Группировка Silver Fox подделала сайт DeepSeek и выдаёт вредоносную программу за ПК-клиент

Отдельного внимания заслуживает способ продвижения подделок. Фальшивые страницы изготовлены почти неотличимо от настоящих. Их разворачивают массово и выводят в верхние строки поисковой выдачи. Поэтому автоматические помощники на базе ИИ принимают такие ресурсы за официальный источник. Ссылка на подделку попадает прямо в ответ ИИ-агента. Часть пользователей к тому же просит помощника самостоятельно найти и скачать программу. Доверие к машине заменяет проверку источника, и запуск вредоносного файла происходит добровольно.

Исследование Huorong Security показало, что запущенный файл почти не выдаёт себя. Сначала он проверяет, не работает ли код в изолированной среде для анализа. Затем программа дожидается подтверждения, что перед ней реальный компьютер, и только после этого разворачивает основную часть. Из памяти извлекаются дополнительные модули, а часть данных загружается с внешних серверов. Для маскировки применяются несколько промежуточных этапов и шифрование. Пользователь при этом не видит ни окон, ни сообщений.

Группировка действует не первый год. Базовые версии этого вредоносного ПО публично описывались ещё в 2025 году. За прошедшее время злоумышленники обновили отдельные этапы работы, однако ключевые возможности сохранились. К ним относятся удалённое управление, сбор сведений и активное противодействие защите. Постоянная доработка указывает на устойчивую команду с коммерческой мотивацией.

После запуска вредоносная программа закрепляется в системе несколькими способами. Она размещает копии в общедоступном каталоге пользователя и присваивает папкам и файлам случайные имена. Скрытые атрибуты не дают владельцу заметить посторонние объекты. Для автозапуска программа создаёт записи в системном реестре с названиями, имитирующими компоненты защиты Tencent и Alibaba. Дополнительно она создаёт системную службу и задачу в планировщике. Имена подбираются так, чтобы не привлекать внимания администратора. Вредоносный код запускается через доверенное системное приложение, поэтому для операционной системы такой старт выглядит законным.

Новшество этой версии - нацеленность на корпоративный мессенджер WeCom. В конфигурацию добавлены отдельные сетевые адреса и резервные домены для связи с этим приложением. Такая настройка говорит о смещении интереса злоумышленников к рабочим коммуникациям компаний. Иными словами, домашний пользователь остаётся массовой целью, а сотрудник организации - приоритетной.

Программа активно противодействует защите. Она хранит список из 212 названий процессов антивирусных продуктов. В перечень входят решения Huorong, 360, Kaspersky, Tencent, Avast, Avira, McAfee, Baidu, Kingsoft, Rising и встроенная защита Windows. При совпадении имени программа останавливает защитный процесс, используя уязвимость в легитимном драйвере системы мониторинга. Отдельные потоки непрерывно следят за двумя процессами 360 и при обнаружении обрывают их сетевые соединения. Кроме того, вредоносное ПО добавляет свои файлы в исключения встроенной защиты и запрещает установку обновлений Windows. Окно подтверждения прав администратора отключается через системные настройки. В результате компьютер остаётся без исправлений и без работающих средств контроля.

Последствия для организации предсказуемы. Программа удалённо управляет заражённым компьютером, собирает файлы и сведения, а также может перемещаться на соседние узлы сети. Остановка защитных процессов и отказ от обновлений заметно повышают риск повторного заражения. Всё это происходит на фоне обычной работы сотрудника, поэтому инцидент обнаруживают с задержкой. Средства защиты уже блокируют поддельные страницы и сами файлы, однако новые копии сайтов появляются регулярно.

Базовые меры предосторожности здесь просты и не требуют специальных знаний. Программы стоит скачивать только с официальных сайтов производителей. Если компания не выпускает настольную версию продукта, значит, любое предложение скачать её - обман. Права ИИ-помощников на загрузку файлов из сети лучше ограничить. Скачанный файл перед запуском полезно проверить антивирусом и внешним сервисом проверки вроде VirusTotal. В организациях помогает единый порядок закупки и установки ПО, двухфакторная аутентификация в корпоративных сервисах и своевременная установка обновлений. Для сотрудников, которые интересуются новыми ИИ-продуктами, отдельная памятка о проверке источников снижает вероятность ошибки.