Четыре цепочки заражений сходились в одну хостинговую сеть: блокировать её нужно целиком

Автономная система AS202412 - группа сетевых адресов, которой управляет один оператор, - зарегистрирована на Сейшельских островах, а транзитный трафик идёт через европейского провайдера. Пространство выделили в январе 2026 года. К моменту, когда оно привлекло внимание, ему было около трёх месяцев. Сейчас оператор объявляет двадцать четыре блока по 256 адресов, и список продолжает расти. За время наблюдения в подконтрольных средах набралось около 150 срабатываний, подтвердились четыре запуска вредоносного кода. Ни один легитимный сервис, зависящий от этого пространства, найти не удалось.

Схема начинается одинаково. По данным пятимесячного наблюдения, все цепочки, дошедшие до запуска кода, открывались поддельной проверкой "я не робот". Страница выглядит как привычное окно проверки или как заставка сервиса защиты от автоматических обращений. Вместо галочки она выдаёт инструкцию: нажать сочетание Windows+R, вставить содержимое буфера обмена, нажать Enter. Команда уже лежит в буфере - её положила сама страница в момент нажатия на кнопку. Вложение не нужно, скачивать нечего, блокировать тоже нечего: код выполняется в консоли, которую пользователь открыл сам и под своей учётной записью. Обычно команда добита длинным рядом пробелов. В окне запуска видно только текст инструкции, а сама команда уходит за левый край. В одном варианте ничего не скрывали: вставлялась одна короткая строка.

Попадали на такие страницы тремя путями: через рекламные цепочки, через ссылку в письме и через взломанные легитимные сайты. Последний путь заметнее прочих. Владелец обычного интернет-магазина ни о чём не подозревал, домен был настоящим, хостинг тоже. Единственным вредоносным элементом оказался адрес, к которому обращался внедрённый на страницу скрипт. Приманка печатала в заголовке домен самого сайта, поэтому совет проверять адресную строку здесь бесполезен. Вторая деталь выдаёт шаблон: пользователя Windows просили нажать Ctrl+V, чтобы открыть программу с искажённым названием для macOS. Кит собрали наспех и не вычитали.

Дальше цепочки расходились. Одна забирала вторую стадию из облачного хранилища. Команда скачивала сценарий, тот разворачивал в пользовательском каталоге встроенный интерпретатор Python и архиватор, прописывал закрепление через ключ реестра для первого входа и запускал следующий файл оттуда же. Другая использовала троянизированный установщик. Он добавлял 89 файлов в каталог популярной программы для записи экрана, а затем подписанный исполняемый файл загружал поддельную библиотеку. Все остальные библиотеки в каталоге несли цифровую подпись производителя, лишней была ровно одна. Установщик закрепился двумя способами: задачей в планировщике и автозапуском при входе. После перезагрузки вредоносный код вернулся в течение минуты. Третья цепочка обходилась без доменных имён. Адрес управляющего сервера вредоносная программа читала из смарт-контракта в публичном блокчейне. Такой адрес нельзя отозвать через регистратора или заблокировать как домен. Четвёртая оказалась проще всех: короткая команда скачивала сценарий по прямому адресу и запускала его в памяти, ничего не записывая на диск.

Один случай позволил замерить всю последовательность. Браузер открыл приманку через рекламную цепочку. Через 41 секунду пользователь вставил команду в окно запуска и выполнил её, первая стадия ушла в облако. Ещё через секунду сработала защита на конечной точке. К этому моменту человек уже прочитал страницу, вставил текст, открыл консоль и запустил код. Между загрузкой страницы и выполнением не остаётся времени на реакцию. Единственная точка, где защита успевает сработать, - сама загрузка.

Отдельный маршрут вообще не связан с просмотром сайтов. Пользователь нажал ссылку в почтовом клиенте, шлюз переписал адрес по своему обыкновению, но внутри оказался сервис сокращения ссылок. Проверка репутации прошла по обёртке, а не по адресу назначения, и полезная нагрузка проехала дальше целой. Сессия шла по шифрованному каналу, поэтому установить, что именно вводил человек, не получилось. Учётные данные сбросили, а адреса заблокировали на периметре в тот же день. Эта особенность есть у любой организации с перезаписью ссылок, слышала она про конкретную сеть или нет.

Практический вывод сводится к нескольким действиям. Перед блокировкой стоит выгрузить собственные журналы исходящих соединений. Час работы отделяет аккуратную блокировку от аварии с объяснениями. Блокировать имеет смысл на уровне автономной системы, а не отдельных адресов. Список префиксов надо сверять с актуальными данными о маршрутизации, потому что статичный перечень устаревает в обе стороны. Молчаливая блокировка здесь неуместна: те же адреса обслуживают рекламные перенаправления, поэтому обычный трафик через них проходит. Логи нужны, чтобы отличать одно от другого. Списки доменов слабы. За пять месяцев на одном адресе сменилось двенадцать подтверждённых имён, а часть приманок жила на чужих взломанных сайтах, где блокировать вообще нечего.

Тем, кто не может блокировать сразу, полезна правильная настройка оповещений. Срабатывание на сервере имён часто означает, что он всего лишь разрешал запрос за клиента. Тогда смотреть нужно на домен и на того, кто спрашивал. Один запрос браузера нередко даёт два оповещения, потому что система разрешает имена сразу для всех процессов. Полезно разделять сигналы по источнику. Подписанный браузер говорит о контакте с вредоносной инфраструктурой, а посторонний процесс из пользовательского каталога - уже о заражении. Отдельного внимания заслуживает подписанный интерпретатор, запущенный из пользовательской папки, и единственная неподписанная библиотека среди подписанных.

Людям стоит объяснить простую вещь. Ни одна законная страница не просит нажимать Windows+R и не кладёт команду в буфер обмена, чтобы её оттуда запустили. Это единственная мера, которая работает с человеком, а не после него. Важнее другое наблюдение. Промежуточные файлы переехали в облако, управление ушло в блокчейн, а страница-приманка так и не покинула одну сеть. Оператор держится за то, за что платит по счёту каждый месяц, и меняет это неохотно. Инфраструктуру с регулярным счётом к оплате и стоит блокировать в первую очередь.