Специалисты F6 обнаружили кампанию, в которой троян WebRAT маскируют под VPN для Discord и программу для запуска скриптов в Roblox. Для пользователя ловушка начинается с привычной загрузки установщика, но заканчивается риском передать злоумышленникам пароли, активные сессии и доступ к камерам и микрофону.

Схема нацелена на компьютеры с Windows. В одном случае приманкой стала программа Discord Zapret, которую рекламировали как бесплатный VPN; в другом WebRAT распространяли под названием Xeno — неофициального инструмента для Roblox. Оба обещания рассчитаны на игроков, которым нужны обход сетевых ограничений или возможности за пределами штатных правил игры.

Как работает приманка

В октябре 2026 года злоумышленники создали сайт discordzapretik[.]sbs с предложением установить Discord Zapret. На странице были инструкции, убеждавшие посетителей не обращать внимания на предупреждения антивируса: якобы защита реагирует с подозрением из-за работы программы с сетевыми фильтрами. Это важная часть схемы: пользователя не просто просят запустить неизвестный файл, но и заранее объясняют, почему средствам защиты не следует доверять.

После загрузки установщика запускаются несколько исполняемых файлов, и на устройство попадает вредоносное ПО. Аналитики Threat Intelligence компании F6 определили его как WebRAT. По запросу CERT F6 доступ к сайту заблокировали на территории России. Источник не сообщает, по каким именно каналам злоумышленники распространяли ссылку на ресурс.

Вторая приманка — Xeno для Roblox. Ее описывают как неофициальную программу, позволяющую запускать в игре собственные скрипты. Такие скрипты могут обещать функции вроде полета, ускорения, автоматизации действий или дополнительных ресурсов в некоторых режимах. Но файл, который игрок запускает ради игрового преимущества, в этой схеме становится способом доставить троян.

Здесь ирония сугубо инженерная: инструкция предлагает отключить доверие к антивирусу прямо перед запуском неизвестного установщика. Удобный шаг для атаки — и очень неудобный для владельца компьютера.

Что может WebRAT

WebRAT создан на основе Salat Stealer и сочетает функции похитителя данных с возможностями трояна удаленного доступа. Он распространяется по модели Malware-as-a-Service, то есть как вредоносный инструмент, доступный злоумышленникам в качестве услуги. Для пользователя это означает, что последствия не ограничиваются одной украденной парой логин-пароль: у программы есть набор средств для сбора данных и наблюдения за устройством.

По данным F6, троян может красть логины и пароли, файлы cookie, токены авторизации и данные сессий популярных приложений, включая Telegram, Steam и Discord. Он также проверяет содержимое буфера обмена и перехватывает скопированную информацию. Если туда попадают данные криптовалютного кошелька или другие конфиденциальные сведения, они тоже могут оказаться у злоумышленников.

Отдельный риск — запись нажатий клавиш и введенных данных. Это может включать сообщения и другую информацию, которую пользователь набирает на зараженном компьютере. Кража cookie и токенов также угрожает уже активным сессиям, а не только учетным записям, защищенным паролем.

WebRAT способен делать снимки экрана и передавать их на сервер злоумышленника, а также получать доступ к веб-камере, записывать на нее видео и передавать звук с микрофона. Согласно описанию F6, аудио и видео могут транслироваться в реальном времени. Таким образом, заражение может открыть злоумышленнику обзор происходящего на рабочем столе и доступ к информации, которая не хранится в файлах.

Поэтому риск касается не только игрового профиля. На том же ПК могут быть открыты рабочая почта, корпоративные учетные записи или платежные данные. В материале F6 подчеркивают, что после запуска такого ПО пользователь рискует потерять доступ к учетным записям и конфиденциальной информации, а злоумышленники могут получить контроль над устройством.

Почему мишенью становятся игроки

Игровые аккаунты могут иметь финансовую ценность благодаря скинам и внутриигровой валюте. Кроме того, на компьютере могут храниться пароли, активные сессии и ключи от криптокошельков. Именно поэтому под видом полезного дополнения злоумышленник пытается получить доступ не только к игре, но и к другим данным, доступным с устройства.

По оценке F6, геймеры могут сами упростить доставку вредоносного ПО, когда скачивают читы или сторонние лаунчеры и запускают их вопреки предупреждениям защиты. Это не значит, что каждый неофициальный инструмент — троян. Но в этой кампании именно обещание дополнительных возможностей и просьба проигнорировать антивирус — повод остановиться, а не продолжать установку.

Исследователям не удалось достоверно установить, как распространяли ссылку на сайт с Discord Zapret. F6 предполагает, что могли использовать способ, похожий на кампанию с инфостилером WeedHack, который маскировали под моды и читы для Minecraft: тогда ссылки распространяли через короткие видео в TikTok. Это лишь предположение о возможном канале, а не установленный факт о кампании WebRAT.

Маскировка под VPN тоже не нова для схем, описанных специалистами F6. В октябре 2026 года Android-троян ZloyRAT, по данным компании, распространяли под видом вымышленного сервиса GosuVPN. Ранее под бесплатные VPN маскировали Android-приложение RedWing Stealer, предназначенное для атак на клиентов банков в России, Узбекистане и Казахстане. Эти примеры технически не связаны с WebRAT, но показывают знакомый прием: рискованный файл выдают за инструмент для доступа или удобства.

Что делать пользователю

F6 рекомендует загружать программы только из проверенных источников или с сайтов разработчиков и не запускать исполняемые файлы с неизвестных сайтов. Подробная инструкция или убедительное название не подтверждают безопасность установщика. Если файл вызывает сомнения, его можно проверить антивирусом или сервисом анализа, а предупреждения средств защиты не следует обходить на основании объяснений с самой страницы загрузки.

Для важных учетных записей специалисты рекомендуют включить многофакторную аутентификацию. Если неизвестную программу уже запустили, совет F6 — отключить устройство от сети и выполнить полную антивирусную проверку, просканировав систему на наличие вредоносного ПО. Завершать активные сеансы и менять пароли важных аккаунтов нужно с «чистого» устройства, а не с компьютера, который мог быть заражен.