В сентябре 2026 года злоумышленники проникли на рабочий компьютер, который обслуживала внешняя служба киберзащиты. Программу для добычи криптовалют они собрали прямо на этой машине, а не загрузили готовый файл из сети. Приём редкий: обычно майнер приносят в готовом виде. Здесь же атакующий развернул на чужом компьютере набор инструментов разработчика. Случай важен для компаний, которые держат в сети общедоступные сервисы и не спешат ставить обновления. Платформы цифровых вывесок давно стали частью инфраструктуры магазинов, складов и кафе, поэтому инцидент касается широкого круга организаций.
Описание
Точкой входа стала платформа Samsung MagicINFO. С её помощью компании управляют цифровыми вывесками, экранами в торговых залах и рекламными панелями. Программа работает как веб-приложение на серверной платформе Java, поэтому уязвимость в ней открывает путь к операционной системе целиком. Речь идёт о CVE-2025-4632 - ошибке, которая позволяла записывать произвольные файлы с правами системного уровня. Производитель закрыл проблему в мае 2025 года. Годом раньше похожий изъян, CVE-2024-7399, исправили лишь частично, и часть установок оставалась уязвимой.
Первое срабатывание произошло в начале сентября. О происшествии сообщили заказчику и порекомендовали обновить систему. Однако через восемь дней с того же компьютера поступил новый сигнал. Вектор проникновения не изменился, значит, исправление так и не применили. Пауза объяснима: обновление производственной системы требует согласований и простоя. На таких участках атакующие обычно возвращаются повторно, ведь доступ никуда не исчез.
По данным Huntress, атакующий трижды пытался скачать средство удалённого доступа AnyDesk. Первые две попытки прервал Microsoft Defender. Сначала встроенная утилита командной строки обратилась к внешнему серверу, затем то же самое сделал сценарий PowerShell. Оба раза защита удалила загруженный файл. С третьего раза загрузка прошла, и посторонняя программа удалённого управления закрепилась на машине.
Затем атакующий задал пароль для удалённого доступа. Практически сразу он создал новую локальную учётную запись с правами администратора и применил тот же самый пароль. Повтор пароля упрощает переход между инструментами и даёт запасной вход, если основной канал закроют. Слабый пароль и его многократное использование остаются частой ошибкой, которая помогает злоумышленникам закрепляться. Для службы безопасности появление свежей учётной записи с повышенными правами служит явным признаком чужого присутствия.
Следующий шаг - отключение защиты. Атакующий сделал это через системный сценарий настройки, который входит в состав Windows. Освободив себе пространство, он запустил инструмент сборки из открытого проекта SilentXMRMiner. Далее последовала серия компиляторов - программ, превращающих исходный код в готовый исполняемый файл. Среди них были утилиты платформы .NET и несколько наборов для языка C. Все они работали как дочерние процессы одного сборщика и заметно выделялись на фоне обычной офисной активности.
Сборка на чужой машине даёт атакующему несколько выгод. Он может подогнать майнер под архитектуру процессора жертвы и уйти от обнаружения по сигнатурам готовых образцов. Зато такой подход оставляет много следов: резкий рост числа запусков, появление неподписанных программ, инструменты разработчика там, где им быть не положено. Системы обнаружения и реагирования на конечных точках (EDR) фиксируют такую телеметрию, и именно она выдала атаку. Посторонний сборщик на рабочей станции почти никогда не имеет разумного объяснения.
В результате на компьютере появился майнер криптовалюты Monero. Он подключился к публичному пулу и стал расходовать ресурсы процессора, а возможно, и видеокарты. Примечательно, что процесс работал под видом проводника Windows. Системный проводник не занимается добычей криптовалют, поэтому необычные аргументы запуска у него - сам по себе повод для проверки. Пул принимает участников анонимно, поэтому вычислить владельца кошелька по такому подключению не удаётся.
Сам майнер редко бывает главной угрозой. Он нагружает технику, увеличивает счета за электричество и ускоряет износ оборудования. Настоящий риск в другом: программа попала на компьютер через общедоступный сервис. Тот же путь открывал дорогу к краже данных, шифрованию файлов программами-вымогателями и проникновению в другие узлы сети. Скрытность процесса объясняет, почему администраторы замечают проблему не сразу. Промедление с обновлением MagicINFO делает открытый сервис постоянным каналом для повторных атак.
Защита начинается с базовых вещей. Обновляйте интернет-доступные системы, в первую очередь Samsung MagicINFO, и проверяйте, что исправление действительно установлено. Повторные попытки скачать средство удалённого доступа считайте признаком взлома, а не случайным шумом. Следите за появлением компиляторов и инструментов разработчика на рядовых рабочих машинах: бухгалтер или менеджер их не запускает. Контролируйте создание новых учётных записей с правами администратора и отключение встроенной защиты. Двухфакторная аутентификация на удалённых сервисах и разграничение прав уменьшают ущерб, если пароль всё же попал к чужим. Майнер в такой схеме остаётся лишь побочным эффектом, тогда как настоящую опасность создаёт сам факт чужого доступа к инфраструктуре.
Индикаторы компрометации
