Хакеры придумали несуществующие приложения для зарплатных сервисов и получили удалённый доступ к компьютерам

Исследователи Allure Security нашли 3 фейковых сайта, которые звали сотрудников финансовых и HR-отделов скачать десктопный клиент американских сервисов для расчёта зарплат. Настольных версий у этих платформ в природе нет, поэтому сравнить подделку жертве не с чем. Вместо клиента на комп улетал легитимный ScreenConnect с настройкой на скрытый удалённый доступ.

Лендинги собрали в Lovable, ИИ-сервисе, который превращает текстовое описание в готовую веб-страницу, а опубликовали через Vercel. Метаданные Lovable остались в коде и помогли восстановить путь от генерации до хостинга. Настоящие логотипы, скриншоты интерфейса и крупная кнопка загрузки прилагались, а продукта за кнопкой не существовало. Раньше для убедительного фишинга нужен был веб-разработчик, теперь хватает промпта.

Фейковый Zoom вскрывается за минуту, потому что оригинал лежит рядом на официальном сайте. С выдуманным клиентом браузерного сервиса этот приём не работает. Если платформа годами жила во вкладке, нативная апка для Windows никого не удивит, а сотрудник скорее обрадуется.

Кнопка загрузки вела на GitHub Releases. Для каждого бренда завели отдельный репозиторий под общей учёткой, а на странице лежал установщик примерно на 64 МБ. Дальше начинался аккуратный трюк:

• установщик собран на NSIS, обычном упаковщике Windows-инсталляторов, и на вредонос не похож;
• он запускал настоящий Microsoft .NET Desktop Runtime 8.0.26, и юзер видел нормальное окно установки;
• в конце появлялось сообщение об успешном завершении;
• тем временем через msiexec с параметром тихой установки ставился ScreenConnect.

Злоумышленники не писали трояна с нуля и взяли ScreenConnect от ConnectWise, реальный инструмент удалённого администрирования, настроив его на постоянное подключение без баннера, иконки в трее и уведомлений о сессии. Человек спокойно работает, а посторонний уже сидит у него на рабочем столе, и дыру в Windows искать не пришлось.

Российским бухгалтерам и кадровикам эту схему легко примерить на себя, потому что они живут в облачных банк-клиентах, веб-сервисах учёта и личных кабинетах, у которых десктопной версии может не быть вовсе. RMM-тулзы вроде ScreenConnect стоят и в российских компаниях, поэтому чужой агент легко потеряется среди своих.

3 сайта не были копиями друг друга, но за ними стоял 1 оператор. Кампанию исследователи не приписали ни стране, ни конкретному человеку, потому что улик хватает для связки инфраструктуры и не хватает для личности. Связали сайты технические следы:

• общий аккаунт LiveChat с идентификатором 19290867;
• совпадающая цепочка доставки и общие элементы инфраструктуры;
• единый сервер, к которому подключались все экземпляры ScreenConnect.

На компе того, кто считает зарплаты, лежат документы сотрудников, платёжные реквизиты и доступ к корпоративным системам. Allure Security предположила, что цель была в подмене корпоративных платежей, ведь атакующий мог наблюдать за рабочим процессом и ждать момента для смены реквизитов. Число пострадавших и факт кражи денег исследователи не установили, поэтому это версия цели, а не подтверждённый результат.

Интересно, что инфраструктура появилась раньше самих сайтов. Оператор начал готовить удалённый доступ примерно за месяц до запуска приманок, и уже в августе работали ScreenConnect-релей и клиент.

На GitHub насчитали 291 скачивание из релизов кампании, но приравнивать это число к количеству жертв нельзя. В счётчик попали исследователи, аналитики и автоматические песочницы, а часть реальных юзеров могла раскусить развод раньше, чем преступники им воспользовались.

Уточняется, что оператор подписал установщик сертификатом на имя Dennis Miller, полученным через SSL.com. Сертификат выдали и отозвали в тот же день, 24 июля 2026 года, но через несколько дней установщик всё равно подписали.

Специалисты называют это Living off the Land, когда вместо своего вредоноса атакующий собирает атаку из легитимных инструментов, знакомых и юзерам, и защите. Здесь кирпичиков хватило на целый конструктор:

• Lovable нарисовал страницы;
• Vercel их захостил;
• GitHub доставил установщики;
• Microsoft .NET Runtime показал настоящий экран установки;
• ScreenConnect дал удалённое управление.

Каждый элемент по отдельности легален, проблема в цепочке целиком, и классического вируса из страшного письма юзер может не увидеть вообще. Microsoft ещё в марте 2026 года описывала кампании, где RMM-инструменты выдавали за Teams, Zoom и Adobe Reader. Нынешняя кампания отличается тем, что программу выдумали для сервиса, у которого её никогда не было.

Allure Security посоветовала компаниям с облачными HR- и финансовыми сервисами начать с простых проверок:

• выяснить на официальном сайте вендора, есть ли у платформы настоящий десктопный клиент;
• воспринимать неожиданную кнопку «Скачать desktop-версию» как повод остановиться;
• проверять неожиданные установки ScreenConnect с незнакомым сервером и скрытыми уведомлениями;
• не считать GitHub автоматически безопасным источником софта.

Российским компаниям с парком RMM-агентов полезно прогнать инвентаризацию удалённого доступа и убедиться, что каждый ScreenConnect в сети свой.

Эксперты CISOCLUB отметили, что главная сила схемы в отсутствии оригинала для сравнения, поэтому советы вроде «проверь домен и сравни интерфейс» здесь бессильны. Защита должна держаться на политиках, а не на бдительности бухгалтера, а значит, софт на рабочих станциях финансистов нужно ставить только через админа или корпоративный каталог. RMM-клиенты стоит держать под белым списком и поднимать алерт на каждый новый ScreenConnect с тихой установкой.

Смену платёжных реквизитов нужно подтверждать по независимому каналу, например звонком по известному номеру, чтобы скрытый доступ не превратился в перевод денег. Ссылка на GitHub Releases давно не знак чистоты файла, ведь площадкой пользуются и разработчики, и преступники.

Ранее сообщалось, что в России за первое полугодие 2026 года объём утёкших данных заметно вырос, несмотря на сокращение числа официально зарегистрированных инцидентов. Согласно исследованию Solar AURA, входящей в группу «Ростелеком», из компаний было похищено 378,4 млн строк персональных и коммерческих данных против 288 млн за аналогичный период прошлого года. Основными источниками утечек стали финансовые организации, микрофинансовые компании и малый бизнес, тогда как доля инцидентов в государственных организациях сократилась практически до нуля.