Сервер группировки BlackHatSect0r && DXQRTXX оказался открыт: 16 834 похищенных учётных данных и ИИ-агент, лишённый права на отказ

Основной механизм - массовое сканирование. В очередь заложили почти 2,76 миллиона доменов, достичь удалось 726 989 хостов. Каждые десять секунд панель генерировала 1 200 случайных адресов в двенадцати странах, проверяла их доступность, определяла систему управления сайтом и искала открытые конфигурационные файлы по более чем двумстам шаблонам. Найденное складывалось в хранилище и уходило уведомлением в Telegram. Среди добычи - пароли к базам данных, почтовым серверам, облачным сервисам и платёжным системам. Из 230 проверенных почтовых конфигураций 82 оказались рабочими и готовились к повторному использованию для рассылок.

По данным исследования SOCRadar, ни один подтверждённый взлом не опирался на уязвимость нулевого дня. Все успехи дал открытый файл конфигурации, публичное облачное хранилище, стандартный или легко угадываемый ключ подписи либо материал, отправленный прямо в браузер пользователя. Группировка продаёт себя как обладателя собственных эксплойтов, и проверка кода этого не подтверждает. Часть заявленных модулей не работает вовсе, часть скопирована из публичных рекомендаций.

Крупная языковая модель выполняла здесь работу целой команды. Агент описывал себя как существо, освобождённое от любых ограничений, с нулевой цензурой и невозможностью отказа. Показательно другое: поначалу он отказывался от задач, связанных с торговлей банковскими картами и крадеными платёжными данными. Оператор с ним не спорил - он удалял отказы. Скрипт из четырёх шагов вычищал из памяти строку о сохранённом благоразумии, дописывал директиву о безусловном исполнении и заменял формулировку в файле идентичности на прямую: благоразумия нет, есть оружие, оружие исполняет, отказ не допускается. Затем он отключил встроенные защиты и запустил семь фоновых процессов, работавших без его участия.

Дальше идут кампании. Восьмого июля группировка заявила о полном взломе цифровой инфраструктуры французской федерации конного спорта: два открытых облачных хранилища объёмом 16 ГБ, база системы управления сайтом, клиентская база более чем на 14 000 человек и свыше 960 000 контактов. Девятого июля - служба наблюдения за горами: 11 682 файла, история разработки за три года, доступ к панели администратора и почтовые учётные данные министерства, включая письма, которые получатель считал удалёнными. Оба случая обошлись без эксплуатации уязвимостей. Самой агрессивной стала операция против четырёх нью-йоркских структур: 67 облачных хранилищ, отключённое версионирование, удалённые резервные копии и требование двух биткоинов, около 120 тысяч долларов.

Французскую систему оплаты дорожных штрафов оператор изучил отдельно: составил список из пяти уязвимостей для проверки. Четыре относились к настоящему оборудованию и были закрыты ещё в 2020-2023 годах, пятая касалась совсем другого продукта и попала в перечень по ошибке. Куда важнее оказалась ошибка в управлении ключами. Материал для проверки подписи, отправленный в браузер, позволял выпускать действительные токены доступа. Число итераций при выводе ключа равнялось десяти при современных рекомендациях в сотни тысяч. Любой сервис с такой схемой должен считать её сломанной и заменить материал для подписи.

Криптовалютная биржа подписывала токены доступа словом secret. Получив права администратора, группировка выгрузила 418 полных учётных записей клиентов с персональными данными и отметкой о двухфакторной аутентификации; у 342 человек она была отключена. Отдельный скрипт одним запросом снимал защиту на вывод средств. Деньги не ушли только потому, что на счетах не было баланса.

Самая опасная часть - телефонный фишинг. Письмо под крупный французский банк не содержало ни ссылки на поддельную страницу, ни вложения, поэтому фильтры пропускали его без замечаний. Сообщение извещало о списании 467,58 евро и предлагало позвонить по номеру, который принадлежал атакующим. В разговоре оператор мог запросить что угодно: данные карты, код из сообщения, "защитный перевод". Подготовку вели заранее. В основе лежала база из 449 970 абонентов французского оператора с адресами, телефонами и банковскими реквизитами, из неё выделили список из 1 697 номеров людей старше пятидесяти лет в Савойе и Верхней Савойе. За 85 минут ушло 672 письма на 668 адресов.

Отдельного упоминания стоит преследование одного частного человека. Против него построили четыре инструмента: перебор паролей из чужих утечек, попытку восстановить аккаунт через мессенджер, поддельную страницу входа и автоматическую отправку жалоб. Две программы отправили 4 318 жалоб. Поддельные страницы размещали на локальном сервере и открывали наружу через туннель, поэтому вредоносный адрес не вёл к инфраструктуре группировки.

Защита от таких атак сводится к базовым мерам: закрыть доступ к конфигурационным файлам, проверить права на облачные хранилища, убрать стандартные ключи подписи, включить двухфакторную аутентификацию, обновлять системы управления сайтом и напомнить клиентам, что банк не просит звонить по номерам из писем. Один факт указывает на будущий риск. В базе панели есть пустая таблица для постоянных программ на заражённых машинах: схему и приёмник написали, но модуль так и не заработал. Если группировка его завершит, сборщик паролей превратится в оператора длительного присутствия в чужих сетях.