В рунете множатся вредоносные сайты, зарегистрированные китайцами

Татьяна Никитина 17 Июля 2023 - 19:16

...

В рунете множатся вредоносные сайты, зарегистрированные китайцами

Координационный центр национальных доменов фиксирует резкий рост числа злоупотреблений в TLD-зоне .рф. Сайты, создаваемые для раздачи вредоносных программ, регистрируются в основном с использованием паспортных данных граждан Китая.

Согласно статистике КЦ, в минувшем мае в зоне .рф было заблокировано 226 таких доменов, в июне — 2642. Прошлогодние показатели за те же месяцы оказались гораздо скромнее — 9 и 74 соответственно.

Созданные в этом году сайты используются для распространения трояна, детектируемого с вердиктом Evo-gen (составляет угрозу для Windows и Android), шифровальщика Zmutzy и шпионский софт, ассоциируемый с кибергруппой Void Balaur.

«Первые атаки были зафиксированы в мае, после чего в июне произошел резкий рост активности, — отметил в комментарии для РИА Новости руководитель проектов КЦ Евгений Панков. — Очевидно, что это было спланированной атакой с использованием домена .рф. Стоит отметить, что в прошлые годы доля вредоносных сайтов в .рф составляла менее 1% от общего количества обращений от компетентных организаций и пользователей. Однако за первые шесть месяцев 2023 года этот показатель вырос до 10%».

Скорость блокировки вредоносных доменов в России, по словам Панкова, — одна из самых высоких в мире. После подачи жалобы или обнаружения вредоносной активности домен снимается с делегирования обычно менее чем за 25 часов.

В Минцифры тоже заметили рост числа абьюзов в зоне .рф. По данным Министерства, в рунете выявлено и заблокировано около 2,2 тыс. РФ-ресурсов со ссылками на вредоносный софт; в ряде случаев для оформления сайта использовался китайский язык.

Китайские злоумышленники и ранее не обделяли Россию вниманием. Сейчас, например, в в российском сегменте интернета активна APT-группа Space Pirates, использующая китайский язык; за год эти шпионы, по данным Positive Technologies, провели 16 успешных атак на российский госсектор, авиапром и предприятия космической отрасли.

Следующая главная новость »

Российские системы виртуализации — подробнее в эфире AM Live. Регистрируйтесь! »

Екатерина Быстрова 28 Января 2026 - 12:40

Windows Эксплойты Уязвимости программ Кибершпионаж Целевые атаки Таргетированные атаки Корпорации Государство Google

Уязвимость WinRAR стала массовым орудием киберпреступников

Уязвимость в WinRAR, о которой стало известно ещё летом, оказалась куда популярнее, чем ожидалось. По данным Google Threat Intelligence Group (GTIG), брешь активно используют сразу несколько группировок — от государственных APT до обычных киберпреступников, работающих «за процент».

Речь идёт о серьёзной ошибке класса path traversal (выход за пределы рабочего каталога) под идентификатором CVE-2025-8088, связанной с механизмом Alternate Data Streams (ADS) в Windows.

С её помощью злоумышленники могут незаметно записывать вредоносные файлы в произвольные каталоги системы — например, в папку автозагрузки, обеспечивая себе устойчивость после перезагрузки компьютера.

Изначально уязвимость обнаружили исследователи ESET. В начале августа 2025 года они сообщили о соответствующих кибератаках группировки RomCom. Однако свежий отчёт Google показывает: эксплуатация началась ещё 18 июля 2025 года и продолжается до сих пор, причём сразу несколькими типами атакующих.

Схема атаки обычно выглядит так: в архиве WinRAR прячется безобидный файл-приманка — например, PDF-документ. При этом внутри того же архива через ADS скрываются дополнительные данные, включая вредоносную нагрузку.

Пользователь открывает «документ», а WinRAR в фоновом режиме извлекает скрытый файл с обходом путей и сохраняет его в нужное атакующему место. Часто это LNK, HTA, BAT, CMD или скрипты, которые запускаются при входе в систему.

Среди правительственных кибергрупп, замеченных Google за эксплуатацией CVE-2025-8088, — целый «звёздный состав»:

UNC4895 (RomCom/CIGAR) рассылала фишинговые письма украинским военным и доставляла загрузчик NESTPACKER (Snipbot).
APT44 (FROZENBARENTS) использовала вредоносные ярлыки и украиноязычные приманки для загрузки дополнительных компонентов.
TEMP.Armageddon (CARPATHIAN) до сих пор применяет HTA-загрузчики, оседающие в автозапуске.
Turla (SUMMIT) распространяла свой набор инструментов STOCKSTAY, маскируя атаки под материалы для ВСУ.

Также зафиксированы китайские группировки, которые применяли эксплойт для доставки POISONIVY через BAT-файлы.

Но на этом всё не заканчивается. GTIG отмечает, что уязвимость активно используют и финансово мотивированные злоумышленники. Через WinRAR они распространяют популярные трояны и стилеры — XWorm, AsyncRAT, бэкдоры под управлением Telegram-ботов, а также вредоносные расширения для браузера Chrome, ориентированные на банковские данные.

По оценке Google, большинство атакующих не писали эксплойт сами, а просто купили готовое решение у специализированных продавцов. Один из таких поставщиков, известный под псевдонимом «zeroplayer», рекламировал рабочий эксплойт для WinRAR ещё летом.

Причём это далеко не единственный его «товар»: ранее он предлагал 0-day для Microsoft Office, удалённое выполнение кода в корпоративных VPN, локальное повышение привилегий в Windows и даже обходы средств защиты — по ценам от 80 до 300 тысяч долларов.