Все новости

«Доктор Веб»: обзор вирусной активности во II квартале 2026 года

Wed, 01 Jul 2026 08:00:00 GMT

1 июля 2026 года

Согласно статистике детектирований антивируса Dr.Web, во II квартале 2026 года общее число обнаруженных угроз увеличилось на 5,72% по сравнению с I кварталом. Число уникальных угроз возросло на 95,32%. Чаще всего на защищаемых устройствах обнаруживались рекламные приложения и рекламные трояны, вредоносные программы-майнеры и трояны, которые используются для запуска других угроз.

В почтовом трафике наиболее часто детектировались вредоносные скрипты и различные троянские приложения, среди которых были загрузчики, дропперы, похитители паролей и майнеры. Распространение также получили бэкдоры, фишинговые документы и различные эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.37400. При этом число поступивших в Службу технической поддержки «Доктор Веб» запросов на расшифровку по сравнению с предыдущим кварталом несколько сократилось.

Во II квартале 2026 года интернет-аналитики компании «Доктор Веб» наблюдали рост числа фишинговых атак на пользователей мессенджера MAX. Злоумышленники также эксплуатировали актуальную новостную повестку и соответствующим образом подстраивали под нее популярные мошеннические схемы.

В апреле стало известно, что в одном из обновлений Microsoft Visual Studio Code содержался вредоносный код. Им оказался троянский скрипт в составе публичной JavaScript-библиотеки es5-ext, которая была включена в обновленное ПО. Данный скрипт запускается при условии соответствия часового пояса ряда российских городов и демонстрирует в консоли разработчика призыв с антироссийской позицией.

В мае мы предупредили о распространении вредоносной программы JobStealer, нацеленной на пользователей macOS и Windows. Киберпреступники выдавали ее за ПО для проведения онлайн-собеседований. Троян JobStealer похищает различную конфиденциальную информацию, включая данные из порядка 300 браузерных расширений-криптокошельков, файлы мессенджера Telegram, сохраненные в браузерах пароли и данные банковских карт, а также файлы куки.

В июне специалисты антивирусной лаборатории компании «Доктор Веб» рассказали о новом рекламном трояне Android.MagicAd.1, способном демонстрировать рекламу в фоновом режиме благодаря возможности обходить ограничения операционной системы Android. Для этого троян эксплуатирует сторонние приложения, выбирая необходимую методику в зависимости от производителя целевого устройства.

Среди вредоносных приложений для Android-устройств лидерство по числу детектирований на защищаемых устройствах сохранили банковские трояны Android.Banker. При этом вирусописатели продолжили активно использовать различные инструменты для моддинга Android-программ, чтобы защитить вредоносное ПО от детектирования антивирусами. Вместе с тем, в течение II квартала наши вирусные аналитики обнаружили в каталоге Google Play ряд новых троянских программ, созданных для подписки пользователей на платные мобильные услуги.

Главные тенденции II квартала

Возросло число угроз, обнаруженных на защищаемых устройствах.
Среди детектируемых угроз значительно увеличилось число уникальных файлов.
Количество запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, по сравнению с I кварталом сократилось.
Мошенники стали чаще атаковать пользователей российского мессенджера MAX.
Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для Android-устройств.
Специалисты «Доктор Веб» обнаружили рекламный троян Android.MagicAd.1, способный обходить ограничения ОС Android и показывать объявления из фонового режима.
Вирусописатели распространяли вредоносную программу JobStealer, предназначенную для кражи конфиденциальных данных у пользователей компьютеров под управлением macOS и Windows.
В одном из обновлений Microsoft Visual Studio Code был обнаружен вредоносный код.

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы II квартала 2026 года

Adware.Downware.20091
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Trojan.Starter.8319: Детектирование вредоносных XML-скриптов, которые запускают троян Trojan.AutoIt.289 и его компоненты.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы II квартала 2026 года в почтовом трафике

X97M.DownLoader.2343: XLSX-файл (формат электронных таблиц Microsoft Excel) с OLE-объектом, скачивающим вредоносный файл на атакуемый компьютер.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Muldrop.1171: Вредоносный скрипт в формате JavaScript, который запускает в целевой системе скрытое в нем ВПО.

Шифровальщики

По сравнению с I кварталом 2026 года, во II квартале число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, незначительно сократилось — на 2,67%.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры II квартала 2026 года

Trojan.Encoder.35534 — 14,47% обращений пользователей
Trojan.Encoder.41868 — 5,26% обращений пользователей
Trojan.Encoder.37400 — 3,95% обращений пользователей
Trojan.Encoder.35209 — 3,29% обращений пользователей
Trojan.Encoder.44197 — 2,63% обращений пользователей

Сетевое мошенничество

Одной из тенденций, которую интернет-аналитики «Доктор Веб» наблюдали во II квартале 2026 года, стало то, что на фоне роста аудитории российского мессенджера MAX злоумышленники начали активнее атаковать пользователей данного сервиса. При этом они применяют известные схемы, которые ранее были ориентированы на пользователей других мессенджеров, таких как Telegram и WhatsApp. Например, наши специалисты выявили множество мошеннических сайтов, созданных с целью кражи учетных записей MAX под прикрытием различных голосований. Потенциальной жертве предлагается проголосовать в том или ином конкурсе, но для этого от нее требуется войти в учетную запись, указав номер мобильного телефона и поступивший после его ввода проверочный код. Когда пользователь вводит все данные, атакующие получают доступ к его аккаунту.

Пример одного из фишинговых сайтов, с помощью которого мошенники получают доступ к учетной записи мессенджера MAX жертвы

В течение II квартала интернет-аналитики «Доктор Веб» отмечали появление очередных мошеннических сайтов, связанных с инвестициями. При этом киберпреступники следуют современным тенденциям и продолжают активно эксплуатировать тематику искусственного интеллекта. Например, на некоторых интернет-ресурсах они предлагали потенциальным жертвам присоединиться к новому инвестиционному проекту, якобы имеющему отношение к крупным российским кредитным организациям. Злоумышленники обещали доступ к специализированному чат-боту на основе нейросети ChatGPT, помогающему в инвестировании. Чтобы стать участниками «проекта», посетители сайта должны были пройти регистрацию, указав персональную информацию.

Мошеннический сайт предлагает зарегистрироваться в инвестиционном проекте, якобы имеющем отношение к одному из российских банков, и получить доступ к специализированному финансовому чат-боту на основе нейросети ChatGPT

В то же время мошенники пытались привлечь русскоязычных пользователей не только именами российских банков, но и иностранных кредитных организаций. Например, ряд веб-сайтов псевдоинвестиционных сервисов киберпреступники преподносили как имеющие отношение к южнокорейским банкам.

Один из мошеннических сайтов, предлагавший русскоговорящим пользователям стать участниками некоего инвестиционного проекта одного из южнокорейских банков и обещавший доход от 2 000 000 южнокорейских вон

Во II квартале сохранялась активность мошенников, которые пытались украсть данные учетных записей от различных сервисов. Так, среди множества фишинговых сайтов встречались поддельные интернет-ресурсы транспортных компаний. Один из них был нацелен на клиентов одной из российских служб экспресс-доставки. Потенциальным жертвам предлагалось войти в свою учетную запись по номеру мобильного телефона, привязанному к аккаунту, либо авторизоваться через Госуслуги. При этом даже после «входа» в учетную запись первым способом сайт все равно демонстрировал вторую фишинговую форму под видом авторизации с использованием Госуслуг.

С помощью мошеннического сайта злоумышленники могли похищать данные сразу нескольких учетных записей — от личного кабинета на сайте транспортной компании и от портала Госуслуги

Наши эксперты также выявляли новые фишинговые веб-сайты кредитных организаций различных стран. Так, вкладчикам одного из банков США мошенники предлагали войти в учетную запись и проверить доступность повышенной процентной ставки для «лояльных клиентов»:

В другом случае фишинговый сайт имитировал внешний вид одного из эквадорских банков и запрашивал у пользователей логин и пароль от учетной записи онлайн-банка:

Еще одна фишинговая схема была ориентирована на британских пользователей. Киберпреступники создавали поддельные сайты государственных сервисов, где предлагали уплатить штраф за неправильную парковку.

У потенциальных жертв запрашивалась подробная персональная информация — якобы для проверки личности, после чего те перенаправлялись на страницу оплаты «штрафа».

Одной из распространенных мошеннических схем остается получение гражданами тех или иных безвозмездных выплат. Однако киберпреступники постоянно адаптируют ее к текущим событиям. Так, в преддверии празднования Дня России стали появляться поддельные сайты российских кредитных организаций, где посетителям злоумышленники обещали праздничные выплаты. На одном из них пользователям за прохождение опроса якобы полагалось от 5 000 до 300 000 рублей:

В другом варианте схемы пользователи после прохождения опроса якобы могли рассчитывать на получение «помощи» в размере 5 000 рублей:

А на фоне спекулятивных сообщений о нехватке топлива в некоторых российских регионах ряд таких сайтов обещал ваучеры на бесплатное получение от 20 до 100 литров горючего:

После того как посетители этих сайтов отвечали на несколько простых вопросов, им для получения обещанной награды предлагалось пройти «идентификацию личности». Для этого требовалось указать имя и фамилию, номер мобильного телефона, а также номер банковской карты. В дальнейшем мошенники могли использовать эту информацию, чтобы похитить деньги жертв.

Среди выявленных во II квартале нежелательных сайтов также встречались поддельные интернет-порталы Международной Федерации Футбола FIFA, на которых пользователи якобы могли официально приобрести билеты на матчи Чемпионата мира по футболу 2026 года, фирменные сувенирные товары, а также различные премиум-услуги. Как и на настоящем сайте, посетителям этих подделок предлагалось войти в учетную запись FIFA ID, однако форма для ввода логина и пароля в данном случае принимала любые данные.

Поддельная форма входа в учетную запись FIFA ID

После того как любители футбола выбирали интересующий их товар, им предлагалось оформить покупку и произвести оплату. При этом в процессе оплаты пользователи попадали на сайт одного из сервисов, который находится в базе интернет-ресурсов, не рекомендуемых антивирусом Dr.Web.

