💻 Android TV: говорит и показывает, а ещё атакует

Если раньше основу крупных ботнетов составляли маршрутизаторы, ноутбуки и IP-камеры, то сегодня злоумышленники всё чаще используют телевизоры, IPTV-приставки и другие устройства на базе Android. Об этом на прошлой неделе сообщили эксперты Qurium Media Foundation и Synthient.

⚡️ Исследователи раскрыли деятельность ботнета Popa, который контролирует от 1,5 до 2,5 млн Android-устройств по всему миру. Такой масштаб делает его одним из крупнейших ботнетов, обнаруженных за последнее время.

Чаще всего, по оценкам экспертов, заражёнными этим ботнетом оказываются телевизоры с Android TV. И это логично:

▶️ миллионы таких устройств работают на устаревших версиях ОС и редко получают обновления безопасности,
▶️ пользователи редко меняют заводские настройки безопасности и практически не контролируют сетевую активность своих телевизоров,
▶️ устройства постоянно подключены к интернету и могут работать круглосуточно.

Для операторов ботнетов такая техника — практически идеальная инфраструктура: массовая, дешёвая и малозаметная.
Чем больше устройств удаётся заразить и объединить в одну сеть, тем выше потенциальная мощность DDoS-атак.

➡️ Такие ботнеты, как Popa, уже сейчас используются для организации масштабных сетевых атак на маркетплейсы, игровые платформы, мобильные приложения банков и другие популярные онлайн-ресурсы.

🔸 С учётом роста производства Android-устройств злоумышленники получают всё больше вычислительных и сетевых ресурсов для проведения DDoS-атак.

Для бизнеса вывод только один — риск стать целью ботнета теперь ещё выше, а значит, ваша защита должна быть готовой к любой угрозе. Даже если она придёт из гостиной 👋

Новость 🔥 Победили в конкурсе «Киберпросвет-2026»

Мы стали лучшими в номинации «Анатомия инцидента» — за расследования и разборы кибератак.

➡️ Победа в этом конкурсе — результат колоссальной работы всей команды StormWall. Наши исследования строятся на данных собственной инфраструктуры и анализе реальных DDoS-атак. Мы не просто фиксируем инциденты и тренды — мы помогаем нашим читателям понять, как меняются угрозы и как им противостоять прямо сейчас.

🔸 Спасибо «Кибер Медиа» и независимым экспертам за высокую оценку! А мы продолжаем исследовать актуальные киберугрозы, чтобы вы оставались за стеной в мире DDoS-атак ✅

Дайджест StormWall — главное за июнь

Первый месяц лета уже позади. А перед вами — наша подборка главных событий за июнь:

✅ Запустили новый центр очистки в Лос-Анджелесе — важный шаг в развитии нашей глобальной сети фильтрации,

✅ Познакомили вас с HTTP/2 Bomb — новым видом DoS-атаки, который заинтересовал многих исследователей киберугроз в мире,

✅ Изучили новый ботнет Popa — и почему он чаще использует устройства c Android TV,

✅ Рассказали, как ликвидация ботнетов Aisuru и Kimwolf повлияла на мир DDoS — спойлер: изменений почти нет,

✅ Напомнили о новых требованиях ФСТЭК к защите от DDoS — рекомендации регулятора вышли месяц назад и относятся ко всем организациям в России,

✅ Выяснили, как Центробанк следит за атаками на финансовые организации — обсудили ключевые директивы и принципы мониторинга,

✅ Победили в премии «Киберпросвет-2026» — независимые эксперты назвали нашу аналитику инцидентов лучшей в отрасли,

✅ Заглянули на VK Cloud Fest — представили продукты StormWall на одном из ключевых мероприятий нашего партнёра.

Это всё 👋 Остаёмся на связи. И спасибо, что вы с нами!

Мы в МАХ

👍 «Прокачали» точку фильтрации StormWall в Москве

В июне мы значительно нарастили мощности московского центра очистки трафика:

✅ увеличили пропускную способность каналов фильтрации,
✅ повысили ёмкость наших очистителей,
✅ расширили полосу подключения к крупнейшим операторам связи — Мегафону и Вымпелкому, а также MSK-IX и DataIX.

➡️ Почему мы этим занимаемся?

Паттерн DDoS-атак меняется, а их мощность стремительно растёт — в этом году мы уже фиксировали инциденты свыше 2-3 Тбит/с.

Учитывая растущие угрозы, мы стремительно масштабируем нашу глобальную сеть фильтрации, ёмкость которой уже сегодня превышает 8 Тбит/с. Это значит, что наша инфраструктура уже сейчас существенно превосходит возможности современных ботнетов ⚡️

➡️ Почему апгрейд точки в Москве важен для клиентов?

Вредоносный трафик теперь фильтруется ещё ближе к источникам атак и ресурсам наших клиентов в России. Системы StormWall стали ещё быстрее выявлять и блокировать угрозы, а главное — ещё надёжнее обеспечивать стабильную работу клиентских сайтов, приложений и онлайн-сервисов даже во время рекордных по мощности DDoS-атак.

🚀 Хотите узнать, как усилить отказоустойчивость инфраструктуры с дополнительными ресурсами нашей точки в Москве? Пишите в директ — обсудим!

