35% заражений стилерами начинаются с запуска ВПО из недоверенных источников

Исследование Kaspersky Digital Footprint Intelligence показало, что 35% заражений стилерами (вредоносными программами для кражи данных) начинаются с запуска пользователями файлов из временных папок браузера. Основные векторы заражения устройств – установка ПО из недоверенных источников и попытка нелегитимно активировать программу. Часто вредоносные файлы маскируются под установщики легального ПО, активаторы или модификации игр. 

«Пользователи скачивают пиратский софт, читы для игр и фейковые установщики с торрентов, форумов и, в последнее время, из Telegram-каналов. Часто пользователь действительно получает ПО, которое искал, но вместе с вшитым стилером», – рассказал IT Speaker о наиболее типичных сценариях заражения стилерами Никита Ильин, руководитель группы тестирования на проникновение Triadix (входит в состав ATLAS). 

Согласно исследованию «Лаборатории Касперского», наиболее распространенное место обнаружения стилеров – временный каталог Windows – C:\Users\AppData\Local\Temp\. На его долю пришлось примерно 35% всех зафиксированных случаев. Эта папка обычно используется для хранения файлов, загруженных из интернета, до того, как пользователь сохранит их.

Еще в 32% случаев вредонос хранился в папке C:\Windows\Microsoft.NET\Framework\. Этот путь ассоциируется с методом внедрения в процессы (process injection), при котором произвольный код выполняется в пространстве другого, обычно легитимного процесса, и техникой Living off the Land (LotL), когда злоумышленники используют легитимные, встроенные в операционную систему инструменты, чтобы избежать обнаружения. Такое поведение обычно наблюдается у продвинутых семейств стилеров, например Lumma. 

«В 2025 году число заражений стилерами резко выросло – на 59% по сравнению с предыдущим годом. Наш анализ показывает, что именно поведение пользователей, а не технические уязвимости, нередко становятся ключевым фактором успешности таких атак. Более чем в трети случаев стилеры запускались из временных папок для загрузок, а значит, сразу после скачивания. Это говорит о том, что во многих случаях злоумышленникам не требуются продвинутые техники – им достаточно просто убедить пользователя запустить файл», – сказал Сергей Щербель, эксперт Kaspersky Digital Footprint Intelligence. 

По словам Никиты Ильина, популярность стилеров среди злоумышленников обусловлена тем, что для их распространения не нужно практически никаких навыков. При этом полученные данные продаются моментально. Например, куки и пароли от наиболее популярных сервисов разбирают на теневых маркетплейсах в течение нескольких часов. 

«Наиболее уязвимы пользователи, которые чаще всего устанавливают нелицензионный софт на рабочие машины: геймеры и сотрудники малого бизнеса без выстроенных процессов информационной безопасности. Самый опасный сценарий – кража учетных данных от корпоративного VPN: через одну учетную запись сотрудника команды вымогателей за бесценок получают доступ ко всей корпоративной инфраструктуре», – добавил Ильин.

Ранее УБК МВД России обнаружило новое вредоносное программное обеспечение Drama RAT, опасное для пользователей ОС Android. Это инструмент удаленного контроля, который крадет данные, управляет банковскими приложениями и может полностью заблокировать устройство.