Дайджест событий в мире кибербезопасности за второй квартал 2025 года

Апрель

Кибератаки

Новые Android-устройства, купленные в неофициальных магазинах, могут содержать троян Triada еще на этапе производства. Вредонос внедряется в системный фреймворк, крадет данные из приложений, меняет адреса криптокошельков, перехватывает звонки и СМС, блокирует доступ к антивирусам. Разработчики вредоноса украли более $270 тысяч в криптовалюте с зараженных устройств.

В WinRAR до версии 7.11 обнаружена уязвимость. Открытие специально созданного архива позволяет запустить вредоносный код без срабатывания защиты Windows и предупреждений безопасности. Для атаки не требуются права администратора, что значительно упрощает ее проведение.

Новый шпионский софт для Android маскируется под системные настройки, не отображая иконку приложения, и использует функции прав администратора устройства. При попытке удалить приложение запрашивается пароль, известный только злоумышленнику. Вредонос собирает сообщения, фото и геолокацию в реальном времени.

Популярные клинеры из App Store, включая Cleanup, Cleaner Guru и AI Cleaner, сливают данные пользователей рекламным брокерам. Программы запрашивают полный доступ к устройству и передают информацию о геолокации, покупках и другой конфиденциальной активности. Самым «‎болтливым» оказался Cleaner Kit — он делится девятью типами данных.

Исследователи Google выявили опасную уязвимость в серверных процессорах AMD (CVE-2024-36347), позволяющую обойти механизм проверки цифровых подписей прошивки и внедрить вредоносный код на раннем этапе инициализации системы. Проблема затрагивает чипы линеек EPYC и Ryzen Embedded. Злоумышленники могут получить доступ к защищенному режиму System Management Mode (SMM), что открывает путь к полному контролю над системой. AMD подтвердила наличие уязвимости и начала распространение обновлений прошивки и микрокода.

Российские организации атаковал бэкдор, маскирующийся под обновления ViPNet. Он распространяется через легитимный протокол, используя msinfo32.exe для запуска вредоносного кода. Уязвимы старые версии с неправильной настройкой. ViPNet 5 и 4U не подвержены его влиянию.

В WhatsApp набирает популярность схема аренды аккаунтов для мошенничества: пользователи передают доступ к своим профилям колл-центрам, которые рассылают просьбы занять денег. Особенно активно в этом участвуют подростки и молодые девушки. МВД предупредило: передача аккаунта — соучастие в преступлении. Самому юному «арендодателю» всего 10 лет. Свой аккаунт он продал за 1500₽.

С марта 2025 года мошенники по всей России распространяют фейковое приложение «Умный дом» и выманивают деньги у арендаторов. Под видом аренды квартир в новых ЖК с охраной предлагают цены на 20–40% ниже рыночных. Для «доступа на территорию» просят пройти регистрацию по ссылке — ввести данные карты, BankID и СМС-коды. На Android устанавливается троян, ворующий платежные данные. Уже пострадали более 1000 человек, ущерб — свыше 12 млн рублей.

Утечки данных

Сеть больниц Yale New Haven Health сообщила о крупнейшей утечке медицинских данных 2025 года — хакеры похитили информацию 5,5 млн пациентов: ФИО, контакты, номера соцстраха и мед-ID.

В даркнете выложили свежие документы семи петербургских управляющих компаний. В утечке — ФИО, адреса, телефоны и заявки жильцов. По словам хакера, данные от 18 апреля 2025 года он украл с сервера квадро[.]ру — сервиса для автоматизации ЖКХ.

Из WorkComposer утекло более 21 млн скриншотов с чувствительной информацией компаний. Скрины, где зафиксированы письма, проекты и логины сотрудников, хранились без защиты в облаке Amazon S3. Данные оказались в открытом доступе. Число пострадавших фирм неизвестно, но компаниям грозят иски за утечку личных и корпоративных данных.

