Троянские программы уже не те «старые знакомые» из старых плейбуков по кибербезопасности. Сегодня это гибкие, модульные и часто автономные инструменты, которые умеют маскироваться под легитимный трафик, встраиваться в цепочки поставок и незаметно жить в инфраструктуре месяцами. Cyber Media разбирает, почему современные трояны стали опаснее, чем когда-либо, и как они трансформировали цифровую преступность.
Что такое современные трояны и почему они не похожи на классические
Раньше троян ассоциировался с чем-то простым — файлом, который тихо подбрасывал в систему вредоносный модуль. Сегодня же это полноценная многоуровневая платформа. По сути, «классический троян» умер, а вместо него появились гибридные инструменты, которые одновременно и дропперы, и бэкдоры, и мини-центры управления.
Олег Скулкин. Руководитель BI.Zone Threat Intelligence
В 2025 году мы не фиксируем принципиально новых методов маскировки, а наблюдаем лишь развитие уже известных подходов. Злоумышленники по-прежнему маскируют вредоносные файлы под различные документы, используют соответствующие иконки и такие приемы, как двойные расширения, например, .pdf.exe. Все также применяются техники DLL hijacking (замена легитимного DLL-файла на вредоносную библиотеку), включая DLL side-loading (распространение вредоносной библиотеки DLL вместе с легитимным приложением, которое ее выполняет). Продолжается эксплуатация 0-day-уязвимостей в популярных инструментах — например, в кампании группировки Paper Werewolf использовалась уязвимость CVE-2025-8088.
Современные трояны не стремятся быстро заразить и разрушить — наоборот, им крайне важно остаться незамеченными. Это уже не одиночный файл, а экосистема модулей, которая подтягивает нужный функционал по мере развития атаки. В начале — минимальный набор для выживания и первичного доступа, потом — тихие обновления, добавление инструментов для разведки, фиксации в системе, скрытого взаимодействия с командным сервером.
При этом все это упаковано так, чтобы не «шуметь»: подмена процессов, работа через легитимные API, маскировка трафика под облачные сервисы — стандартная практика. А еще многие трояны стали «леденяще терпеливыми»: они могут неделями ничего не делать, пока не появится нужный триггер или команда снаружи.
Олег Скулкин. Руководитель BI.Zone Threat Intelligence
Злоумышленники активно применяют polyglot-файлы, которые по-разному интерпретируются различными программами. Такой тип файлов использовал кластер Rainbow Hyena. Кроме того, не теряет актуальности применение стеганографии. Один из свежих примеров — фишинговая кампания Lone Wolf, где вредоносная нагрузка незаметно размещалась внутри изображения, а ярлык запускал цепочку действий, извлекающую и активирующую спрятанный загрузчик. Такой подход позволяет злоумышленникам передавать вредоносные компоненты в виде визуально безвредных файлов и обходить первичные механизмы анализа.
Именно поэтому сегодня троян — это не просто вредонос, а тихий оператор на стороне злоумышленника. А значит, и обнаруживать его приходится не по очевидным артефактам, а по микропаттернам поведения, которые сложно заметить без зрелого мониторинга.
Главные векторы проникновения: от фишинга до атак на ИТ-подрядчиков
Трояны не «взламывают дверь», они спокойно заходят через те же входы, которыми пользуются сотрудники. И если раньше основным способом заражения был массовый фишинг, то теперь злоумышленники действуют точнее, аккуратнее и куда изобретательнее.
Социальная инженерия и таргетированный фишинг все еще остаются королями проникновения. Только подход изменился: вместо сомнительных писем «от банка» приходят идеально вылизанные сообщения от имени внутреннего сервис-деска, подрядчика или реального сотрудника. Троян маскируется под документ, обновление или полезную утилиту — и попадает на рабочую станцию буквально в один клик. Чем более персональным выглядит письмо, тем выше шанс, что цель ничего не заподозрит.
Не менее популярный путь — компрометация сайтов и «drive-by» загрузки. Здесь жертве даже не нужно ничего скачивать: достаточно зайти на зараженный ресурс, чтобы браузер получил вредоносный скрипт или загрузчик. Внешне все выглядит как нормальный рабочий процесс, а в фоне уже разворачивается первый модуль трояна.
Семен Рогачев. Руководитель отдела реагирования на инциденты Бастион
Признак использования Living-off-the-Land тактик — запуск инструментов, являющихся частью ОС, так называемых Lolbas или GTFOBins, для реализации действий атакующими. Чаще всего они используются для выполнения кода и скачивания полезной нагрузки.
Основные признаки использования подобных тактик — аномальные аргументы командной строки, передаваемые компонентам операционной системы. Например, в случае, если атакующий использует PowerShell, высока вероятность, что вредоносный сценарий будет содержать в себе Base64-кодирование или команды -ExecutionPolicy Bypass, -EncodedCommand, IEX и их аналоги. При использовании Living-off-the-Land тактик может использоваться несколько Lolbas, поэтому аномальные цепочки процессов, например, Word, запускающий mshta, который, в свою очередь, порождает процесс PowerShell, также могут являться признаком использования Living-off-the-Land тактик.
Самый неприятный вектор — supply chain-атаки. ИБ-специалисты их особенно не любят, потому что здесь практически нечего «предъявить» сотруднику: он устанавливает обновление от легитимного поставщика, а вместе с ним — аккуратно встроенный троянский компонент. Поставщика могут взломать, подменить пакеты или внедрить вредоносный код в цепочку сборки. Компания получает вредонос «с доверенным сертификатом», а обнаружить подмену можно только через детальный анализ поведения и контроль целостности.
В итоге современные трояны редко «проламывают защиту лбом». Им гораздо удобнее маскироваться под работу, рутину или привычные действия. И именно это делает их попадание в инфраструктуру таким опасным — заражение выглядит как обычный рабочий день.
Как трояны маскируются: обход EDR, живучесть, персистентность
Современные трояны это минимум шума, максимум контроля над собственной «невидимостью». Их цель — не прорваться, а раствориться в инфраструктуре так, чтобы их было невозможно отличить от нормальной системной активности.
Один из ключевых приемов — маскировка сетевой коммуникации. Вредоносные модули прячут трафик за популярными облачными сервисами, используют системные API