Злоумышленники бэкдорили пользователей через апдейты антивируса eScan

Злоумышленники бэкдорили пользователей через апдейты антивируса eScan

Злоумышленники бэкдорили пользователей через апдейты антивируса eScan

На протяжении пяти лет киберпреступники использовали антивирус eScan для заражения пользователей сложной вредоносной программой. Проблема заключалась в том, что eScan доставлял обновления по HTTP.

На интересную киберкампанию обратили внимание специалисты чешского антивирусного гиганта Avast. Как уточнили исследователи, киберпреступники устанавливали в системы жертв сложный бэкдор.

По сути, атакующие провернули классическую схему «человек посередине» (man-in-the-middle, MiitM), подменив легитимные обновления антивирусного движка eScan вредоносным файлом.

Интересно, что разработчики защитного продукта использовали HTTP для доставки обновлений как минимум с 2019 года. Это дало возможность злоумышленникам подсовывать людям бэкдор GuptiMiner.

Специалисты Avast уведомили как команду eScan, так и Индийскую компьютерную группу реагирования на чрезвычайные ситуации (CERT). 31 июля 2023 года представители eScan отчитались в устранении проблемы.

Что касается операторов GuptiMiner, они сначала использовали метод перехвата DLL и кастомный DNS-сервер, который позволял использовать имена легитимных доменов. Чуть позже злоумышленники переключились на технику маскировки IP-адреса.

В некоторых случаях вредоносный код прятался в графических изображениях (стеганография), чтобы затруднить его детектирование. Ряд вариантов бэкдора устанавливал кастомный корневой TLS-сертификат. Иногда через обновления eScan к пользователям попадал майнер XMRig.

Блокировки Telegram сократили число сливов данных, но не их масштаб

Компания «Эфшесть»/F6 зафиксировала снижение на 5% количества публикаций утечек данных российских компаний. Основной причиной этого специалисты называют блокировку телеграм-каналов, специализировавшихся на распространении подобных материалов.

По данным департамента киберразведки (Threat Intelligence), в первом квартале 2026 года было зафиксировано 68 публикаций утечек против 72 за аналогичный период 2025 года. При подсчёте учитывались все каналы распространения информации, а не только Telegram.

При этом общий объём опубликованных данных, напротив, вырос на 8% и достиг 111,2 млн строк. Из них около 96 млн строк пришлись на один крупный инцидент.

В компании связывают снижение числа публикаций с массовой блокировкой телеграм-каналов и профильных форумов, где ранее активно распространялись украденные данные. В частности, в октябре 2025 года в результате операции правоохранительных органов был закрыт BreachForum — одна из крупнейших площадок для публикации скомпрометированной информации.

Несмотря на это, тенденция к публикации украденных данных в открытом доступе сохраняется. Злоумышленники продолжают использовать такие «сливы» как способ нанести максимальный ущерб пострадавшим организациям.

Чаще всего жертвами утечек становились компании из сферы ретейла, электронной коммерции, образовательных сервисов, госсектора и интернет-платформ. В 2025 году структура пострадавших отраслей в целом была схожей, однако более значительную долю тогда занимали телекоммуникационные компании.

RSS: Новости на портале Anti-Malware.ru