Две ранее не документированные вредоносные программы попадают на компьютер по одной и той же схеме и делят между собой обязанности. Одна обеспечивает постоянный удалённый доступ, вторая быстро собирает учётные данные и другие ценные сведения. Разделение функций даёт злоумышленникам гибкость: если одну часть операции удаётся заблокировать, вторая сохраняет работоспособность. Основная цель такого тандема - корпоративные сети, где на одном устройстве соседствуют рабочие аккаунты, платёжные данные и доступы к внутренним системам.
Описание
Программа RemotePanel работает как платформа удалённого управления, а не как простая командная оболочка. Оператор видит экран жертвы, управляет файлами и запущенными процессами, открывает командную строку и скрытый рабочий стол, невидимый для владельца машины. Отдельно предусмотрены учётные записи операторов с разными правами, журнал действий, пометки для заражённых устройств и рассылка задач сразу группе компьютеров. Модуль скрытого рабочего стола поставляется отдельно. Его можно заменить, не пересобирая всю платформу.
Вторая программа, BoundSiphon, занимается сбором информации. Она достаёт сохранённые пароли и активные сессии браузеров, данные криптовалютных кошельков, содержимое менеджеров паролей и отдельные документы. Закрепления в системе у неё нет: программа запускается, собирает нужное, отправляет результат на сервер и завершает работу. Быстрый цикл здесь важнее скрытности, ведь за постоянный доступ отвечает напарник.
Заражение начинается с обмана, который получил название ClickFix. Сайт или всплывающее окно убеждает человека скопировать команду и вставить её в системное окно. По данным Adversary Pursuit Group компании Blackpoint, дальше команда повышает права, отключает часть защитных механизмов Microsoft Defender и загружает обе программы двумя разными путями. Один компонент сохраняется на диск, второй остаётся в памяти.
RemotePanel маскируется под системную службу времени Windows и прописывается в автозапуск, поэтому перезагрузка компьютера её не останавливает. Программа отмечает себя как критичный для операционной системы процесс, и грубое завершение такого процесса способно вызвать аварийную перезагрузку. Чтобы не работать под собственным именем, она внедряется в легитимную утилиту Microsoft для работы с приложениями .NET и запускается прямо в пользовательской сессии. Сторожевой модуль следит за ней и перезапускает при исчезновении.
Адрес управляющего сервера не хранится внутри самой программы. Вместо этого RemotePanel обращается к смарт-контракту в публичной сети BNB Smart Chain и читает оттуда текущий адрес. Запрос идёт только на чтение: транзакции не создаются, платить за него не нужно. Владелец контракта может в любой момент подменить значение, и заражённые машины получат новый сервер при следующем обращении. Пересобирать и заново распространять программу не требуется. Такой приём позволяет операции переживать блокировки инфраструктуры.
BoundSiphon работает в основном из оперативной памяти и почти не оставляет следов на диске. Главная его особенность - обход новой защиты браузеров на основе Chromium. Свежие версии привязывают ключ шифрования к самому браузеру и его служебному процессу, поэтому украсть базу паролей и расшифровать её на стороне жертвы больше не выходит. Вредоносная программа запускает временный экземпляр браузера с ослабленными ограничениями и выполняет логику расшифровки внутри него. Настоящий процесс браузера сам запрашивает доступ к защищённому ключу и возвращает результат. Обработка Firefox идёт другим путём, через его собственные криптографические библиотеки.
След ведёт к более раннему образцу. BoundSiphon совпадает по ряду узких технических решений с похитителем данных, который в мае 2026 года описал Socket. Совпадают компоненты расшифровки браузерных ключей, механизм внедрения в чужие процессы, сетевой протокол и необычные сведения о сборке. Инфраструктура и настройки изменились, но такое совпадение указывает на общую кодовую базу или общий конструктор.
Часть артефактов намекает на русскоязычный контекст разработки. В BoundSiphon сохранилась проверка русской раскладки клавиатуры и выход при её обнаружении. В изученной сборке вызов этой проверки не найден, поэтому логика может быть унаследованной от прежних версий. Названия переключателей в сторожевом модуле тоже выбиваются из общего ряда. Сами по себе такие детали на авторство не указывают.
Последствия одной успешной инфекции выходят за рамки потери одного пароля. У злоумышленника остаётся постоянный доступ к машине, а собранные данные открывают путь к захвату аккаунтов, мошенничеству и развитию атаки внутри сети. Для компании это риск утечки коммерческой информации, финансовых потерь и простоя в работе. Восстановить доверие к скомпрометированным учётным данным сложнее, чем сменить пароли.
Защита начинается с людей. Сотрудников стоит научить не вставлять команды по просьбе сайта, проверки или всплывающего сообщения. Полезно ограничить запуск сценариев и командной оболочки, особенно для рядовых пользователей, и запретить исполнение программ из папок, доступных для записи. Права администратора лучше оставлять только отдельным служебным учётным записям. Исходящие подключения к новым и малоизвестным доменам имеет смысл фильтровать, а доступ к публичным блокчейн-узлам закрывать там, где он не нужен для работы. Устаревшие служебные утилиты вроде finger, предназначенные для запроса сведений о пользователях, проще удалить.
Схема с двумя независимыми компонентами отражает общий сдвиг в мире вредоносных программ. Доступ и кража данных теперь живут отдельно, и каждую часть можно менять по отдельности, не перестраивая всю операцию. Для защитных команд это означает, что охота за конкретными именами файлов и адресами серверов теряет смысл. Надёжнее отслеживать поведение: попытки повысить права, ослабить защиту, внедриться в чужой процесс и забрать данные из браузеров. Такие признаки переживают смену инфраструктуры и смену самих сборок.
Индикаторы компрометации
