Remus: программа для хищения данных атакует криптокошельки, браузеры и ИИ-сервисы

Основной способ заражения - кампании социальной инженерии, известные как ClickFix. Человеку показывают поддельное окно проверки капчи и предлагают вставить в командную строку готовую строку. Ссылки на такие страницы приходят в письмах, через рекламные баннеры и со взломанных сайтов. В итоге жертва сама запускает установку, поэтому предупреждения антивируса часто не срабатывают. К тому же поддельная капча не вызывает подозрений у большинства сотрудников.

Исследование SpyCloud Labs показало, что заметнее всего Remus отличают три особенности. Первая - необычно широкий список расширений браузеров. Вторая - интерес к инструментам искусственного интеллекта. Третья - тщательно продуманная маскировка, из-за которой программа долго остаётся незамеченной.

Программа работает с 21 браузером и 16 аппаратными криптокошельками. Отдельно собираются расширения: менеджеры паролей, приложения для двухфакторной аутентификации, блокноты и криптокошельки-плагины. Среди целей - приложения для одноразовых кодов, которыми люди защищают почту, банки и рабочие аккаунты. Если злоумышленник получает секреты из такого расширения, второй фактор защиты перестаёт работать. Поэтому одной кражи пароля достаточно, чтобы войти в чужой аккаунт.

Новая и самая заметная цель - учётные данные ИИ-сервисов. Свежие сборки ищут служебные папки ассистентов от Anthropic, OpenAI и других поставщиков. Оттуда уходят токены доступа к API (программным интерфейсам) и история запросов к языковым моделям. Для компании это оборачивается не только утечкой данных. Зато по истории переписки легко понять, над чем работает команда, а злоумышленник может тратить деньги на дорогие запросы от чужого имени.

Маскировка продумана до мелочей. Remus обращается к системе напрямую через системные вызовы - низкоуровневые функции операционной системы. Перед началом работы программа снимает перехваты, которыми пользуются средства защиты конечных точек (EDR, системы обнаружения и реагирования на угрозы). Номера нужных вызовов хранятся в зашифрованной таблице, а не в коде. Отсюда - минимум зацепок для статического анализа.

Сведения о системе собираются через COM-объекты - стандартные компоненты Windows, с помощью которых программы обмениваются данными, не зная внутреннего устройства друг друга. Такие обращения выглядят обыденно и редко попадают в поле зрения защитных средств. Компиляция идёт через открытый обфускатор, то есть инструмент запутывания кода, который добавляет в сборку бессмысленные операции. Тот же инструмент встречается в образцах LummaC2. Пересечение намекает на общую мастерскую у разных групп, однако прямое родство доказать нельзя.

Отдельная проверка касается почтового профиля Outlook. Программа обходит папку с почтовыми файлами. Ищет она подставной адрес, который аналитики создают в изолированных средах (песочницах) для ловли вирусов. Хотя проверка выглядит простой, срабатывает она надёжно: найдя метку, Remus прекращает работу.

Резервный канал управления построен на блокчейне Ethereum. Если основной адрес сервера недоступен, программа обращается к смарт-контракту и получает оттуда свежий адрес. Владелец контракта меняет запись в любой момент, а сама она хранится в публичном реестре и не выглядит подозрительно. При этом следы ведут к кошельку владельца. Два похожих контракта появились в конце февраля 2026 года; второй остался неиспользованным и похож на пробный. Такую методику под названием etherhiding первыми применили операторы из КНДР в 2025 году.

Хищение идёт порциями. Каждый блок уходит на сервер отдельным сообщением, поэтому крупного всплеска трафика не возникает. Такой подход даёт атакующему два преимущества. Менее развитые системы мониторинга не замечают медленной передачи. Кроме того, при срабатывании защиты часть уже собранных данных всё равно остаётся у злоумышленника. К примеру, если остановить кражу паролей из Chrome, украденные данные расширений и приложений уже ушли на сервер.

Поиск файлов на диске тоже автоматизирован. Программа перебирает папки по заданным путям, учитывает вложенность и умеет искать по маске. Ярлыки на рабочем столе она разбирает и по ним находит сами файлы в других каталогах. Поэтому копии кошельков и резервные копии документов не спасают: их находят там, где о них давно забыли. Дополнительно собираются записи системного реестра о почтовых клиентах и программах удалённого доступа.

Ущерб от таких программ редко ограничивается одним сотрудником. Украденные ключи кошельков означают прямую потерю средств. Токены ИИ-сервисов открывают доступ к внутренним данным и платным подпискам. Расширения для двухфакторной аутентификации ломают защиту корпоративной почты и систем документооборота. Восстановление доступа и разбирательство занимают недели.

Снизить риск помогают регулярные обновления системы и браузеров. Не выполняйте команды, которые предлагает сайт или письмо. Коды подтверждения держите в отдельном приложении на телефоне, а лучше - на аппаратном ключе. Токены доступа к ИИ-сервисам меняйте чаще и ограничивайте их права. Подпольный рынок вредоносных сборок становится всё более специализированным, и Remus продолжает развиваться.