Взлом холодильников службы крови во Франции, троян в лаунчере NIKKE и другие события кибербезопасности

Заметное событие всколыхнуло криптовалютные рынки. Мы собрали наиболее важные новости из мира кибербезопасности за неделю. 2 ноября специалисты Google Threat Intelligence Group и Mandiant описали атаки LLMjacking: в отдельных организациях расходы на чужие запросы к нейросетям доходили до $1 млн, прежде чем доступ удавалось отозвать. Применяя LLMjacking, злоумышленник завладевает API-ключом и пользуется моделями за счет владельца.

В отличие от скрытого майнинга, траты растут не постепенно, а за считанные часы — иногда более чем на $100 000 в день. Чаще всего хакеры используют утекшие или похищенные облачные учетные данные, а ключи находят и в публичных репозиториях, куда программисты по ошибке могут выложить код с секретами. Группировка UNC6993 создала фейковую страницу под видом рабочего портала приложений и обманом убеждала сотрудников вставлять туда свой токен верификации.

Динамика рынка

Получив его, хакеры входили в облако от имени жертвы. По данным аналитиков, украденный доступ перепродают через LLM-миксеры — подпольных посредников. Они собирают в общий пул чужие ключи, распределяют между ними обращения покупателей и скрывают, откуда те на самом деле приходят.

Клиенты платят операторам за подписку через теневые витрины, а расходы на нейросети ложатся на взломанные компании. Одна из таких площадок, Jet Night, предлагала безлимитный тариф примерно за $60 в месяц против обычных $100–250 у легальных сервисов. Менее чем за восемь часов она сделала за чужой счет более 500 000 запросов — почти на $1 млн.

Перебои в работе Jet Night, по мнению Google, случаются, когда пострадавшие отзывают скомпрометированные ключи. Свежий пример — облачная платформа Northflank, где программисты размещают приложения и базы данных — 30 октября сообщила об инциденте безопасности и попросила пользователей считать все переменные окружения скомпрометированными. В тот же день несколько клиентов обнаружили чужие запросы со своих ИИ-аккаунтов.

2 ноября Northflank заявила, что остановила атаку в течение часа после первого сигнала. Признаков присутствия хакера в инфраструктуре не обнаружили. Хакеры подменили скрипты загрузчика игры Goddess of Victory: NIKKE для ПК и несколько дней поставляли через него троян для кражи паролей и криптокошельков, выяснил исследователь под ником MotherSphere.

Эта перемена продолжает формировать ландшафт цифровых активов.