На YouTube появилась новая схема распространения вредоносной программы: злоумышленники выдают зловред за инструмент для обхода блокировок под названием FixIt. По имеющимся данным, программу уже скачали более ста пользователей из России. С конца февраля 2026 года на разных YouTube-каналах начали появляться ролики с рекламой этого якобы полезного инструмента.
На деле вместо обещанного решения для доступа к привычным сервисам пользователи получают сразу два неприятных «подарка» — стилер Arcane и майнер Monero.
Схема выглядит довольно типично, но от этого не менее опасно. Пользователя через видео или поисковую выдачу ведут на сайт, зарегистрированный в феврале 2026 года. Чтобы всё выглядело убедительнее, на ресурсе размещены кнопка скачивания, описание «утилиты» и даже ссылка на Telegram-чат. То есть внешне всё оформлено так, будто речь идёт о вполне обычном сервисе.
После загрузки архива на устройство жертвы устанавливаются вредоносные программы. Arcane собирает логины и пароли, данные из браузеров, сведения о платёжных картах и криптокошельках, а также системную информацию об устройстве. Кроме того, зловред умеет делать скриншоты экрана. Пока всё это происходит, пользователь видит уведомление о якобы идущей загрузке или установке нужного инструмента и может не сразу понять, что происходит на самом деле.
Второй компонент, майнер Monero, использует ресурсы заражённого устройства для скрытой добычи криптовалюты. Иными словами, злоумышленники не только пытаются украсть данные, но и заставляют чужой компьютер работать на себя.
По имеющимся данным, к настоящему моменту опубликовано как минимум 20 видеороликов с рекламой FixIt, а их совокупное число просмотров уже достигло десятков тысяч. Основной целью кампании остаются пользователи из России.
Эксперты отмечают, что такая схема хорошо ложится в уже привычную для киберпреступников логику: брать актуальную и эмоционально заряженную тему, а затем использовать её как приманку. В данном случае злоумышленники играют на желании людей сохранить доступ к привычным сервисам и быстро найти рабочий способ обхода ограничений.
Опасность здесь ещё и в том, что стилеры вроде Arcane умеют собирать очень широкий набор данных — от учётных записей до файлов конфигурации разных приложений. А их функциональность может меняться от версии к версии, так что последствия заражения не всегда ограничиваются только утечкой паролей.
![APT28 атаковала UKR[.]NET: фишинг, PDF и прокси ngrok](https://www.anti-malware.ru/files/styles/imagesize266w200h/public/images/source/fancy_bear-news.png?itok=l8qWG_nF×tamp=1766255143)
