В конце июля 2026 года зафиксирована новая волна распространения Remus - вредоносной программы, предназначенной для кражи данных. Злоумышленники создают поддельные сайты с пиратским программным обеспечением, чтобы привлечь жертв. Кампания в первую очередь ориентирована на турецких пользователей: в названиях файлов присутствуют турецкие слова "İndir" (скачать) и "Türkçe" (турецкий). Такая тактика рассчитана на тех, кто ищет бесплатные версии популярных игр и офисных приложений.
Описание
Процесс заражения начинается с обычного поискового запроса. Пользователь находит сайт, который выглядит как каталог взломанного софта. Кроме игр, на площадке размещен архив, имитирующий популярную программу для чтения PDF-файлов. После скачивания и запуска файла Remus активируется в системе. Вредонос внедряется в активные процессы интернет-браузеров на базе Chromium, открывая себе доступ к менеджерам паролей и данным банковских карт. Затем программа переходит к сбору информации из других источников.
Для связи с управляющим сервером Remus использует необычный механизм. Адрес сервера хранится в смарт-контракте криптовалютной платформы Ethereum (программе, работающей в блокчейне). Как показало исследование, такой подход позволяет операторам менять серверы без обновления самого вредоносного файла. Им достаточно изменить запись в контракте, после чего все активные экземпляры Remus получат новый адрес. Это существенно усложняет блокировку инфраструктуры атакующих. Подобная схема применяется, чтобы обойти традиционную блокировку по сетевым адресам. В дополнение программа подделывает сетевые заголовки запросов, имитируя обращения к крупному технологическому вендору. Благодаря этому зашифрованный трафик с украденными данными выглядит как обычные диагностические сообщения.
Список похищаемых данных чрезвычайно широк. Remus крадет пароли от игровых платформ и игровых клиентов, извлекая сведения из файлов сессий и реестра. Браузерные пароли расшифровываются с использованием системных ключей шифрования, хранящихся в операционной системе. Отдельное внимание уделяется криптовалютным расширениям браузеров. Вредонос собирает локальные файлы таких расширений и может восстановить доступ к кошелькам. Кроме того, программа перехватывает содержимое буфера обмена, делая скриншоты экрана. Это позволяет фиксировать одноразовые коды подтверждения, которые пользователи копируют для входа в приложения. Помимо этого, Remus собирает имя пользователя, имя компьютера, сведения о домене и уровне привилегий. Это помогает атакующим понять, насколько ценную информацию они получили.
Отдельную угрозу Remus представляет для корпоративных пользователей. Вредонос выполняет поиск файлов почтового клиента в папке "Документы", где часто хранится переписка и вложения. Эта особенность также используется для обхода изолированных сред: если программа находит файлы с известными именами, она останавливает свою работу, чтобы не быть обнаруженной аналитиками.
Инфраструктура кампании отличается согласованностью действий операторов. Домены для доставки вредоносных архивов зарегистрированы в узком временном окне в конце июля 2026 года. Они используют одинаковые серверы доменных имён, а данные владельцев скрыты. В открытых каталогах на этих доменах вместе с Remus обнаружены образцы других инфостилеров. Это свидетельствует о том, что площадку сдают в аренду разным киберпреступным группам. Свежие версии вредоносных файлов появлялись на серверах вплоть до 27 июля, что подтверждает продолжающийся характер атак.
Чтобы защититься от угрозы, важно соблюдать базовые меры безопасности. Прежде всего следует избегать загрузки программ из сомнительных источников и не использовать пиратское ПО. Необходимо своевременно обновлять браузеры, операционную систему и антивирусное программное обеспечение. Для организаций критически важно внедрить двухфакторную аутентификацию и ограничить права на установку приложений. Поскольку подобные кампании рассчитаны на человеческое любопытство, устойчивость к соблазну "бесплатного" софта остается главной линией обороны.
