Новый вредоносный ПО "Torg Grabber" нацелен на 728 криптокошельков

Torg Grabber, недавно обнаруженный инфопохититель, нацелен на 728 расширений для криптокошельков, используемых в 850 браузерных плагинах, и уже активно используется.

Вредоносное ПО извлекает seed-фразы, приватные ключи и сессионные токены через зашифрованные каналы, прежде чем большинство средств защиты на конечных устройствах смогут обнаружить его. Пользователи, использующие криптокошельки в браузере, являются основной группой риска.

Исследователи компании Gen Digital задокументировали эту угрозу, отследив цепочку загрузчиков через данные о репутации доменов, в результате чего было собрано 334 образца за трехмесячный период разработки. Это не прототип. Это действующая платформа вредоносного ПО как услуги (Malware-as-a-Service) с идентифицированными операторами.

Основные моменты:

• Масштаб угрозы: Torg Grabber сканирует 850 браузерных расширений, 728 из которых являются целями для криптокошельков, в 25 вариантах браузера Chromium и 8 вариантах Firefox.
• Метод атаки: Загрузчик маскируется под легитимное обновление Chrome (GAPI_Update.exe, 60 МБ), развертывает полезную нагрузку через поддельную строку прогресса обновления безопасности Windows (420 секунд), а затем извлекает данные, используя шифрование ChaCha20 с аутентификацией HMAC-SHA256 через инфраструктуру Cloudflare.
• Кто находится в зоне риска: Пользователи расширений для кошельков в браузере — MetaMask, Phantom и аналогичные "горячие" кошельки — подвергаются прямому риску кражи учетных данных; пользователи аппаратных кошельков подвергаются косвенному риску только в том случае, если seed-фразы хранятся в цифровом виде.

Узнайте: Лучшие крипто-предпродажи, набирающие институциональный импульс прямо сейчас

Механизм: Как вредоносное ПО Torg Grabber осуществляет атаку на криптокошельки

Цепочка заражения начинается с загрузчика, замаскированного под GAPI_Update.exe — пакет InnoSetup объемом 60 МБ, распространяемый через инфраструктуру Dropbox. Он извлекает три безобидные DLL-библиотеки в %LOCALAPPDATA%\Connector\ для создания видимости чистого процесса, затем запускает поддельную строку прогресса обновления безопасности Windows, которая длится ровно 420 секунд, с анимированным ASCII-артом, скомпилированным с помощью csc.exe. Задержка намеренна: она создает правдоподобное окно установки, пока развертывается полезная нагрузка.

Исполняемый файл помещается под случайными именами — v4jkqh.exe, hkjpy08.exe, ln3dkgz.exe — в папку C:\Windows\ во всех зафиксированных образцах. Один из образцов размером 13 МБ запустил dllhost.exe и попытался отключить Event Tracing для Windows, прежде чем поведенческое обнаружение прервало его выполнение.

После развертывания, Torg Grabber нацелен на 25 браузеров Chromium, 8 версий Firefox, Discord, Steam, Telegram, VPN-клиенты, FTP-клиенты, почтовые клиенты и менеджеры паролей, а также криптокошельки. Данные архивируются в ZIP-файл в оперативной памяти или передаются по частям. Утечка данных происходит через конечные точки Cloudflare с использованием заголовков X-Auth-Token HMAC-SHA256 на каждом запросе и шифрования ChaCha20 — это архитектура промышленного уровня, а не импровизированный инструмент.

🚨 ВРЕДНОЕ ПО: Новый инфостилер "Torg Grabber" нацелен на 728 криптокошельков.

Вредоносное ПО предназначено для сбора данных кошельков и обеспечения кражи цифровых активов.

Криптокошельки остаются основной целью для злоумышленников, мотивированных финансовой выгодой.

— CyberAlertsHQ (@CyberAlertsHQ) 25 марта 2026 г.

Анализ компании Gen Digital выявил более 40 операторских идентификаторов, встроенных в исполняемые файлы: никнеймы, идентификаторы пакетов, закодированные датой, и идентификаторы пользователей Telegram, связывающие восемь операторов с российской киберпреступной экосистемой. Модель "как услуга" (MaaS) означает, что отдельные операторы могут развертывать пользовательский шелл-код после регистрации, расширяя поверхность атаки за пределы базовой конфигурации. Как описали исследователи Gen Digital, Torg Grabber эволюционировал от "мертвых почтовых ящиков" Telegram до "REST API промышленного уровня, работающего как швейцарские часы, но отравленных ядом".

Узнайте: Лучшие криптовалюты для диверсификации вашего портфеля

Сигнал самохранения: Что на самом деле означает 728 кошельков

728 — это не произвольное число. Оно представляет собой намеренную конфигурацию, охватывающую все основные браузерные кошельки с измеримым объемом установки. Сам MetaMask имеет более 30 миллионов активных пользователей в месяц. Логика, нацеленная на расширения, означает, что Torg Grabber не должен искать конкретную жертву; он собирает любые учетные данные кошельков, присутствующие на любом зараженном компьютере.

Риск четко разделяется. Пользователи, использующие самохранение и хранящие seed-фразы в хранилище браузера, текстовых файлах или менеджерах паролей, подвергаются полному компрометации кошелька при одном заражении. Активы, хранящиеся на биржах, напрямую не подвержены этому конкретному вектору атаки, вредоносное ПО нацелено на локальные хранилища учетных данных, а не на API бирж в массовом масштабе. Однако кража токенов сессии из хранилища браузера может скомпрометировать подключенные учетные записи бирж, если активны сеансы входа.

Если база операторов MaaS для Torg Grabber расширится, и мониторинг инфраструктуры REST API компанией Gen Digital указывает на активную итерацию, список кошельков, подверженных атакам, будет расти. Число 728 — это текущий снимок, а не предел. Сравнимые инфостилеры, такие как Vidar и RedLine, использовали эту модель много лет назад; Torg Grabber реализует ту же тактику с более структурированной инфраструктурой.

Узнайте: Лучшие крипто-пресейлы, набирающие институциональный импульс прямо сейчас