Группировка G01 развернула более тысячи поддельных сайтов для распространения трояна "Серебряная лиса"

Схема опирается на два канала. Первый - подмена результатов поиска: злоумышленники подбирают ключевые слова и покупают рекламные места, чтобы поддельная страница оказалась выше официальной. Второй - сами сайты. Их создают массово с помощью искусственного интеллекта. Программа копирует структуру и текст официального ресурса, поэтому подделка почти не отличается от оригинала. Домены регистрируют по шаблону: к названию бренда добавляют служебные приставки, иногда меняют буквы местами. Зону выбирают ту, где требуется подтверждение личности владельца. Сведения для регистрации берут из утечек, подставляя чужое имя и номер документа. Один почтовый ящик обслуживает сотни адресов, а имена владельцев в записях меняются. Для учёта эффективности подключают бесплатный сервис веб-статистики: каждая тема получает свой идентификатор. По счётчикам видно, какая подделка приносит больше установок.

Полезная нагрузка хранится не на самих сайтах, а в облачных объектных хранилищах. Путь до файла проходит через несколько перенаправлений, что мешает ранней блокировке. Архивы собирают заново под каждый запрос: имя остаётся прежним, а содержимое меняется. Проверка по контрольным суммам не срабатывает. По данным CNCERT и Topsec, за неделю с 15 по 22 сентября группировка удерживала под контролем 8708 устройств в Китае. Суточный пик составил 2361 подключение. Отчёт подготовили китайский национальный центр реагирования на компьютерные инциденты CNCERT - структура, которая собирает и анализирует сведения об атаках, - и производитель средств защиты Topsec. Подтверждено 1060 поддельных доменов, из них 1042 - в зоне, требующей подтверждения личности. В отдельные дни регистрировали до 110 адресов.

Запущенный файл выглядит как обычный установщик. Он показывает знакомое окно, а в это время распаковывает служебные компоненты и создаёт задания в планировщике. Дальше этапы запускаются по очереди, и каждый хранится отдельно. Часть модулей подгружается через легальную программу с действительной цифровой подписью: доверенное приложение запускает чужой код и не вызывает подозрений у защиты. Один из файлов снабдили поддельной подписью крупной компании, проверку она не проходит. До основной работы программа добавляет в список исключений антивируса целые системные каталоги, а свой код записывает в память работающих процессов. Затем она правит системный файл сопоставления адресов и направляет обращения к сайтам производителей защиты на локальный адрес. В результате эти сайты перестают открываться.

Связь с управляющим сервером идёт через нестандартный порт, обмен двусторонний. Конфигурацию и дополнительные модули держат отдельно от управляющего сервера, поэтому при обнаружении их легко заменить. Такая развязка упрощает массовую работу и мешает отследить источник. Для компаний риск двойной. Заражённая машина администратора даёт доступ к учётным данным и инфраструктуре. Удаление одного файла не помогает: остальные этапы продолжают работать по расписанию. Проверка по контрольным суммам бесполезна, ведь сборка обновляется после каждого скачивания. Обнаружено два управляющих адреса, оба за пределами страны.

Защита начинается с привычек загрузки. Программы стоит брать с официальных сайтов или из проверенных магазинов приложений. Рекламные строки в выдаче требуют особенно внимательного отношения. Приставка в домене не говорит о надёжности: адрес нужно сверять по символам. В компаниях разумно централизованно выдавать сотрудникам инструменты удалённого доступа и запрещать самостоятельную установку. Полезно настроить оповещения об изменении списка исключений антивируса. Отдельно проверяют задания планировщика: злоумышленники называют их системными обновлениями, хотя запускают файлы из пользовательских папок. Если сайты производителей защиты перестали открываться, это повод осмотреть системный файл сопоставления адресов. Там, где возможно, стоит перейти от сверки файлов по подписям к наблюдению за поведением программ, а известные адреса закрыть на уровне сети.

Регистрация новых доменов шла как минимум до 9 сентября 2026 года, то есть кампания продолжается. Смена целей показательна. Раньше подделывали браузеры, офисные пакеты и мессенджеры, теперь - инструменты разработчика. Такие сотрудники чаще хранят ключи доступа на диске и обладают широкими правами. Домены регистрировали партиями по единому шаблону, и больше восьмидесяти процентов адресов начинаются с одной и той же буквы. По этому признаку рабочая группа и дала кампании имя G01. Пока установка утилиты из первой строки поиска остаётся привычкой, схема будет воспроизводиться на новых адресах и новых темах.