В среде специалистов по кибербезопасности название Veles Commander (часто упоминаемое в связке с Veles Loader или Veles Botnet) известно как одна из модульных вредоносных платформ‚ активно использовавшихся для атак на пользователей и организации преимущественно в странах СНГ и Европе. Статья ниже подробно разбирает хронологию появления‚ технические особенности‚ ключевые инциденты (включая утечки исходного кода) и текущее состояние этого вредоносного ПО.

Появление и позиционирование (2021–2022 гг.)

Проект «Велес» (Veles) впервые зафиксирован исследователями в конце 2021 – начале 2022 года. В отличие от многих «однодневных» стилеров‚ Veles сразу позиционировался как продукт уровня Enterprise для киберпреступников (Malware-as-a-Service‚ MaaS).

• Архитектура: Модульная. Основной компонент — загрузчик (Loader)‚ который после установки на машину жертвы скачивает и выполняет плагины (модули).
• Функционал модулей: Кража паролей браузеров‚ куков‚ истории автозаполнения‚ криптокошельков (модуль «Crypto»)‚ сбор системной информации (Sysinfo)‚ клюлоггер‚ модуль для работы с Telegram/Discord/Steam‚ модуль удаленного управления (RAT-подобный функционал — «Commander»/«Admin Panel»).
• Панель управления (C2): Веб-интерфейс на PHP/Node.js с удобным дашбордом‚ статистикой заражений‚ билдером конфигов и управлением задачами для ботов. Именно веб-панель часто называли «Veles Commander» или «Veles Panel».
• Обфускация и антианализ: Использование собственного упаковщика‚ проверка на виртуальные машины (VM)‚ отладчики‚ наличие сенсоров анализа (например‚ проверка MAC-адресов известных вендоров виртуалок)‚ задержки выполнения (sleep obfuscation).

Модель распространения и инфраструктура

Распространение осуществлялось по классической схеме MaaS:

1. Реклама на подпольных форумах: (название форума скрыто)‚ и закрытых Telegram-каналах.
2. Подписка: Аренда за * USD в месяц/неделю (цена варировалась в зависимости от тарифа: «Base»‚ «Pro»‚ «Enterprise» с доступом к исходникам панели).
3. Векторы доставки:
   • Фишинговые рассылки (маскировка под документы‚ акты‚ накладные).
   • Malvertising (вредоносная реклама в поиске‚ ведущая на лендинги с драйверами/софтом).
   • YouTube/Telegram-скемы (видео с «читами»‚ «кейгенами»‚ ссылки в описании);
   • Эксплойты уязвимостей (например‚ CVE-2021-40444‚ CVE-2022-30190 «Follina») для бескликового исполнения.

Инфраструктура C2 (Command & Control) обычно хостилась на bulletproof-хостингах в Нидерландах‚ Румынии‚ Молдове или на скомпрометированных VPS/выделенных серверах. Домены регистрировались через анонимные регистраторы (Namecheap‚ Porkbun и др. с Whois Privacy) на фейковые данные (*).

Ключевые инциденты: Утечки и «Смерть» проекта

История Veles — это классический пример жизненного цикла MaaS-проекта: взлет‚ пик активности‚ внутренние конфликты/утечки и ребрендинг/закрытие.

Утечка билдера и панели (Середина 2022 – Начало 2023)

В мае-июне 2022 года в открытый доступ (на GitHub‚ а затем на форумах вроде *) попал исходный код панели управления (C2 Panel) и билдера одной из ранних версий (v1.x / v2.x).

Причины утечки (по данным OSINT):

• Взлом сервера разработчика/реселлера.
• Утечка со стороны недовольного покупателя (клиента)‚ который не получил поддержку или обновлений.
• Внутренний конфликт команды разработчиков (спор за долю прибыли).

Последствия: Исходники на PHP/JS (панель) и C++/ASM (лоадер/билдер) стали доступны скрипт-кидди и исследователям. Это привело к:

• Появлению множества бесплатных/дешевых клонов («Veles Free»‚ «Veles Cracked»).
• Быстрому написанию сигнатур для AV/EDR (Windows Defender‚ Kaspersky‚ CrowdStrike и др. начали детектить «генерацию» Veles по эвристике и статике).
• Потере доверия со стороны «крупных» клиентов MaaS‚ плативших за эксклюзивность.

Попытка ребрендинга: VelesCore / Veles 3.0 (Конец 2023)

Пытаясь спасти бизнес‚ команда (или один из лидеров под ником *) анонсировала VelesCore (или Veles 3.0).

• Полная переработка кода лоадера (переход на более современные техники: syscalls‚ Heaven’s Gate‚ ручная маппинг DLL).
• Новая панель на Go/Rust/React (уход от PHP).
• Внедрение приватного криптора (FUD-криптор) как отдельного сервиса.

Однако к концу 2023 – началу 2024 года активность официальных каналов продаж (Telegram-ботов‚ тем на форумах) затихла. Аккаунты разработчиков (*) перестали отвечать на сообщения покупателей.

Операция спецслужб / Law Enforcement Action?

На данный момент официального заявления от правоохранительных органов (ФСБ‚ МВД РФ‚ Europol‚ FBI) о аресте конкретных лиц‚ стоящих за брендом «Veles»‚ не было (в открытых источниках на дату).

Однако эксперты (название компании-исследователя скрыто) с высокой долей вероятности связывают затухание активности с:

1. Операцией «SpecTor» / «Cookie Monster» / аналогичными: Массовыми арестами реселлеров и админов ботнетов в 2023-2024 гг.‚ которые могли использовать Veles.
2. Доксингом разработчиков: В закрытых чатах появлялись досье на предполагаемых авторов (ники‚ возможные имена ‚ города проживания ‚ привязки к криптокошелькам *)‚ что заставило команду «уйти в тень».
3. Экономической нецелесообразностью: Рынок лоадеров перенасыщен (Amadey‚ SmokeLoader‚ PrivateLoader‚ LummaC2‚ Rhadamanthys‚ StealC). Поддержка инфраструктуры и разработка FUD-обфускации требуют затрат‚ не окупающихся при падении конверсии заражений.

