В начале сентября 2026 года развернулась кампания против компаний, которые ведут расчёты с персоналом через облачные сервисы. Сотруднику предлагают скачать настольную версию платформы для расчёта зарплат и кадрового учёта - быстрее, удобнее, чем работа в браузере. Такого приложения не существует: ни один из трёх крупных американских поставщиков, чьи имена использованы в приманках, настольную сборку не выпускает. Установщик при этом настоящий, и программа, которую он ставит, тоже настоящая - просто совсем не та, которую человек ждал увидеть.
Описание
Приманка выглядит убедительно. Ссылка приходит в рекламе, в результатах поиска или в письме. Страница повторяет фирменные цвета, логотип и снимки интерфейса реального сервиса, в углу работает окно чата поддержки, по центру - одна кнопка скачивания. После нажатия запускается установщик, мелькает окно установки компонента Microsoft, затем появляется сообщение об успехе. Обещанное приложение не открывается и открыться не могло. Проверить подделку жертве трудно именно потому, что сравнивать не с чем: легальной настольной версии не существует, и на глаз отличить подделку от "новинки" невозможно.
Страницы собрали в конструкторе, который превращает текстовое описание в готовую веб-страницу, и разместили на популярном хостинге. Файл для скачивания раздавался через площадку публикации релизов кода - она даёт доверенное доменное имя и устойчивую раздачу. Как показало исследование Signal & Noise, страницы не копировали с настоящих сайтов: копировать было нечего, поэтому каждую из трёх приманок сгенерировали заново, добавив подлинные логотипы и скриншоты. Все кнопки скачивания вели на файлы, опубликованные с одного аккаунта. Хостинг вдобавок закрыл страницы автоматической проверкой на роботов: сканеры упирались в неё и до самой приманки не добирались, поэтому публичных следов у кампании почти не осталось.
При запуске установщик делает две вещи. Первая на виду: открывается подлинный, подписанный Microsoft пакет для работы приложений на платформе .NET, показывает ход установки и завершается нормальным сообщением. Вторая скрыта: в фоне, без единого окна, ставится ConnectWise ScreenConnect - легальное средство удалённого мониторинга и управления, которое службы техподдержки используют для подключения к компьютерам сотрудников. В обычной сборке подключение сопровождается предупреждением на экране, здесь такие уведомления выключили заранее. Ни эксплойта, ни вредоносного файла в цепочке нет: работают доверенные инструменты, доверенный хостинг и доверенная раздача.
Программу настроили на работу без участия пользователя. Она прописывается системной службой Windows, добавляет себя в список программ, запускаемых в безопасном режиме, чтобы пережить чистку, создаёт задачи по расписанию и регистрирует компонент экрана входа в систему. Из-за последнего доступ к машине сохраняется ещё до того, как кто-либо введёт пароль, и не пропадает при блокировке экрана. Управляющий сервер злоумышленники подняли сами, он расположен в Германии; панель управления оставили открытой в интернет без оформления. Доменное имя там заменить легко, а криптографический ключ сервера остаётся неизменным даже при пересборке установщика. Именно он, а не домен, служит надёжным признаком этой кампании.
Все три приманки связаны с одним оператором. На страницах стоял один и тот же аккаунт службы чата, файлы публиковались с одного аккаунта на площадке для кода, а все сборки обращались к одному серверу. К брендам оператор подошёл уже с готовой инфраструктурой: за месяц до появления фирменных страниц он получил сертификат подписи кода на имя "Dennis Miller", то есть прошёл проверку личности - по украденным или подставным документам. Удостоверяющий центр отозвал сертификат в день выдачи, однако установщик подписали через два дня, уже сгоревшим документом. К сентябрю подпись исчезла совсем. Счётчик на площадке показывает 291 загрузку, но это верхняя граница, а не число пострадавших: в неё попали и аналитики, и автоматические проверки. Тридцать два из семидесяти антивирусных движков помечали файл как вредоносный.
Приём не нов. В марте 2026 года Microsoft описала похожую кампанию с подделкой рабочих приложений вроде Teams, Zoom и Adobe Reader. В сентябре 2026 года Huntress рассказала о подставных клиентах ScreenConnect под видом услуг техподдержки. Нынешний случай отличается тем, что приманкой служит продукт, которого никогда не было, а доставка идёт через сервис публикации кода, а не через письма со вложениями. Тот же набор инструментов применяют и против пользователей криптобирж и кошельков, но там работает другая группа: совпадение инструментов не означает совпадения исполнителей. Ставка на доверенные платформы объяснима. Скачивание с известного ресурса не вызывает вопросов ни у человека, ни у части средств защиты.
Практический вывод прост. Откройте сайты своих поставщиков и проверьте, выпускают ли они настольные приложения к тем облачным сервисам, которыми вы пользуетесь для расчётов с персоналом и финансов. Если не выпускают, любая страница с предложением скачать такое приложение заслуживает подозрения. Одного короткого сообщения сотрудникам на эту тему хватит, чтобы обезвредить весь класс подобных приманок. Неожиданную установку ScreenConnect разбирайте как инцидент, особенно когда предупреждения на экране отключены, а сервер подключения вам не знаком. Ограничьте список разрешённых средств удалённого управления: доверенный инструмент работает без помех ровно до тех пор, пока его запуск кто-то контролирует. И помните, кто именно ставит эту программу: на машине сидит человек, который ведёт выплаты всей компании, а бесконтрольный доступ к ней открывает путь к перенаправлению зарплатного фонда.
Индикаторы компрометации
