В апреле 2026 года украинская государственная организация столкнулась с необычной сетевой активностью. Через протокол WebDAV, предназначенный для удалённой работы с файлами, в системе запускался вредоносный компонент с именем verification.google. Инцидент положил начало расследованию, которое привело к обнаружению крупной кампании по хищению криптовалют и учётных данных. Основным инструментом злоумышленников оказался стилер Amatera.
Описание
Стилером называют вредоносную программу, которая собирает с заражённого устройства сохранённые пароли, данные банковских карт, криптокошельков и мессенджеров. Атака не была точечной. Злоумышленники действовали в рамках массовой операции, поражая всех, кто переходил на скомпрометированные сайты. Для доставки вредоносного кода они применили технику ClickFix: под видом проверки на робота пользователя вынуждают самостоятельно выполнить команду.
Как показало расследование Cisco Talos, злоумышленники использовали как минимум две похожие схемы заражения. Обе начинаются с подмены легитимного сайта. Через Cloudflare Worker на него внедряется вредоносный скрипт. Скрипт обращается к смарт-контракту в блокчейне BNB Smart Chain и получает оттуда следующий фрагмент кода. Блокчейн в этой схеме выполняет роль публичного хранилища, которое сложно заблокировать.
Далее скрипт имитирует проверку Google CAPTCHA. Посетитель видит окно "Я не робот", однако вместо клика по нему его просят нажать определённое сочетание клавиш и вставить команду в окно "Выполнить" в Windows или в терминал в macOS. Если жертва соглашается, команда загружает из сетевой папки WebDAV одну из двух вредоносных библиотек: pf.ch или verification.google. Именно второй вариант был зафиксирован в украинской госорганизации.
Дальше цепочки расходятся. В варианте с pf.ch стилер после активации дополнительно загружал две программы: криптостилер, подменяющий адреса кошельков в буфере обмена, и прокси-модуль для перенаправления сетевого трафика. В варианте с verification.google на машину жертвы устанавливалась легальная программа удалённого доступа NetSupport Manager. Сервер управления этой программой находился на IP-адресе в России. С умеренной уверенностью исследователи связывают ветвь verification.google с русскоязычным злоумышленником.
Обе схемы - часть более широкой активности. В июле 2026 года другие компании уже фиксировали похожие кампании с доставкой Amatera через фальшивые загрузки и поддельные проверки. В одном случае использовались скрипты для игр и программ, в другом - комбинация облачных сервисов Google и изображений с упакованным кодом. Однако общая инфраструктура, кроме семейства вредоносного ПО, не совпадает. Это означает, что стилер, предположительно, предлагается как услуга разным группам.
Стилер собирает обширный перечень данных. Конфигурация, изученная аналитиками, содержала более 400 правил сбора: данные браузеров, мессенджеров Telegram, Signal и WhatsApp, сведения из более чем сотни криптокошельков, пароли от менеджеров паролей, FTP-клиентов и VPN-сервисов. Отдельные модули разыскивают на дисках файлы с ключами, сертификатами и резервными копиями кошельков.
Наличие NetSupport Manager добавляет человеческий фактор. Вместо автоматической кражи оператор получает полный контроль над рабочим столом: экран, мышь, клавиатуру, файловую систему. Он может просматривать данные в обход правил стилера, вмешиваться в активные сессии и устанавливать новые вредоносные программы.
Инфраструктура кампании построена на публичных сервисах. Для маскировки серверов управления стилер использует страницы-заглушки и блокчейн. Например, адрес сервера в одной из ветвей был зашифрован в тексте статьи на Telegra.ph, в другой - записан в смарт-контракт. Такая тактика затрудняет блокировку: страницы выглядят безобидно и редко вызывают подозрения.
Чтобы не стать жертвой, достаточно проявлять осторожность. Нельзя выполнять команды, которые сайт просит ввести в окне "Выполнить" или терминале, - настоящая проверка CAPTCHA этого не требует. Следует регулярно обновлять браузеры и операционную систему, использовать двухфакторную аутентификацию на аппаратных ключах. Организациям стоит ограничить использование WebDAV и обращать внимание на подозрительные запуски процессов. Помогает и мониторинг запросов к необычным доменам, которые могут указывать на связь с серверами управления.
Расследование Cisco Talos демонстрирует, как атакующие сочетают облачные сервисы и блокчейн для создания устойчивых схем доставки вредоносного ПО. Разнообразие конечных нагрузок говорит о растущей популярности Amatera среди киберпреступников, ориентированных на хищение криптовалют.
Индикаторы компрометации
