Злоумышленники маскируются под DeepSeek TUI: новая волна атак через поддельные репозитории на GitHub

Специалисты Центра мониторинга угроз информационной безопасности компании Qi-Anxin зафиксировали появление на GitHub поддельных репозиториев, которые полностью копируют внешний вид настоящего проекта DeepSeek TUI. В действительности же под маской полезной утилиты скрывается вредоносное программное обеспечение. Внешне подлинный и фальшивый репозитории практически не отличаются, однако в разделе Releases поддельного хранилища уже загружен исполняемый файл.

Образец вредоносной программы получил имя DeepSeek-TUI_x64.exe, был скомпилирован 29 апреля 2026 года и имеет MD5-хэш b96c0d609c1b7e74f8cb1442bf0b5418. Как показал анализ, этот вредоносный код практически идентичен тому, что специалисты уже описывали в марте применительно к атакам, маскировавшимся под OpenClaw. [Исследование] подтвердило, что используемые вредоносные домены также пересекаются с данными из недавних отчётов зарубежных компаний в области информационной безопасности.

Интересно, что поддельному репозиторию всего несколько дней, а сам злоумышленник демонстрирует серьёзный подход к организации атаки. Первичный исполняемый файл - лишь начальное звено в длинной цепи заражения.

Многоуровневая система обхода песочниц

Первое, что бросается в глаза при детальном разборе образца, - это сложнейшая система обнаружения виртуальных сред. Разработчики вредоносного ПО реализовали трехуровневую архитектуру проверки окружения, которая использует как безусловные блокировки, так и накопительную систему баллов.

На нулевом уровне используются так называемые "смертельные" критерии. Если хотя бы один из них срабатывает, программа немедленно прекращает работу. В их число входят проверка имени компьютера на соответствие шаблонам бот-ферм, обнаружение MAC-адресов виртуальных машин, поиск характерных процессов отладчиков и дизассемблеров вроде IDA или WinDbg, а также выявление специфических DLL-библиотек, используемых в системах анализа и песочнице Cuckoo.

Если нулевой уровень пройден успешно, в дело вступает система балльной оценки. Она анализирует десятки параметров: от модели видеокарты и процессора до объёма оперативной памяти и дискового пространства. Отдельно проверяется даже время работы системы с момента включения - если оно составляет менее пяти минут, это воспринимается как подозрительный признак. Интересно, что некоторые критерии работают в обе стороны. Например, если в системе установлена современная видеокарта из "белого списка" вроде GeForce RTX последних поколений, итоговый балл снижается, что делает окружение более "доверенным".

Но и это ещё не всё. Даже если все автоматические проверки пройдены, запускается финальный тест - движение мыши. Пока пользователь не пошевелит курсором, вредоносное ПО так и не начнёт свою активную фазу. Примечательно, что этот же механизм дублируется в загружаемых на втором этапе компонентах. Если проверка не проходит, пользователь видит лишь лаконичное сообщение о том, что его система не соответствует минимальным требованиям.

Отключение защиты и загрузка дополнительных модулей

Когда среда признаётся "чистой", вредоносная программа приступает к следующему шагу. Она выполняет серию скрытых команд в оболочке PowerShell, причём сами команды зашифрованы с помощью операции XOR с ключом "xnasff3wcedj". Расшифровав этот блок, исследователи обнаружили тщательно продуманный сценарий, который, во-первых, добавляет в список исключений антивирусной защиты целый ряд системных папок, во-вторых, выводит из-под контроля процессы PowerShell, а в‑третьих, полностью отключает облачную защиту, поведенческий мониторинг и отправку образцов в Microsoft. После этого через брандмауэр Windows открываются три порта для последующей связи.

Затем программа расшифровывает строки, ведущие к двум вспомогательным адресам. На каждом из них размещён список из шести ссылок на архивы, хранящиеся в облачной инфраструктуре Microsoft Azure. Именно оттуда загружаются следующие стадии атаки. Среди них - файлы с именами OneSync.exe, WinHealhCare.exe, onedrive_sync.exe, svc_service.exe и другими. Каждый из этих модулей имеет собственную дату компиляции и выполняет свою функцию в рамках единой экосистемы заражения.

