27 января 2026 года в корпоративной сети зафиксировали обращение рабочего компьютера к внешнему серверу, связанному с распространением Lumma Stealer. Программа относится к классу вредоносного ПО для кражи данных: она извлекает из браузера сохранённые пароли и служебные файлы (куки), а также собирает данные криптовалютных кошельков. Разбор этого случая занял несколько дней и позволил увидеть атаку на раннем этапе, когда основная часть ущерба ещё не наступила. Обычно подобные программы попадают на компьютер через поддельные страницы проверки браузера, всплывающую рекламу и сборки пиратского ПО. Атака затрагивает компании любого размера, если сотрудники пользуются браузером для рабочих задач. Сумма потенциального ущерба зависит от того, к каким системам у сотрудника есть доступ.
Описание
Тревога поступила поздно вечером 27 января. Она описывала попытку снятия цифрового отпечатка с заражённой машины и указывала на конкретный внешний адрес, к которому шло обращение по незашифрованному веб-протоколу. Такой сигнал формирует система мониторинга, которая сопоставляет сетевой трафик с известными образцами вредоносной активности. Заражённый компьютер работал в домене компании и принадлежал одному из сотрудников. Ничего необычного в поведении пользователя в тот момент журналы не фиксировали. Чтобы найти источник, аналитик построил список внутренних узлов, обращавшихся к этому адресу, и получил единственный результат. Дальше работа шла по сохранённой записи трафика, снятой в момент срабатывания.
Затем аналитик выгрузил запросы к системе доменных имён, отбросил служебный шум вроде обращений к центрам обновлений и выстроил их по времени. Из общего потока выделились семь доменов, не связанных с работой компании. Список получился коротким, что упростило задачу. Репутационные сервисы оценивали эти имена неодинаково: у части срабатываний не было вовсе, у самых подозрительных набиралось до двадцати отметок из девяноста одной проверки. Один домен разрешался ровно в тот адрес, откуда пришла тревога. Именно через него поддерживалась связь с заражённой машиной.
Внутри открытого веб-обмена обнаружилась последовательность запросов, нехарактерная для обычного сайта. Разбор инцидента показал, что сервер сначала выдавал браузеру программный код, а затем принимал от него объёмный набор сведений о компьютере. Первый запрос содержал два длинных идентификатора - по ним программа отличала одну жертву от другой. Эти значения выглядели случайным набором символов и служили только для разметки сессий. Ответ приходил в виде страницы со встроенным кодом, который незаметно запускался в браузере.
Собранные сведения охватывали почти всё, что отличает одну машину от другой. Код считывал разрешение и ориентацию экрана, список установленных шрифтов, параметры звуковой подсистемы, число ядер процессора, объём памяти, язык системы, тип сетевого подключения и его примерную скорость, а также поддерживаемые расширения браузера. Каждый параметр сам по себе ничего не значит, но вместе они образуют устойчивый набор признаков. Отдельный блок собирал данные о локальной сети через механизм видеосвязи, встроенный в браузер и способный раскрывать внутренние адреса. К этому добавлялись отметка времени и сведения о поддержке куки. Все данные уходили на сервер одним запросом, после чего страница уводила пользователя на пустую вкладку.
Подобный набор признаков решает для злоумышленников несколько практических задач. По совокупности характеристик они отличают настоящий компьютер от изолированной среды и виртуальной машины, которыми пользуются защитные решения и аналитики. Это экономит время на поддельных целях. Кроме того, отпечаток позволяет повторно узнавать уже заражённую машину и подбирать под неё подходящую полезную нагрузку. Для повторной идентификации достаточно сравнить новый набор признаков с прежним. Результаты складывали в архив, имя которого собирали из адреса жертвы и присвоенного идентификатора. Личность пострадавшего тоже установили: журналы службы выдачи сетевых адресов дали имя компьютера и сетевой идентификатор оборудования, журналы аутентификации - учётную запись, а протокол управления учётными записями раскрыл полное имя сотрудника.
Ущерб от такого заражения выходит за пределы одного ноутбука. Украденные куки и пароли открывают доступ к корпоративной почте, внутренним системам и облачным сервисам. С захваченной учётной записью злоумышленник способен перемещаться по сети, повышать права и готовить более масштабную атаку. Для компании это оборачивается утечкой коммерческих данных, простоем в работе и расходами на восстановление. При этом первые недели после заражения нередко проходят незаметно. Компьютер продолжает работать как обычно, и пользователь не замечает ничего странного. Восстановление доступа к части сервисов занимает часы, а разбор последствий растягивается на недели.
Базовые меры выглядят привычно, но работают только в комплексе. Обновление операционной системы и браузеров закрывает известные уязвимости, которыми пользуются распространители вредоносного ПО. Ограничение исходящих соединений на шлюзе и проверка зашифрованного трафика усложняют связь с управляющим сервером. Двухфакторная аутентификация снижает ценность украденных паролей. Наблюдение за нетипичными обращениями браузера помогает заметить угрозу на этапе снятия отпечатка, когда ущерб ещё мал. Изоляция подозрительного узла и быстрый разбор инцидента сокращают время, за которое атакующие успевают закрепиться в инфраструктуре.
Индикаторы компрометации
