В августе 2026 года организация Ransom-ISAC представила детальный разбор новой кампании CRPx0, работающей по модели программ-вымогателей как услуги. Злоумышленники создают поддельные страницы обновлений Windows и macOS, а также имитируют проверку reCAPTCHA. Пользователя обманом вынуждают скопировать команду из буфера обмена и выполнить её самостоятельно.
Описание
Атака начинается с открытия поддельной веб-страницы. Сайт определяет операционную систему посетителя и незаметно помещает в буфер обмена специальную команду. Затем на экране появляются инструкции, якобы необходимые для проверки или установки обновления. Пользователь, следуя подсказкам, вставляет команду в окно "Выполнить" на Windows или в терминал на macOS. На Windows такой шаг запускает многоступенчатую цепочку загрузчиков, на macOS вредоносный код загружается напрямую.
Полную последовательность атаки - от поддельной страницы до финального вредоносного кода - восстановили аналитики Ransom-ISAC. Итоговая программа написана на Python и работает на всех основных платформах. Перед шифрованием файлов она собирает и отправляет злоумышленникам ценные данные: документы, файлы паролей, сертификаты, ключи шифрования и конфигурации VPN. Только после этого начинается шифрование. Зашифрованные файлы получают характерное расширение .crpx0, а в каждой папке появляется записка с требованием выкупа.
CRPx0 представляет собой полноценный коммерческий сервис. Операторы принимают аффилированных партнёров за единовременный взнос в 333 доллара и обещают им 70 процентов от каждого выплаченного выкупа. Оставшиеся 30 процентов забирает владелец платформы. Участникам запрещено атаковать страны СНГ, а в качестве предпочтительной криптовалюты указывается Monero. На выделенном сайте утечек операторы уже опубликовали данные 47 организаций, среди которых преобладают медицинские и финансовые компании из США и Турции.
Особую тревогу вызывает то, что злоумышленники не ограничивают выбор жертв этическими соображениями. В списке пострадавших оказалась некоммерческая организация, помогающая пережившим торговлю людьми. Операторы CRPx0 утверждают, что похитили её личные, финансовые и операционные данные, и угрожают их публикацией. Подобные сведения могут позволить злоумышленникам идентифицировать уязвимых людей и причинить им дополнительный вред.
Ключевая особенность CRPx0 - кража данных до начала шифрования. К моменту, когда пользователь замечает заблокированные файлы или записку с требованием выкупа, конфиденциальная информация уже находится у операторов. Это превращает атаку из простого шифрования в полноценную кражу учётных данных. Поэтому даже если жертва решит восстановить файлы из резервной копии, ей придётся менять все пароли, сертификаты и ключи доступа, которые могли оказаться в зоне досягаемости вредоносной программы.
Операторы CRPx0 также развивают платформу как готовый продукт для киберпреступников. В июле 2026 года они анонсировали версию 3.0 с панелью управления, которая позволяет автоматически собирать файлы, перехватывать пароли и делать скриншоты. Программа рекламируется как подходящая для людей без технического образования, предлагается белая маркировка. Это указывает на то, что CRPx0 стремится стать универсальной краймваре-платформой, а не инструментом одной закрытой группы.
Вредоносное ПО также пытается распространяться по локальной сети. После заражения одного компьютера оно ищет другие доступные машины, копирует себя на них и запускает удалённо. Кроме того, программа удаляет средства восстановления системы, лишая жертву возможности откатить изменения. На рабочем столе появляется изображение с требованием выкупа. Все эти действия выполняются автоматически, поэтому скорость распространения внутри компании может быть высокой.
Для защиты от подобных атак рекомендуется ограничить использование диалога "Выполнить" для обычных пользователей, а запуск терминала разрешить только техническим специалистам. Компаниям стоит обращать внимание на подозрительные команды в истории запущенных программ и на передачу больших объёмов данных на неизвестные внешние адреса. Регулярное обновление программного обеспечения и двухфакторная аутентификация остаются базовыми, но необходимыми мерами. Самое важное - помнить, что после выполнения такой команды данные уже могут быть похищены, поэтому действовать нужно немедленно.
Операции вроде CRPx0 показывают, что рынок вымогательского ПО становится всё более коммерциализированным. Продажа доступа к инфраструктуре, готовые шаблоны атак и автоматизированные панели управления снижают порог входа для новых злоумышленников. Организациям любого размера стоит заранее отрабатывать сценарии реагирования на инциденты, особенно на те, где мошенники манипулируют поведением самих пользователей.
Индикаторы компрометации