Поддельный сайт Международной Федерации Футбола якобы позволял официально приобретать лицензированные продукты и сервисы

Наши эксперты также зафиксировали ряд спам-кампаний, направленных на распространение ссылок на поддельные сайты российских маркетплейсов, где злоумышленники предлагали потенциальным жертвам принять участие в «юбилейном розыгрыше призов». Мошенники обещали возможность получить как денежные призы — вплоть до 1 000 000 рублей, так и компьютерную и мобильную технику:

Для участия в «акции» пользователи должны были нажать соответствующую кнопку на таких сайтах, после чего на них имитировался процесс розыгрыша призов. После нескольких попыток потенциальной жертве сообщалось, что она выиграла несколько подарков, и у нее якобы есть возможность выбора: получить сами призы — в пункте выдачи маркетплейса, или же их денежный эквивалент — переводом на банковский счет:

При выборе опции получения призов в пункте выдачи сайты сообщали, что необходимые товары закончились на складе, но пользователь якобы все еще может обменять их на деньги. После этого на странице имитировался чат с оператором для «подтверждения» намерения конвертировать призы. Для этого потенциальная жертва должна была указать номер банковской карты:

После его ввода сайты запрашивали оплату государственной пошлины — для «официального оформления выигрыша»:

Никаких призов жертвы мошенников на самом деле не получали. Они не только передавали им данные своих банковских карт, но и отдавали собственные деньги.

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года пользователи стали реже сталкиваться с банковскими троянами Android.Banker, однако эти троянские приложения остались самым распространенным вредоносным ПО. Также наблюдалось очередное снижение активности рекламных троянов Android.HiddenAds и Android.MobiDash.

Наиболее часто детектируемыми потенциально опасными программами во II квартале стали приложения Tool.Obfuscator.TrashCode и Tool.NPMod, модифицированные при помощи утилиты для моддинга NP Manager. Вирусописатели используют этот инструмент для защиты вредоносного ПО от обнаружения антивирусами. Самыми распространенными нежелательными программами оказались поддельные антивирусы Program.FakeAntiVirus. Для «лечения» якобы найденных угроз они требуют приобрести полную версию.

Наиболее активным рекламным ПО стали модули Adware.AdPush, которые демонстрируют вводящие в заблуждение уведомления и собирают конфиденциальные данные. Распространение вновь получили приложения-оптимизаторы работы ОС Android Adware.Bastion.1.origin. Они создают уведомления с сообщениями о якобы нехватке оперативной памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Высокую активность сохранили и рекламные программы Adware.Opensite.15. Злоумышленники распространяют их под видом чит-программ, с помощью которых пользователи якобы могут получить различные внутриигровые ресурсы. В действительности эти программы лишь загружают сайты с рекламой.

В июне специалисты компании «Доктор Веб» предупредили о трояне Android.MagicAd.1, способном обходить ограничения ОС Android и демонстрировать рекламу в фоновом режиме. Android.MagicAd.1 использует для этого сторонние приложения, а также ряд методик, которые он выбирает в зависимости от производителя целевого устройства.

В течение II квартала наши вирусные аналитики выявили в каталоге Google Play очередные троянские программы семейств Android.Joker и Android.Subscription, подписывающие пользователей на платные сервисы. Суммарно они были загружены не менее 2 600 000 раз.

Наиболее заметные события, связанные с «мобильной» безопасностью во II квартале

Банковские трояны Android.Banker сохранили лидерство по числу детектирований вредоносного ПО на защищаемых Dr.Web устройствах.
Злоумышленники продолжили активно применять специализированные инструменты для моддинга Android-программ с целью защиты банковских троянов от обнаружения антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Вирусные аналитики «Доктор Веб» выявили трояна Android.MagicAd.1, который эксплуатирует сторонние программы для обхода ограничений ОС Android и демонстрации рекламы в фоновом режиме.
В каталоге Google Play были обнаружены новые троянские приложения, подписывающие пользователей на платные услуги.

Более подробно о вирусной обстановке для мобильных устройств во II квартале 2026 года читайте в нашем обзоре.

«Доктор Веб»: обзор вирусной активности для мобильных устройств во II квартале 2026 года

Wed, 01 Jul 2026 06:00:00 GMT

Скачать PDF

1 июля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года наблюдалось снижение активности банковских троянов Android.Banker — на 31,83% по сравнению с I кварталом. Вместе с тем, они остались самым распространенным вредоносным ПО для Android: на это семейство пришлось 23,28% детектирований соответствующего типа угроз. Эти вредоносные программы похищают различные конфиденциальные данные, такие как СМС с одноразовыми кодами от кредитных организаций, логины и пароли от учетных записей интернет-банка, а также могут демонстрировать фишинговые окна. Как и кварталом ранее, пользователи чаще всего сталкивались с подсемейством Android.Banker.Mamont, включающим различные вредоносные приложения.

В течение минувших трех месяцев продолжалось снижение активности рекламных троянов семейств Android.MobiDash и Android.HiddenAds. При этом они все еще являются одними из наиболее часто встречающихся вредоносных Android-приложений, и отдельные их модификации по-прежнему находятся среди лидеров по количеству детектирований вредоносного ПО.

Самым распространенным потенциально опасным ПО с долей свыше 66% вновь стали программы, в которые для запутывания логики добавлен мусорный код (они детектируются как Tool.Obfuscator.TrashCode). Такая модификация выполняется при помощи хакерских инструментов для моддинга NP Manager. В том числе их применяют и злоумышленники — для защиты вредоносных программ, таких как банковские трояны Android.Banker.Mamont, от обнаружения антивирусами.

На втором месте остались приложения, которые также модифицируются при помощи утилиты NP Manager, но с использованием других ее функциональных возможностей. Например, в этом инструменте предусмотрены различные модули для защиты и обфускации кода программ, а также для обхода проверки их цифровой подписи после того, как приложения были модифицированы. Вирусописатели используют данную функциональность для защиты вредоносного ПО от антивирусов. Антивирусные продукты Dr.Web детектируют измененные таким образом программы как Tool.NPMod.

Среди наиболее распространенных потенциально опасных приложений вновь оказались и программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Для их модификации утилита загружает из интернета специально подготовленные скрипты.

Самыми активными нежелательными программами во II квартале стали приложения Program.FakeAntiVirus, имитирующие работу антивирусов. Они якобы выявляют те или иные угрозы и затем предлагают приобрести полную версию для «борьбы» с ними. На долю таких подделок пришлось более 44% нежелательного ПО, выявленного на Android-устройствах.

Наиболее распространенным рекламным ПО стали модули Adware.AdPush, которые могут быть встроены в Android-приложения. Они демонстрируют рекламные уведомления, вводящие пользователей в заблуждение. Эти модули также собирают различные конфиденциальные данные. Кроме того, пользователи продолжали сталкиваться с программами-оптимизаторами Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы возникающих ошибках системы и нехватке оперативной памяти. Эти приложения демонстрируют рекламу во время «оптимизации». Высокую активность вновь проявили и рекламные программы Adware.Opensite.15. Злоумышленники выдают их за приложения с читами, которые якобы позволяют получать ресурсы в играх, но на самом деле программы только загружают сайты с объявлениями.

В начале июня специалисты компании «Доктор Веб» сообщили об Android.MagicAd.1 — трояне, способном обходить ограничения ОС Android и показывать рекламу в фоновом режиме. Для этого Android.MagicAd.1 эксплуатирует сторонние приложения, а также использует определенные методики, которые выбирает на основе производителя зараженного устройства. Подробнее об этом трояне рассказано в соответствующем материале на нашем сайте.

В течение II квартала вирусные аналитики «Доктор Веб» обнаружили в каталоге Google Play очередные вредоносные программы, подписывающие жертв на платные услуги. Среди них были представители семейств Android.Subscription и Android.Joker.

Главные тенденции II квартала

Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для ОС Android.
Вирусописатели продолжили активно использовать инструменты для моддинга Android-программ, чтобы защитить банковские трояны от детектирования антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Обнаружен троян Android.MagicAd.1, использующий сторонние приложения для обхода ограничений ОС Android и показа рекламы в фоне.
Появились новые вредоносные программы в каталоге Google Play.

По данным Dr.Web Security Space для мобильных устройств

Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.
Android.HiddenAds.675.origin
Android.HiddenAds.4236: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В течение II квартала 2026 года вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько новых троянских программ Android.Subscription, подписывающих пользователей на платные услуги. Они распространялись под видом разнообразного ПО: онлайн-кинотеатра ShowLounge - TV & Dramas (Android.Subscription.25), программы для геймеров AIM: Crosshair Asist (Android.Subscription.26), игры True Cargo Drive (Android.Subscription.27), утилиты Battery 3D: Charge Effects (Android.Subscription.28) и редактора изображений PixStudio - Photo Editor (Android.Subscription.29). В общей сложности они были загружены по меньшей мере 2 600 000 раз.

Примеры троянских программ Android.Subscription, выявленных в Google Play во II квартале 2026 года

Вредоносные приложения этого типа загружают веб-сайты, где при помощи технологии Wap Click пользователям подключаются платные мобильные подписки. У потенциальных жертв запрашивается номер мобильного телефона, и после его ввода выполняется попытка активации соответствующих услуг.

В Google Play вновь распространялись троянские программы Android.Joker, которые тоже подписывают жертв на платные услуги. Злоумышленники выдавали их за мессенджеры Chat Messages (Android.Joker.2625) и Easy Messages (Android.Joker.2632), а также утилиты для оптимизации работы системы Smart File Cleaner, Junk Clean Master и Fast Cleaner (Android.Joker.2614, Android.Joker.2618 и Android.Joker.2626 соответственно).

Одно из вредоносных приложений, в которых скрывались трояны семейства Android.Joker

Для защиты Android-устройств от вредоносных и нежелательных программ пользователям следует установить антивирусные продукты Dr.Web для Android.

Индикаторы компрометации

Дождались! Dr.Web CureIt! Pro выпущена и доступна бесплатно для всех

Tue, 23 Jun 2026 12:13:04 GMT

Встречайте Dr.Web CureIt! Pro — расширенную версию легендарной лечащей утилиты. Прямо сейчас вы можете получить к ней промодоступ совершенно бесплатно.

Как получить Dr.Web CureIt! Pro бесплатно

Для новых пользователей. Зайдите на сайт free.drweb.ru. Заполните стандартную форму на получение обычного Dr.Web CureIt!, и получите ссылку на скачивание Dr.Web CureIt! Pro с лицензией на 1 день.
Для действующих пользователей платной версии Dr.Web CureIt!. Зайдите в свой Личный кабинет, в нем доступен для скачивания дистрибутив Dr.Web CureIt! Pro. Загружайте и пользуйтесь без ограничений в течение всего периода действия вашей лицензии.

Напоминаем, что Pro-версия дает вам гибкие настройки проверки, управление исключениями, ручное назначение действий для угроз и расширенную статистику.

