CCTGA раскрыла десять управляющих серверов трояна "Серебряная лиса"

Жертв заманивают на поддельные сайты популярных программ. Человек нажимает кнопку загрузки, а получает установщик с вредоносной начинкой. Письма с вложениями и сообщения в мессенджерах действуют по той же схеме. Отдельный канал - продвижение фальшивых страниц в поисковой выдаче. Пользователь попадает на копию официального сайта и не замечает подмены. Особый интерес вызывают узкоспециальные программы: спрос на них высок, а официальные источники известны не всем. Внутри заражённых систем работают программы удалённого доступа из семейств Gh0st, Win0s и DcRat. Они передают файлы, управляют запущенными процессами, выполняют команды, следят за экраном, записывают нажатия клавиш и собирают конфиденциальные сведения.

Группировка известна и под другими именами, среди которых "Ползущая змея". Действует она давно, а набор приёмов за годы почти не изменился. Ставка делается на доверие к знакомым названиям и на невнимательность при выборе источника загрузки. Поддельный адрес отличается от настоящего одной-двумя буквами. Мессенджеры добавляют к схеме личный контакт: файл приходит от коллеги, чей аккаунт уже захвачен. Такая модель даёт стабильный поток новых устройств, поэтому вложения идут в копии сайтов и рекламу, а не в сложные технические приёмы. Сам троян старается вести себя тихо и не мешать работе системы.

По данным CCTGA, операция идёт сразу по нескольким направлениям. Главное - удар по управляющей инфраструктуре. Параллельно ведётся работа с уже заражёнными устройствами. Третье направление касается каналов распространения вредоносных файлов. Четвёртое - оценка того, насколько действенными оказались принятые меры. Пятое - доработка механизмов реагирования на будущее. Конечная цель кампании - защита законных прав и интересов граждан.

Публикация таких перечней случается нечасто. Обычно сведения об управляющей инфраструктуре остаются у операторов связи и производителей защитных решений. При этом открытый список меняет расклад. Провайдеры могут быстрее закрыть доступ к вредоносным узлам. Службы безопасности компаний получают повод проверить собственный трафик. Частному пользователю перечень тоже полезен: он помогает убедиться, что устройство не связано с чужой инфраструктурой.

Последствия заражения выходят далеко за пределы одного компьютера. Запись нажатий клавиш открывает доступ к паролям от почты, банковских приложений и рабочих систем. Наблюдение за экраном позволяет видеть переписку, списки контактов и внутренние документы. Добытые сведения используют для хищений, шантажа и повторных атак. Для небольшой компании потеря доступа к рабочей почте означает остановку сделок и переговоров. У крупной организации одна заражённая машина превращается в точку входа в корпоративную сеть. Дальше начинается боковое перемещение между системами в поисках платёжных документов. Утечка рабочей переписки помогает готовить новые письма от имени руководителей.

Однако признаки заражения редко заметны сразу. Насторожить должны незнакомые программы в автозагрузке и необъяснимый сетевой трафик. Проверить устройство можно самостоятельно. Просмотрите историю браузера за последние недели. Ищите обращения к сайтам, которые маскируются под каталоги программ. Сопоставьте время скачивания файлов с моментами странного поведения системы. Если заражение подтвердилось, устройство отключают от сети и удаляют вредоносные файлы. Остальные машины проверяют по найденным признакам компромисса. Правила обнаружения обновляют в средствах защиты на периметре сети и на конечных устройствах.

Профилактика начинается с простого правила: загружать программы только с официальных сайтов разработчиков. Ссылки из писем от незнакомцев и файлы из мессенджеров лучше не открывать. Пароли стоит хранить в менеджере паролей и не повторять их на разных сервисах. О найденных образцах и адресах организаторы просят сообщать через специальный почтовый ящик, открытый для сбора сведений. Десять раскрытых узлов - лишь часть инфраструктуры. CCTGA продолжает собирать данные о заражённых устройствах и новых адресах. Пока пользователи скачивают программы с поддельных сайтов, сеть будет пополняться новыми машинами.