В августе 2026 года программы для кражи конфиденциальных данных (инфостилеры) распространялись сразу по нескольким каналам. Злоумышленники маскировали вредоносное ПО под взломанные версии популярных программ, рассылали его по электронной почте от имени реальных компаний и продвигали заражённые страницы в поисковой выдаче. Основная аудитория атак - обычные пользователи, которые ищут бесплатные лицензии, и сотрудники компаний, получающие деловые письма. Кража логинов, паролей и данных банковских карт остаётся одним из самых массовых и одновременно наиболее прибыльных видов киберпреступности.
Описание
Механика распространения через поисковые системы остаётся прежней и при этом хорошо отлаженной. Сначала злоумышленники создают страницы, которые поисковые системы считают наиболее релевантными запросам вроде "скачать бесплатно" и "ключ активации". Этот приём называют поисковым отравлением. Затем пользователя перенаправляют на облачные хранилища и файлообменники - среди них Mega и Mediafire. Файл выглядит как обычный архив с установщиком, однако внутри находятся программы семейств Remus, Vidar, LummaC2 и ACRStealer. Пострадавший запускает установщик добровольно, поскольку уверен, что получает бесплатную версию нужного продукта.
По данным AhnLab SEcurity intelligence Center, в августе чаще всего фиксировали Remus. Следом идут LummaC2, Vidar и ACRStealer. Отдельно исследователи собрали статистику по компаниям, чьи имена злоумышленники использовали для маскировки. Чаще всего вредоносные файлы выдавали себя за продукты Microsoft Corporation. В список также попали Blue Ridge Solutions, Oleg N. Scherbakov, Frost Union Networks и Cedar Stone Collective. Подобная подмена нужна для того, чтобы подпись или описание файла не вызывали подозрений у жертвы и у антивирусных систем. Показательно, что злоумышленники выбирают не только крупные бренды, но и небольшие фирмы, о существовании которых пользователь может не знать вовсе.
Технически атаки тоже меняются. Почти все обнаруженные образцы (около 97,3 процента) представляли собой обычные исполняемые файлы. Оставшаяся часть использовала подмену системных библиотек: вредоносный код подставлялся вместо компонентов, которые загружает легитимная программа. Имена подставных библиотек имитировали известные среды разработки и системные модули, поэтому заметить подлог без специальных инструментов сложно.
Отдельный сюжет августа - распространение через Ren’Py, бесплатный инструмент для создания игр на языке Python. Внутри архива лежали два файла: один исполняемый, второй - скрипт. Они запускались по очереди, и в результате на устройстве оказывался инфостилер ACRStealer. Схема примечательна тем, что использует доверие к игровому движку и к сообществу разработчиков-любителей. Жертва видит знакомую структуру папок и не ожидает подвоха.
Электронная почта остаётся не менее активным каналом. В августе зафиксированы рассылки Formbook, который маскировался под уведомление о выписке по банковскому счёту в турецком банке. Другой инфостилер, AgentTesla, приходил в виде запроса коммерческого предложения от индийской компании, работающей в сфере сантехники. Такие письма выглядят как обычная деловая переписка, поэтому получатель открывает вложение, не проверяя отправителя. Собранные сведения AgentTesla отправлял через простой протокол электронной почты SMTP, то есть по тому же каналу, который использует большинство корпоративных почтовых систем.
Ущерб от подобных кампаний не ограничивается одним человеком. Украденные логины и пароли продают на теневых площадках, а затем применяют для повторных атак - уже против работодателя жертвы, её клиентов и партнёров. Если сотрудник сохранял корпоративные пароли в браузере, злоумышленник получает доступ к внутренним системам компании. Для производственных предприятий это грозит остановкой процессов, для финансовых организаций - прямыми потерями, для государственных структур - утечкой служебной информации. Отдельная проблема в том, что жертва может месяцами не знать о заражении: инфостилеры почти не влияют на скорость работы компьютера и не выводят сообщений на экран.
Снизить риск помогает несколько базовых привычек. Не стоит скачивать нелегальные версии программ и ключи активации: в большинстве случаев именно они служат приманкой. Вложения в письмах от незнакомых отправителей лучше открывать только после проверки через другой канал связи, например по телефону. Двухфакторная аутентификация резко уменьшает ценность украденного пароля, даже если он попал к злоумышленникам. Регулярное обновление операционной системы, браузера и защитного ПО закрывает часть уязвимостей, которые используют такие программы. Наконец, полезно следить за тем, какие расширения установлены в браузере, и удалять всё лишнее.
Тенденция августа показывает, что ставка делается не на изощрённые технические приёмы, а на доверие и спешку. Поддельные страницы в поиске, письма от имени известных компаний и архивы с "бесплатными" программами работают безотказно уже несколько лет. Инфостилеры продолжают развиваться, но основной вектор остался прежним: они атакуют людей, а не инфраструктуру.
Индикаторы компрометации