Обратите внимание! Бесплатный промодоступ на 1 день через сайт free.drweb.ru — это специальное предложение, которое позволяет оценить все преимущества Pro-версии. Предложение действует до 30 июня 2026 года включительно.

С 1 июля 2026 года будут доступны:

Классическая бесплатная версия Dr.Web CureIt! для скачивания и экстренного лечения;
Расширенная версия утилиты Dr.Web CureIt! Pro. Стоимость: 1 день — 10 рублей, 5 дней — 50 рублей, 10 дней — 100 рублей.

Остались вопросы или заметили нештатное поведение программы? Ваше мнение очень важно для нас. Пишите замечания и пожелания в специальный топик на нашем официальном форуме.

Скачайте Dr.Web CureIt! Pro уже сегодня и полностью контролируйте процесс лечения при помощи расширенных настроек!

Dr.Web CureIt! станет еще удобнее. Анонс расширенной Pro-версии

Wed, 10 Jun 2026 10:31:19 GMT

Мы проанализировали обратную связь от наших пользователей и пришли к важному выводу. В критический момент, когда компьютер заражен, не требуются сложные настройки — необходимо быстрое, легкое и надежное решение, которое запустится и вылечит систему одной кнопкой.

Поэтому мы пересмотрели принципы работы с утилитой. Классический бесплатный Dr.Web CureIt! остается с вами, но становится еще более сфокусированным на главном: просто скачайте, нажмите «Проверить» — и все. Это молниеносный надежный сканер для экстренного лечения, способный обезвредить активные угрозы и вылечить систему.

А для тех, кому нужен контроль над процессом?

Мы не стали убирать расширенные возможности. Наоборот, мы собрали их в отдельный продукт — Dr.Web CureIt! Pro — и сделали его удобнее и доступнее. Если вам нужно проверить съемный носитель, исключить папки из сканирования или настроить применение автоматических действий к обнаруженным угрозам — вы получаете гибкий, полнофункциональный сканер за минимальные деньги.

Как это будет работать

Бесплатно и просто — вы скачиваете обычный Dr.Web CureIt! и моментально запускаете экспресс-проверку. Это идеальное решение для ситуаций, когда время дорого.
Если нужно больше — на нашем сайте или прямо из бесплатной версии вы можете приобрести Dr.Web CureIt! Pro и получить доступ ко всем расширенным настройкам.

Таким образом, мы предлагаем осознанный выбор: легкость — бесплатно, максимальная гибкость — за символические 10 рублей в день или 50 рублей за 5 дней и 100 рублей за 10 дней.

Релиз Dr.Web CureIt! Pro состоится уже в начале июля. За неделю до этого мы предоставим всем пользователям бесплатный доступ ко всем возможностям Pro, чтобы вы могли оценить их прежде, чем принимать решение.

Dr.Web Mobile Security Suite (Аврора) сертифицирован ФСТЭК до 2030 года

Tue, 09 Jun 2026 12:51:47 GMT

Компания «Доктор Веб» сообщает о выпуске обновлений для ранее сертифицированного программного изделия Dr.Web Mobile Security Suite (Аврора). Сертификат соответствия ФСТЭК России № 4909 действует до февраля 2030 года.

В рамках пройденного инспекционного контроля ранее сертифицированные дистрибутивы были обновлены до последних актуальных версий.

Напоминаем пользователям сертифицированных версий, что ПО необходимо обновить до актуальной сертифицированной версии. Новые дистрибутивы доступны в Мастере скачиваний. Вы можете самостоятельно скачать сертифицированную версию только при наличии серийного номера, сгенерированного для Dr.Web Mobile Security Suite (Аврора) как для сертифицированного продукта, либо обратиться в Службу технической поддержки с запросом на обновление.

Сертифицированная версия Dr.Web Mobile Security Suite для ОС Аврора защищает мобильные устройства и планшеты, работающие на российской мобильной ОС Аврора, от всех типов вредоносных программ, обеспечивая комплексную защиту устройств, с использованием всех доступных возможностей операционной системы.
ОС Аврора используется в крупных государственных компаниях и организациях и является доверенной – это означает, что организация, сотрудники которой работают со смартфонами и планшетами под управлением ОС Аврора, обладает полным контролем над этими устройствами и хранящимися на них данными.

Напоминаем, что поставки лицензий на сертифицированные продукты Dr.Web сопровождаются полным комплектом сертификационных материалов.

По вопросам приобретения продуктов Dr.Web обращайтесь к партнерам или к специалистам Службы поддержки продаж «Доктор Веб».

Троян Android.MagicAd показывает рекламу вопреки всем ограничениям

Thu, 04 Jun 2026 16:00:00 GMT

Специалисты антивирусной лаборатории компании «Доктор Веб» обнаружили троянскую программу Android.MagicAd, которая различными способами обходит ограничения ОС Android и показывает рекламу при работе в фоне. Один из этих методов является универсальным, другие рассчитаны на устройства определенных производителей. Среди них — эксплуатация сторонних приложений, а также использование системного медиаплеера.

Android.MagicAd.1 распространялся через официальный каталог приложений для устройств Xiaomi GetApps и скрывался в более чем 50 различных играх и программах. Они появлялись в магазине на короткий срок — чаще всего до месяца, после чего пропадали, и вместо них появлялись новые. Возможно, таким образом злоумышленники пытались защитить Android.MagicAd.1 от преждевременного обнаружения, сохранив при этом его активность: после удаления из магазина троянские программы продолжают оставаться на устройствах пользователей и могут и дальше выполнять вредоносную деятельность. В настоящее время ни одно из выявленных нами приложений с Android.MagicAd.1 не доступно для загрузки в каталоге GetApps, а у распространявших их разработчиков перестали появляться новые программы с трояном.

Проведенное вирусными аналитиками «Доктор Веб» исследование показало, что первые версии Android.MagicAd.1 появились в 2025 году и помимо каталога GetApps также встречались в Samsung Galaxy Store.

Примеры игр и программ из каталога GetApps, в которых скрывался Android.MagicAd.1. На момент публикации нашей новости эти и другие модификации трояна стали недоступны для скачивания

Часть вредоносной функциональности Android.MagicAd.1 находится в dex-модулях, которые скрыты в зашифрованных нативных библиотеках в каталоге с файловыми ресурсами трояна. В процессе работы он расшифровывает эти библиотеки, извлекает из них свои компоненты и запускает.

Прежде чем приступить к демонстрации рекламы, троян выполняет ряд проверок, чтобы убедиться, что его окружение является безопасным. Например, он ищет признаки работы в виртуальной среде, проверяет, была ли его установка органической, нет ли IP-адреса зараженного устройства в его черном списке и т. д.

Если Android.MagicAd.1 не обнаруживает подозрительную активность, он скрывает свой значок из списка программ в меню главного экрана. Затем он создает канал уведомлений, через который запускает несколько вредоносных сервисов постоянного присутствия, необходимых для работы в фоновом режиме при закрытом окне вредоносного приложения. Далее через планировщик задач Android.MagicAd.1 создает задание, которое периодически перезапускает сервисы, проверяющие работу канала уведомлений и при необходимости запускающие его вновь. Кроме того, при работе на устройствах с относительно старыми версиями ОС Android троян запускает виртуальный экран, чтобы работа одного из его компонентов не прерывалась системой.

Чтобы показывать рекламу в фоновом режиме, когда его окно закрыто, Android.MagicAd.1 применяет ряд методик, выбираемых на основе производителя зараженного устройства. При этом они реализуются без явного запроса системного разрешения SYSTEM_ALERT_WINDOW, которое позволяет приложению отображаться поверх других программ.

Независимо от применяемого способа, все рекламные баннеры загружаются в виде полупрозрачной активности (Translucent Activity), что дает возможность трояну отрисовывать их поверх существующих окон.

Примеры рекламы, которую демонстрирует Android.MagicAd.1

Одна из методик реализуется через намерения (Intent), адресованные другим приложениям. Она позволяет трояну обойти ограничения современных версий ОС Android, не позволяющие программам запускать самих себя. В зависимости от модели зараженного устройства, с помощью этой техники Android.MagicAd.1 либо сам демонстрирует объявления, либо непосредственно «заставляет» целевые программы показывать баннеры с рекламой.

В одном из вариантов данного способа целью трояна являются:

браузер Mi Browser на устройствах Xiaomi;
графическая оболочка Miui SystemUI на устройствах Xiaomi;
лончер Amazon Fire TV Home Screen на устройствах Amazon TV.

Все это — системные приложения на соответствующих устройствах, поэтому они способны обрабатывать намерения, даже когда не запущены пользователем напрямую. Пока эти программы активны и могут принимать намерения, Android.MagicAd.1 может использовать их для показа объявлений.

Стоит отметить, что если Mi Browser установлен на устройстве Xiaomi не как системное приложение, троян также может использовать эту программу для демонстрации рекламы — до тех пор, пока окно браузера не будет закрыто.

Когда Android.MagicAd.1 обнаруживает Mi Browser на подходящем устройстве, он отправляет отложенное намерение для запуска рекламы своему dex-компоненту (детектируется Dr.Web как Android.MagicAd.1.origin). Тот формирует из него собственное намерение и передает браузеру, который извлекает исходное намерение и в соответствии с ним запускает рекламу.

Взаимодействие с двумя другими программами несколько отличается — они используются для вызова трояна из фонового режима. Вначале Android.MagicAd.1 отправляет модулю Android.MagicAd.1.origin отложенное намерение для запуска рекламы, и тот передает целевым программам собственное намерение для своего пробуждения. Если это приложение Miui SystemUI, оно в ответ отправляет свое намерение для запуска модуля. Если же целевой программой является Amazon Fire TV Home Screen, она запускает модуль напрямую — по имени его пакета. Получив управление, модуль Android.MagicAd.origin запускает рекламу, которая поступила ему в отложенном намерении от основного вредоносного приложения.

Если трояну не удается показать рекламу, он пытается использовать этот способ еще дважды, и в случае неудачи пытается показать рекламу напрямую, уже не задействуя отложенные намерения и свой вредоносный dex-модуль.

Другая вариация этого способа похожа на предыдущую и применяется для эксплуатации программ на устройствах Vivo. Она отличается тем, что запуск рекламы происходит при помощи Android Binder — системного компонента, обеспечивающего взаимодействие между процессами. В данном случае троян нацелен на следующие системные программы:

iManager,
Телефонная книга,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 запускает их через Android Binder, отправляя ему обычные намерения через контейнер данных Parcel. Эти программы затем запускают троянский компонент Android.MagicAd.origin, который после выхода из фонового режима показывает рекламу.