Индикаторы компрометации
IPv4
- 143.244.141.187
IPv4 Port Combination
- 147.135.84.14:5902
- 148.230.76.66:5902
- 165.227.123.79:6504
- 167.99.78.100:4437
- 77.42.90.175:9895
Domain
- aetherfluxnode1.lol
- aetherfluxnode10.lol
- aetherfluxnode2.lol
- aetherfluxnode3.lol
- aetherfluxnode4.lol
- aetherfluxnode5.lol
- aetherfluxnode6.lol
- aetherfluxnode7.lol
- aetherfluxnode8.lol
- aetherfluxnode9.lol
- aethersyncmatrix1.lol
- aethersyncmatrix10.lol
- aethersyncmatrix2.lol
- aethersyncmatrix3.lol
- aethersyncmatrix4.lol
- aethersyncmatrix5.lol
- aethersyncmatrix6.lol
- aethersyncmatrix7.lol
- aethersyncmatrix8.lol
- aethersyncmatrix9.lol
- alphagridnexus1.lol
- alphagridnexus10.lol
- alphagridnexus2.lol
- alphagridnexus3.lol
- alphagridnexus4.lol
- alphagridnexus5.lol
- alphagridnexus6.lol
- alphagridnexus7.lol
- alphagridnexus8.lol
- alphagridnexus9.lol
- approe.shop
- chalx.live
- cryptomeshforge1.lol
- cryptomeshforge10.lol
- cryptomeshforge2.lol
- cryptomeshforge3.lol
- cryptomeshforge4.lol
- cryptomeshforge5.lol
- cryptomeshforge6.lol
- cryptomeshforge7.lol
- cryptomeshforge8.lol
- cryptomeshforge9.lol
- cyberdriftmatrix1.lol
- cyberdriftmatrix10.lol
- cyberdriftmatrix2.lol
- cyberdriftmatrix3.lol
- cyberdriftmatrix4.lol
- cyberdriftmatrix5.lol
- cyberdriftmatrix6.lol
- cyberdriftmatrix7.lol
- cyberdriftmatrix8.lol
- cyberdriftmatrix9.lol
- datapulseforge1.lol
- datapulseforge10.lol
- datapulseforge2.lol
- datapulseforge3.lol
- datapulseforge4.lol
- datapulseforge5.lol
- datapulseforge6.lol
- datapulseforge7.lol
- datapulseforge8.lol
- datapulseforge9.lol
- digitalwavehub1.lol
- digitalwavehub10.lol
- digitalwavehub2.lol
- digitalwavehub3.lol
- digitalwavehub4.lol
- digitalwavehub5.lol
- digitalwavehub6.lol
- digitalwavehub7.lol
- digitalwavehub8.lol
- digitalwavehub9.lol
- dikdiy.xyz
- dolmaq.shop
- dreaub.top
- fasea.top
- fightwa.biz
- fimmora.surf
- fluokq.xyz
- hypercorevector1.lol
- hypercorevector10.lol
- hypercorevector2.lol
- hypercorevector3.lol
- hypercorevector4.lol
- hypercorevector5.lol
- hypercorevector6.lol
- hypercorevector7.lol
- hypercorevector8.lol
- hypercorevector9.lol
- metaforgechain1.lol
- metaforgechain10.lol
- metaforgechain2.lol
- metaforgechain3.lol
- metaforgechain4.lol
- metaforgechain5.lol
- metaforgechain6.lol
- metaforgechain7.lol
- metaforgechain8.lol
- metaforgechain9.lol
- neuralcoreflux1.lol
- neuralcoreflux10.lol
- neuralcoreflux2.lol
- neuralcoreflux3.lol
- neuralcoreflux4.lol
- neuralcoreflux5.lol
- neuralcoreflux6.lol
- neuralcoreflux7.lol
- neuralcoreflux8.lol
- neuralcoreflux9.lol
- neuralcorepulse1.lol
- neuralcorepulse10.lol
- neuralcorepulse2.lol
- neuralcorepulse3.lol
- neuralcorepulse4.lol
- neuralcorepulse5.lol
- neuralcorepulse6.lol
- neuralcorepulse7.lol
- neuralcorepulse8.lol
- neuralcorepulse9.lol
- neuralorbitgrid1.lol
- neuralorbitgrid10.lol
- neuralorbitgrid2.lol
- neuralorbitgrid3.lol
- neuralorbitgrid4.lol
- neuralorbitgrid5.lol
- neuralorbitgrid6.lol
- neuralorbitgrid7.lol
- neuralorbitgrid8.lol
- neuralorbitgrid9.lol
- neurostreamlink1.lol
- neurostreamlink10.lol
- neurostreamlink2.lol
- neurostreamlink3.lol
- neurostreamlink4.lol
- neurostreamlink5.lol
- neurostreamlink6.lol
- neurostreamlink7.lol
- neurostreamlink8.lol
- neurostreamlink9.lol
- nexuswavecore1.lol
- nexuswavecore10.lol
- nexuswavecore2.lol
- nexuswavecore3.lol
- nexuswavecore4.lol
- nexuswavecore5.lol
- nexuswavecore6.lol
- nexuswavecore7.lol
- nexuswavecore8.lol
