С февраля по май 2026 года китайский центр мониторинга сетевых угроз CNCERT зафиксировал масштабную атаку с использованием трояна удалённого доступа Silver Fox. Злоумышленники развернули 439 поддельных сайтов, маскирующихся под популярное программное обеспечение, и заразили порядка 182 тысяч компьютеров. Особую тревогу вызывает тот факт, что фишинговые страницы, по всей видимости, создавались при помощи технологий искусственного интеллекта.
Описание
Атака началась с массовой регистрации доменов, имитирующих названия известных программ. Почти 77 процентов всех поддельных сайтов приходится на две цели: браузер Chrome и офисный пакет WPS. Оставшаяся доля распределена между мессенджером Telegram, клиентом для обхода блокировок LetsVPN, сервисами WhatsApp, "Куайлянь", "Юаньдао", браузером BitBrowser и утилитой Clash. Злоумышленники регистрировали домены пачками - в один из моментов за минуту было создано сразу 15 адресов, относящихся к LetsVPN. Для доменных имён преимущественно использовались китайские зоны: почти 43 процента пришлось на региональный домен провинции Хэйлунцзян hl.cn, около 31 процента - на com.cn, ещё 23 процента - на зону .cn.
Фишинговые страницы отличались высокой степенью автоматизации. Специалисты CNCERT обратили внимание, что код этих сайтов выглядит не как ручная работа, а как результат работы генеративной модели. HTML-разметка содержала аккуратные, стандартизированные комментарии, а сами страницы, даже имитирующие одну и ту же программу, не имели единого макета. Это говорит о том, что каждый сайт создавался с нуля по шаблону, вероятно, с помощью чат-бота или аналогичного инструмента. Отчёт CNCERT, подготовленный при содействии компании Weibu Online, указывает, что злоумышленники также применяли SEO-оптимизацию: поддельные сайты индексировались в поисковой системе Bing и требовали, чтобы переход осуществлялся именно из поисковой выдачи. При прямом обращении по URL пользователь перенаправлялся на bing.com или на неработающую страницу - это защищало фишинг от анализа.
После того как жертва переходила на поддельный сайт и скачивала якобы установочный пакет, начиналась вторая фаза атаки. Вредоносное ПО было упаковано с помощью инструмента Inno Setup и содержало легитимный установщик реальной программы - например, Chrome или WPS. Параллельно с установкой настоящего приложения запускался вредоносный код. Специалисты выяснили, что образец, полученный с сайта mb-google-chrome.hl.cn, представлял собой модифицированную версию трояна Gh0st. Он был дополнительно защищён упаковщиком VMP и использовал технику загрузки shellcode (вредоносного кода, выполняемого непосредственно в памяти) из зашифрованного файла. После расшифровки shellcode внедрялся в системные процессы Windows - ctfmon.exe, sihost.exe, svchost.exe и elevation_service.exe. Эти процессы системой считаются доверенными, что позволяло трояну работать незаметно для большинства антивирусов.
Для закрепления в системе троян создавал службу с правами SYSTEM и помещал конфигурационные файлы в случайно названную папку внутри каталога ProgramData. Папка, из которой запускался вредоносный код, также делалась недоступной для чтения и удаления. После этого заражённый компьютер начинал связываться с серверами управления и контроля (C2) по 22-му и 443-му портам. В ходе расследования было идентифицировано 17 вредоносных доменов и 20 IP-адресов C2. Среди наиболее активных серверов, контролировавших более 10 тысяч устройств, значатся dd.kmsccedn.com, vaeth.cn, feiji22.vip и другие.
Масштаб заражения оказался внушительным. Ежедневное количество активных "зомби" - компьютеров, подключённых к C2, - достигало 26 тысяч. Суммарно за месяц наблюдений (с 8 апреля по 7 мая 2026 года) число уникальных заражённых машин превысило 182 тысячи. Злоумышленники отслеживали эффективность своих фишинговых страниц с помощью бесплатного сервиса статистики 51.LA: они собирали данные о посещаемости, времени на сайте и источниках трафика. Это помогало вычислять рентабельность каждой фишинговой кампании и оптимизировать её.
Специалисты рекомендуют пользователям сохранять бдительность. Прежде всего следует скачивать программы только с официальных сайтов (например, www.wps.cn) или из магазинов приложений. Домены, содержащие лишние дефисы, повторяющиеся буквы или странные префиксы вроде "kn-wps.com.cn", почти наверняка ведут на фишинг. Особую опасность представляют рекламные ссылки в поисковых системах - злоумышленники часто выкупают объявления, чтобы их поддельные сайты оказывались на первой странице выдачи под видом легитимных. Не стоит пренебрегать и стандартными мерами защиты: держать включённым антивирус в реальном времени, своевременно обновлять операционную систему и приложения, а также следить за необычной сетевой активностью или подозрительными фоновыми процессами. Если компьютер стал вести себя странно, лучше сразу отключить его от сети и проверить на наличие вредоносного ПО.
История с трояном Silver Fox в очередной раз демонстрирует, как киберпреступники адаптируют современные технологии - от генеративных нейросетей до облачных хранилищ - для массовых атак. Борьба с такими угрозами требует не только технических средств, но и повышения цифровой грамотности самих пользователей.
Индикаторы компрометации
