Во второй половине 2026 года группировка Larva-25012 снова активно распространяет проксиварь. Так называют программы, которые делят часть интернет-канала компьютера с посторонними. Обычно человек устанавливает их добровольно и получает за это небольшие деньги. Здесь согласия никто не спрашивает. Заражённая машина превращается в чужой узел связи, а весь доход забирает атакующий. Под удар попадают прежде всего домашние пользователи и небольшие компании, у которых нет собственной службы безопасности.
Описание
Схема получила название проксиджекинг. По механике она близка к криптоджекингу, когда на чужом компьютере тайно запускают программу для добычи криптовалюты и используют ресурсы владельца. Разница лишь в том, чем именно расплачивается жертва: вычислительной мощностью в одном случае и каналом связи в другом. Заметить подмену трудно. Интернет работает медленнее, растёт потребление трафика, а вместе с ним и счета за него. Есть и менее очевидный риск. Через чужой канал проходит посторонний трафик. Адрес компании может оказаться в чёрных списках, и тогда переписка с партнёрами начнёт блокироваться. Для организаций это уже не мелкая неприятность, а простой в работе.
История кампании началась не в этом году. С 2025 года и до первых месяцев 2026 года Larva-25012 раздавала такие программы через всплывающие окна на сайтах бесплатных загрузчиков видео. Второй канал - GitHub, где проксиварь выдавали за утилиту для очистки клиента Steam. Позже заражения фиксировали на страницах с нелегальным программным обеспечением и так называемыми кряками. Установка проходила без ведома владельца, а сам файл выглядел как обычный установщик. Приём остаётся прежним: человеку обещают бесплатный инструмент, а получает он скрытого посредника для чужого трафика.
Сейчас тактика изменилась. Наблюдения AhnLab Security intelligence Center показывают, что новых способов доставки злоумышленники почти не искали. Ставка сделана на компьютеры, которые уже заражены. На них остался загрузчик DPLoader - небольшой скрипт, попавший в систему вместе с первым вредоносным файлом. Он прописывается в системном планировщике и перезапускается сам. Периодически загрузчик отправляет на командно-контрольный сервер (C2-сервер, узел для управления заражёнными машинами) базовые сведения о системе. В ответ приходят команды. Все они сводятся к установке очередной программы для обмена трафиком.
Ассортимент посредников широк. В последних случаях встречались DigitalPulse, SOAX, Appsalt и IPRoyal. Ранее отмечались Honeygain и Infatica. Часть образцов маскируется под системные службы Microsoft и прописывается под именами, похожими на служебные задачи. DigitalPulse прячет свой код и внедряется в процесс проводника Windows. Отдельные сценарии установки пытаются отключить встроенный антивирус Microsoft. Рядом с загрузчиком кладут библиотеку посредника, а при запуске ей передают ключ доступа, принадлежащий атакующему. Ключ определяет, в чей кошелёк уйдёт плата за отданный трафик. Без него выручку получила бы сама площадка, а не злоумышленник.
География тоже показательна. Больше всего пострадавших систем выявлено в Корее. Для владельца отдельного ноутбука ущерб выглядит скромно: чуть медленнее загрузка, чуть больше расход трафика. Небольшие офисы рискуют сильнее крупных, потому что там редко кто следит за сетевым трафиком. В масштабе сотен устройств речь идёт о постоянной потере канала и электроэнергии. У компаний к этому добавляется риск, что через их сеть пойдёт чужая активность, в том числе противозаконная. Разбираться в последствиях придётся им.
Защита не требует сложных средств. Программы стоит скачивать с официальных сайтов разработчиков. Всплывающие окна и файлообменники лучше обходить стороной. На рабочих машинах полезно следить за сетевой активностью и появлением незнакомых задач в планировщике. Антивирус с актуальными базами закроет большинство известных образцов. Если заражение уже произошло, удалить один найденный файл недостаточно. Загрузчик умеет восстанавливаться, поэтому проверять систему нужно целиком.
Проксиджекинг остаётся тихим способом заработка. Он не шифрует файлы и не требует выкупа, поэтому долго не привлекает внимания ни пользователя, ни службы поддержки. Пока одни группировки ищут новые бреши, другие спокойно собирают плату с уже захваченных машин. Возобновление кампании Larva-25012 говорит о том, что база заражённых устройств сохранилась. Вместе с ней сохранился и источник дохода.
Индикаторы компрометации