Другие события

Касперский и Интерпол провели операцию Red Card в семи странах Африки, задержав 306 подозреваемых и изъяв около 2000 устройств. Операция длилась с ноября 2024 по февраль 2025. В Нигерии арестовали 130 человек за онлайн-мошенничество, в Замбии задержали группу, заражавшую смартфоны через фишинговые ссылки для кражи данных из банковских приложений.

В коммутаторах FortiSwitch обнаружена критическая уязвимость: любой может сменить админ-пароль без входа в систему, просто отправив запрос на маршрут set_password. Затронуты версии 6.4.0–7.6.0. Fortinet уже выпустила патчи — до обновления стоит ограничить доступ к веб-интерфейсу.

Планировщик задач Windows позволяет обходить UAC и запускать команды от имени SYSTEM без запроса прав — все благодаря авторизации через Batch Logon. Также обнаружен баг: создавая задачи с длинными полями Author, можно отправить логи событий, а 2280 таких задач подряд полностью затирают 20 Мб журнал безопасности. Microsoft называет это «особенностями», а не уязвимостями.

Май

Кибератаки

Сайт Victoria’s Secret был недоступен в течение нескольких дней после хакерской атаки — по оценке экспертов, каждые сутки простоя обходятся бренду в $5,5 млн, а значит, убытки уже превысили $16 млн, не считая репутационных потерь, затрат на восстановление и возможных выплат вымогателям. На фоне инцидента акции компании просели на 7%.

Криптовалютная биржа Cetus Protocol потеряла $223 миллиона из-за атаки злоумышленников, которые воспользовались уязвимостью в AMM-логике, вероятно, используя манипуляции с ценами и флеш-займы. Компания быстро заморозила контракты и смогла заблокировать около 70% украденных средств — $162 миллиона. Преступники успели перевести $60 миллионов на Ethereum через блокчейн-мосты.

Неизвестные атаковали даркнет-инфраструктуру шифровальщика LockBit и опубликовали в открытом доступе админ-панели группировки с SQL-дампом, включающим чаты с жертвами, 60 тысяч BTC-адресов и простые пароли. Вместо привычной админ-панели на главной странице теперь красуется сообщение: «Don't do crime. CRIME IS BAD. xoxo from Prague», со ссылкой на SQL-дамп.

Marks & Spencer потеряла почти £700 млн из-за атаки шифровальщика, затронувшей серверы VMware. Взлом привел к сбоям в онлайн-заказах и оплате, а около 200 сотрудников логистики временно остались без работы, пока компания устраняет последствия. За атакой, возможно, стоит группировка Scattered Spider.

Утечки данных

В даркнете опубликована база с персональными данными более миллиарда пользователей соцсети Facebook*, включая имена, геолокацию, электронные адреса и телефоны. Хакеры заявляют, что информация уникальна и ранее не публиковалась, в то время как представители соцсети лишь отметили, что проблема известна и уже решена.

*Facebook принадлежит Meta — организации, деятельность которой признана экстремистской и запрещена на территории РФ.

Хакер под ником Machine1337 выставил на продажу базу с 89 миллионами профилей Steam, включая коды 2FA и номера телефонов, за $5000. Изначально утечку связывали с Twilio, но компания это опровергла, а Valve рекомендует пользователям срочно перейти на мобильный аутентификатор Steam Guard.

Disney подверглась кибератаке. Невнимательный сотрудник установил вредоносную программу, которая маскировалась под генератор AI изображений, что позволило злоумышленнику получить доступ к инфраструктуре компании и украсть 1,1 ТБ данных. Попытки шантажа с требованием выкупа через электронную почту и Discord успеха не имели, после чего украденные данные были опубликованы на BreachForums. Сейчас злоумышленник признал вину и может получить до 5 лет лишения свободы.

В сеть утекла база данных владельцев Lada с персональными данными более 32 тысяч человек, включая VIN, телефоны и возраст. АвтоВАЗ заявил, что их системы не причастны к утечке, но предупредил о возможных мошеннических схемах, включая фейковые розыгрыши и поддельные сайты с запросом паспортных и банковских данных.

