитимным. Позже, связавшись с ведомством, выяснилось, что запрос был поддельным. То есть даже не взлом. Отдали все сами. Утекло почти все из KYC. Имена, даты рождения, почтовые и email-адреса, телефоны, копии паспортов и водительских прав, селфи для верификации, выписки, IBAN, история транзакций, включая операции с биткоином. Revolut называет число пострадавших «очень ограниченным», но точные цифры не раскрывает. Комментировать требования выкупа компания отказалась Группировка в свою очередь начала публиковать фрагменты данных в Telegram и X. Среди первых документы и селфи генерального директора криптоказино Gamdom Феликса Рёмера и теннисиста Александра Шевченко. Отдельно стоит упомянуть, что ZachXBT обратил внимание на характер выборки. По его словам, данные выглядят как целевые, а не массовые. Возможно, атака била по состоятельным клиентам, включая криптоинвесторов. Revolut эту версию не подтверждает, но совпадение паспорта, домашнего адреса и полной истории биткоин-транзакций в одних руках — это уже готовый инструмент для таргетированного фишинга. @antiinfosec

Мышь прогрызла дыру Думаю, многие из вас видят в своем трее Logitech Options+. Это софт, который все обладатели брендовой периферии ставят вместе с мышью или клавиатурой и потом благополучно забывают. А внутри у него есть служба обновления, которая работает от имени NT AUTHORITY\SYSTEM. Именно она и стала отправной точкой для цепочки уязвимостей, которую исследователь из AmberWolf описал под номером CVE-2026-12518. Служба слушает именованный канал \\.\pipe\logitech_kiros_updater. Подключиться к нему может любой локальный пользователь, но служба проверяет, что соединение пришло от logioptionsplus_agent.exe. Звучит разумно, пока не вспомнить, что этот агент работает с правами того же самого пользователя. То есть в него можно внедрить DLL без всякого админа. Причем проверка службы увидит «легитимный» процесс, которым на самом деле управляет атакующий. Дальше через этот канал отправляется сообщение SET /updates/depot/reinstall с полем custom_tags, где переменная {depot} подменяется на произвольный путь вроде C:\Users\Public\logi_pwn. В манифесте одного из депотов есть команда, которая запускает msiexec.exe с параметром /qn и берет MSI-файл из {depot}/LogiPluginServiceInstaller.msi. Поскольку {depot} теперь указывает на папку пользователя, туда можно положить свой MSI с вредоносным кодом. К тому же в коде updater есть флаг isSystem, и если он установлен, проверка Authenticode-подписи просто пропускается. Этот флаг уже стоит в манифесте, а значит, неподписанный MSI спокойно запускается с правами SYSTEM. Цепочка не требует ни административных прав, ни действий пользователя, ни сетевого доступа. Обычный локальный пользователь получает полный контроль над машиной. Logitech уведомили в марте, патч вышел 19 августа, публичное раскрытие — 14 сентября. Интересна тут не отдельная дыра, а то, как несколько независимых защит — проверка процесса, валидация сертификата, ограничение путей — в сумме не создали нормальной границы доверия. Каждая по отдельности выглядела разумно, но вместе они просто передавали управление по цепочке, где каждый следующий элемент доверял предыдущему. Привилегированный updater в итоге должен исходить из того, что все, что приходит через его IPC, может быть враждебным. @antiinfosec

Клод на выданье Теперь, как и обещали подробнее про сеть из дейтинг-приложений. Anthropic раскрыла, вероятно, самую масштабную на сегодня схему романтического мошенничества, построенную на генеративном ИИ. В отчете за сентябрь 2026 года она проходит под кодовым именем GTG-15001. Китайская App-студия развернула более 20 дейтинг-приложений, в которых 75% всех «матчей» были не людьми, а ИИ-персонажами, работающими на Claude. Это не просто бот в приложении, а гибридный конвейер, где каждый компонент делает то, что лучше всего умеет. За две недели апреля 2026 года Claude сгенерировал более 4 700 уникальных женских персонажей и провел около 2,36 миллиона сообщений с как минимум 25 тыс. пользователей. Один ИИ-профиль в среднем общался с пятью разными людьми. Промпты запрещали персонажам признаваться в том, что они автоматизированы, и предписывали уклоняться от любых просьб о видео или фото, продолжая разговор по заранее прописанному сценарию. Но был и человеческий слой. Так, около четверти профилей были реальными людьми, нанятыми как фрилансеры. Их задача проходить проверки на «подлинность», которые ИИ не может имитировать. Например, если все-таки будет условия организовать живой видеозвонок и реальный фолловбэк в соцсетях. Но даже эти люди работали не полностью самостоятельно. Отдельная небольшая модель подсказывала им три варианта ответа на выбор. Еще одна модель оценивала привлекательность фото, а третья генерировала аватары для персонажей. Дальше все уходило в монетизацию. Внутренние «кредиты», которые пользователи покупали за реальные деньги. Работникам платили за каждое сообщение, видеозвонок и подписку в соцсетях. При этом студия явно готовилась к проверкам платформ. В приложениях был скрытый режим, который активировался только во время ревью в App Store или Play Store, а после одобрения отключался. Встроенный браузер для платежей перенаправлял средства сторонним процессингам, и эту функцию можно было удаленно отключать на время проверки. Anthropic заявляет что схема, конечно, не нова, но поражает масштаб и индустриализация сети. Если раньше для романтического скама нужны были сотни операторов, то теперь один Claude держит тысячи диалогов одновременно, а люди подключаются только на верификации. Это снижает маржинальную стоимость каждого нового «персонажа» почти до нуля и позволяет масштабировать обман до десятков тысяч жертв без пропорционального роста команды. Anthropic заблокировала аккаунты и инфраструктуру организаторов и поделилась индикаторами с Apple, Google и другими AI-лабораториями, чьи модели тоже использовались в схеме. Среди некоторых имен, фигурирующих в сети: DORA, DONI, ROMI, LUMA, JOVIA, KIRA, GRACECHAT, HAVEN, NALO, LOVIA и другие варианты. @antiinfosec