Троян удаленного доступа заразил ПК с Windows в более чем 160 странах, следует из исследования Group-IB.
В отчете указано, что троян удаленного доступа Millenium RAT превратился в массовый инструмент для кражи данных с компьютеров под управлением Windows — специалисты компании выявили 62 тысячи 289 зараженных устройств более чем в 160 странах.
По данным Group-IB, наиболее активное распространение вредоносной программы пришлось на первый квартал 2026 года. За три месяца Millenium RAT скомпрометировал 39 тысяч 730 устройств. Аналитики связывают эту кампанию с кластером Y2K Operators, который распространяет вредоносные файлы с помощью методов социальной инженерии, маскируя их под полезные архивы, генераторы, взломанные программы, игровые инструменты и поддельные документы.
Отмечается, что Millenium RAT распространяется по модели «вредоносное ПО как услуга». Его разработчик под псевдонимом ShinyEnigma рекламирует троян на подпольных форумах, собственном сайте и легальных площадках для разработчиков.
После запуска троян загружает встроенную конфигурацию, расшифровывает ее и подключается к Telegram Bot API для получения команд.
Вредоносная программа способна похищать данные браузеров, историю посещений, файлы cookie, пароли, информацию о криптокошельках, файлы с рабочего стола, данные Telegram и Discord, делать снимки экрана, записывать звук, включать веб-камеру, вести кейлоггинг, запускать PowerShell и командную строку, загружать дополнительные файлы и удаленно управлять зараженным компьютером.
Для маскировки операторы используют названия файлов, имитирующие программы для взлома, генераторы подарочных карт, инструменты для Roblox, кряки и OSINT-утилиты. После заражения вредоносное ПО переименовывается в svchost.exe, MsEdgeUpdate.exe, setup.exe, update1.exe или Microsoft Antivirus.exe, чтобы затеряться среди легитимных процессов Windows.