Закрытый API-ключ к десяткам внутренних ИИ-моделей SpaceX, Tesla и X случайно оказался в открытом доступе на GitHub и оставался там почти два месяца. Утечка могла позволить злоумышленникам вмешиваться в работу моделей, включая невыпущенный, однако xAI уверяет, что данные пользователей и госструктур не пострадали.

Хакеры слили данные из CRM-системы DT Group, затронув сведения о 350 сотрудниках и более 4 тысячах клиентов, включая Oriflame, X5, Райффайзенбанк, Danone, Tele2, «Лабораторию Касперского» и Сбербанк. Утечка произошла после фишинговой атаки на руководителя проекта DT Live.

Другие события

Хакерский форум BreachForums снова ушел в офлайн после взлома через уязвимость в устаревшей версии PHP и MyBB. Накануне атаки на сайте появилось объявление о продаже базы данных и исходного кода за $2000, а новый владелец пообещал перезапуск форума на новом домене.

Китайский производитель принтеров Procolored полгода случайно распространял вредоносное ПО, в котором скрывались трояны для удаленного доступа и кражи криптовалюты. Вредонос успел украсть около 9,3 BTC (около $1 млн), после чего компания обновила драйверы и объяснила инцидент заражением через USB-карты памяти.

В рамках двух крупных операций — Endgame и RapTor — правоохранители из ЕС и США за несколько дней парализовали хакерскую инфраструктуру, уничтожили 300 серверов, 650 доменов и задержали сотни преступников, изъяв крипту, оружие, наркотики и миллионы евро. Под удар попали цепочки вроде Bumblebee и DanaBot, а зачистка даркнета продолжается: опубликованы ники подозреваемых и закрыты маркетплейсы. Преступники массово бегут с площадок.

Фан-сайт про «Звёздные войны» с Йодой и играми времен Xbox 360 оказался частью тайной шпионской сети ЦРУ — через него агенты получали задания, вводя пароли в строку поиска. Исследователь Сиро Сантили раскрыл сотни подобных сайтов, спрятанных под видом безобидных ресурсов, выявив банальные ошибки маскировки. Сейчас эти «цифровые тайники», которые активно использовались спецагентами 10-15 лет назад, — музей провала одной из крупнейших операций американской разведки.

Июнь

Кибератаки

Группировка Lazarus похитила $11,5 млн с тайваньской криптобиржи BitoPro, установив вредонос на ПК сотрудника при помощи фишинга. Хакеры перехватили AWS‑токены и обошли защиту, внедрив скрипты в систему горячих кошельков. Средства начали выводить ночью — через фейковые транзакции в Ethereum, Tron, Solana и Polygon. Биржа успела остановить атаку, но деньги вернуть не удалось — убытки компания покрыла самостоятельно.

Майнер T-Rex тайно работал в интернет-кафе Южной Кореи. Хакеры заразили компьютеры через вредоносное ПО Gh0st RAT, установленное с помощью дропперов. Они получили доступ к софту для управления сетью кафе и запускали майнер T-Rex на зараженных машинах. Атака началась еще в 2024-м, но разработчики только сейчас начали устранять последствия.

Атака на «Орион Телеком» оставила Сибирь без связи. Хакеры BO Team заявили о взломе сети крупного провайдера, которая оказалась парализована. Сбои фиксировали в Красноярске, Иркутске, Братске и других городах. Компания подтвердила DDoS-атаку — интернет и ТВ пропали у тысяч абонентов. Полностью восстановить услуги удалось лишь через две недели.
Ботнет Mirai взялся за видеорегистраторы в России. Новая версия нашумевшего Mirai заражает DVR-устройства в общественных местах и на предприятиях. Вредонос тщательно маскируется, избегая виртуальных машин, песочниц и эмуляторов. Зафиксировано свыше 50 тысяч заражений в РФ, Турции, Китае и других странах.

Хакеры использовали утилиту для взлома турецкого ВПК. Группа Stealth Falcon атаковала оборонную компанию Турции с помощью 0-day и .url-файла. Вредонос запускался через легитимный набор расширений WebDAV, обходя защиту. Атака привела к установке импланта Horus Agent и краже данных.