🚨 Что делать, если ваши ресурсы оказались под DDoS-атакой? Как быстро и эффективно отразить угрозу? И какие действия могут лишь увеличить убытки? Ответы ― в нашем новом чек-листе.

Скачайте его прямо сейчас, чтобы узнать:
✅ как вовремя обнаружить DDoS-атаку,
✅ какие 7 шагов предпринять в первые полчаса,
✅ каких 7 ошибок избежать,
✅ как сообщить о DDoS-атаке клиентам и партнёрам,
✅ что поможет предотвратить угрозу в будущем.

Скачать PDF ⬇️

Мы в MAX

🚩 Прокси для школьников оказался инструментом для DDoS

Исследователи JFrog раскрыли машстабную киберугрозу Lucide Proxy. Под видом этого веб-прокси, который используется для обхода интернет-ограничений в школах и корпорациях, злоумышленники опубликовали 148 вредоносных npm-пакетов.

Со стороны пользователя всё выглядит безобидно — используя веб-прокси, можно получить доступ к заблокированным сайтам. Однако на деле оказалось, что браузер незаметно подключается к инфраструктуре злоумышленников и становится частью DDoS-ботнета 🤖

Что обнаружили исследователи:
🔍 вредоносный код загружался удалённо в скрытом режиме, поэтому атакующие могли обновлять и использовать его в любой момент,
🔍 браузеры посетителей открывали десятки WebSocket-соединений и генерировали сетевой трафик по команде операторов,
🔍 код выполнялся с правами самого сайта, что потенциально позволяло получать доступ к данным браузера,
🔍 помимо прямого запуска DDoS-атак, злоумышленники также монетизировали собственную инфраструктуру через агрессивную рекламную сеть.

Особенно показательно, что злоумышленникам не требовалось заражать устройства, участвующие в ботнете. Стоило только пользователю открыть страницу с вредоносным прокси — браузер автоматически становился инструментом для DDoS-атак.

➡️ История Lucide Proxy — ещё одно напоминание, что теперь DDoS-атаки становятся всё более распределёнными и используют самые неожиданные источники трафика. Но главная новость в том, что современные ботнеты формируются не только из заражённых IoT-устройств или серверов, но и из обычных браузеров пользователей.

Вывод очевиден: решения для защиты от DDoS должны учитывать постоянно меняющийся ландшафт угроз и уметь противостоять атакам, источники которых далеко не всегда легко предсказать. StormWall — в их числе ✅

⚡️ Телеком, сфера развлечений и ритейл — лидеры по DDoS в России

Наши аналитики уже подготовили отчёт о DDoS-атаках за 2 квартал 2026. Уже скоро опубликуем его на сайте, а пока делимся только самыми важными выводами.

➡️ В прошлом квартале количество DDoS-атак в России увеличилось на 81% по сравнению с тем же периодом 2025-го.
➡️ Большинство инцидентов по-прежнему приходится на телеком. Но главное — в нашем рейтинге появились новые отрасли.

Как именно изменился фокус атакующих и почему, рассказали в новости на CNews >>

🕵‍♂️ «Галлюцинации» ИИ — найдена новая уязвимость и ещё один сценарий создания DDoS-ботнетов

На прошлой неделе многие СМИ рассказали об инциденте, который произошёл с OpenAI. Если коротко: AI-модель разработчика смогла выйти за пределы изолированной среды и получить доступ к инфраструктуре Hugging Face, чтобы найти ответы на поставленную задачу.

➡️ История с OpenAI — ещё одно подтверждение того, что развитие ИИ провоцирует рост новых сценариев киберугроз. Один из них недавно описали исследователи из Тель-Авивского университета. На фоне инцидента с OpenAI эта новость прошла почти незаметно, а зря — она точно достойна внимания.

🔍 Итак, израильские учёные описали сценарий атаки, которая получила название HalluSquatting. Её суть в том, что злоумышленники могут использовать «галлюцинации» ИИ-ассистентов для разработки, чтобы распространять вредоносное ПО.

Как это работает?
1️⃣ ИИ-ассистент придумывает название пакета, репозитория или расширения, которого на самом деле не существует
2️⃣ Злоумышленники заранее регистрируют ресурс с таким названием и размещают в нём вредоносный код
3️⃣ Если пользователь разрешает установку или ИИ-агент выполняет действия автономно, то загружается и запускается одноимённый вредоносный пакет
4️⃣ В результате устройство разработчика может быть скомпрометировано и в дальнейшем использовано в составе ботнета для DDoS-атак и других нелегитимных действий.

🚩 Самое тревожное — ошибки ИИ оказались предсказуемыми. В ходе исследования ИИ-ассистенты предлагали одни и те же несуществующие названия при работе с репозиториями (до 85% случаев) и при установке дополнительных ИИ-расширений (до 100%). А значит, вероятность атаки с использованием этой уязвимости остаётся крайне высокой.

⚡️ Сценарий HalluSquatting показывает, как меняется современный ландшафт киберугроз с развитием ИИ. Неудивительно, что в России уже занялись подготовкой ГОСТа по безопасной разработке систем с искусственным интеллектом.

Хотите обсудить, как защитить свою инфраструктуру от современных DDoS-атак с участием ИИ? Напишите нам в директ — ответим на вопросы и расскажем, как уже отражаем такие угрозы прямо сейчас ✅