В Android.MagicAd.1 также предусмотрено несколько других методик для демонстрации рекламы при работе в фоне, среди них — использование медиаплеера. В отличие от способов, нацеленных на определенные устройства, этот метод является универсальным и работает на большинстве моделей от различных производителей. Android.MagicAd.1 расшифровывает из своего тела аудиофайл и сохраняет его в рабочую директорию. Затем вредоносная программа запускает свой экземпляр системного медиаплеера, задает в нем минимальную громкость и связывает его с глобальной системой управления мультимедиа ОС Android. Далее для запуска рекламы Android.MagicAd.1 устанавливает широковещательный приемник, отслеживающий нажатия в этом плеере. Затем троян при помощи специальной adb-команды имитирует действия пользователя, нажимая в плеере кнопку записи, после чего сразу же закрывает его окно. Нажатие кнопки приводит к срабатыванию системного медиаприемника, который позволяет Android.MagicAd.1 перехватить управление и запустить рекламу.

Dr.Web Security Space для мобильных устройств надежно детектирует и удаляет все известные версии вредоносной программы Android.MagicAd.1, поэтому для наших пользователей она опасности не представляет.

Индикаторы компрометации

Подробнее об Android.MagicAd.1

Подробнее об Android.MagicAd.1.origin

Получены сертификаты соответствия ФСБ России на продукты Dr.Web Mobile Security Suite и Dr.Web Katana

Wed, 27 May 2026 14:06:42 GMT

Компания «Доктор Веб» сообщает, что получены новые сертификаты соответствия ФСБ России на программные продукты Dr.Web Mobile Security Suite и Dr.Web Katana.

Рекомендуем пользователям сертифицированных версий обновить ПО после истечения срока действия сертификата.

Подробнее о продуктах

Dr.Web Mobile Security Suite для ОС Android:

версия 12.9,
сертификат соответствия № СФ/СЗИ-0888,
срок действия: 15.05.2026 — 01.05.2031,
средство антивирусной защиты Класса В2 в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности», может использоваться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну,
предназначено для защиты мобильных устройств, работающих под управлением операционной системы ОС Android, а также телевизоров, медиапроигрывателей и игровых консолей, работающих на платформе Android TV, от вирусных угроз, созданных специально для этих устройств.

Dr.Web Katana:

версия 2.0,
сертификат соответствия ФСБ России № СФ/СЗИ-0887,
срок действия: 15.05.2026 — 01.05.2031,
средство антивирусной защиты Класса Д в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности», может использоваться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну,
защищает систему от компьютерных угроз с помощью несигнатурных методов: анализирует поведение процессов, использует облачные технологии обнаружения угроз и предустановленные правила.

По вопросам обновления ПО или приобретения продуктов Dr.Web обращайтесь к партнерам или к специалистам Службы поддержки продаж «Доктор Веб».

Изменение сроков поддержки продуктов Dr.Web

Tue, 26 May 2026 14:03:15 GMT

В соответствии с политикой жизненного цикла продлены сроки поддержки ряда продуктов Dr.Web.

Центр управления Dr.Web Enterprise Security Suite, версия 13.0
Dr.Web Industrial, версия 13.0

В составе Dr.Web Desktop Security Suite:

Dr.Web 12.0 для рабочих станций Windows
Dr.Web 12.0 для рабочих станций macOS
Dr.Web 11.1 для рабочих станций Linux
Dr.Web Katana Business Edition 1.0

В составе Dr.Web Server Security Suite:

Dr.Web 12.0 для серверов Windows
Dr.Web 11.1 для серверов UNIX
Dr.Web 12.0 для серверов macOS

В составе Dr.Web Mail Security Suite:

Dr.Web 11.1 для почтовых серверов UNIX
Dr.Web 12.0 для Microsoft Exchange Server

В составе Dr.Web Gateway Security Suite:

Dr.Web 11.1 для интернет-шлюзов UNIX

В составе Dr.Web Mobile Security Suite:

Dr.Web 12.0 для мобильных устройств Android
Dr.Web 3.0 для мобильных устройств Аврора

Обновлённая информация о сроках поддержки доступна на странице жизненного цикла продуктов.

Вместо работы — украденные данные и деньги. В поддельных приложениях для онлайн-собеседований скрывается троян-стилер, который атакует пользователей macOS и Windows

Thu, 07 May 2026 20:00:00 GMT

Эксперты «Доктор Веб» предупреждают о распространении троянской программы JobStealer, похищающей конфиденциальную информацию у пользователей компьютеров под управлением macOS и Windows. В первую очередь она нацелена на кражу данных из криптокошельков. Мошенники под предлогом проведения онлайн-собеседований заманивают потенциальных жертв на вредоносные сайты, где предлагают установить приложение для видеоконференций. В действительности это ПО — и есть троян JobStealer.

Атака начинается с того, что злоумышленники связываются с потенциальными жертвами и предлагают им ту или иную вакансию. Они приглашают пользователей пройти собеседование и предоставляют им ссылки на сайты «платформ» для проведения онлайн-встреч — якобы для подключения к видеоконференции. Эти сайты имеют презентабельный вид, но на самом деле являются мошенническими. С них под видом программы для онлайн-конференций скачивается вредоносная программа JobStealer. При этом киберпреступники используют различное оформление таких интернет-ресурсов, а также меняют имена самой программы. Наши специалисты встречали варианты с названиями MeetLab, Juseo, Meetix, Carolla и другие. В ряде случаев киберпреступники используют названия настоящих сервисов, таких как Webex.

Примеры сайтов поддельных сервисов онлайн-конференций, с которых скачивается JobStealer

Чтобы пользователи поверили, что платформы являются полноценно функционирующими, мошенники создают соответствующие телеграм-каналы и аккаунты в социальных сетях — например, X.

Для маскировки трояна под легитимное ПО злоумышленники создают видимость активности в социальных сетях

Для установки программы на устройства с macOS посетителям вредоносных сайтов предлагается две опции:

скопировать и выполнить в терминале bash-команду, указанную на сайте;
скачать файл образа диска в формате .dmg и запустить его.

Троян JobStealer скачивается с вредоносных сайтов как в виде dmg-контейнера, так и через выполнение bash-команды в терминале

В первом случае при выполнении команды в терминале из интернета автоматически загружается и исполняется скрипт, который скачивает и запускает исполняемый файл JobStealer (детектируется как Mac.PWS.JobStealer.1).

Во втором случае предлагаемый к загрузке dmg-образ изначально содержит указанные выше файлы. При монтировании он демонстрирует инструкцию по «установке» приложения. В ней указано, что пользователю необходимо открыть терминал и перетащить в его окно прилагаемый скрипт. На самом деле вместо установки ПО для видеоконференций скрипт запустит троянский файл.

Изображение с инструкцией, которое демонстрируется при открытии файла образа с трояном JobStealer

Mac.PWS.JobStealer.1 представляет собой исполняемый файл-контейнер в формате Fat Mach-O и содержит двоичный код сразу для нескольких процессорных архитектур — x64 и arm64. В зависимости от платформы зараженного компьютера при запуске трояна автоматически задействуется компонент, соответствующий целевому процессору.

Отметим, что существуют различные версии Mac.PWS.JobStealer.1. Более ранние варианты вредоносного приложения не поддерживали работу на компьютерах Mac с архитектурой arm64. В них также отсутствовала обфускация — ее вирусописатели начали добавлять и усиливать по мере обновления стилера.

После запуска Mac.PWS.JobStealer.1 демонстрирует фишинговое окно, где сообщает о якобы возникшей ошибке в работе. Для ее «исправления» вредоносная программа просит пользователя указать пароль от его учетной записи.

Фишинговое окно, в котором запрашивается пароль от учетной записи пользователя Mac

Далее Mac.PWS.JobStealer.1 собирает следующие данные:

версию операционной системы и идентификатор компьютера;
данные порядка 300 браузерных расширений-криптокошельков, установленных в целевых браузерах на базе Chomium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
файлы cookie из этих браузеров;
пароли, а также данные банковских карт, сохраненные в браузерных списках автозаполнения форм;
файлы мессенджера Телеграм из директорий /Library/Application Support/Telegram Desktop/tdata и /Documents/temp_data/Apps/Telegram, где хранятся сессионные ключи авторизации, загружаемые файлы и т. п.;
пользовательские заметки из нативного для macOS приложения Notes;
наличие в системе приложений криптокошельков Ledger Live и Trezor Suite.

Эти данные помещаются в ZIP-архив и загружаются на C2-сервер.

Вирусописатели также подготовили версию трояна JobStealer и для компьютеров под управлением ОС Windows. Его функциональность аналогична версии для macOS. Кроме того, на некоторых вредоносных сайтах, распространяющих стилера, предусмотрены разделы для загрузки приложения на другие популярные операционные системы. Однако на данный момент наши вирусные аналитики не зафиксировали их распространение. Например, кнопка загрузки программы для ОС Linux либо неактивна, либо ведет на Windows-версию трояна. А в разделах для скачивания программы для устройств на базе iOS и Android говорится, что эти версии находятся в разработке. При этом нельзя исключать, что злоумышленники в дальнейшем начнут распространять варианты трояна и для данных платформ.

Вредоносные сайты потенциально могут распространять версии трояна JobStealer для Linux, iOS и Android

Все известные модификации вредоносного приложения JobStealer надежно детектируются и удаляются антивирусными продуктами Dr.Web Security Space для macOS и Windows и не представляют угрозы для наших пользователей. Распространяющие трояна мошеннические сайты добавлены в базу нерекомендуемых и опасных ресурсов и также блокируются Dr.Web.