- nexuswavecore9.lol
- noevara.shop
- omnidataflow1.lol
- omnidataflow10.lol
- omnidataflow2.lol
- omnidataflow3.lol
- omnidataflow4.lol
- omnidataflow5.lol
- omnidataflow6.lol
- omnidataflow7.lol
- omnidataflow8.lol
- omnidataflow9.lol
- orbitmeshlink1.lol
- orbitmeshlink10.lol
- orbitmeshlink2.lol
- orbitmeshlink3.lol
- orbitmeshlink4.lol
- orbitmeshlink5.lol
- orbitmeshlink6.lol
- orbitmeshlink7.lol
- orbitmeshlink8.lol
- orbitmeshlink9.lol
- pivotq.top
- quantumbytehub1.lol
- quantumbytehub10.lol
- quantumbytehub2.lol
- quantumbytehub3.lol
- quantumbytehub4.lol
- quantumbytehub5.lol
- quantumbytehub6.lol
- quantumbytehub7.lol
- quantumbytehub8.lol
- quantumbytehub9.lol
- quantumpulsegrid1.lol
- quantumpulsegrid10.lol
- quantumpulsegrid2.lol
- quantumpulsegrid3.lol
- quantumpulsegrid4.lol
- quantumpulsegrid5.lol
- quantumpulsegrid6.lol
- quantumpulsegrid7.lol
- quantumpulsegrid8.lol
- quantumpulsegrid9.lol
- stellarnodegrid1.lol
- stellarnodegrid10.lol
- stellarnodegrid2.lol
- stellarnodegrid3.lol
- stellarnodegrid4.lol
- stellarnodegrid5.lol
- stellarnodegrid6.lol
- stellarnodegrid7.lol
- stellarnodegrid8.lol
- stellarnodegrid9.lol
- tensorforgegrid1.lol
- tensorforgegrid10.lol
- tensorforgegrid2.lol
- tensorforgegrid3.lol
- tensorforgegrid4.lol
- tensorforgegrid5.lol
- tensorforgegrid6.lol
- tensorforgegrid7.lol
- tensorforgegrid8.lol
- tensorforgegrid9.lol
- tzpx.courses
- vectorquantforge1.lol
- vectorquantforge10.lol
- vectorquantforge2.lol
- vectorquantforge3.lol
- vectorquantforge4.lol
- vectorquantforge5.lol
- vectorquantforge6.lol
- vectorquantforge7.lol
- vectorquantforge8.lol
- vectorquantforge9.lol
- vectorquantnexus1.lol
- vectorquantnexus10.lol
- vectorquantnexus2.lol
- vectorquantnexus3.lol
- vectorquantnexus4.lol
- vectorquantnexus5.lol
- vectorquantnexus6.lol
- vectorquantnexus7.lol
- vectorquantnexus8.lol
- vectorquantnexus9.lol
- vertexpulsecore1.lol
- vertexpulsecore10.lol
- vertexpulsecore2.lol
- vertexpulsecore3.lol
- vertexpulsecore4.lol
- vertexpulsecore5.lol
- vertexpulsecore6.lol
- vertexpulsecore7.lol
- vertexpulsecore8.lol
- vertexpulsecore9.lol
- zelpx.garden
Ethereum smart contract
- 0x999941b74F6bbc921D5174A5b29911562cd2D7CF
SHA256
- 1a398687d1f626e71c3beec3b0bda9589415babbcdae6171293c097d3103472e
- 205fc66381b8e254508d40c693a1314c9fc2b94b8023b29483803c8b0e449c4d
- 231123d03fa985bdb4edbcc45fafc8f4fb93f692b00f6f37df81435cd0ff1c7b
- 28c30dc88160f1fc44a5c11976f9de8da06be3c996d50ef76b0dbd032da210b6
- 35392a9849d7e9dfb4ee700a16700a94883fde859d57fdd891631bdbc6a75db0
- 44d8e760012d6f08e91fd59176e59a3e13326f8079cdcc6e3a43b30f040769b6
- 51bfb2f390653647b087d789ef1559c3fdf220c565a909f1eee4d593893420dd
- 57c1b9fe23cd8220f39383c2ab5b392e8f1416cbf75e2668fc6426294abb818f
- 6aa279fe9991405963ddf7ab18116fcde85190c2639b830791fe903d90697dec
- 7b092a35e70113f5165a653135cb3a7ca29312ceb0b4a874c160473d30830a60
- 80965fa878946421e5778044fcb16bc523206eb8f3853c0f833e9dbb87fe24f1
- a84ab5bc2462fa6f673f22f59e759de458d4e561763af3be0bc3397564272347
- b29391ba505af508f2110f54f73b203e2710b8b6c8a8717005e5c7a4050630e1
- d9da446bbb8adcb72c5c086705d58a8dad9d9268606e86568b893d122384b5b3
- da7935affcec91c317acf98b52eca551f2501b29ad502749e4c084492142c6eb
- e008c4e82cff39aa0f4c040944f8deeb80b06c50aab558e8b84e20c8ee453418
- ece6e9395edb8935c993a2945ac196a614149d65f10212e912e4654981646e37
- f52809d57d816cf9ea7e95de64df46fcc1cf62d3da972c167497935b5eca74d7
- fb5a654149e5bdb09b1453fa7679e32826e81abbaa0114ca02b13be6408a5ee3
