Solar 4RAYS: вредонос для кражи аккаунтов научился скрываться с помощью блокчейна Telegram

Эксперты Центра исследования киберугроз Solar 4RAYS группы компаний «Солар» обнаружили обновленную версию стилера Webrat (также известного как Salat Stealer). Хакеры научили вредоносное ПО (ВПО) получать адрес управляющего сервера через связанную с мессенджером Telegram блокчейн-сеть TON (The Open Network). Из-за этого ВПО стало сложнее нейтрализовать – как только блокируется IP-адрес одного управляющего сервера, вредонос через TON получает доступ к другому. Об этом CNews сообщили представители ГК «Солар».

Webrat часто распространяется под видом читов (программ для получения нечестного преимущества в играх) для популярных видеоигр, пиратских программ и модифицированных клиентов заблокированных в России сервисов вроде Discord (запрещен в России). ВПО выполняет основную функцию стилера, а именно – крадет аккаунты в популярных онлайн-сервисах вроде Steam и Telegram, криптокошельки и т.д. В дополнение вредонос обладает возможностью полноценного контроля над компьютером через пользовательский интерфейс (UI) и загрузки программ-блокировщиков и майнеров.

Любое ВПО обычно держит связь с сервером, с которого преступники присылают команды: что украсть, куда отправить данные, какой вирус еще скачать на зараженный компьютер. Существуют разные способы обнаружения адреса такого сервера: его можно найти в коде самого ВПО, отследить по трафику, который генерирует зараженный компьютер, в том числе обнаружить при сравнении с базами уже известных вредоносных доменов и IP-адресов. Определив адрес, можно заблокировать доступ к нему и нейтрализовать таким образом вредонос.

Для обхода этих способов противодействия злоумышленники начали прятать адреса управляющих серверов внутри блокчейна – технологии, на которой строятся, например, криптовалюты. Публичную инфраструктуру блокчейн-сетей невозможно заблокировать целиком, а обращения к ней сложно отличить от легитимного трафика – в отличие от варианта прямого обращения к серверам и доменам. Вредонос обращается к блокчейну с зараженного компьютера, находит там IP-адрес управляющего сервера и соединяется с ним. Такой механизм специалисты по информационной безопасности называют Blockchain Dead Drop по аналогии с обычным Dead Drop, который эксперты Solar 4RAYS описывали в статьях «Steam под прицелом: Вредоносное ПО и Техника Dead Drop Resolver» и «Техника Dead Drop Resolver в Spotify и Chess».

«О механизме Blockchain Dead Drop известно сравнительно давно, но в последнее время мы стали чаще обнаруживать новые его реализации, в частности, через инфраструктуру сети TON. Например, использующий ее обновленный Webrat мы заметили в конце лета 2026 года на VirusTotal», – сказал аналитик вредоносного ПО Центра исследования киберугроз Solar 4RAYS Василий Штырков.

Конкретно сеть TON привлекательна для злоумышленников тем, что она поддерживает программируемые смарт-контракты (сервисы на базе блокчейна, используемые в основном для осуществления сделок), которыми могут управлять в том числе киберпреступники. В случае с обновленным Webrat хакеры постоянно обновляют в смарт-контрактах IP-адрес управляющего сервера, за счет чего ВПО продолжает работать в зараженной сети. Кроме того, исходящие обращения Webrat выглядят как легитимные, связанные с блокчейн-сетью TON, поэтому не сразу определяются системами мониторинга как подозрительные.

«Использование блокчейна TON позволяет Webrat избежать заметных DNS-запросов, которые раньше делало ВПО, и получить IP-адрес управляющего сервера через легитимный сервис TON API. Из-за этого обнаружить и парализовать активность Webrat стало заметно сложнее», – сказал Василий Штырков.

Он добавил, что смарт-контракты и блокчейн продолжат набирать популярность среди злоумышленников, поскольку позволяют им не беспокоиться о захвате или блокировке инфраструктуры.