С мая 2026 года в поисковой выдаче работают поддельные сайты, выдающие себя за страницы модов и плагинов для социальной VR-платформы ChilloutVR. Скачанный оттуда файл запускает FLEXRAT - набор вредоносных программ, который одновременно крадёт учётные данные и даёт злоумышленнику полный удалённый доступ к машине. Формально приманка рассчитана на игроков, однако ущерб выходит далеко за пределы игрового сообщества.
Описание
Распространение построено на поисковом трафике. Человек ищет модификации для любимой игры, открывает ссылку и попадает на аккуратно свёрстанную страницу. Такие сайты копируют оформление игрового сообщества: знакомые изображения, описания, крупные кнопки скачивания. По соседству стоят ссылки на настоящие ресурсы платформы, и это добавляет правдоподобия. Вредоносные файлы лежат не на сайте приманки, а в популярном облачном хранилище. Сторонний сервис выглядит надёжнее, поэтому пользователь реже настораживается, а системы репутации хуже отсекают такую загрузку.
За установщиком скрывается приложение, собранное на платформе Electron - среде, позволяющей запускать программы на JavaScript вне браузера. По данным Hexastrike, внутри приложения спрятан зашифрованный набор из 33 модулей, и он закрывает почти весь типовой арсенал современного инфостилера (программы для кражи данных). Здесь и сбор учётных данных из браузеров, и похищение токенов Discord, и разведка системы, и снимки экрана, и удалённое управление чужой машиной.
Украденное собирается в один архив и уходит на сервер злоумышленника. Браузерные пароли, файлы cookie (небольшие служебные файлы, хранящие сессию входа), токены Discord вместе с резервными кодами доступа, сведения о железе и установленных антивирусах. Отдельно проверяется, какие средства защиты стоят на компьютере. На диск архив не попадает: он формируется в памяти и сразу отправляется наружу. Для владельца заражённой машины это означает, что привычный поиск следов может ничего не дать.
Перед сбором программа принудительно закрывает все браузеры сразу - Chrome, Edge, Brave, Opera, Vivaldi, Firefox, Яндекс Браузер. Так снимаются блокировки с внутренних баз, где хранятся пароли. Массовое закрытие окон в первые секунды после запуска "мода" и есть самый заметный симптом заражения. Если забрать данные напрямую не удаётся, включается запасной сценарий: программа скрытно запускает браузер без интерфейса, открывает популярные сервисы и снимает свежие сессии.
Особого внимания заслуживает закрепление в системе. После сбора данных программа пытается получить права администратора, а затем ослабляет механизм контроля учётных записей - то самое окно подтверждения, которое Windows показывает при установке программ. Настройки, отвечающие за этот запрос, сбрасываются в ноль, и дальнейшие попытки повысить права проходят без вопросов к пользователю. Перезагрузка не нужна.
Копия вредоносного файла переезжает в системную папку под именем, неотличимым от названия службы Windows. Файлу и каталогу присваиваются скрытый и системный атрибуты - проводник не покажет их даже при включённом отображении скрытых объектов. Автозапуск прописан двумя способами: через ключи реестра и через задачу планировщика, срабатывающую при входе в систему с максимальными правами. Управление и выгрузка украденного идут через небольшой набор доменов оператора, часть отчётов уходит через вебхуки Discord - механизм, позволяющий сторонним программам отправлять сообщения в каналы мессенджера.
Атрибуцию к известной группировке авторы разбора не дают. Языковые артефакты указывают на турецкоязычного разработчика: в коде остались служебные сообщения и подписи на турецком, включая неформальные реплики о выданных правах администратора и отправке журналов. Внутреннее имя проекта и одни и те же ключи шифрования повторяются в разных сборках. Такая небрежность даёт защитникам устойчивые признаки для поиска.
Для бизнеса угроза не выглядит чужой. Личные ноутбуки сотрудников часто хранят те же пароли, что и рабочие сервисы, а переиспользование учётных данных стирает границу между домом и офисом. Любое заражение FLEXRAT разумно считать инцидентом с утечкой учётных данных, а не рядовой проблемой домашнего компьютера.
Практические меры выглядят привычно, но именно они ломают схему. Моды и плагины загружают только с официальных площадок, а установщики, найденные через поиск, лучше сразу считать подозрительными. Организациям помогает запрет на запуск программ из пользовательских папок, централизованные настройки контроля учётных записей и двухфакторная аутентификация. Ежедневная работа под учётной записью без прав администратора лишает вредоносную программу возможности тихо закрепиться.
Кампания живёт минимум с мая 2026 года и продолжает получать трафик из поиска. Пока существуют сайты-двойники, рассчитанные на доверие игрового сообщества, самой надёжной линией обороны остаётся осторожность при загрузке файлов и контроль за тем, что вообще разрешено запускать на рабочих машинах.
Индикаторы компрометации
