Специалисты Group-IB исследовали SiriusQT, троян для Windows, который позволяет незаметно управлять чужим компьютером, красть пароли, данные криптокошельков и активные сеансы браузера. Вредонос продают по подписке, а его образцы обнаружили в кампаниях сразу нескольких стран.
Масштаб распространения оказался заметным. Аналитики обнаружили более 280 образцов SiriusQT, связанных с различными кампаниями, и извлекли из них 146 уникальных лицензий. Из общего количества 110 ключей оказались утекшими, а не менее 30 пользователей приобрели действующие лицензии. При этом число найденных образцов нельзя приравнивать к количеству заражённых компьютеров, поскольку часть файлов использовали для тестирования.
Главная особенность SiriusQT заключается в поддержке Hidden VNC, технологии скрытого удалённого управления. Троян создаёт отдельный рабочий стол, который владелец компьютера не видит на своём мониторе. Злоумышленник может запускать приложения, работать с файлами и открывать браузер, пока пользователь продолжает заниматься своими делами, не замечая посторонней активности.
Особую опасность представляет работа с браузерами на базе Chromium. SiriusQT позволяет запускать браузер в скрытом сеансе и клонировать пользовательский профиль. Такой механизм создаёт условия для перехвата уже открытых сессий, включая доступ к сайтам, где пользователь ранее прошёл авторизацию. В отдельных случаях преступнику достаточно получить действующие файлы cookie или токены, чтобы воспользоваться чужой учётной записью без повторного ввода пароля.
Встроенный модуль кражи данных охватывает значительно больше приложений, чем обычный похититель браузерных паролей. Панель управления содержит свыше 100 переключателей для выбора источников информации, включая криптокошельки, мессенджеры, почтовые клиенты, VPN, облачные хранилища, менеджеры паролей и инструменты разработчиков. Исследователи также обнаружили механизм проверки похищенных токенов Discord на действительность.
Дополнительные возможности позволяют записывать нажатия клавиш, отслеживать активные окна и перехватывать содержимое буфера обмена. Оператор получает доступ к файловой системе, процессам, службам Windows и системному реестру, может выполнять команды через PowerShell и командную строку. В результате заражённая машина превращается не просто в источник украденных паролей, а в полноценную удалённо управляемую рабочую станцию.
Для закрепления в Windows разработчики предусмотрели несколько способов автоматического запуска. SiriusQT может добавлять записи в реестр, создавать задания планировщика, размещать ярлыки в папке автозагрузки и запускаться через сценарии входа пользователя. Один из наиболее необычных вариантов меняет стандартный профиль Windows, благодаря чему вредоносная запись автозапуска может попасть даже в новые учётные записи, которые создадут на заражённом компьютере позднее.
Троян также поддерживает Process Hollowing и другие способы запуска вредоносного кода внутри процессов Windows. Некоторые варианты загружают полезную нагрузку непосредственно в оперативную память, не сохраняя расшифрованный файл отдельно на диск. Для маскировки SiriusQT способен использовать имя svchost.exe и размещаться в каталоге, внешне напоминающем системные папки Microsoft.
Операторы могут настраивать проверки виртуальных машин и запрещать запуск вредоноса в странах СНГ, включая Россию, Беларусь и Казахстан. Однако географическая фильтрация необязательна. В одной из изученных серверных сборок сохранились сведения о ранее подключавшихся компьютерах из России, Китая, Нидерландов, США и Германии. Следовательно, наличие защитного фильтра не означает, что российские пользователи исключены из числа потенциальных жертв.
Для связи с управляющим сервером SiriusQT использует собственный зашифрованный протокол поверх TCP. Анализ показал, что программа не применяет стандартные ChaCha20 или Salsa20, а формирует поток шифрования с помощью собственного алгоритма и 32-байтового ключа. Разработчики предусмотрели резервные адреса серверов и механизм восстановления соединения после сетевого сбоя. Такая архитектура помогает сохранять контроль над заражённой системой при нестабильной связи.
Сам SiriusQT нельзя назвать полностью незаметным для защитных решений. Исследователи обнаружили, что его клиентский компонент сравнительно слабо защищён от анализа и многие антивирусные движки распознают образцы. Поэтому в реальных кампаниях операторы применяют дополнительные загрузчики. В мае 2026 года SiriusQT распространяли с помощью UpCrypter, который помогает доставлять конечную полезную нагрузку. Ранее специалисты Fortinet уже разбирали кампанию, где тот же загрузчик использовали после фишинговых писем для установки других троянов удалённого доступа.
География обнаруженных образцов также указывает на международное распространение SiriusQT. Великобритания, Франция, Германия и Нидерланды вместе обеспечили более половины географически привязанных отправок файлов в VirusTotal. Среди стран, фигурирующих в исследовании, также присутствуют Испания и Италия. Однако статистика VirusTotal отражает не только реальные заражения, но и проверки вредоноса операторами и исследовательскими системами, поэтому точное распределение пострадавших установить нельзя.
История коммерческого распространения SiriusQT началась как минимум в апреле 2026 года. На подпольных форумах cracked.to и crax.pro инструмент продвигал продавец под псевдонимом GhostKernel. В одном из объявлений версия SiriusQT 1.0.5 предлагалась за 500 долларов с бессрочной лицензией. Покупателям также доступны подписки на один или три месяца, а в изученных конфигурациях встречались индивидуальные сроки действия на 14, 28, 45 и 99 дней.
Продажи организованы по модели Malware-as-a-Service, когда клиент получает готовую вредоносную программу, панель управления и техническую поддержку. GhostKernel продвигал SiriusQT через Telegram и подпольные площадки, однако исследователи не смогли доказать, что продавец непосредственно участвовал в разработке трояна. В интерфейсе программы автором указан Amonus, но независимых подтверждений его личности или причастности к созданию инструмента также не обнаружено.
Ситуацию осложнило появление бесплатных взломанных сборок. В апреле сторонние участники начали распространять SiriusQT вместе с генераторами лицензионных ключей, а некоторые модификации содержали дополнительные вредоносные компоненты. Аналитики нашли такие предложения не только на хакерских форумах, но и в репозиториях GitHub. В результате вокруг одной программы сформировались два параллельных рынка, коммерческий с поддержкой продавца и бесплатный с модифицированными сборками.
При анализе инфраструктуры Group-IB обнаружила связи SiriusQT с Remcos, XWorm, AsyncRAT, QuasarRAT и другими вредоносными семействами. Часть совпадений объясняется общими серверами или повторным использованием инфраструктуры, а не обязательно сотрудничеством операторов. Отдельный управляющий сервер размещался в Google Cloud, что потенциально затрудняет сетевую фильтрацию, поскольку соединения с адресами крупных облачных провайдеров часто встречаются в обычном корпоративном трафике.
Точное количество жертв и финансовый ущерб исследователи не установили. При этом изученные образцы подтверждают, что SiriusQT объединяет инструменты слежки, кражи учётных данных и скрытого управления в одном программном комплексе. Для защиты специалисты рекомендуют не запускать файлы из сомнительных источников, применять многофакторную аутентификацию и отслеживать подозрительные процессы и сетевые соединения. Одна лишь смена пароля после заражения может оказаться недостаточной, если преступники уже похитили действующие сеансы браузера или сохранили удалённый доступ к компьютеру.