Текущий статус (2024 – 2025 гг.)

На момент написания статьи (* текущая дата) ситуация следующая:

Технический разбор: Почему проект «умер»? (Экспертный взгляд)

С точки зрения архитектуры ПО‚ у Veles было несколько системных проблем‚ ставших причиной краха:

Проблема «PHP-панели»

Использование PHP для C2-панели, стандарт индустрии MaaS (удобно‚ дешево‚ много разработчиков)‚ но это создает огромную поверхность атаки:

• Уязвимости в коде панели (RCE‚ SQLi‚ Auth Bypass) позволяли конкурентам или исследователям захватывать ботнеты‚ удалять логи или скачивать базы зараженных.
• Сложность масштабирования (нужен балансировщик‚ репликация БД) при росте ботнета до 10k+ ботов.

Отсутствие приватного криптора на старте

Первые версии поставлялись с публичным/слабым криптором или без него. Сэмплы мгновенно попадали в VirusTotal и на песочницы (ANY.RUN‚ Hybrid Analysis‚ Joe Sandbox). К моменту выпуска приватного криптора (в v3.0) репутация уже была испорчена.

Конкуренция с «тяжелыми» игроками

На рынке закрепились гиганты с мощными командами R&D:

• LummaC2 / Rhadamanthys: Написаны на Go/Rust‚ отличная модульность‚ мощные анти-анализ‚ регулярные обновления.
• Amadey / SmokeLoader: Дешевые‚ проверенные годами‚ огромная экосистема плагинов.
• PrivateLoader (Pay-per-install): Другая модель бизнеса‚ но забирает трафик.

Veles не смог предложить уникальную «киллер-фичу»‚ ради которой стоит платить премиум.

IOC (Индикаторы компрометации) для детектирования

Хотя проект неактивен‚ легаси-инфекции возможны. Ниже обобщенные IOC (конкретные хеши/домены/IP * скрыты/обобщены для безопасности‚ используйте актуальные фиды TI):

• Файловые хеши (SHA256): Соответствуют семейству Trojan:Win32/Veles‚ HEUR:Trojan.Win32.Veles в основных AV. Рекомендуется блокировка по поведению (MITRE ATT&CK: T1059‚ T1005‚ T1003‚ T1020‚ T1041‚ T1555‚ T1552).
• Сетевые артефакты:
  • User-Agent: Часто кастомные строки вида VelesBot/ или имитация браузера с аномалиями в заголовках (отсутствие Accept-Language‚ нестандартный порядок заголовков).
  • URI Paths: /gate.php‚ /api/‚ /*.php (часто случайные строки).
  • C2 протокол: HTTP/HTTPS POST с JSON или бинарным протобуфом (protobuf)‚ часто зашифрованный RC4/AES (ключ в конфиге/бинарнике).
• Поведение на хосте:
  • Создание задачи в Планировщике задач (Schtasks) для персистентности (RunOnce / Logon).
  • Копирование себя в %APPDATA%.exe или %LOCALAPPDATA%*.
  • Запрос к api.ipify.org / ifconfig.me для определения внешнего IP.
  • Сбор файлов: Login Data‚ Cookies‚ Web Data из профилей Chrome/Edge/Firefox/Yandex; wallet.dat‚ *.json из папок кошельков (Exodus‚ Electrum‚ Atomic‚ Metamask extension).

Рекомендации по защите (Remediation & Hardening)

1. EDR/XDR: Включите режим блокировки (Block mode) для подозрительных цепочек: cmd.exe -> powershell.exe -> download -> execute‚ mshta.exe / wscript.exe запуск скриптов из %TEMP% / %APPDATA%.
2. AppLocker / WDAC (Windows Defender Application Control): Белый список разрешенных исполняемых файлов. Блокировка запуска неподписанных бинарников из профилей пользователей.
3. Credential Guard / VBS: Включите виртуализацию безопасности (VBS) и Credential Guard на Windows 10/11 Enterprise — это критически снижает эффективность модулей кражи паролей (LSASS dumping‚ DPAPI bypass).
4. Network Monitoring: TLS Inspection на периметре. Блокировка соединений с недавно зарегистрированными доменами (Newly Registered Domains ⎯ NRD)‚ доменами с низкой репутацией‚ IP из списков Bulletproof-хостингов.
5. Threat Intelligence: Подписка на фиды IOC (AlienVault OTX‚ Abuse.ch URLhaus/FeodoTracker‚ MISP-инстансы) для автоматического блокирования известных C2 Veles.

Veles Commander / Veles Loader — это пример типичного жизненного цикла проекта MaaS среднего уровня: громкий старт с обещаниями «FUD» и удобной панелью‚ утечка исходного кода (leak) на ранней стадии‚ потеря коммерческой привлекательности‚ неудачная попытка ребрендинга (VelesCore) и плавное затухание на фоне доминирования более технологичных конкурентов (Lumma‚ Rhadamanthys‚ StealC).

На данный момент активной угрозы от «официального» Veles не существует. Однако код утек в сеть‚ и низкоквалифицированные акторы (script kiddies) или небольшие группы могут использовать его фрагменты для сборки собственных «франкенштейнов». Системы защиты должны быть настроены на детектирование поведения» (TTPs)‚ характерного для этой семьи (модульная загрузка‚ кража браузерных данных‚ специфическая структура конфига)‚ а не только на статические сигнатуры старых сэмплов.