С середины августа 2026 года пользователи торрент-трекеров по всему миру получают вместо обещанных фильмов исполняемые файлы с вредоносной начинкой. За этой волной стоит ранее неизвестный модульный комплекс MovieReaper, который действует поэтапно и почти целиком работает в оперативной памяти. На диске остаётся лишь небольшой загрузчик, всё остальное живёт только до перезагрузки. Жертвами стали несколько сотен частных пользователей и организаций. Отличительная черта кампании - адрес следующего управляющего сервера хранится в блокчейн-сети, поэтому привычные способы блокировки инфраструктуры здесь почти не работают.
Описание
Подменили не сами трекеры, а общий для них источник. Злоумышленники скомпрометировали крупный публичный архив торрент-файлов, услугами которого пользуются десятки площадок. Человек запрашивает раздачу, а архив отдаёт ему не тот файл, который он искал, а вредоносный загрузчик. Одна точка компрометации обеспечивает охват аудитории сразу нескольких трекеров, и жертвы при этом не подозревают о подмене. На момент публикации отчёта архив оставался заражённым, то есть подмена продолжается и сейчас. Пользователи оставляли сообщения о том, что вместо фильма получили подозрительный файл, и таких жалоб набралось немало.
География пострадавших широка: Россия, Турция, Япония, Кения, Уганда, Колумбия, Испания, Нидерланды, Бельгия, Германия, Финляндия, Непал, Танзания, Гана. Среди жертв встречаются как частные лица, так и госсектор, ИТ-компании, консалтинговые фирмы, розничная торговля, транспорт и сельское хозяйство. По данным "Лаборатории Касперского", продукты которой распознают эту угрозу, схема применяется одним и тем же автором с октября 2025 года - за это время арсенал инструментов заметно вырос, а обнаружение загрузчика усложнилось.
Первый этап - загрузчик, единственный файл, попадающий на диск. Ему дают длинное имя с названием свежего фильма и иконку известного видеоплеера. Расчёт на невнимательность: человек видит знакомую картинку и не замечает, что перед ним программа, а не видеозапись. Множество разных имён при неизменном содержимом позволяет выдавать один и тот же файл за десятки разных релизов. После запуска программа убеждается, что не работает в изолированной среде, проверяет, не запущен ли уже другой её экземпляр, и лишь затем выходит на связь с сервером.
Основная нагрузка скачивается по частям под видом обычных изображений и никогда не сохраняется на диск. Такой подход усложняет обнаружение: средствам защиты нечего проверять, ведь вредоносный код существует только в памяти и исчезает после перезагрузки. Служебные строки внутри программы зашифрованы, поэтому искать знакомые подписи бесполезно. Загрузчик подолгу выжидает перед активными действиями и внимательно изучает окружение - типичное поведение, рассчитанное на автоматические системы анализа. Все усилия авторов были направлены на одну цель: не дать этим системам распознать угрозу.
Способ, которым программа узнаёт адрес своего следующего управляющего сервера, тоже необычен. Второй этап обращается к блокчейн-сети Solana и читает оттуда запись, оставленную злоумышленниками. Изъять или отключить такое хранилище невозможно: записи в распределённом реестре сохраняются, пока существует сама сеть. Блокировка отдельно взятого сервера мало что даёт - в запись можно в любой момент добавить новый адрес. Связь с управляющим сервером поддерживается только по защищённому каналу, а данные передаются в компактном служебном формате.
Третий модуль обходит механизм контроля учётных записей пользователя (UAC) - системную защиту, которая запрашивает подтверждение перед действиями с повышенными правами. Затем он копирует себя в служебную папку системных компонентов под именем, неотличимым от процесса браузера Edge, и перезапускается. Повторный запуск проходит уже без проверок на изолированную среду: программа сразу идёт к серверу за очередной порцией кода. Разницу между первым и последующими запусками видит и удалённая сторона, поэтому сервер понимает, на какой стадии находится заражённая машина.
Финальный модуль называется "файловый менеджер". В нём 21 команда, и каждая открывает оператору доступ к содержимому заражённого компьютера: скачивание, загрузка и чтение файлов, просмотр каталогов, копирование, переименование, перемещение, удаление, смена прав доступа, создание символических ссылок. Отдельно реализован просмотр уменьшенных копий изображений - так злоумышленник решает, что стоит выгружать целиком, а что нет. Устройство комплекса позволяет подгружать новые модули по требованию, и часть из них, вероятно, ещё не встречалась в образцах.
Для организации последствия такого заражения ощутимее, чем для домашнего пользователя. Через файловый модуль злоумышленник получает доступ к рабочим документам, договорам, финансовой отчётности и внутренней переписке. Утечка оборачивается штрафами за нарушение требований к защите данных, потерей контрактов и простоем в работе. Промедление с реакцией увеличивает ущерб: чем дольше оператор остаётся в системе, тем больше данных он успевает забрать.
Оборвать цепочку проще всего на первом шаге. Загрузчик обращается к одному домену и одному резервному адресу, поэтому блокировка этих точек останавливает заражение целиком. Дальнейшие стадии устойчивее, ведь их инфраструктура опирается на блокчейн. Пользователям стоит помнить, что инструкции по установке пиратского контента часто требуют отключить антивирус - этим приёмом и пользуются распространители вредоносных программ. Обновление системы, работа под учётной записью без лишних прав и отказ от сомнительных раздач заметно снижают риск.
Индикаторы компрометации