MITRE ATT&CK®

Мы проанализировали вредоносную программу JobStealer по фреймворку MITRE ATT&CK®, который представляет собой матрицу с описанием тактик и техник киберпреступников, атакующих информационные системы. В результате были выявлены следующие ключевые техники:

Этап	Техника
Выполнение	Выполнение с участием пользователя (T1204) Вредоносное копирование и вставка (T1204.004) Вредоносный файл (T1204.002)
Обнаружение	Обнаружение файлов и каталогов (T1083)
Сбор данных	Автоматизированный сбор (T1119) Данные из локальной системы (T1005) Учетные данные из хранилищ паролей (T1555) Связка ключей (T1555.001) Учетные данные из браузеров (T1555.003) Перехват вводимых данных (T1056) Перехват ввода в графическом интерфейсе (T1056.002) Архивация собранных данных (T1560)
Организация управления	Веб-служба (T1102)
Эксфильтрация данных	Автоматизированная эксфильтрация (T1020) Эксфильтрация по каналу управления (T1041) Эксфильтрация через веб-службу (T1567)

Подробнее о Mac.PWS.JobStealer.1

Индикаторы компрометации

Скидка 22%: специальная акция в честь дня рождения Dr.Web

Mon, 20 Apr 2026 16:39:08 GMT

22 апреля — знаменательная дата в истории информационной безопасности. В этот день мы празднуем двойной День Рождения: антивируса Dr.Web и его создателя, Игоря Данилова. 34 года назад был создан антивирус Dr.Web, который сегодня надежно защищает миллионы компьютеров, серверов, терминалов, смартфонов и других устройств по всему миру.

В честь этого праздника, мы запустили специальную акцию — скидку 22% на двухлетние лицензии Dr.Web. Условия праздничного предложения:

вы можете защитить свои персональные компьютеры и смартфоны с помощью Dr.Web Security Space и Dr.Web Security Space для мобильных устройств,
возможно приобрести лицензию на 1— 5 устройств,
срок действия акции: с 20 по 27 апреля.

Успейте воспользоваться выгодным предложением и забыть о киберугрозах на целых 2 года!
Купить со скидкой

Антироссийский призыв в консоли разработчика вместе с обновлением Microsoft Visual Studio Code

Fri, 17 Apr 2026 15:44:22 GMT

«Доктор Веб» сообщает, что при установке новой версии популярного редактора кода Microsoft Visual Studio Code (MS VS Code) Dr.Web детектирует вредоносный JS файл внутри. Данный вредоносный код был добавлен в javascript-библиотеку "es5-ext" еще в 2022 году и до сих пор в ней содержится.

Что делает вредоносный JS-файл

Вредоносный файл демонстрирует в консоли разработчика призыв с антироссийской позицией касательно СВО:

Данный вредоносный скрипт запускается при соответствии условия часового пояса российских городов. Их полный список можно увидеть на скриншоте: среди них Анадырь, Барнаул, Калининград, Самара и многие другие.

Чем опасен данный код и почему мы его детектируем

Разработчик пакета es5-ext добавил в код вывод всплывающего сообщения в консоль при определенных условиях. Специалисты «Доктор Веб» классифицируют данное поведение как злонамеренную вставку вредоносного кода, не имеющего никакого отношения к функционалу библиотеки, направленную против части пользователей на основе региональной принадлежности, что является достаточным основанием для детектирования.

На данный момент код выполняет только агитационную функцию, но разработчик в любой момент может заменить данный код и наделить его другими функциями: например, с помощью него он сможет удалить все ваши данные с компьютера. Такие случаи в нашей практике уже фиксировались.

Несмотря на то, что о наличии данного кода в библиотеке профессиональному сообществу известно давно, компания Microsoft инкорпорировала этот пакет в свое программное обеспечение в качестве зависимости.

Последствия для пользователей

В результате этого решения все пользователи, обновляющие MS VS Code автоматически, получают вместе с обновлением и «малварный» пакет. Срабатывание антивируса происходит именно в момент загрузки или распаковки обновления, содержащего скомпрометированную библиотеку.

Игорь Здобнов, руководитель антивирусной лаборатории «Доктор Веб»:
Мотивы, по которым Microsoft включила в зависимость заведомо сомнительный пакет, нам неведомы. Мы рекомендуем пользователям обратить внимание на срабатывания антивируса и, при необходимости, временно приостановить автоматическое обновление до выяснения обстоятельств со стороны разработчика.

«Доктор Веб» настоятельно рекомендует пользователям проверять все загружаемые обновления и обращать внимание на предупреждения антивирусного программного обеспечения. Последняя версия MS VS Code, где нет указанной проблемы — 1.115.

Старт акции «Вместе выгоднее!»

Thu, 02 Apr 2026 12:59:43 GMT

Компания «Доктор Веб» объявляет о старте акции «Вместе выгоднее!». Вы можете защитить свои компьютеры и мобильные устройства со скидкой до 10%.

Сегодня злоумышленники атакуют любые устройства: от ноутбуков и смартфонов до устройств умного дома. Фишинговые письма, вредоносный код в поддельных мобильных приложениях, поэтому защита необходима всем гаджетам.

Предложение распространяется на решения Dr.Web Security Space и Dr.Web Security Space для мобильных устройств: вы выбираете удобную комбинацию устройств и подходящий срок действия лицензии.
Например, защита одного ноутбука и двух мобильных устройств на год обойдется всего в 2 315,15 рублей.

Срок действия акции — до 30 июня 2026 года включительно.
Перейти к акции

«Доктор Веб»: обзор вирусной активности для мобильных устройств в I квартале 2026 года

Wed, 01 Apr 2026 00:00:00 GMT

Скачать PDF

1 апреля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, в I квартале 2026 года продолжилось снижение активности вредоносных программ Android.MobiDash и Android.HiddenAds, демонстрирующих надоедливую рекламу. Первые обнаруживались на защищаемых устройствах на 32,70%, а вторые — на 7,09% реже по сравнению с IV кварталом минувшего года. Они уступили лидерство банковским троянам семейства Android.Banker, активность которых за последние 3 месяца увеличилась более чем в 2,5 раза. В результате те стали самыми распространенными Android-угрозами. Такие вредоносные приложения перехватывают СМС с кодами подтверждения банковских операций, демонстрируют фишинговые окна, а также могут имитировать внешний вид настоящего банковского ПО для кражи конфиденциальных данных. Пользователи чаще всего сталкивались с троянами подсемейства Android.Banker.Mamont, куда входят разнообразные вредоносные программы.

Широкое распространение (15,35% от общего числа детектирований) в I квартале получили приложения, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код с целью запутывания логики. C осени прошлого года эти инструменты активно используются в троянах семейства Android.Banker.Mamont для противодействия обнаружению антивирусами, поэтому мы предупреждаем о том, что то или иное приложение было модифицировано. Подобные программы антивирусные продукты Dr.Web детектируют как Tool.Obfuscator.TrashCode.

Другим распространенным потенциально опасным ПО, несмотря на снижение числа детектирований на 31,65%, вновь стали программы, модифицированные при помощи утилиты NP Manager (детектируются Dr.Web как Tool.NPMod). Данная утилита содержит различные модули для защиты и обфускации кода программ, а также обхода проверки их цифровой подписи после модификации. Киберпреступники используют ее для защиты вредоносного ПО с целью затруднить его обнаружение антивирусами.

Самыми распространенными нежелательными приложениями стали поддельные антивирусы Program.FakeAntiVirus, которые якобы обнаруживают угрозы и для их «лечения» требуют приобрести полную версию. Кроме того, пользователи вновь сталкивались с программами из семейств Program.FakeMoney и Program.CloudInject. Первые якобы позволяют зарабатывать на выполнении различных заданий. Вторые представляют собой ПО, модифицированное через облачный сервис CloudInject. С его помощью в приложения добавляются опасные системные разрешения и обфусцированный код, функциональность которого невозможно проконтролировать.

Среди рекламного ПО лидерами по числу детектирований стали программы-оптимизаторы Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы нехватке памяти и ошибках системы. Их целью является демонстрация рекламы во время «оптимизации». Другим популярным рекламным ПО были приложения Adware.Opensite.15, которые злоумышленники выдают за чит-инструменты для получения ресурсов в играх. На самом деле такие программы загружают различные сайты с объявлениями. Распространение вновь получили и программы со встроенными рекламными модулями Adware.AdPush.

В январе компания «Доктор Веб» проинформировала пользователей об Android.Phantom — новом семействе троянских приложений-кликеров. Наши вирусные аналитики выявили несколько источников распространения этих вредоносных программ. Среди них — официальный каталог приложений для устройств Xiaomi GetApps, где трояны были внедрены в ряд игр. Кроме того, киберпреступники распространяли кликеры вместе с модами популярных приложений через различные Telegram-каналы, серверы Discord, онлайн-сборники ПО и вредоносные сайты.

С помощью Android.Phantom злоумышленники накручивают рекламные клики на веб-сайтах, применяя для этого технологии машинного обучения и WebRTC — технологию передачи потоковых данных (в том числе видео) через браузер. Трояны загружают в невидимом WebView целевые интернет-ресурсы вместе с JavaScript-кодом для симуляции действий пользователя. Взаимодействие с объявлениями происходит в одном из двух режимов. Если на устройстве возможно использование WebRTC, кликеры Android.Phantom транслируют злоумышленникам виртуальный экран с загруженным сайтом, и те управляют им вручную или с использованием автоматизированной системы.

Если WebRTC недоступен, применяются автоматизированные сценарии на языке JavaScript, которые используют фреймворк TensorFlowJS. Кликеры скачивают с удаленного сервера необходимую поведенческую модель, а также JavaScript, содержащий сам фреймворк и все необходимые функции для работы модели и взаимодействия с целевыми сайтами.

В течение I квартала антивирусная лаборатория компании «Доктор Веб» зафиксировала появление новых угроз в каталоге Google Play. Среди них — множество троянских приложений Android.Joker, а также вредоносные программы Android.Subscription.23 и Android.Subscription.24. Все они созданы для подписки пользователей на платные услуги.

Главные тенденции I квартала

Банковские трояны Android.Banker стали самыми распространенными Android-угрозами
Злоумышленники стали чаще использовать инструменты для моддинга Android-программ с целью защиты банковских троянов
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds
Распространение троянских приложений Android.Phantom, которые используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах
Обнаружены новые вредоносные приложения в каталоге Google Play

По данным Dr.Web Security Space для мобильных устройств

Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.
Android.HiddenAds.675.origin: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Packed.57.origin: Детектирование обфускатора, который в том числе используется для защиты вредоносных приложений (например, некоторых версий банковских троянов Android.SpyMax).
Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.

