Люди, вложившие деньги в фиктивные брокерские платформы, теперь теряют не только средства, но и содержимое своих компьютеров. В 2025 году жертвам предлагали установить под видом брокерского приложения программу "UBP Asset". Вместе с ней на машину попадала программа-вымогатель. Раньше подобные схемы заканчивались исчезновением вложений. Теперь к этому добавляется шифрование рабочих файлов и требование выкупа за их возврат. Инцидент затронул частных инвесторов в Южной Корее, однако механика универсальна.
Описание
Торговая система для домашнего компьютера, или HTS, - это программа, через которую инвестор покупает и продаёт акции, фонды и фьючерсы, не приходя в офис брокера и не звоня туда по телефону. Большинство частных лиц сегодня торгуют именно так. Под видом таких систем всё чаще распространяют самодельные приложения нелегальные финансовые компании. Работают они по одной схеме. Сначала человек видит рекламу или получает сообщение с обещанием торговли зарубежными фьючерсами при минимальном залоге, без комиссии и с быстрым займом. Затем его приглашают в групповой чат в мессенджере, где администраторы убеждают скачать собственную торговую программу и внести деньги на счёт. Внешне она почти неотличима от решений лицензированных брокеров. На экране появляются графики, сделки и растущая прибыль. Когда инвестор просит вывести деньги, доступ к счёту блокируют, а вложения списывают под предлогом торговых сборов.
Подобные истории известны с 2023 года. Тогда нелегальная платформа распространяла программу удалённого доступа, которая фиксировала нажатия клавиш и собирала данные учётных записей. Новый эпизод, который зафиксировала AhnLab SEcurity intelligence Center (ASEC), отличается от прежних: на этот раз злоумышленники не ограничились наблюдением за жертвой, а зашифровали её файлы. Вредоносную программу нашли на компьютере человека, ранее зарегистрировавшегося на площадке, выдававшей себя за швейцарскую финансовую организацию Union Bancaire Privee. О той же площадке в сентябре 2025 года предупреждала юридическая фирма из Южной Кореи. Клиентов заманивали через групповые чаты и блокировали доступ тем, кто отказывался переводить деньги дальше.
Механика заражения выглядит так. После установки торговой программы на рабочем столе появляется ярлык. Он запускает служебный модуль обновления, а тот обращается к серверу разработчика за списком обновлений. В нормальной ситуации оттуда приходят новые версии торгового приложения. В этом случае сервер отдавал настройки для загрузки вымогателя, и тот стартовал автоматически. Злоумышленники также изменили основной модуль торговой системы, добавив в него команду запуска постороннего файла из той же папки. Иными словами, на сервер загрузили вымогателя, поправили конфигурацию и научили программу запускать его при каждом старте.
Попавший на компьютеры файл относят к семейству KRSID. Написан он на языке программирования Rust, а текст требования о выкупе, судя по формулировкам, составлен с помощью генеративного искусственного интеллекта. Шифрование затрагивает документы, таблицы, презентации, изображения, видео, архивы и файлы баз данных. Системные каталоги и служебные области диска остаются нетронутыми, иначе операционная система просто перестала бы работать. Записка о выкупе написана по-корейски, связаться с авторами предлагают через Telegram. От большинства похожих программ этот образец отличается тем, что не удаляет теневые копии - механизм, с помощью которого Windows хранит предыдущие версии файлов. Такая оплошность даёт пострадавшим шанс вернуть хотя бы часть данных без выплаты.
Ущерб от новой схемы шире, чем потеря денег. Зашифрованными оказываются рабочие документы, бухгалтерия, клиентские базы и личные архивы. Восстановление из резервных копий доступно далеко не всем, особенно если человек торговал с домашнего компьютера и никогда не делал бэкапы. Служба финансового надзора Южной Кореи напоминает: легальные финансовые организации не распространяют торговые программы через мессенджеры. Выплата выкупа при этом не гарантирует возврата файлов. Организаторы схемы уже однажды обманули жертву, и оснований доверять их обещаниям нет.
Устанавливать торговые приложения стоит только с официальных сайтов лицензированных брокеров. Полезно проверять, есть ли у компании разрешение на брокерскую деятельность, и не полагаться на скриншоты из чатов. Ссылки из рекламы, СМС и групповых бесед лучше не открывать вовсе. Обновление операционной системы и антивируса снижает риск: часть подобных атак строится на уже известных уязвимостях. Регулярные резервные копии на внешний носитель сохраняют данные даже при заражении. Схема с частными торговыми системами развивается в сторону более тяжёлых последствий, и рассчитывать на возврат денег через такие площадки не приходится.
Индикаторы компрометации
