Экспертам удалось взломать код трояна Mad Max

Экспертам удалось взломать код трояна Mad Max

Экспертам удалось взломать код трояна Mad Max

Исследователям из Arbor Networks удалось взломать сложный обфусцированный алгоритм генерации доменных имен (DGA), принадлежащий Mad Max, трояну, который создал ботнет из зараженных компьютеров, находящихся в 16 разных странах.

Экспертам удалось найти все домены, с которыми вредоносная программа связывалась начиная с 2015 года. Анализ трояна раскрыл некоторые его особенности и характеристики, но исследователи Arbor планируют отложить публикацию этих данных на более поздний срок. 

Вредонос Mad Max на Virus Total имеет только эвристические детекты. При попадании в систему, он внедряет несколько DLL-файлов, которые затем выполняются с помощью rundll32.exe. Код троянца в основном состоит из фиктивных инструкций, таким образом, он пытается использовать метод обфускации кода.

Исследователи говорят, что этот метод достаточно эффективен и ставит сложную задачу, как для дизассемблеров, так и для человека, сталкивающегося с кучей фальшивого кода при обратной разработке. По словам Джэффа Эдвардса (Jeff Edwards), эксперта Arbor, этот метод обфускации становится все более популярным среди киберпреступников.

Однако исследователям удалось создать деобфускатор, способный выявить в коде настоящие команды среди фиктивных. После того, как поддельные команды в коде были удалены, исследователи обнаружили, что троян действительно использовал DGA.

Каждую неделю вредонос меняет домен, к которому он подключается, при этом используя для генерации доменного имени шаблон, зависящий от текущей недели месяца. В частности, он будет генерировать домен .com для первой недели месяца, затем перейдет к .org, далее к .info и в конце месяца будет использовать .net, говорят исследователи.

Также экспертам удалось обнаружить, что троянец уже успел заразить компьютеры в шестнадцати странах мира, среди которых Бразилия, Канада, Китай, Финляндия, Франция, Германия, Индия, Италия, Япония, Южная Корея, Норвегия, Тайвань, Таиланд, Украина, Соединенное Королевство, Соединенные Штаты Америки.

Исследователям из Arbor Networks удалось получить полный список доменов, к которым подключался или будет подключаться троян Mad Max. В скором времени они планируют опубликовать остальную информацию, касающуюся трояна.

Ведомства не спешат уходить в MAX полностью

Не все государственные ведомства и их региональные подразделения спешат полностью переносить свою онлайн-активность в мессенджер MAX. Более того, есть примеры, когда после официального объявления о «переезде» некоторые из них снова возобновляли работу телеграм-каналов.

На эту тенденцию обратили внимание «Ведомости». Корреспонденты издания выяснили, что ряд территориальных подразделений МЧС — в частности, по Дагестану, Оренбургской и Свердловской областям — вернулись в Telegram, несмотря на ранее заявленный полный перенос коммуникаций в MAX.

Центральный аппарат МЧС при этом также продолжал публиковать новости в Telegram, но в усечённом формате «заголовок + лид». Полные версии сообщений ведомство размещало уже в MAX.

«В настоящее время на постоянной основе переход в национальный мессенджер организован территориальными органами МЧС России во всех федеральных округах. Территориальными подразделениями МЧС России продолжается ведение телеграм-каналов. В частности, посредством него подписчиков приглашают присоединиться к каналу в национальном мессенджере MAX», — сообщили в пресс-службе МЧС в ответ на запрос издания.

По оценке «Ведомостей», большинство федеральных и региональных ведомств сейчас ведут каналы параллельно — и в MAX, и в Telegram. Единственным исключением стал губернатор Самарской области Вячеслав Федорищев, который удалил свой телеграм-канал в сентябре 2025 года. Поводом стали последствия его попытки вмешаться в конфликт между певцом Егором Кридом и главой Лиги безопасного интернета Екатериной Мизулиной.

Заместитель генерального директора АНО «Диалог регионы» Андрей Цепелев назвал такую практику вполне обычной. По его словам, параллельное присутствие в нескольких мессенджерах позволяет охватить более широкую аудиторию, что особенно важно для экстренных служб. «MAX в сегменте госпабликов растёт очень быстро. Мы видим около 100 000 каналов с общим числом подписчиков порядка 9 млн», — отметил он.

При этом есть и примеры, когда каналы региональных властей в MAX оказываются более популярными, чем в Telegram. В качестве таких кейсов «Ведомости» приводят паблик Управления образования Пятигорска и канал МФЦ Сальского района Ростовской области.

Как показало наше исследование, мессенджер MAX в целом не сильно отличается от аналогов с точки зрения сбора личных данных и запрашиваемых разрешений. При этом в сервисе случаются технические сбои, а также проявляют активность различные мошенники.

Напомним также, что недавняя история о «полном взломе» национального мессенджера MAX оказалась фейком. Распространившуюся в Telegram информацию в самой платформе назвали недостоверной и не имеющей отношения к действительности.

RSS: Новости на портале Anti-Malware.ru