С октября 2023 года работает схема, которая выводит средства с криптовалютных биржевых счетов без взлома пароля. Действует она внутри уже открытой сессии жертвы. Браузер запускается от её имени и с её авторизацией, а подставной сценарий рисует поверх страницы окно, похожее на штатную проверку безопасности. Пока человек вводит код подтверждения, программа отключает белый список адресов вывода, переводит активы в биткоин и отправляет их чужому получателю. Риск затрагивает частных владельцев криптовалюты и компании, чьи сотрудники держат рабочие аккаунты на биржах и в веб-почте.
Описание
Сборка, известная под условным названием Underground, позволяет собирать загрузчик и полезную нагрузку под конкретную задачу. Загрузчик принадлежит семейству Aotera/Tedy: сам он данные не похищает, а распаковывает и внедряет следующий модуль. Записи телеметрии инструмента датируются октябрём 2023 года, а последние из найденных относятся к январю 2026-го. Заражение начинается с архива-приманки: внутри лежат установочный файл, поддельная библиотека и зашифрованный блок данных. Каким путём архив попадает к человеку, пока неизвестно.
Перед внедрением загрузчик проверяет обстановку. Он сверяет список из 67 работающих программ с зашитым перечнем и ищет признаки наблюдения. В перечень попали отладчики, дизассемблеры, сетевые снифферы (программы для перехвата трафика), средства контроля процессов и агенты виртуальных машин. Совпадение означает прекращение работы. Исследование Netskope Threat Labs показало, что после такой проверки загрузчик расшифровывает встроенный этап и помещает в приостановленный системный процесс саморасшифровывающуюся полезную нагрузку.
Внедрённый процесс сам открывает Chrome или Edge с профилем жертвы. Пользователь видит обычное окно браузера, где он уже авторизован на бирже, в почте и в мессенджерах. Сетевые запросы при этом идут от имени браузера, а файл программы для кражи данных на диск не записывается. Связь с оператором поддерживает программный интерфейс управляющего сервера, который в отчёте называют шлюзом. Сервер размещён за сервисом Cloudflare: корневой адрес отвечает ошибкой, чтобы не привлекать сканеры, зато служебные разделы отдают полную конфигурацию.
Каждой заражённой машине оператор присваивает уникальный идентификатор и назначает свой шлюз. В ответ на запрос приходит конфигурация объёмом около девяти мегабайт. Внутри - сценарии внедрения для более чем 15 биржевых и веб-сервисов, правила подмены буфера обмена и логика поиска файлов на диске. Конфигурацию оператор меняет вручную. За время наблюдения сменилось семь управляющих доменов: первый появился в телеметрии в ноябре 2025 года, последний - в июне 2026-го. Часть адресов регистрировали за год до применения, другие вводили в дело через несколько дней. Поэтому новый домен какое-то время работает до попадания в списки блокировок.
Внутри авторизованной сессии на Binance сценарий показывает поддельное окно проверки безопасности примерно на 25 языках. За окном программа снимает лимиты, отключает белый список вывода, закрывает открытые ордера и накопительные позиции, переводит остаток в стейблкоин, привязанный к доллару, а затем в биткоин. С малых счетов забирают всё, с крупных - 90 процентов. Вывод идёт на один из 11 биткоин-адресов общего пула. Отдельный модуль следит за письмом о подтверждении вывода в Gmail, Outlook, Yahoo и Proton. Он ищет ключевые слова на 24 языках и переписывает тему с текстом прямо в браузере жертвы. Уведомление выглядит как рутинное сообщение.
Ещё один модуль подменяет содержимое буфера обмена. В его правилах 32 шаблона примерно для двух десятков криптовалют: когда человек копирует адрес кошелька, в буфер попадает адрес оператора. Всего в конфигурации больше 80 адресов получателя примерно в двух десятках сетей. Каждый доступный шлюз отдавал один и тот же набор. Кошельки оставались активными во время проверки в сентябре 2026 года, на некоторые приходили новые поступления.
Основная задача полезной нагрузки - сбор сведений. Программа забирает данные авторизации и пароли из браузеров, переписку Discord и Telegram, кошельки с рабочего стола и из расширений, а также снимки экрана. Пароли к биржевым счетам интересуют оператора в первую очередь: они открывают путь к выводу средств.
Финансовый итог кампании оценивают примерно в 100 тысяч долларов. Цифра занижена: подсчёт охватывает только первые переводы, дальше оператор запутывает след, подмешивая поддельные токены и посторонние средства. Большинство поступлений мелкие, в среднем около 82 долларов. Отдельные выводы куда крупнее: на один биткоин-адрес пришло около 18,8 тысячи долларов. По уникальным отправителям насчитали от 350 до 430 пострадавших. Деньги, ушедшие с биржевых счетов, в статистику не попали, поэтому реальное число выше.
Набор инструментов не имеет единого названия, а антивирусные вердикты разных производителей расходятся. Часть из них помечает образцы как Rhadamanthys, LummaStealer или Tedy. Атрибуции конкретной группировке нет: метаданные загрузчика случайным образом меняются от сборки к сборке. О находке сообщили в Cloudflare, но сервис не удаляет содержимое чужих сайтов: жалобы пересылают хостинг-провайдеру и владельцу ресурса.
Блокировка управляющего домена не удаляет программу с машины. Заражённые компьютеры месяцами продолжали обращаться к закрытому шлюзу в ожидании нового адреса. Проверять конечные точки стоит даже после срабатывания сетевого фильтра: искать внедрение в системные процессы и запуск браузеров из них. Надёжнее опираться на поведенческие признаки, а не только на репутацию доменов. Подтверждение вывода средств из биржи лучше получать по отдельному каналу: письмо в почте могло быть переписано. Двухфакторная аутентификация не защищает, если поддельное окно показывает её внутри чужого сценария. Оператор уже знает о раскрытии инфраструктуры и, вероятно, сменит домены, поэтому обнаружение по характеру запросов остаётся главным способом защиты.
Индикаторы компрометации
