Новая волна атак: как троян Astaroth распространяется через WhatsApp и чем это грозит россиянам

Эксперты по кибербезопасности предупредили российских пользователей о новой масштабной кампании по распространению одного из самых опасных банковских троянов — Astaroth, также известного как Guildma. Вредонос впервые за долгое время получил обновлённую схему рассылки, которая серьёзно усложняет его обнаружение и делает атаки значительно более успешными.

Главной особенностью новой кампании стало то, что киберпреступники начали активно использовать WhatsApp — один из наиболее популярных мессенджеров в России и мире (принадлежит Meta Platforms Inc.*, признанной экстремистской организацией). Именно через него злоумышленники рассылают вредоносные файлы, маскируя их под безобидные вложения.

Как работает новая схема атаки

Согласно отчётам международных специалистов, жертвам приходят сообщения с ZIP-архивами, внутри которых расположен MSI-инсталлятор. Этот установочный файл выглядит вполне легитимно — многие пользователи привыкли видеть MSI при установке программ, поэтому не подозревают подвоха.

После запуска MSI-файла на компьютере происходит развёртывание полноценного трояна Astaroth.
Вредонос выполняет несколько действий сразу:

• распаковывает скрытые исполняемые файлы;

• помещает их в системные каталоги;

• прописывает автозагрузку через реестр Windows;

• устанавливает дополнительные модули для скрытной работы.

Заражение проходит практически незаметно, без ярких признаков активности.

Маскировка под log-файл: новый уровень хитрости

Одним из самых опасных нововведений стал скрипт AutoIt, замаскированный под простой журнал событий — файл с расширением .log.

Визуально это обычный текстовый документ, но на деле именно он:

• устанавливает соединение с командным сервером операторов трояна;

• загружает дополнительные модули и плагины;

• адаптирует вредонос под конкретную систему;

• обеспечивает постоянное присутствие Astaroth на компьютере.

Этот подход делает троян крайне трудным для обнаружения: антивирусы часто не проверяют файлы, замаскированные под логи, а пользователи и вовсе считают их системными.

Где активность самая высокая

Хотя кампания затронула множество регионов, основной удар пришёлся на Бразилию — исторический центр распространения Astaroth.

Однако эксперты отмечают, что новая схема доставки через мессенджеры глобальна по природе, а значит, легко может распространиться в России, где WhatsApp используется миллионами людей ежедневно.

Специалисты компании Sophos подчёркивают:

• кампания развивается стремительно;

• злоумышленники регулярно обновляют методы атаки;

• поведение трояна постоянно модифицируется для обхода обнаружения.

Это делает Astaroth одним из самых сложных в обработке вредоносных семейств за последние несколько лет.

Чем опасен Astaroth

Троян относится к категории банковских, а значит, его основная цель — хищение данных. После успешного заражения он может:

• красть пароли и логины;

• перехватывать банковские данные и одноразовые коды;

• собирать информацию из браузеров;

• выполнять кейлоггинг (запись нажатий клавиш);

• подключаться к удалённому серверу для управления и обновлений;

• распространяться дальше внутри сети.

Опасность его также в том, что многие заражения происходят в корпоративных средах — злоумышленники используют доверие работников к сообщениям и вложениям.

Как защититься: рекомендации специалистов

Эксперты настоятельно советуют пользователям быть предельно осторожными:

• Не открывать ZIP-архивы, полученные через мессенджеры, особенно если отправитель не предупреждал о пересылке.

• Проверять MSI-файлы на наличие цифровой подписи и происхождения.

• Использовать современные антивирусы, поддерживающие поведенческий анализ.

• Настроить двухфакторную аутентификацию в банках и онлайн-сервисах.

• В компаниях — ограничить запуск MSI-файлов политиками безопасности.

Эксперты также рекомендуют игнорировать вложения даже от знакомых, если они выглядят подозрительно: злоумышленники нередко захватывают чужие учётные записи и рассылают вредонос от имени доверенных контактов.

Массовая кампания по распространению Astaroth показывает, насколько быстро развиваются современные трояны и как легко киберпреступники адаптируют свои методы под привычные сервисы. В условиях, когда всё больше вредоносов распространяются через мессенджеры, внимательность и цифровая грамотность становятся ключевыми факторами безопасности.