Google rozbija botnet XCPE: 1,3 mln zainfekowanych dekoderów

Wydanie opracowane przy pomocy sztucznej inteligencji. Tekst i lektor wygenerowane automatycznie.

Google rozbija botnet XCPE i odbiera licencję Videostrong

Google wspólnie z partnerami zdemontował botnet XCPE obejmujący ponad 1,3 mln dekoderów Android TV. Firma ocenia z wysoką pewnością, że chiński producent Videostrong celowo instalował trwałe backdoory w urządzeniach i sprzedawał do nich dostęp przestępcom, którzy wykorzystywali je do oszustw reklamowych, proxy rezydencjalnego i instalowania złośliwego oprogramowania. Google przejął serwery dowodzenia i kontroli powiązane z ponad tuzinem rodzin malware, odcinając dostęp do co najmniej 10 mln kolejnych zainfekowanych urządzeń. Firma zakończyła współpracę z Videostrong, cofnęła licencję na produkcję certyfikowanych urządzeń Android TV i zakazała firmie oraz jej przyszłym podmiotom powiązanym dostarczania sprzętu i oprogramowania. W akcję zaangażowały się m.in. japońska National Police Agency oraz firmy Lumen, HUMAN Security, Plume, Synthient i TrendAI. Backdoor tkwi w firmware i reinstaluje się po usunięciu, więc użytkownicy potrzebują czystego firmware lub odłączenia urządzenia od internetu.

Google disrupts million-device XCPE Android malware botnet, bans TV box maker →

Tematy: Google Malware i infostealery

Ivanti łata dwie kolejne luki zero-day w Connect Secure

Ivanti wydał poprawki dla dwóch kolejnych luk w bramach Connect Secure (ICS), wykorzystywanych w atakach zero-day co najmniej od 1 października. Chodzi o CVE-2026-111357, poważną lukę pozwalającą na podniesienie uprawnień, oraz CVE-2026-118527, umożliwiającą uwierzytelnionym atakującym przesyłanie plików. Przestępcy łączyli je z obejściem uwierzytelniania CVE-2026-104935, które Ivanti załatał w październiku. Firma Volexity ustaliła, że aktor UTA0576 od 3 października łańcuchowo wykorzystywał te podatności, by uzyskać zdalne wykonanie kodu z uprawnieniami roota na w pełni załatanych urządzeniach. UTA0576 nie wdrażał malware ani web shella, lecz ponownie wykorzystywał urządzenie przy każdym poleceniu i manipulował logami, omijając Integrity Checker Tool. CISA dodała CVE-2026-104935 do katalogu aktywnie wykorzystywanych podatności i nakazała agencjom federalnym łatanie do piątku. Shadowserver śledzi ponad 5 tys. wystawionych do internetu instancji ICS.

Ivanti patches two more Connect Secure zero-days chained in attacks →

Tematy: Podatności zero-day Aktualizacje bezpieczeństwa i Patch Tuesday

Cyberatak na chłodnie w europejskich supermarketach

Cyberatak na systemy chłodnicze w kilkudziesięciu belgijskich supermarketach zmusił sklepy do wyrzucenia żywności o wartości około 100 tys. euro. Ucierpiało około 40 sklepów Delhaize, co najmniej 15 placówek Carrefour, pięć sklepów Spar oraz grupa mięsna De Laet en Van Haver. Belgijskie media podały, że temperatury w chłodniach sięgały 70°C. Problemy zgłoszono też w kilku sklepach szwedzkiej sieci ICA. Atak nastąpił po podobnym incydencie z 12 października, gdy ingerowano w systemy chłodnicze setek francuskich supermarketów. Badanie firmy Forescout wykazało 12 976 wystawionych do internetu usług zarządzania chłodniami na 6 017 adresach IP w 99 krajach. Większość należała do rodzin Copeland i Dixell XWEB oraz Danfoss StoreView. Aż 80 proc. usług Danfoss działało na firmware starszym niż wersja naprawiająca znane błędy.

Supermarket hacks across Europe: why are fridges connected to the internet? →

Volta-Autodoxer wykorzystuje LLM do profilowania ofiar

Nowy infostealer dla Windows o nazwie Volta-Autodoxer używa komercyjnych modeli językowych do zbierania informacji o ofiarach i szeregowania ich według potencjalnej wartości finansowej. Złośliwe oprogramowanie wykrada hasła z przeglądarek, pliki cookie, dane kart płatniczych i frazy seed portfeli kryptowalut, a także sesje Discord, Telegram, Steam i Roblox, tokeny Microsoft OAuth, klucze SSH i chmurowe oraz profile Wi-Fi i zrzuty ekranu. Następnie buduje ustrukturyzowany pakiet dowodów z geolokalizacją, adresem domowym, pracodawcą, domniemanym rokiem urodzenia i wyceną konta Roblox. Wykorzystując skradzione sesje, przeszukuje skrzynkę Gmail ofiary w poszukiwaniu potwierdzeń zakupów od Amazon, DoorDash, Uber Eats, Grubhub, Walmart i PayPal, by potwierdzić adres domowy. Pakiet trafia do OpenRouter z promptem każącym modelowi działać jako analityk wywiadu sądowego i ocenić aktywa ofiary w kategoriach niskiej, średniej i wysokiej wartości. Cisco Talos wskazuje, że ochronę może dać blokowanie uruchamiania Chrome z flagą –headless.

Infostealer uses LLMs to compile dossiers on victims →

Tematy: Malware i infostealery Malware oparty na AI

Apple ostrzega użytkowników w 99 krajach przed spyware

Apple rozesłał powiadomienia o zagrożeniu do użytkowników w 99 krajach, ostrzegając, że mogli stać się celem ataków mercenary spyware. Niemieccy parlamentarzyści i urzędnicy rządowi zaczęli otrzymywać alerty w czwartek, co skłoniło Federalny Urząd Bezpieczeństwa Informacji do wydania w weekend pilnego ostrzeżenia. Agencja zaleciła odbiorcom, by zakładali, że ich urządzenie nie jest już bezpieczne. Rząd Niemiec oświadczył, że traktuje incydent bardzo poważnie i intensywnie bada okoliczności. Rzecznik rządu Stefan Kornelius nie chciał powiedzieć, czy wśród poszkodowanych jest kanclerz Friedrich Merz. Według doniesień ataki wykorzystywały lukę typu zero-click, pozwalającą przejąć urządzenie bez żadnej interakcji użytkownika; wystarczała znajomość numeru telefonu celu. Nie wiadomo, kto stoi za atakami. Apple zaleca poważne traktowanie ostrzeżeń, kontakt z ekspertami i włączenie trybu Lockdown.

Apple recently notified users in 99 countries of potential mercenary spyware attacks →

Tematy: Apple Oprogramowanie szpiegujące