Kaspersky обнаружила распространение загрузчика RenEngine через пиратское программное обеспечение

Редакторский комментарий: В продолжающейся борьбе с вредоносным ПО охват RenEngine подчеркивает, как злоумышленники используют доверенные каналы распространения программного обеспечения для расширения своей базы жертв. Сегодняшний обзор от Kaspersky Threat Research освещает многоэтапную инфекцию, которая выходит за рамки игр и распространяется на широко используемые взломанные инструменты для повышения производительности. Эти выводы подчеркивают важность проверки источников программного обеспечения и поддержания актуальной защиты как в личных, так и в корпоративных средах. По мере того как киберугрозы все больше сочетаются с легитимными рабочими процессами, читателям рекомендуется пересмотреть меры безопасности, быть бдительными в отношении неофициальных установщиков и учитывать, как злоумышленники используют новые методы распространения. Это обновление дает контекст для руководителей, ИТ-команд и специалистов по безопасности, ориентирующихся в быстро меняющейся сфере угроз.

Ключевые моменты

Загрузчик RenEngine распространяется через десятки пиратских сайтов с программным обеспечением, а не только через взломанные игры.

Финальные полезные нагрузки включают Lumma, ACR Stealer и Vidar в различных цепочках заражения.

Модель распространения носит opportunistic (случайный, opportunistic) и региональный характер, а не целенаправленный.

Кампания использует установщики игр на базе Ren’Py с фальшивыми загрузочными экранами для развертывания вредоносного ПО.

Почему это важно

Расширение с игр на взломанное программное обеспечение для повышения производительности увеличивает потенциальную аудиторию жертв и повышает риск для отдельных лиц и организаций. Злоумышленники используют многоэтапную доставку, проверки на анализ и широкое распространение, чтобы обходить защиту. Организациям рекомендуется укреплять проверки происхождения программного обеспечения, обучать пользователей и внедрять поведенческий анализ для выявления вредоносной активности, маскирующейся под легитимное ПО.

Что следует отслеживать дальше

Следите за новыми сайтами или пакетами, распространяющими RenEngine через взломанное программное обеспечение.

Следите за обновлениями от поставщиков безопасности о кампаниях на базе HijackLoader с участием нескольких полезных нагрузок.

Отслеживайте любые новые семейства полезных нагрузок, связанные с RenEngine или подобными загрузчиками.

Раскрытие информации: Ниже приведено пресс-релиз, предоставленный компанией/PR-специалистом. Он публикуется в информационных целях.

Kaspersky выявляет загрузчик RenEngine, распространяемый через пиратские игры и программное обеспечение

Kaspersky выявляет загрузчик RenEngine, распространяемый через пиратские игры и программное обеспечение

23 февраля 2026 г.

Kaspersky Threat Research опубликовала свой анализ RenEngine — вредоносного загрузчика, который недавно привлек внимание общественности. Уже в марте 2025 года специалисты Kaspersky обнаружили образцы RenEngine, и на тот момент их решения уже защищали пользователей от этой угрозы.

Помимо взломанных игр, о которых сообщалось недавно, исследователи Kaspersky обнаружили, что злоумышленники создали десятки сайтов, распространяющих RenEngine через пиратское программное обеспечение, включая графические редакторы, такие как CorelDRAW. Это расширяет известную зону атаки за пределы игровой аудитории и охватывает всех, кто ищет нелицензионное программное обеспечение.

Kaspersky зафиксировала случаи в России, Бразилии, Турции, Испании и Германии, среди других стран. Модель распространения носит opportunistic (случайный, opportunistic) характер, а не целенаправленную.

Когда Kaspersky впервые обнаружила RenEngine, он распространял Lumma Stealer. В настоящее время атаки используют ACR Stealer в качестве финальной полезной нагрузки, а в некоторых цепочках заражения также наблюдается Vidar Stealer.

Кампания использует модифицированные версии игр на базе движка Ren’Py с фальшивыми загрузочными экранами, чтобы развернуть вредоносное ПО. При запуске зараженных установщиков появляется фальшивый загрузочный экран, пока в фоновом режиме выполняются вредоносные скрипты. Скрипты включают обнаружение песочниц и расшифровку полезной нагрузки, которая инициирует многоэтапную цепочку заражения с помощью HijackLoader — модульного инструмента доставки вредоносного ПО.

«Эта угроза выходит за рамки пиратских игр — злоумышленники используют ту же технику для распространения вредоносных программ через взломанное программное обеспечение для повышения производительности, что значительно расширяет потенциальную аудиторию жертв.»

— Павел Синенко, ведущий аналитик по вредоносному ПО в Kaspersky Threat Research

«Форматы архивов игр различаются в зависимости от движка и названия. Если движок не проверяет целостность своих ресурсов, злоумышленники могут встроить вредоносное ПО, которое выполнится в момент нажатия кнопки «Запуск».»

Решения Kaspersky обнаруживают RenEngine как Trojan.Python.Agent.nb и HEUR:Trojan.Python.Agent.gen. HijackLoader определяется как Trojan.Win32.Penguish и Trojan.Win32.DllHijacker.

Для защиты Kaspersky рекомендует:

Загружайте игры и программное обеспечение только из официальных источников. Пиратский контент остается одним из самых распространенных способов доставки вредоносных программ.

Используйте надежное решение безопасности. Kaspersky Premium защищает от угроз, таких как RenEngine, благодаря компоненту Behavior Detection, который выявляет вредоносную активность даже при маскировке под легитимное ПО.

Обновляйте операционную систему и приложения, чтобы устранять известные уязвимости.

Будьте скептичны к «бесплатным» предложениям. Если платная игра или программа доступны для бесплатной загрузки на неофициальных сайтах, цена — это, скорее всего, ваша безопасность.

О компании Kaspersky

Kaspersky — глобальная компания в области кибербезопасности и цифровой приватности, основанная в 1997 году. За все время защиты более миллиарда устройств от новых киберугроз и целевых атак, глубокий анализ угроз и экспертиза в области безопасности постоянно превращаются в инновационные решения и услуги для защиты частных лиц, бизнеса, критической инфраструктуры и правительств по всему миру. Полный портфель продуктов компании включает ведущие решения для защиты цифровой жизни личных устройств, специализированные продукты и услуги для компаний, а также решения Cyber Immune для борьбы с сложными и эволюционирующими цифровыми угрозами. Мы помогаем миллионам людей и почти 200 000 корпоративных клиентов защищать самое важное. Подробнее на www.kaspersky.com.

Данная статья изначально опубликована как Kaspersky flags RenEngine loader spread via pirated software на Crypto Breaking News — вашем надежном источнике новостей о криптовалютах, биткоинах и блокчейне.