Program.FakeAntiVirus.1: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.
Program.CloudInject.5
Program.CloudInject.1: Детектирование Android-приложений, модифицированных при помощи облачного сервиса CloudInject и одноименной Android-утилиты (добавлена в вирусную базу Dr.Web как Tool.CloudInject). Такие программы модифицируются на удаленном сервере, при этом заинтересованный в их изменении пользователь (моддер) не контролирует, что именно будет в них встроено. Кроме того, приложения получают набор опасных разрешений. После модификации программ у моддера появляется возможность дистанционно управлять ими: блокировать, показывать настраиваемые диалоги, отслеживать факт установки и удаления другого ПО и т. д.
Program.SnoopPhone.1.origin: Программа для наблюдения за владельцами Android-устройств. Она позволяет читать СМС, получать информацию о телефонных вызовах, отслеживать местоположение устройства и выполнять аудиозапись окружения.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В I квартале 2026 года специалисты антивирусной лаборатории «Доктор Веб» выявили в каталоге Google Play очередные вредоносные приложения Android.Joker, которые подписывают жертв на платные услуги. Трояны скрывались в ряде утилит для оптимизации работы Android-устройств, а также распространялись под видом мессенджеров, мультимедийного и другого ПО. Суммарно пользователи установили их, по меньшей мере, 370 000 раз.

Примеры вредоносных программ Android.Joker, выявленных в Google Play в I квартале 2026 года. Android.Joker.2511 был встроен в мессенджер Private Chat Message, а Android.Joker.2524 — в программу-фотокамеру Magic Camera

Кроме того, наши вирусные аналитики обнаружили вредоносные программы Android.Subscription.23 и Android.Subscription.24, также предназначенные для подключения пользователей к платным сервисам. Трояны загружают веб-сайты, на которых при помощи технологии Wap Click активируются платные мобильные подписки. На этих сайтах у пользователей запрашивается номер мобильного телефона, после чего происходит попытка автоматического подключения услуги. Оба вредоносных приложения суммарно были загружены из каталога Google Play свыше 1 500 000 раз.

Вредоносные программы Android.Subscription.23 и Android.Subscription.24 распространялись под видом приложений Stream Hive и Prime Link для управления личными финансами, однако их единственной функциональностью была загрузка сайтов для подключения владельцев Android-устройств к платным мобильным сервисам

Индикаторы компрометации

«Доктор Веб»: обзор вирусной активности в I квартале 2026 года

Wed, 01 Apr 2026 00:00:00 GMT

Скачать PDF

1 апреля 2026 года

Согласно статистике детектирований антивируса Dr.Web, в I квартале 2026 года общее число обнаруженных угроз снизилось на 6,77% по сравнению с IV кварталом прошлого года. Число уникальных угроз уменьшилось на 11,98%. Чаще всего на защищаемых устройствах обнаруживалось рекламное ПО и рекламные трояны, вредоносные программы-загрузчики, а также бэкдоры.

В почтовом трафике наиболее часто встречались вредоносные скрипты, бэкдоры и различные троянские приложения. Через электронные письма злоумышленники также распространяли фишинговые документы и эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.29750 и Trojan.Encoder.41868.

В I квартале 2026 года интернет-аналитики компании «Доктор Веб» выявили новые фишинговые сайты, включая поддельные ресурсы кредитных организаций и маркетплейсов, а также ряд других нежелательных сайтов.

В сегменте мобильных устройств наблюдалась возросшая активность банковских троянов. При этом наши вирусные аналитики отметили рост популярности методики защиты вредоносных программ от обнаружения антивирусным ПО, которая заключается в добавлении в них мусорного кода.

В январе эксперты «Доктор Веб» рассказали о троянах-кликерах Android.Phantom, которые используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах. Кроме того, в течение последних 3 месяцев мы зафиксировали появление очередных вредоносных программ в каталоге Google Play, среди которых были трояны, подписывающие пользователей на платные услуги.

Главные тенденции I квартала

Снизилось число угроз, обнаруженных на защищаемых устройствах
Среди детектируемых угроз сократилось число уникальных файлов
По сравнению с прошлым периодом наблюдения было зафиксировано меньше запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками
Продолжился рост активности банковских троянов для Android-устройств
Пользователям угрожали вредоносные программы-кликеры Android.Phantom, которые используют, в том числе, технологии машинного обучения для накрутки кликов на веб-сайтах
В каталоге Google Play были выявлены очередные вредоносные программы

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы I квартала 2026 года

Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Adware.Downware.20655
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Adware.Siggen.33379: Поддельный браузерный блокировщик рекламы Adblock Plus, который устанавливается в систему другими вредоносными приложениями с целью показа рекламы.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы I квартала 2026 года в почтовом трафике

JS.DownLoader.1225: Эвристическое детектирование для ZIP-архивов, содержащих скрипты JavaScript с подозрительными именами.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Redirector.514: Вредоносный скрипт, перенаправляющий пользователя на подконтрольную злоумышленникам веб-страницу.

Шифровальщики

В I квартале 2026 года число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, сократилось на 31,51% по сравнению с IV кварталом минувшего года. Снижение произошло на фоне новогодних праздников и связанных с ними продолжительных выходных, в течение которых ряд киберпреступников мог приостановить активность и уйти на каникулы. При этом пользователи, которые все же пострадали от атак троянов-шифровальщиков в этот период, могли не сразу среагировать на произошедшие инциденты.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры I квартала 2026 года

Trojan.Encoder.35534 — 15,59% обращений пользователей
Trojan.Encoder.29750 — 3,23% обращений пользователей
Trojan.Encoder.41868 — 3,23% обращений пользователей
Trojan.Encoder.26996 — 1,62% обращений пользователей
Trojan.Encoder.44383 — 1,61% обращений пользователей

Сетевое мошенничество

За минувшие 3 месяца интернет-аналитики компании «Доктор Веб» выявили ряд новых поддельных сайтов маркетплейсов. На них злоумышленники предлагают принять участие в «распродаже» якобы невыкупленных заказов. Мошенническая схема заключается в следующем: «невостребованные» товары из заказов разделены на различные категории (электроника, одежда, обувь, косметика и т. д.) и якобы собираются в соответствующие коробки-сюрпризы. Их содержимое неизвестно и может включать, в том числе, дорогие вещи. При этом такие коробки потенциальным жертвам предлагается купить за относительно невысокую стоимость, что и является главной приманкой.

Поддельный сайт маркетплейса обещает «распродажу невостребованных заказов», которые якобы переполняют склады

Когда пользователь выбирает одну из коробок, ему предлагается оформить заказ и указать персональные данные, которые могут включать имя и фамилию, номер мобильного телефона и адрес электронной почты. Затем он перенаправляется на страницу оплаты через СБП. В итоге жертва лишается денег и передает мошенникам конфиденциальные сведения.

После оформления «заказа» жертве предлагается оплатить его через Систему быстрых платежей

Наши эксперты также выявили множество сайтов сервисов, предлагающих различные финансовые услуги, например — возможность оперативного получения микрозайма, кредита или прохождения процедуры банкротства. Такие сервисы сами не предоставляют эти услуги, как того ожидают пользователи, и являются лишь посредниками между клиентами и финансовыми организациями. Они на платной основе дают доступ к подборке потенциально подходящих вариантов, в то время как агрегация подобных финансовых предложений доступна в бесплатных источниках. Более того, эти сервисы не гарантируют успешный результат при подаче заявки. В то же время, оплата доступа является не единовременной и представляет собой платную подписку с периодическим списанием денег.

Один из веб-сайтов, где доступ к сервису по подбору финансовых предложений является платным и оформляется в виде подписки

В некоторых случаях подобные ресурсы могут вводить пользователей в заблуждение, предлагая одну услугу, например — трудоустройство, но фактически предоставлять по подписке доступ к тем же финансовым предложениям по получению кредитов, микрозаймов и т. д.

Веб-сайт обещает помощь в поиске работы, но после оплаты доступа к сервису вместо списка вакансий может предоставить финансовые предложения от партнеров на получение кредита, микрозайма и т. п.

Среди выявленных в I квартале фишинговых сайтов встречались поддельные интернет-ресурсы благотворительного спортивного забега «Зеленый марафон». На них посетителям предлагается зарегистрироваться для участия в марафоне, однако эти сайты не имеют отношения к мероприятию и созданы для сбора конфиденциальных данных пользователей.

Один из поддельных сайтов забега «Зеленый марафон»

Интернет-аналитики «Доктор Веб» также выявили очередные поддельные сайты инвестиционных сервисов, якобы имеющих отношение к различным кредитным организациям. Среди них были сайты, ориентированные на аудиторию из России, Казахстана и других стран. Мошенники обещают потенциальным жертвам высокую прибыль и для «доступа» к псевдоинвестиционным платформам просят пройти короткий опрос и зарегистрировать учетную запись, указав персональную информацию.

Пример фишингового сайта, который злоумышленники выдают за официальный ресурс инвестиционного сервиса одного из российских банков

Пример фишингового сайта, который злоумышленники выдают за официальный ресурс инвестиционного сервиса одной из кредитных организаций Казахстана

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в I квартале 2026 года продолжился рост активности банковских троянов Android.Banker, который наблюдался в IV квартале минувшего года. Наиболее распространенными среди них стали представители подсемейства Android.Banker.Mamont. В то же время вновь сократилось число детектирований рекламных троянов Android.MobiDash и Android.HiddenAds.

Среди выявленного потенциально опасного ПО лидировали программы, в которые при помощи инструментов для моддинга внедрен мусорный код (детектируются как Tool.Obfuscator.TrashCode). Такая методика в настоящее время активно применяется для защиты банковских троянов от обнаружения антивирусами. Кроме того, по-прежнему распространенными были приложения, модифицированные при помощи утилиты NP Manager (детектируются как Tool.NPMod).

Наиболее часто детектируемым нежелательным ПО стали поддельные антивирусы Program.FakeAntiVirus, которые для «лечения» якобы выявленных угроз требуют приобрести полную версию. Самым активным рекламным ПО в I квартале оказались программы Adware.Bastion.1.origin и Adware.Opensite.15. Первые представляют собой приложения-оптимизаторы, которые создают уведомления с сообщениями о якобы нехватке памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Вторые являются поддельными чит-программами для получения различных ресурсов в играх, но в действительности лишь загружают веб-сайты с рекламой.

В январе 2026 года наша антивирусная лаборатория предупредила о троянах-кликерах Android.Phantom. Эти вредоносные приложения используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах. Киберпреступники распространяли их сразу несколькими способами: через каталог GetApps для устройств Xiaomi, Telegram-каналы, серверы Discord, сторонние сборники ПО и через вредоносные сайты.

В течение минувших 3 месяцев вирусные аналитики «Доктор Веб» выявили в каталоге Google Play новые угрозы, среди которых были троянские приложения Android.Joker и Android.Subscription, предназначенные для подписки пользователей на платные услуги.

