Google и отраслевые партнёры снесли бэкдор XCPE, который загнал в ботнет более 1,3 млн ТВ-приставок. GTIG с высокой уверенностью связывает разработку и эксплуатацию с Videostrong Technology: доступ продавали криминальным партнёрам, а на устройства грузили модули для рекламного фрода и residential proxy. LWN отмечает высокую нагрузку от скраперов и скрыл комментарии для анонимов.
Google с партнёрами отключил управляющие домены и серверы XCPE — ботнета из более чем 1,3 млн Android TV-приставок. GTIG возложила ответственность на китайского производителя Videostrong: прошивка сдавала устройство в residential proxy, крутила рекламный фрод и могла догружать чужой код; по оценке участников, отсечение может лишить ботнет доступа ещё к 10 млн систем. В отчёте также названы AppSalt/Honeygain, NetNut и другие прокси-провайдеры, а среди заражённых устройств были telehealth-гаджеты, караоке-машины и цифровые вывески.
Малые модели с агентским доступом к reverse shell и эксплойт-инструментам ищут цели, получают выполнение кода, поднимают inference и заражают новые хосты. Полный цикл пока не осилила ни одна лёгкая модель: Gemma4-26B-A4B на 15 Android TV-боксах выдавала 0,39 ток/с, а настройка занимала 71–150 часов; GLM-5.2 выглядит способным на это.
Массовый взлом контроллеров охлаждения затронул супермаркеты в Испании, Португалии, Польше, Германии и Бельгии. Pen Test Partners указывает на отсутствие VPN и IP-allowlist, дефолтные пароли и устаревшие прошивки; Copeland признала уязвимость в снятых с производства контроллерах.
Атака затронула системы управления охлаждением во французских сетях Intermarché, Leclerc и Coopérative U. Президент последней подтвердил кибератаку на холодильные установки: оборудование Danfoss было принудительно переведено в режим непрерывной разморозки при 50 °C. Пострадали также поставки и электронные ценники.
Совместно с Consumer Reports протестировали 21 машину и 30 приложений: 19/21 авто отправляют трафик третьим лицам, 7/30 приложений передают PII трекерам, 5/30 — VIN и PII. Данные могут уходить страховщикам и рекламодателям без контроля владельца.
Группа stegan0gram сняла камеру Flock Safety с дороги и скопировала её накопитель вместе с ключом шифрования, открывшим доступ к видео и логам. Данные показали, что камера детектирует людей, велосипеды и наклейки, а локальные записи видны более чем 2000 агентств по всей стране.
На YouTube вышло видео «216M Spy TVs – The LG Smart TV Problem», в котором речь идёт о проблеме с телевизорами LG. В описании — ссылка на материал notebookcheck о том, что LG Smart TV поймали на логировании. Какие именно данные собираются, из заголовка не ясно, так что детали — в видео.
Автор расследует серию одновременных отказов холодильного оборудования в магазинах commissary на 14 военных базах. На базе Форт-Хуачука официально подтвердили: «электричество не отключали», холодильники сами включили режим разморозки. Пентагон признал «возможное нарушение охлаждения». Причина не установлена.
На DEF CON Пол Накасоне заявил, что после атак на системы водоснабжения в 12 штатах (предположительно, иранских) необходимо повышать стандарты. В США 50 000 муниципальных водных систем, 90% воды — от них. Nakasone упомянул проект Franklin, где хакеры-волонтёры помогают защищать объекты.
Bitsight перехватила телеметрию с десятков тысяч H96-стиков и обнаружила, что все они представляются моделями Samsung, Vivo, Huawei и Xiaomi. Устройства крутят два предустановленных приложения от Zhejiang Fengwo IoT Technology, которые координируют клики по рекламе на AI-сгенерированных сайтах. Сайты собираются через Blockly — визуальный язык для детей.
Исследователь нашел незащищенные API в системе My Eicher (СП Volvo и Eicher Motors). Простое обращение к корню API выдало списки 748k клиентов, 676k машин и 2.5 млн OTP-кодов. Этого хватило для полного захвата любого аккаунта и автопарка. В утечке также оказались 76 000 сканов документов (Aadhaar, права).
В прошивке камеры Hanwha найден GitHub-токен с правами администратора на сотни репозиториев организации. Токен оказался в 30 файлах — сборщик Vite записал в переменные окружения всё содержимое CI-джоба, включая GITHUB_NPM_TOKEN. В окружении также обнаружены IP-адреса, принадлежащие Минобороны США (55.101.212.23 и другие). Ключ AES для расшифровки rootfs оказался одинаковым для всей линейки камер — авторы публикуют его в статье.
Сайт ipcrawl.com показывает живой атлас камер, найденных в публичном интернете, без особой романтики — просто список того, что забыли закрыть. У поста на Hacker News 269 очков и 134 комментария, так что тема явно задевает не только любителей поглазеть, но и всех, кто потом будет закрывать дыру у себя в сети.
Richard Osgood собрал библиотеку banned books прямо внутри умной Wi‑Fi-лампочки. История не про «хак ради хука», а про очень конкретную технику упаковки контента в бытовое железо, где устройство перестаёт быть просто лампой и превращается в носитель.