Фахівці F6 виявили кампанію, у якій троян WebRAT маскують під VPN для Discord і програму для запуску скриптів у Roblox. Для користувача пастка починається зі звичного завантаження інсталятора, але закінчується ризиком віддати нападникам паролі, активні сесії та доступ до камер і мікрофона.
Схема націлена на комп’ютери з Windows. В одному випадку приманкою стала програма Discord Zapret, яку рекламували як безкоштовний VPN; в іншому WebRAT поширювали під назвою Xeno — неофіційного інструмента для Roblox. Обидві обіцянки розраховані на гравців, яким потрібні обхід мережевих обмежень або можливості поза штатними правилами гри.
Як працює приманка
У жовтні 2026 року зловмисники створили сайт discordzapretik[.]sbs із пропозицією встановити Discord Zapret. На сторінці були інструкції, які переконували відвідувачів не зважати на попередження антивіруса: нібито захист реагує підозріло через роботу програми з мережевими фільтрами. Це важлива частина схеми: користувача не просто просять запустити невідомий файл, а заздалегідь пояснюють, чому засобам захисту не слід довіряти.
Після завантаження інсталятора запускаються кілька виконуваних файлів, і на пристрій потрапляє шкідливе ПЗ. Аналітики Threat Intelligence компанії F6 визначили його як WebRAT. За зверненням CERT F6 доступ до сайту заблокували на території Росії. Джерело не повідомляє, якими саме каналами нападники поширювали посилання на ресурс.
Друга приманка — Xeno для Roblox. Її описують як неофіційну програму, що дозволяє запускати в грі власні скрипти. Такі скрипти можуть обіцяти функції на кшталт польоту, прискорення, автоматизації дій або додаткових ресурсів у деяких режимах. Але файл, який гравець запускає заради ігрової переваги, у цій схемі стає способом доставити троян.
Тут іронія суто інженерна: інструкція пропонує вимкнути довіру до антивіруса саме перед запуском невідомого інсталятора. Зручний крок для атаки — і дуже незручний для власника комп’ютера.
Що може WebRAT
WebRAT створений на основі Salat Stealer і поєднує функції викрадача даних із можливостями трояна віддаленого доступу. Він поширюється за моделлю Malware-as-a-Service, тобто як шкідливий інструмент, доступний зловмисникам у форматі послуги. Для користувача це означає, що наслідки не обмежуються одним викраденим паролем: програма має набір засобів для збору даних і спостереження за пристроєм.
За даними F6, троян може красти логіни й паролі, cookie-файли, токени авторизації та дані сесій популярних застосунків, серед яких Telegram, Steam і Discord. Він також перевіряє вміст буфера обміну й перехоплює скопійовану інформацію. Якщо туди потрапляють дані криптовалютного гаманця або інші конфіденційні відомості, вони теж можуть опинитися у зловмисників.
Окремий ризик — фіксація натискань клавіш і введених даних. Це може охоплювати повідомлення та іншу інформацію, яку користувач набирає на зараженому комп’ютері. Викрадення cookie й токенів також створює загрозу для вже активних сесій, а не лише для облікових записів, захищених паролем.
WebRAT здатен робити знімки екрана й передавати їх на сервер зловмисника, а також отримувати доступ до вебкамери, записувати з неї відео та передавати звук із мікрофона. За описом F6, аудіо й відео можуть транслюватися в реальному часі. Отже, зараження може відкрити нападнику огляд того, що відбувається на робочому столі, і доступ до інформації, яка не зберігається у файлах.
Через це ризик стосується не тільки ігрового профілю. На тому самому ПК можуть бути відкриті робоча пошта, корпоративні облікові записи чи платіжні дані. У матеріалі F6 наголошують, що після запуску такого ПЗ користувач ризикує втратити доступ до облікових записів і конфіденційної інформації, а зловмисники можуть отримати контроль над пристроєм.
Чому мішенню стають гравці
Ігрові акаунти можуть мати фінансову цінність через скіни та внутрішньоігрову валюту. Окрім них, на комп’ютері можуть зберігатися паролі, активні сесії й ключі від криптогаманців. Саме тому під виглядом корисного доповнення зловмисник намагається отримати доступ не лише до гри, а й до інших даних, доступних із пристрою.
За оцінкою F6, геймери можуть самі спростити доставку шкідливого ПЗ, коли завантажують чити або сторонні лаунчери й запускають їх усупереч попередженням захисту. Це не означає, що кожен неофіційний інструмент є трояном. Але в цій кампанії саме обіцянка додаткових можливостей і прохання проігнорувати антивірус є приводом зупинитися, а не продовжувати інсталяцію.
Дослідникам не вдалося достовірно встановити, як поширювали посилання на сайт із Discord Zapret. F6 припускає, що могли використовувати спосіб, подібний до кампанії з інфостилером WeedHack, який маскували під моди й чити для Minecraft: тоді посилання поширювали через короткі відео в TikTok. Це лише припущення щодо можливого каналу, а не встановлений факт про кампанію WebRAT.
Маскування під VPN теж не нове для описаних фахівцями F6 схем. У жовтні 2026 року Android-троян ZloyRAT, за даними компанії, поширювали під виглядом вигаданого сервісу GosuVPN. Раніше під безкоштовні VPN маскували Android-застосунок RedWing Stealer, призначений для атак на клієнтів банків у Росії, Узбекистані та Казахстані. Ці приклади не пов’язані з WebRAT технічно, але показують знайомий прийом: ризикований файл подають як інструмент доступу або зручності.
Що робити користувачеві
F6 радить завантажувати програми лише з перевірених ресурсів або сайтів розробників і не запускати виконувані файли з невідомих сайтів. Детальна інструкція чи переконлива назва не підтверджують безпечність інсталятора. Якщо файл викликає сумнів, його можна перевірити антивірусом або сервісом аналізу, а попередження засобів захисту не слід обходити на підставі пояснень із самої сторінки завантаження.
Для важливих облікових записів фахівці рекомендують увімкнути багатофакторну автентифікацію. Якщо невідому програму вже запустили, порада F6 — від’єднати пристрій від мережі та виконати повну антивірусну перевірку, перевіривши систему на шкідливе ПЗ. Завершувати активні сеанси й змінювати паролі важливих акаунтів потрібно з «чистого» пристрою, а не з комп’ютера, який міг бути заражений.
