Solar 4RAYS: вредонос для кражи аккаунтов научился скрываться с помощью блокчейна Telegram

• CNews FORUM 12 ноября
• CNews AWARDS 12 ноября
• Школа Роста
• Российский рынок облаков за 20 лет
• 30 лет рынку ERP в России
• Главные ИТ-сценарии 2026
• Цифровизация
• Импортозамещение
• Безопасность
• ИТ в госсекторе
• ИТ в банках
• ИТ в торговле
• Телеком
• Интернет
• ИТ-бизнес
• Рейтинги
• Инфографика

24 Сентября 2026 13:18 24 Сен 2026 13:18 |

Эксперты Центра исследования киберугроз Solar 4RAYS группы компаний «Солар» обнаружили обновленную версию стилера Webrat (также известного как Salat Stealer). Хакеры научили вредоносное ПО (ВПО) получать адрес управляющего сервера через связанную с мессенджером Telegram блокчейн-сеть TON (The Open Network). Из-за этого ВПО стало сложнее нейтрализовать – как только блокируется IP-адрес одного управляющего сервера, вредонос через TON получает доступ к другому. Об этом CNews сообщили представители ГК «Солар».

Webrat часто распространяется под видом читов (программ для получения нечестного преимущества в играх) для популярных видеоигр, пиратских программ и модифицированных клиентов заблокированных в России сервисов вроде Discord (запрещен в России). ВПО выполняет основную функцию стилера, а именно – крадет аккаунты в популярных онлайн-сервисах вроде Steam и Telegram, криптокошельки и т.д. В дополнение вредонос обладает возможностью полноценного контроля над компьютером через пользовательский интерфейс (UI) и загрузки программ-блокировщиков и майнеров.

Любое ВПО обычно держит связь с сервером, с которого преступники присылают команды: что украсть, куда отправить данные, какой вирус еще скачать на зараженный компьютер. Существуют разные способы обнаружения адреса такого сервера: его можно найти в коде самого ВПО, отследить по трафику, который генерирует зараженный компьютер, в том числе обнаружить при сравнении с базами уже известных вредоносных доменов и IP-адресов. Определив адрес, можно заблокировать доступ к нему и нейтрализовать таким образом вредонос.

Для обхода этих способов противодействия злоумышленники начали прятать адреса управляющих серверов внутри блокчейна – технологии, на которой строятся, например, криптовалюты. Публичную инфраструктуру блокчейн-сетей невозможно заблокировать целиком, а обращения к ней сложно отличить от легитимного трафика – в отличие от варианта прямого обращения к серверам и доменам. Вредонос обращается к блокчейну с зараженного компьютера, находит там IP-адрес управляющего сервера и соединяется с ним. Такой механизм специалисты по информационной безопасности называют Blockchain Dead Drop по аналогии с обычным Dead Drop, который эксперты Solar 4RAYS описывали в статьях «Steam под прицелом: Вредоносное ПО и Техника Dead Drop Resolver» и «Техника Dead Drop Resolver в Spotify и Chess».

«О механизме Blockchain Dead Drop известно сравнительно давно, но в последнее время мы стали чаще обнаруживать новые его реализации, в частности, через инфраструктуру сети TON. Например, использующий ее обновленный Webrat мы заметили в конце лета 2026 года на VirusTotal», – сказал аналитик вредоносного ПО Центра исследования киберугроз Solar 4RAYS Василий Штырков.

Конкретно сеть TON привлекательна для злоумышленников тем, что она поддерживает программируемые смарт-контракты (сервисы на базе блокчейна, используемые в основном для осуществления сделок), которыми могут управлять в том числе киберпреступники. В случае с обновленным Webrat хакеры постоянно обновляют в смарт-контрактах IP-адрес управляющего сервера, за счет чего ВПО продолжает работать в зараженной сети. Кроме того, исходящие обращения Webrat выглядят как легитимные, связанные с блокчейн-сетью TON, поэтому не сразу определяются системами мониторинга как подозрительные.

«Использование блокчейна TON позволяет Webrat избежать заметных DNS-запросов, которые раньше делало ВПО, и получить IP-адрес управляющего сервера через легитимный сервис TON API. Из-за этого обнаружить и парализовать активность Webrat стало заметно сложнее», – сказал Василий Штырков.

Он добавил, что смарт-контракты и блокчейн продолжат набирать популярность среди злоумышленников, поскольку позволяют им не беспокоиться о захвате или блокировке инфраструктуры.