Наиболее заметные события, связанные с «мобильной» безопасностью в I квартале

Банковские трояны Android.Banker стали самыми распространенными угрозами для Android-устройств
Киберпреступники чаще использовали утилиты для моддинга Android-приложений, чтобы защитить банковские трояны от обнаружения антивирусами
Продолжилась тенденция к снижению активности рекламных троянов Android.MobiDash и Android.HiddenAds
Пользователям угрожали трояны Android.Phantom, использующие машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах
В каталоге Google Play вновь распространялись вредоносные приложения

Более подробно о вирусной обстановке для мобильных устройств в I квартале 2026 года читайте в нашем обзоре.

Dr.Web по подписке: новые цены

Wed, 25 Mar 2026 14:36:26 GMT

Компания «Доктор Веб» сообщает, что с 1 апреля 2026 года изменяются цены на решения Dr.Web по подписке.

Ниже представлены актуальные цены: чем больше устройств защищает пользователь, тем ниже стоимость использования подписки для одного устройства.

Dr.Web Персональный	Цена за 1 устройство, руб./день	Итоговая цена за общее количество устройств, руб./день
1 устройство	5,20	5,20
2 устройства	2,70	5,40
3 устройства	1,80	5,40
4 устройства	1,40	5,60
5 устройств	1,20	6,00

Dr.Web Мобильный	Цена за 1 устройство, руб./день	Итоговая цена за общее количество устройств, руб./день
1 устройство	2,10	2,10
2 устройства	1,10	2,20
3 устройства	0,70	2,10
4 устройства	0,60	2,40
5 устройств	0,50	2,50

Dr.Web Расширенный	Цена за 1 пару устройств*, руб./день	Итоговая цена за общее количество устройств, руб./день
1 пара устройств	6,90	6,90
2 пары устройств	3,60	7,20
3 пары устройств	2,50	7,50
4 пары устройств	1,90	7,60
5 пар устройств	1,60	8,00

* Одна пара устройств — это 1 персональный компьютер и 1 мобильное устройство.

Служба поддержки продаж всегда готова ответить на ваши вопросы.

Решение для защиты персональных компьютеров Dr.Web получило награду SKD AWARDS

Tue, 24 Mar 2026 14:00:00 GMT

Решение для защиты персональных компьютеров Dr.Web Security Space в очередной раз было отмечено отраслевой премией SKD AWARDS. Dr.Web Security Space был признан лучшим в категории «Антивирусы для ПК».

Для «Доктор Веб» это уже третья подобная награда подряд. В 2023 году Dr.Web Security Space 12.0 для Windows выиграл в категории «Безопасность персональных компьютеров», в 2024 антивирусное решение для персональных компьютеров вновь было признано лучшим, а Dr.Web Mobile Engine SDK победил в категории «Антивирусные движки».

SKD AWARDS — это ежегодная премия, проводимая SKD Labs, всемирно известной независимой лабораторией тестирования и сертификации в области информационной безопасности. Неофициально эту премию называют «Оскар для продуктов кибербезопасности» и рассматривают в качестве одного из важных показателей при оценке эффективности специализированных продуктов.

В рамках премии, продукты проходят серию тестов, в ходе которых оцениваются их функциональность, производительность, технические инновации, поведение в реальных сценариях, способность обнаружения угроз и реагирование на них.

«У вас произошла утечка персональных данных!». Анатомия мошеннического звонка

Mon, 09 Feb 2026 11:35:33 GMT

Телефонное мошенничество остается насущной проблемой нашего общества, несмотря на постоянное противодействие со стороны государства, банков и операторов связи. Никто не застрахован от обмана: в ловушку преступников может попасть как ребенок или пенсионер, так и искушенный взрослый.

Чтобы детально разобрать мошенническую схему и предостеречь других потенциальных жертв, сотрудница «Доктор Веб» «прошла» весь путь от первого звонка до финальной попытки выманить деньги. Это была сложносоставная комбинация с применением различных методов социальной инженерии.

Этап 1. Давление авторитетом

Мошенники атаковали коллектив компании «Доктор Веб» еще с декабря 2024 года. Они выходили на разных сотрудников с одним и тем же заходом: произошла утечка конфиденциальных данных, началось расследование, с вами свяжется куратор из ФСБ. Коммуникация всегда велась якобы от лица генерального директора или другого представителя руководящего звена компании. Поскольку данный подход не привел к желаемым результатам, преступники сменили тактику и сфокусировались на пожилых сотрудниках.

Пенсионеры — наиболее привлекательная для мошенников группа населения. Они более доверчивы, меньше разбираются в современных технологиях и имеют сформировавшееся уважение к представителям власти. Кроме того, пенсионеры уже не работают в компании (по крайней мере, именно так считают мошенники), поэтому хуже разбираются в том, кто текущий руководитель, как он разговаривает, что у него за характер.

Утром на телефон нашей сотрудницы, для краткости назовем ее N, поступил звонок через Телеграм. Звонящий представился генеральным директором «Доктор Веб», что подтверждалось его реальными фото и именем/фамилией. Но его аккаунт был создан менее суток назад, номер телефона скрыт, а голос и манера общения резко отличались от привычных. Злоумышленник ввел N в контекст произошедшей ситуации. Якобы произошла утечка персональных данных внутри компании. Для расследования инцидента создана специальная комиссия. Составлен список лиц, которые обязаны дать показания о случившемся. N также внесена в этот перечень, поэтому в течение дня ей позвонит сотрудник ФСБ. Планируемые каналы связи: мессенджер MAX или Телеграм. Если не получится связаться с N через них, поступит обычный звонок на мобильный номер. И поскольку скомпрометированы в том числе личные данные самой N, ей следует с полной серьезностью отнестись к разговору.

Примечателен факт, что мошенники всегда действуют под маской вышестоящего руководителя, пытаясь задавить авторитетом. Но зачастую это прикрытие и выдает их: они не знают внутренних взаимоотношений, корпоративной культуры, порядка принятия решений внутри компании, что раскрывает их ложь. Поэтому и стали атаковать пенсионеров!

Самым примечательным моментом данного этапа стало использование мессенджеров. Сотрудники правоохранительных органов всегда звонят напрямую на телефонный номер. Звонки через Телеграм или MAX — это коммуникация через интернет, что не предусмотрено для силовых ведомств.

Этап 2. Демонстрация легитимности

Далее в игру вступает «представитель ФСБ» — майор, старший следователь по особо важным делам. Он звонит N через Телеграм, но разговор не получается из-за отсутствия соединения. Лжемайор присылает сообщение, в котором представляется и прикрепляет фото своего удостоверения.

Подобные фотографии рассчитаны на доверчивых и невнимательных людей или тех, кто никогда не имел взаимоотношений с силовыми ведомствами:

фотография удостоверения на столе ничего не доказывает — мы не видим лица автора съемки, оно может не совпадать с фото в документе,
удостоверение предъявляют только при личном контакте, а не посылают через интернет,
сотрудники «Доктор Веб» за несколько минут нашли в открытом доступе шаблоны подобных документов, куда с помощью ИИ можно вставить любое ФИО и фото. Получившиеся изображения неотличимы от подлинных фотографий.

Поскольку дозвониться через Телеграм не получилось, лжемайор предлагает продолжить общение в национальном мессенджере МАХ, который позиционируется как безопасный. Вот только он не может найти N в мессенджере и предлагает ей самой прислать приглашение для запуска чата. Но даже после этого у мошенника не получается дозвониться, так как у N стоит ограничение — звонки только от абонентов из списка контактов. Поэтому он предлагает N самостоятельно позвонить в чате. Эти манипуляции необходимы для создания иллюзии достоверности и укрепления атмосферы доверия, ведь слишком быстрый и простой контакт может навести на подозрения. В итоге связь была установлена и разговор продолжился в течение часа.

Этот небольшой, но важный эпизод показывает, что введенные не так давно ограничения средств связи не работают так, как было задумано. Злоумышленники используют социальную инженерию, чтобы заставить жертв звонить им самостоятельно — без разницы где. Не стоит вопрос безопасности и защищенности MAX или Телеграм, поскольку тот или другой мессенджер выступают просто в роли инструмента связи. Статистика утверждает, что количество мошеннических звонков снизилось — но взамен выросло их качество. Преступники перестали практиковать массовые обзвоны и сосредоточились на точечных операциях.

Мы не будем подробно пересказывать все перипетии беседы, остановимся на нескольких моментах, важных для понимания техники обмана. Прежде всего лжемайор пытался убедить N в подлинности своей личности. Он предложил зайти на официальный сайт Федеральной службы безопасности, перейти в раздел «Справочная информация», затем выбрать конкретный округ Москвы, посмотреть контактный номер подразделения и своими глазами убедиться, что контакт в Телеграме совпадает. Цифры действительно были те же, вот только в профиле контакта этот телефонный номер указан в строке «Имя». А в самом мессенджере MAX контакт мошенника зарегистрирован со скрытым номером.

Этап 3. Эскалация и прессинг

Лжемайор настаивал и даже требовал соблюдения строгой конфиденциальности во время беседы и после нее. Он несколько раз заострил внимание, что собеседница должна находиться в комнате одна и никто не имеет права помешать разговору — даже члены семьи. Для большего эффекта были названы имена домочадцев N. Далее по ходу разговора притворяющийся майором несколько раз переспрашивал, одна ли N в комнате, и подчеркивал необходимость соблюдения строжайшей секретности.

По мере развития беседы раскручивалась мошенническая легенда, параллельно с усилением напряжения. Злоумышленник подтвердил слова первого звонившего о том, что произошла утечка персональных данных и силовое ведомство подозревает кого-то из руководителей компании или HR-специалистов. Росфинмониторингом была пресечена попытка крупного денежного перевода от лица N на нужды ВСУ. Приведем небольшой отрывок, чтобы продемонстрировать отработку возражений:

N: Простите, но тут какая-то ошибка. Я не держу такие большие суммы на счетах, поэтому их просто физически невозможно перевести куда-либо.
Лжемайор: Попытка перевода могла быть совершена и с кредитного счета, не обязательно депозит.
N: Возможно, но я специально для таких случаев оформила самозапрет на оформление кредитов.
Лжемайор: К сожалению, самозапрет на дает 100% гарантии. Некоторые нечистоплотные сотрудники коммерческих банков могут игнорировать предписания ради собственной выгоды. Учтите, если мы зафиксируем очередную попытку перевода, вы будете главной подозреваемой. Придется возбуждать дело и разбираться.

