SiriusQT: троян скрывает рабочий стол, клонирует сеансы и обходит антивирусы через UpCrypter

Исследователи Group-IB изучили вредоносную программу SiriusQT, построенную по модели подписки. В базе обнаружено более 280 образцов и 146 извлечённых лицензий, из которых 110 оказались утекшими, а ещё не менее тридцати пользователей приобрели действующие ключи. Точное число заражённых машин осталось неизвестным, поскольку часть файлов использовали лишь для тестирования.

Главная особенность трояна — технология Hidden VNC, создающая отдельный скрытый рабочий стол. Пока владелец ПК работает как обычно, злоумышленник запускает приложения, открывает файлы и браузер на невидимом для монитора экране. Такой подход превращает кражу данных в полноценное удалённое управление.

Особую опасность представляет модуль для браузеров на базе Chromium. SiriusQT клонирует профиль пользователя и запускает браузер в скрытом сеансе, предоставляя доступ к уже авторизованным учётным записям без повторного ввода пароля. Этот механизм напоминает атаку с перехватом сеансов Microsoft 365, о которой рассказывали в Атака без пароля: злоумышленник десять недель перехватывал сеансы Microsoft 365 у 79 организаций, — злоумышленнику достаточно украсть cookie или токены.

В панели управления сосредоточено свыше ста переключателей для сбора информации из криптокошельков, мессенджеров, почтовых клиентов, VPN, облачных хранилищ, менеджеров паролей и инструментов разработчика. Отдельный модуль проверяет токены Discord на действительность. Дополнительно троян записывает нажатия клавиш, отслеживает активные окна и перехватывает содержимое буфера обмена.

Оператор получает доступ к файлам, процессам, реестру и может выполнять команды через PowerShell, что превращает компьютер в удалённую рабочую станцию. Для закрепления в системе SiriusQT использует сразу несколько способов автозапуска: записи в реестре, задания планировщика, ярлыки в папке автозагрузки и сценарии входа. Необычный вариант подменяет стандартный профиль Windows — тогда вредоносная запись попадает даже в новые учётные записи, созданные позже.

Запуск вредоносного кода происходит через Process Hollowing, а некоторые версии загружают полезную нагрузку прямо в оперативную память, не сохраняя расшифрованный файл на диск. Маскировка под имя svchost.exe и размещение в каталогах, похожих на системные папки, затрудняют обнаружение. Географические фильтры разрешают не запускаться в странах СНГ, включая Россию, Беларусь и Казахстан, но эта защита необязательна.

На сервере сохранились следы подключений из России, Китая, Нидерландов, США и Германии, что говорит о глобальном характере угрозы. Связь с управляющим сервером идёт по собственному шифрованному протоколу поверх TCP. Вместо стандартных ChaCha20 или Salsa20 используется самодельный поток шифрования с 32‑байтным ключом, плюс резервные адреса и автовосстановление соединения после сбоя.

Хотя антивирусы всё чаще узнают клиентский компонент, в реальных кампаниях применяют загрузчик UpCrypter, помогающий доставить троян незаметно. В мае 2026‑го тот же инструмент использовали после фишинговых писем для установки других программ удалённого доступа, что ранее документировала Fortinet. Продавец GhostKernel выставил версию 1.0.5 на подпольных форумах cracked.to и crax.pro за 500 долларов с бессрочной лицензией, дополнительно предлагаются подписки на 1, 3 месяца и индивидуальные сроки.

Параллельно появились пиратские сборки с генераторами ключей, иногда с добавочной вредоносной начинкой, которые распространялись даже через GitHub, создав двойной рынок. Инфраструктура трояна пересекается с Remcos, XWorm, AsyncRAT, QuasarRAT — отчасти из‑за общих серверов или повторного использования адресов. Отдельный управляющий центр размещался в Google Cloud, что маскирует соединения под обычный облачный трафик.

Специалисты советуют не ограничиваться сменой паролей после подозрительной активности: сеансы могут быть уже скопированы, а доступ к машине сохранён.