Утечки данных

В открытом доступе оказалась база с персональными данными 16,3 млн казахстанцев — это почти все население страны. В архиве объемом 7 ГБ содержатся имена, ИИН, адреса, телефоны, даты рождения и даже медданные. По оценке TSARKA, утечка представляет собой сборник ранее похищенных данных, объединенных по ИИН. В Минцифры Казахстана уточнили: информация, скорее всего, утекла из частных систем — атак на госресурсы не зафиксировано.

Хакеры из группы Everest скомпрометировали личные данные более 950 сотрудников дистрибьютора Coca-Cola на Ближнем Востоке. В утечку попали ФИО, паспорта, телефоны, адреса и другие важные документы. Злоумышленники потребовали выкуп, но ответа от компании не последовало. В сети уже появился полный дамп данных, преимущественно касающийся сотрудников из Бахрейна и ОАЭ.

В Техасе хакеры получили доступ к данным 300 тысяч участников ДТП через взломанный аккаунт сотрудника дорожной службы. Злоумышленник массово скачал отчеты из системы CRIS, где содержались имена, адреса, номера водительских прав, страховки и госномера. Дорожный департамент оперативно заблокировал доступ и начал расследование. Ответственность за утечку пока никто не взял.

Платформа Passion[.]io случайно оставила без защиты 12,2 ТБ данных — более 3,6 млн записей были доступны без пароля и шифрования. В открытом доступе оказались имена, адреса, платежные данные и даже личные фото пользователей. Утечка могла быть использована для фишинга под видом поддержки сервиса. Доступ закрыли после уведомления исследователей, но сколько времени информация была в открытом доступе — неизвестно.

Другие события

Собственный вредонос слил хакеров из-за бага. Специалисты ИБ воспользовались уязвимостью трояна DanaBot. Она позволила на протяжении трех лет получать данные о хакерах. Правоохранители узнали имена распространителей, IP-адреса, домены управляющих серверов, логи и ключи. В итоге 16 преступникам предъявлены обвинения, а сам вредонос выведен из строя.

Сбой в Ардшинбанке: «Брат, почему ты лысый?». Клиенты армянского банка получили странное пуш-уведомление — сначала подумали на хакеров. Позже банк объяснил: тестовое сообщение случайно ушло пользователям. Угрозы безопасности нет, инцидент признан технической ошибкой. Лысый брат остался анонимным.

Французская полиция задержала пятерых администраторов обновленного BreachForums. Они работали под никами ShinyHunters, Noct, Hollow и Depressed. Позже стало известно о задержании еще одного участника — IntelBroker. Все они связаны с новой версией форума, действовавшей после закрытия оригинального BreachForums в 2023 году. Площадка прекратила работу в апреле 2025 года из-за критической уязвимости в PHP.

В Стерлитамаке задержали хакера из Узбекистана, взламывавшего аккаунты на «Госуслугах» и прописывавшего соотечественников в чужих квартирах без ведома владельцев. За регистрацию он получал деньги, но сумму не раскрывают. До задержания он успел «прописать» более десяти человек. Похожий случай уже происходил в мае прошлого года — тогда москвич обнаружил у себя в квартире восемь новых «жильцов» из Киргизии.

Тенденции DDoS-атак во втором квартале 2025 года

Мы приблизились к середине года. DDoS-атаки продолжают расти и усиливаться, демонстрировать новые тренды и хитрости. Цели атакующих в основном остались прежними, но обращают на себя внимание некоторые любопытные моменты — например, что число атак на уровень L7 выросло почти на 40%. Посмотрим внимательнее на тенденции того, что происходит.

Ключевые тренды в Q2 2025

Рост общего числа DDoS-атак в мире замедлился, но начала резко расти и ставить новые рекорды мощность: в конце апреля в Cloudflare сообщили об атаках в 6,5 Tbps, а уже в середине мая — зафиксировали гиперобъемную атаку в 7,3 Tbps и 37,4 TB за 45 секунд — в инциденте участвовали сотни тысяч IP из 161 страны. Это самая мощная DDoS-атака в истории.