Наша сотрудница была готова к подобному повороту событий, но, как правило, такого рода обвинения производят ошеломляющий эффект. Речь идет не о рядовой краже — об измене Родине. Для людей пожилого возраста это чудовищное преступление. После таких слов сложно сохранить присутствие духа, рассуждать логично, сосредоточиться на несостыковках. Ситуацию усугубляет осознание того, что жертве предъявляют обвинения, которые практически невозможно опровергнуть: кто-то где-то на стороне воспользовался персональными данными, но главный подозреваемый — вы!

Для усиления психологического давления, лжемайор присылал изображения разных документов: письмо из Росфинмониторинга в ФСБ с просьбой об инициировании расследования и повестка о вызове в качестве подозреваемого. Наши юристы внимательно изучили их и выделили детали, указывающие на фальшивое происхождение. Мы приводим только некоторые из них, так как детальный публичный разбор ошибок в фальшивых документах потенциально вооружает преступников:

повестки не направляются через мессенджеры, об этом неоднократно заявляли представители правоохранительных органов;
текст повестки краток и не содержит разъясняющих и угрожающих формулировок;
согласно ст. 188 УПК РФ «Порядок вызова на допрос» повесткой на допрос может быть вызван только свидетель или потерпевший. Подозреваемого задерживают, согласно ст. 92 УПК РФ «Порядок задержания подозреваемого». Такой документ, как «Повестка о вызове подозреваемого на допрос» не может существовать согласно юридическим нормам.

Люди не в состоянии обращать внимание на подобные нюансы, оказавшись под давлением. 

Этап 4. Кульминация комбинации

Переходим к главному пункту мошенничества, ради которого затевалась комбинация. Лжемайор перечислил N банки, где находятся ее счета: Сбер, Альфа, Озон и ОТП-банк. Последний — некая венгерская кредитная организация, через которую будто бы совершаются переводы на Украину. Заботливый лжемайор высказал пожелание предотвратить возможное преступление и защитить N от карающей длани Фемиды. Для этого он передаст заявку в ЦБ, откуда с потенциальной жертвой свяжется сотрудник и поможет «все правильно сделать» (предположительно, перевести деньги на безопасный счет).

К этому моменту N уже определила основные черты схемы и решила прервать общение. Но злоумышленник не хотел отпускать добычу. Прикрываясь статьей 205.6 УК РФ «Несообщение о преступлении», он заявил, что ему бы очень не хотелось, чтобы N потом пыталась связаться с ним, обрывая его телефон с просьбой помочь. Но поскольку N отказалась от сотрудничества, лжемайор уведомил, что вынужден обратиться к регулятору для блокировки счетов и наложения ареста на имущество, в том числе ближайших родственников, а далее прислать повестку. На этом общение с лжемайором завершилось.

Этап 5. Провоцирование повторного контакта

Поскольку мошенники не добились своей главной цели, они попытались спровоцировать N саму связаться с ними. Буквально через несколько минут героине позвонили из Сбера и попросили подтвердить подачу заявки на блокировку карты. После отрицательного ответа карта заблокирована не была.

В свою очередь, Альфа-банк прислал несколько СМС о блокировке каждой из карт. Для решения проблемы N пришлось позвонить на горячую линию и сделать запрос об отмене. Как оказалось, одна из соучастниц мошенничества ранее также позвонила на горячую линию и представилась N. Назвав полностью ФИО, а также дату рождения, преступница попросила заблокировать карты. Для сотрудника банка этих данных оказалось достаточно.

Выводы

Инцидент не стал удачным для мошенников благодаря принятым предупредительным мерам в «Доктор Веб». Атаки активно происходили в течение всего 2025 года, поэтому все сотрудники компании были неоднократно проинструктированы и имели четкие внутренние регламенты, как действовать в подобных случаях.

Сотрудница N, будучи опытным и высококвалифицированным специалистом, провела диалог с мошенниками не спонтанно, а осознанно и хладнокровно, следуя внутренним инструкциям. Именно они не позволили эмоциям взять верх над логикой и вниманием к деталям. Контакт помог собрать ценную информацию без какого-либо риска или ущерба, превратив потенциальную угрозу в детальный разбор мошеннической схемы.

Таким образом, устойчивость к мошенничеству строится на:

четких корпоративных правилах, дающих сотрудникам однозначный алгоритм действий,
постоянном обучении и регулярном повышении осведомленности, превращающих каждого сотрудника в осознанного участника системы безопасности.

Именно подобный комплексный и системный подход, в отличие от технических блокировок, создает настоящий щит, способный противостоять социальной инженерии, и вселяет в сотрудников уверенность в своей правоте. Мы хотим обратить особое внимание руководителей организаций, что именно от их активной роли зависит, насколько весь коллектив будет готов к подобным атакам и манипуляциям.

Прекращена продажа решений Dr.Web по подписке через ПАО «Ростелеком»

Fri, 06 Feb 2026 17:21:38 GMT

Компания «Доктор Веб» информирует, что с 6 февраля 2026 года прекращена продажа новых лицензий и продление действующих подписок через ПАО «Ростелеком».

Что необходимо знать пользователям:

Ваши устройства все еще под защитой Dr.Web. Антивирус полноценно функционирует до последнего дня действия лицензии. Мы гарантируем бесперебойную работу, полную техническую поддержку, своевременное обновление антивирусных баз и всех компонентов программы.
Для продолжения защиты вам необходимо приобрести новую лицензию в нашем официальном интернет-магазине после окончания срока действия вашей текущей лицензии от ПАО «Ростелеком».

Чтобы сделать переход на прямое обслуживание «Доктор Веб» плавным, простым и выгодным, мы подготовили специальное предложение для абонентов ПАО «Ростелеком»: дополнительные 30 дней защиты в подарок.

Чтобы им воспользоваться, нужно сделать следующее:

После окончания действия лицензии удалите текущую версию антивируса Dr.Web, установленную через ПАО «Ростелеком».
Оформите новую подписку на официальном сайте «Доктор Веб», используя промокод АНТИВИРУС. Он дает право при покупке подписки Dr.Web Персональный, Мобильный или Расширенный на 30 дней на любое количество устройств получить дополнительно еще 30 дней в подарок. Таким образом, вы заплатите за 30 дней, а подписка продлится 60.
Скачайте дистрибутив с нашего сайта и установите его.

Получить дополнительную информацию о предложении или задать вопросы о переходе можно специалистам Службы поддержки продаж «Доктор Веб».

Получены сертификаты соответствия ФСБ России на продукты Dr.Web Desktop Security Suite, Dr.Web Server Security Suite и Dr.Web Enterprise Security Suite

Mon, 02 Feb 2026 13:19:07 GMT

Компания «Доктор Веб» сообщает, что получены новые сертификаты соответствия ФСБ России на программные продукты Dr.Web Desktop Security Suite, Dr.Web Server Security Suite и Dr.Web Enterprise Security Suite.

Рекомендуем пользователям обновить свое ПО до новой сертифицированной версии.

Подробнее о продуктах

Dr.Web Desktop Security Suite для ОС Windows:

версия 12.0.8,
сертификат соответствия № СФ/СЗИ-0844,
срок действия: 05.12.2025 — 31.10.2030,
средство антивирусной защиты Классов В2 и Г2 в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности»,
продукт предназначен для защиты информации в информационных системах, в том числе в государственных информационных системах, в которых обрабатывается информация как конфиденциального характера, так и содержащая совершенно секретные сведения.

Dr.Web Server Security Suite для ОС Windows:

версия 12.0.8,
сертификат соответствия № СФ/СЗИ-0843,
срок действия: 05.12.2025 — 31.10.2030,
средство антивирусной защиты Класса Б2 в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности»,
продукт предназначен для защиты информации в информационных системах, в том числе в государственных информационных системах, в которых обрабатывается информация как конфиденциального характера, так и содержащая совершенно секретные сведения.

Dr.Web Enterprise Security Suite:

версия 13,
сертификат соответствия № СФ/СЗИ-0873,
срок действия: 29.01.2026 — 29.01.2031,
средство антивирусной защиты Классов А2, Б2, В2 и Г2 в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности»,
продукт применяется для защиты информации в информационных системах, в том числе в государственных информационных системах, в которых обрабатывается информация как конфиденциального характера, так и содержащая совершенно секретные сведения,
решение предназначено для организации и управления единой и надежной комплексной антивирусной защитой внутренней сети компании, включая мобильные устройства.

Акция для бизнеса и государственных учреждений: переход на Dr.Web со скидкой 50%

Fri, 30 Jan 2026 11:50:53 GMT

С 1 февраля 2026 года компания «Доктор Веб» запускает акцию для бизнеса и государственных учреждений — скидка 50% при переходе на решения Dr.Web с антивирусов других производителей.

Акция действует до 31 декабря 2026 года включительно и распространяется на продукты Dr.Web для бизнеса и госучреждений:

Dr.Web Desktop Security Suite — защита рабочих станций,
Dr.Web Server Security Suite — защита серверов,
Dr.Web Mobile Security Suite — защита мобильных устройств и планшетов,
Dr.Web Mail Security Suite — проверка почтового трафика,
Dr.Web Gateway Security Suite — проверка интернет-трафика,
Dr.Web ATM Shield — защита встроенных устройств,
Комплект для малого бизнеса — оптимальное решение для малого бизнеса.

Предложение адресовано организациям, которые:

Планируют переход на ПО Dr.Web
Ранее не использовали продукты Dr.Web для бизнеса и госучреждений, но планируют переход с решений других вендоров.
Ранее использовали ПО Dr.Web
Использовали решения Dr.Web в прошлом, но не приобретали лицензии со скидкой по программе миграции «Переходи на зеленый» на соответствующие продукты.
Планируют расширение лицензии
Используют Dr.Web Desktop Security Suite для защиты от 1 до 5 рабочих станций и готовы в рамках акции увеличить лицензию от 50 до 250 рабочих станций или приобрести другие продукты Dr.Web в соответствии с условиями акции.

Общие условия:

Организация должна иметь действующую или истекшую не более 30 дней назад лицензию другого производителя на аналогичные защищаемые объекты.
Акция не применяется, если организация ранее уже приобретала желаемый продукт по программе миграции «Переходи на зеленый».
Скидка предоставляется на одно-, двух- или трехлетние лицензии в рамках действующего прайс-листа.
Скидка не суммируется с другими акционными предложениями.

Как воспользоваться акцией

Для участия в Акции обратитесь к партнерам «Доктор Веб» либо воспользуйтесь сервисом «Конструктор лицензий для бизнеса и госучреждений».
Дополнительную информацию можно получить у партнеров или у специалистов Службы поддержки продаж «Доктор Веб».