Поиск бесплатного VPN для Discord или чита для Roblox может закончиться кражей паролей и слежкой через веб-камеру. Специалисты F6 обнаружили схему распространения WebRAT, нацеленную на российских геймеров с компьютерами на Windows. Злоумышленники маскируют троян под полезные приложения и заранее убеждают пользователей игнорировать предупреждения антивируса.
В октябре 2026 года атакующие создали сайт discordzapretik[.]sbs, где предложили скачать Discord Zapret, якобы бесплатный VPN для Discord. На единственной странице разместили инструкции по установке и объяснили срабатывания антивируса работой программы с сетевыми фильтрами. Посетителей убеждали, что защитные средства воспринимают подобную активность как подозрительную, поэтому предупреждениям можно не придавать значения.
После скачивания и запуска исполняемых файлов на компьютер попадал WebRAT. По обращению CERT F6 доступ к сайту в России заблокировали. Каким способом злоумышленники привлекали посетителей, специалисты на момент исследования достоверно не установили.
Другой приманкой стало приложение Xeno Executor для Roblox. Пользователям предлагают неофициальную программу для запуска собственных игровых скриптов, обещая полёт, ускорение, бесконечные ресурсы в отдельных режимах и автоматизацию действий. Под видом чита атакующие также распространяют WebRAT.
WebRAT создан на основе Salat Stealer и совмещает возможности стилера, программы для кражи данных, с функциями трояна удалённого доступа. Вредоносную программу распространяют по модели Malware-as-a-Service, или «вредоносное ПО как услуга»: злоумышленники получают готовый инструмент для атак, который позволяет похищать информацию и управлять заражёнными компьютерами.
Троян может красть логины, пароли, токены авторизации и сведения о сеансах приложений, включая Telegram, Steam и Discord. Под угрозой оказываются и файлы cookie, с помощью которых сайты сохраняют состояние входа в аккаунт. Кража действующего сеанса в некоторых случаях позволяет получить доступ к учётной записи без повторного ввода пароля.
WebRAT постоянно проверяет буфер обмена и перехватывает скопированную информацию, включая данные криптовалютных кошельков и другие конфиденциальные сведения. Вредоносная программа также записывает нажатия клавиш и вводимый текст, в том числе сообщения.
Для слежки троян умеет делать снимки экрана и передавать изображение рабочего стола на сервер злоумышленника в реальном времени. Дополнительные функции позволяют записывать видео с веб-камеры и транслировать звук с микрофона. Если владелец использует заражённый компьютер для работы, преступники могут добраться до корпоративной почты, служебных аккаунтов и документов.
Аналитик CERT F6 Алексей Литвинов связывает интерес преступников к геймерам с возможностью заработать на похищенных аккаунтах, игровых предметах и внутриигровой валюте. Распространение троянов упрощает привычка части игроков скачивать читы и сторонние программы, а затем запускать сомнительные файлы вопреки предупреждениям защиты.
Специалисты F6 рекомендуют устанавливать программы с проверенных ресурсов и сайтов разработчиков, проверять загруженные файлы и не игнорировать сигналы антивируса. Если подозрительное приложение уже запущено, следует отключить компьютер от сети и провести полную антивирусную проверку. Завершать активные сеансы и менять пароли важных аккаунтов нужно с чистого устройства.