Из-за политических событий на Ближнем Востоке в третьей декаде июня произошел кратковременный всплеск (800%) числа DDoS-атак на американские компании. К настоящему моменту он уже прекратился.

Тенденции DDoS-атак внутри России продолжают расходиться с трендами в остальном мире: в нем атаки сетевого уровня L3/L4, по данным Cloudflare, продолжают составлять более 80% всех инцидентов вообще (похожую пропорцию подтверждают во втором квартале 2025 и другие провайдеры защиты и аналитики).

L7 уходит в отрыв

В России уже с начала 2025 года наметилась вполне определенная динамика с увеличением числа атак на уровне L7, которые в остальном мире тоже растут, но не с такой скоростью и не с таким отрывом.

Еще в аналитическом отчете за первый квартал мы отмечали значительный разрыв почти в 10 раз между L3-L4 и L7, предполагая связь этой тенденции с тем, что в большинстве крупных российских компаний и организаций уровень L7 практически беззащитен — причем как раз в тех секторах, у которых самый большой риск подвергнуться DDoS-атаке.

Теперь можно с уверенностью сказать, что этот тренд продолжается. Разница между атаками на сетевой и прикладной уровень во втором квартале несколько сократилась, но все равно остается впечатляющей — 7,5 раз (или 74 тысячи атак против 563 тысяч). По сравнению с первым кварталом 2025 рост атак по L7 составил 38%.

Выросли и все остальные характеристики атак по L7 — количество запросов в секунду, медианная длительность, и другие. 26-часовой рекорд длительности за прошлый квартал остался не побит совсем чуть-чуть (самая длинная атака второго квартала заняла 25 часов).

Географические источники атак

Анализ географической распределенности по странам-источникам подозрительных запросов в целом за второй квартал показывает, что с большим отрывом лидируют две страны: Соединенные Штаты и Россия, за ними следуют Индонезия и Бразилия.

Последние два государства укладываются в общемировую картину DDoS-атак — и в первом и во втором квартале 2025 года Cloudflare подтверждает, что Бразилия и Индия, а также страны Юго-Восточной Азии являются крупнейшими источниками DDoS. Такая динамика, а также ее устойчивый рост, логичны. В «странах третьего мира» постоянно растет число незащищенных IoT-устройств, основного «сырья» для DDoS-ботнетов — а вот уровень кибербезопасности среди населения оставляет желать лучшего.

Не вызывает особого удивления и сама Россия на втором месте среди географических источников атак на Россию — это известная тактика киберпреступников, которые арендуют мощности поближе к цели атак, чтобы не попасть под механизм геоблокировки.

Почему на первом месте по источникам DDoS по российским целям находятся США, и это не совпадает с данными зарубежных операторов защиты? Можно предположить, что на самом деле причиной тому удобные прокси, географически расположенные в Штатах, и атакующие рассматривают их как более доступный вариант. К тому же в самой стране действительно очень много активных ботнетов (около полумиллиона по данным Spamhaus, третье место в мире после Бразилии), которые могут арендовать для своих незаконных целей хакеры со всего мира.

Рост распределенности

Стремительно растет число уникальных IP-адресов в рамках одной атаки, что говорит об усилении и развитии ботнетов: за весь 2024 год рекордным значением для нас было 957 тысяч; уже в первом квартале 2025 число выросло до 1,4 млн. А в Q2 — уже 1,7 млн. 

Общие тенденции

Подавляющее большинство атак на L3 в Q2 2025 длились до 20 минут, на L7 самыми популярными остаются инциденты длительностью до 1 часа и от 1 до 6 часов. Атак длительностью более 12 часов на L3 зафиксировано не было, на L7 их произошло 18 тысяч — всего 3% от общего числа, но вообще-то это немало.

