Solar 4RAYS: вредонос для кражи аккаунтов научился скрываться с помощью блокчейна Telegram

Эксперты центра исследования киберугроз Solar 4RAYS группы компаний «Солар», ведущего провайдера комплексной кибербезопасности в России, обнаружили обновленную версию стилера Webrat (также известного как Salat Stealer). Хакеры научили вредоносное ПО (ВПО) получать адрес управляющего сервера через связанную с мессенджером Telegram блокчейн-сеть TON (The Open Network). Из-за этого ВПО стало сложнее нейтрализовать – как только блокируется IP-адрес одного управляющего сервера, вредонос через TON получает доступ к другому.

Webrat часто распространяется под видом читов (программ для получения нечестного преимущества в играх) для популярных видеоигр, пиратских программ и модифицированных клиентов заблокированных в России сервисов вроде Discord (запрещен в РФ). ВПО выполняет основную функцию стилера, а именно – крадет аккаунты в популярных онлайн-сервисах вроде Steam и Telegram, криптокошельки и т.д. В дополнение вредонос обладает возможностью полноценного контроля над компьютером через пользовательский интерфейс (UI) и загрузки программ-блокировщиков и майнеров.

Любое ВПО обычно держит связь с сервером, с которого преступники присылают команды: что украсть, куда отправить данные, какой вирус еще скачать на зараженный компьютер. Существуют разные способы обнаружения адреса такого сервера: его можно найти в коде самого ВПО, отследить по трафику, который генерирует зараженный компьютер, в том числе обнаружить при сравнении с базами уже известных вредоносных доменов и IP-адресов. Определив адрес, можно заблокировать доступ к нему и нейтрализовать таким образом вредонос.

Для обхода этих способов противодействия злоумышленники начали прятать адреса управляющих серверов внутри блокчейна – технологии, на которой строятся, например, криптовалюты. Публичную инфраструктуру блокчейн-сетей невозможно заблокировать целиком, а обращения к ней сложно отличить от легитимного трафика – в отличие от варианта прямого обращения к серверам и доменам. Вредонос обращается к блокчейну с зараженного компьютера, находит там IP-адрес управляющего сервера и соединяется с ним. Такой механизм специалисты по информационной безопасности называют Blockchain Dead Drop по аналогии с обычным Dead Drop, который эксперты Solar 4RAYS описывали в статьях «Steam под прицелом: Вредоносное ПО и Техника Dead Drop Resolver» и «Техника Dead Drop Resolver в Spotify и Chess».

Василий Штырков

аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS

«О механизме Blockchain Dead Drop известно сравнительно давно, но в последнее время мы стали чаще обнаруживать новые его реализации, в частности, через инфраструктуру сети TON. Например, использующий ее обновленный Webrat мы заметили в конце лета 2026 года на VirusTotal».

Конкретно сеть TON привлекательна для злоумышленников тем, что она поддерживает программируемые смарт-контракты (сервисы на базе блокчейна, используемые в основном для осуществления сделок), которыми могут управлять в том числе киберпреступники. В случае с обновленным Webrat хакеры постоянно обновляют в смарт-контрактах IP-адрес управляющего сервера, за счет чего ВПО продолжает работать в зараженной сети. Кроме того, исходящие обращения Webrat выглядят как легитимные, связанные с блокчейн-сетью TON, поэтому не сразу определяются системами мониторинга как подозрительные.

Василий Штырков

аналитик вредоносного ПО центра исследования киберугроз Solar 4RAYS

«Использование блокчейна TON позволяет Webrat избежать заметных DNS-запросов, которые раньше делало ВПО, и получить IP-адрес управляющего сервера через легитимный сервис TON API. Из-за этого обнаружить и парализовать активность Webrat стало заметно сложнее».

Он добавил, что смарт-контракты и блокчейн продолжат набирать популярность среди злоумышленников, поскольку позволяют им не беспокоиться о захвате или блокировке инфраструктуры. Для защиты Василий Штырков рекомендовал использовать сервис ГК «Солар» Solar TI Feeds как инструмент, который может помочь обнаружить активность, связанную с подключением к инфраструктуре злоумышленников, даже если адреса этой инфраструктуры получаются через блокчейн.