Особого внимания заслуживает модуль svc_service.exe. Он выступает в роли полноценного агента закрепления в системе. Этот компонент способен прописывать себя в автозагрузку четырьмя разными способами: через планировщик заданий, через реестр, через папку автозагрузки и даже через механизм Winlogon. Кроме того, svc_service.exe обладает возможностью загружать и выполнять .NET-сборки прямо в памяти без записи на диск. Аналитики также нашли в нём прямое использование системных вызовов для инжекции кода в другие процессы.

Другой компонент, onedrive_sync.exe, написан для 32-разрядной архитектуры и рассчитан на те системы, где не удаётся установить службу с высокими привилегиями. В этом случае используется метод "копировать и запустить" с закреплением через ключ Run в реестре. Сам загруженный код выполняется исключительно в оперативной памяти.

Единая кампания под множеством имён

Самый тревожный вывод, который делают исследователи, заключается в том, что атака на DeepSeek TUI - лишь часть гораздо более масштабной и долгосрочной кампании. При детальном анализе были найдены многочисленные образцы с почти идентичной структурой. Все они отличаются лишь именами исполняемых файлов и датами компиляции, но при этом содержат одинаковые PDB-пути, в частности "ClawCode.pdb".

Список поддельных имён впечатляет. Помимо DeepSeek TUI, в него входят ClaudeDesign-Optimized, GrokCLI, Hermes-Agent, Kimi-K2.6, GPT-Image-2-Desktop и даже такие провокационные названия, как fraudGPT и WormGPT. Многие из этих файлов датированы концом апреля. Это означает, что злоумышленники оперативно отслеживают новости о выходе популярных AI-продуктов и в течение нескольких часов создают поддельные установочные файлы.

Таким образом, пользователям, скачивающим программное обеспечение из непроверенных репозиториев на GitHub, стоит проявлять особую бдительность. Кажущаяся на первый взгляд безобидная утилита, обещающая удобный доступ к передовой языковой модели, на деле может открыть системе путь к полному захвату с кражей данных, установкой шпионского ПО и потерей контроля над рабочим местом.

Domains

• mikolirentryifosttry.info
• zkevopenanu.cfd

URLs

• https://hkdk.events/djbk1i9hp0sqoh
• https://pastebin.com/raw/5tmHDYrf
• https://pastebin.com/raw/M6KthA5Z
• https://pastebin.com/raw/w6BVFFWQ
• https://snippet.host/beuskq/raw
• https://snippet.host/uikosx/raw

MD5

• 14920c9751d20452a1006d20b8e73234
• 1bd1df4f228ecd29a9b6fab48beaa366
• 22c0c7d441fd22432cfe7854b59ba82b
• 347980085c8926d5a1ff8e15a31fd812
• 397405106d895815a9bef8d84445af5a
• 437e4bdb12d7fa8d1c9a9e9db84b8726
• 46917d8326d77e4e3c39cb843dbfc675
• 48dd212fae0086822d4ae7696cc61693
• 4c7abc81b308fc874ec0de4f026db260
• 556b35236eeb111b0606d88a7aa3fd87
• 562d48524313d414b5a419fed6ca10aa
• 5d14461718b74b86fdd68c6aee801dc4
• 6721f30d84f58532d877f2b31bfc9162
• 6861fa47889e0340ab7efaab448c56b6
• 68ba5a1bafae7db35e2eee7ea3f11882
• 78c11c45c00a9c22f537c59a472beca1
• 7de2896e373342e0f3b765c855bf7396
• 86c7f2a3c307928daaca7c1df3ea5d72
• 8dde7a417130ae78a3f2aeed1f5b8f58
• 975bd8eb56716adbcadb5216592a17c7
• a224f44bdac16250d8093df68e05b512
• a9d492ab22400257f756f0308e06f04c
• b6f77b48223f57c67f00ccd8ab3d047e
• b7a76b82c2a5e16a3c346cc6aa145556
• b96c0d609c1b7e74f8cb1442bf0b5418
• d0a92b090279894f4628bc3d627fbde0
• dbaa133fd3d1a834460206d83b480f80
• df36a31148d2c6414bdafeab771ea728
• df8a2e7aa46af996bdf67d79601671c3
• e102797eb4225a93eaeeaa6b9979716a
• ecb3e753b60cc0f3d7de50fe7f133e49
• f01e96a80f92c414dd824aef5a1ac1e7
• f101a346502a324320f952d39e217064
• f6d328422e7ca22e70a6aa71315450f3
• faa5f780fb0e0786dd1a2bd19af290ca
• fbfe7513685913e6f878647eec429d45
• ff371b43786cbb87dab325ce17cf8b7c