Самыми атакуемыми днями вместо пятницы как в первом квартале теперь стали суббота и воскресенье. Наблюдавшийся в первом квартале прирост от месяца к месяцу сошел на нет — после резкого роста в марте и апреле, в мае и июне уже ежемесячное число атак оставалось примерно одинаковым.  

Хакеры продолжают учиться на своих ошибках прямо в реальном времени: на графиках атак второго квартала видно, что иногда прямо в процессе атаки, вероятно из-за отсутствия видимого эффекта, ее вектор резко меняется с сохранением цели.

Практически исчезли высокопараллельные атаки с малым количеством запросов на множество доменов одного владельца. Также почти не наблюдаются единичные атаки с гигантской мощностью, но с максимально короткими интервалами по времени. Вероятно, произошла их трансформация в Pulse Wave — DDoS-атаки, где потоки вредоносного трафика идут волнами с паузами. Пример можно увидеть ниже. В конце графика видно, что атакующие переключились на трафик постоянной мощности в попытках подобрать паттерн, который был бы эффективен. 

Увеличилось число вялотекущих слабых атак в фоне — в июне 2025 мы зафиксировали внезапный всплеск их объема сразу в 6 раз по сравнению с любым из месяцев Q1 2025. 

Заметно подросли объемы атак по L7: количество запросов в самой мощной атаке составило 859 млн (рост на 270% по сравнению с первым кварталом).

Возобновились reflect-атаки, когда злоумышленники подменяют IP-адреса и направляют трафик якобы от лица жертвы в большом количестве в надежде, что жертву «завалит» ответами. В качестве исходящих портов подключения используются порты из общеизвестного зарегистрированного диапазона, например, относящиеся к протоколам bgp, smtp, а в качестве жертвы — почти всегда какой-нибудь интернет-провайдер.

На уровне L3 часто наблюдались атаки вида TCP/UDP флуд на различные служебные порты в широком диапазоне (по портам и адресам по всей /24), особенно на 80 порт по TCP маленькими пакетами.

Прошлый год пока остается рекордсменом по мощности атак: в 2024-м были инциденты с мощностью 2,46 Тб/c, в этом году пока ничего похожего не наблюдается. Однако терабитные атаки встречаются практически каждый день. 

DDoS-атаки по отраслям

В первом квартале 2025 года резко усилились атаки на онлайн-магазины автозапчастей, составившие 11% от всех инцидентов. Этот тренд к настоящему времени сократился, но продолжает действовать (более 9 тысяч DDoS-атак за квартал).

В числе приоритетов атакующих, как и в прошлом году остаются:

• телеком;
• бизнес- и промышленные сайты;
• игровые порталы;
• финансовые организации.

Заметно подросли — почти в 2 раза—  атаки по L7 на финансовый и гейминг сектор. Остальные области из топа целей остались практически без изменений — количество атак на них увеличилось пропорционально общему росту.

Прогнозы

По отраслям в третьем квартале 2025 года особенных изменений наблюдать не стоит, текущая динамика атак сохранится (телеком, финансы, бизнес, онлайн-маркетплейсы).

Атаки по L7 скорее всего продолжат доминировать, хотя вероятно стоит ожидать дальнейшего сокращения разрыва с L3-L4.

Возможно существенное, хотя и кратковременное влияние политических факторов на усиление атак. Также в начале июня 2025 года стало известно, что правительство РФ разработало поправки в УК, вводящие наказание за организацию DDoS-атак — до 2 млн руб. штрафа или до восьми лет лишения свободы. Законопроект, находящийся на момент написания этого текста на согласовании, предусматривает ответственность за «целенаправленное воздействие» на цифровые системы, повлекшее сбои или ущерб.

В случае, если закон, наказывающий за организацию DDoS, будет принят, это может ощутимо снизить количество атак с территории РФ во второй половине года. С другой стороны, так как значительная часть атак ведется через зарубежные прокси, эффект может и не быть столь разительным. Будем наблюдать за этой динамикой дальше.

А пока — подключите профессиональную защиту от DDoS-атак сегодня и перестаньте беспокоиться о том, что будет завтра.