Эксперты Центра исследования киберугроз Solar 4RAYS группы компаний «Солар», ведущего провайдера комплексной кибербезопасности в России, обнаружили обновленную версию стилера Webrat (также известного как Salat Stealer). Хакеры научили вредоносное ПО (ВПО) получать адрес управляющего сервера через связанную с мессенджером Telegram блокчейн-сеть TON (The Open Network). Из-за этого ВПО стало сложнее нейтрализовать — как только блокируется IP-адрес одного управляющего сервера, вредонос через TON получает доступ к другому.
Webrat часто распространяется под видом читов (программ для получения нечестного преимущества в играх) для популярных видеоигр, пиратских программ и модифицированных клиентов заблокированных в России сервисов вроде Discord (запрещен в РФ). ВПО выполняет основную функцию стилера, а именно — крадет аккаунты в популярных онлайн-сервисах вроде Steam и Telegram, криптокошельки и т.д. В дополнение вредонос обладает возможностью полноценного контроля над компьютером через пользовательский интерфейс (UI) и загрузки программ-блокировщиков и майнеров.
Любое ВПО обычно держит связь с сервером, с которого преступники присылают команды: что украсть, куда отправить данные, какой вирус еще скачать на зараженный компьютер. Существуют разные способы обнаружения адреса такого сервера: его можно найти в коде самого ВПО, отследить по трафику, который генерирует зараженный компьютер, в том числе обнаружить при сравнении с базами уже известных вредоносных доменов и IP-адресов. Определив адрес, можно заблокировать доступ к нему и нейтрализовать таким образом вредонос.
Для обхода этих способов противодействия злоумышленники начали прятать адреса управляющих серверов внутри блокчейна — технологии, на которой строятся, например, криптовалюты. Публичную инфраструктуру блокчейн-сетей невозможно заблокировать целиком, а обращения к ней сложно отличить от легитимного трафика — в отличие от варианта прямого обращения к серверам и доменам. Вредонос обращается к блокчейну с зараженного компьютера, находит там IP-адрес управляющего сервера и соединяется с ним. Такой механизм специалисты по информационной безопасности называют Blockchain Dead Drop по аналогии с обычным Dead Drop.
«О механизме Blockchain Dead Drop известно сравнительно давно, но в последнее время мы стали чаще обнаруживать новые его реализации, в частности, через инфраструктуру сети TON. Например, использующий ее обновленный Webrat мы заметили в конце лета 2026 года на VirusTotal».
Василий Штырков, аналитик вредоносного ПО Центра исследования киберугроз Solar 4RAYS
Конкретно сеть TON привлекательна для злоумышленников тем, что она поддерживает программируемые смарт-контракты (сервисы на базе блокчейна, используемые в основном для осуществления сделок), которыми могут управлять в том числе киберпреступники. В случае с обновленным Webrat хакеры постоянно обновляют в смарт-контрактах IP-адрес управляющего сервера, за счет чего ВПО продолжает работать в зараженной сети. Кроме того, исходящие обращения Webrat выглядят как легитимные, связанные с блокчейн-сетью TON, поэтому не сразу определяются системами мониторинга как подозрительные.
«Использование блокчейна TON позволяет Webrat избежать заметных DNS-запросов, которые раньше делало ВПО, и получить IP-адрес управляющего сервера через легитимный сервис TON API. Из-за этого обнаружить и парализовать активность Webrat стало заметно сложнее».
Василий Штырков, аналитик вредоносного ПО Центра исследования киберугроз Solar 4RAYS