Папка с файлами, открытая для доступа из интернета, раскрыла инфраструктуру VectraRAT. Речь идёт о платформе вредоносного ПО, которую сдают в аренду от 250 долларов в месяц. Случилось это 23 июня 2026 года. В каталоге лежали готовые сборки программы, управляющий сервер и лицензионные файлы. Дальнейший анализ показал, что это не переделка известных образцов, а полностью самостоятельная разработка. За ней стоит оператор под псевдонимом Vectra, ранее известный как Nyxel. Его следы в сети прослеживаются с августа 2022 года, но публичных упоминаний о нём до сих пор не было.
Описание
Большая часть инструментов удалённого доступа, которые продают на теневых форумах, собрана из чужих наработок. Утёкшая сборка, переименованный клон, новая иконка. Защитные средства годами находят одно и то же семейство под десятком названий. VectraRAT устроен иначе. Управляющий сервер под Linux, клиент для Windows, собственный сетевой протокол и система лицензирования написаны одним человеком с нуля. Программа объединяет возможности двух классов. Она даёт полный удалённый контроль над компьютером и одновременно собирает учётные данные и документы. По сути это гибрид средства удалённого доступа и похитителя информации.
Исследование SOCRadar Threat Research Unit показало, что арендатор получает сразу несколько возможностей. Среди них скрытый рабочий стол, невидимый для владельца машины, перехват нажатий клавиш и управление буфером обмена с подстановкой чужих данных. Добавим сюда удалённую командную строку и массовое копирование паролей из браузеров. Повышение прав вынесено в отдельную опцию сборки. Программа обходит системное предупреждение о запросе прав администратора, и пользователь не видит ни одного диалогового окна. На практике вредоносный код получает максимальные полномочия в системе тихо и быстро.
Каталог платформы шире одной программы. В переписке с разработчиком фигурируют услуги по маскировке вредоносного кода от антивирусов. Цена такой услуги - от 100 до 350 долларов. Комплект вместе со сборкой оценивается выше 2000 долларов. Продажи идут через крупные теневые форумы, переговоры ведутся в мессенджере, а на видеохостинге выложена демонстрация продукта. Пробные лицензии выдаются только участникам с длительной историей аккаунта. Такой фильтр отсекает случайных людей и исследователей, которые заводят новые учётные записи.
Отправной точкой расследования стал открытый каталог на одном из серверов. С него удалось перейти более чем к десяти узлам, десяткам образцов и панелям управления, принадлежащим реальным заказчикам. Панель управления и страница доставки вредоносного ПО размещены у одного провайдера, в соседних адресах. Владелец этой пары явно стремится держать всю операцию на одном хостинге. Там и управление жертвами, и страницы, которые этих жертв создают.
Кампании, зафиксированные в ходе анализа, ведут не разработчик, а его клиенты. В одном случае программу доставляет известный загрузчик Amadey на уже заражённые машины. В другом используется приём ClickFix. Поддельная страница проверки убеждает человека самостоятельно открыть окно запуска и вставить туда скопированную команду. Приманки маскируются под налоговые сервисы, что указывает на расчёт на американских пользователей. Через ту же инфраструктуру распространяется и другое вредоносное ПО. Площадка работает как универсальный канал доставки, а не только как канал для VectraRAT.
Данные о пострадавших собирали из журналов реальных панелей не более чем за неделю. Из 38 подтверждённых сеансов почти половина пришлась на корпоративные редакции Windows, включая серверные версии. Экстраполяция темпа подключений даёт оценку от 150 до 300 уникальных жертв в месяц. География широкая: США, Россия, Германия, Швейцария, Чехия, Индия, Венесуэла. В Чехии атакующий за 25 минут выгрузил шесть файлов с сервера под управлением Windows Server 2025. Похоже на планомерный сбор данных с нескольких машин одной организации. Ещё две жертвы в американском Арлингтоне попали в один диапазон адресов, но двух машин мало для вывода о целенаправленной охоте за госсектором.
Личность разработчика остаётся загадкой. Панель управления поддерживает английский, русский и китайский языки. Внутренние строки написаны на китайском, и данные о местоположении жертв тоже хранятся на китайском. При этом общение ведётся на русском, а активность на форумах совпадает по времени с рабочим днём в российских часовых поясах. Уверенно установить национальность по собранным данным нельзя. Показательно другое. Аккаунт продавца на форуме выглядит как профиль новичка, тогда как сам продукт содержит собственную систему лицензирования и сложную цепочку повышения прав. Такое несоответствие типично для смены личности, когда опытный автор заводит чистый аккаунт под новым брендом.
Для организаций выводы просты. Загрузчики вроде Amadey попадают в сеть через старые уязвимости и слабые пароли, поэтому обновление систем и двухфакторная аутентификация остаются базовыми мерами. Пользователей стоит предупредить: страница, которая просит открыть окно запуска и вставить в него скопированный текст, всегда поддельная. Разумно ограничить исходящие соединения на нестандартные порты и следить за запуском служебных программ без видимой причины. Корпоративные редакции Windows интересуют арендаторов в первую очередь, поскольку за ними стоят данные и доступы, а не личные файлы.
Индикаторы компрометации
