Вредоносная программа Grandoreiro для Windows: ботнет с неизвестными возможностями

Семейство: Grandoreiro
Класс: ботнет-вредонос
Раздел: Ботнеты
Основание публикации: свежие наблюдения не старше 10 дней
Первое наблюдение в текущем наборе: 05.08.2026 15:02
Последнее наблюдение в текущем наборе: 11.08.2026 15:59
Образцов в пакете: 3; IOC: 12

Поведение, распространение и защита​

Что делает
Семейство Grandoreiro классифицируется как ботнет, действующий в операционных системах Windows. Оно предназначено для управления заражёнными устройствами через удалённый сервер. Доступные данные не подтверждают наличие специфических функций, таких как сбор учётных данных, кейлоггер или удалённое администрирование. Семейство может быть частью более широких атак, включающих доставку дополнительных компонентов и скрытие активности.

Как распространяется
Методы распространения семейства Grandoreiro не описаны в доступных источниках. Метаданные образцов не содержат информации о способах доставки. Доступные записи в базах IOC указывают на использование C2-серверов и доставку вредоносного ПО, но не раскрывают механизмы заражения.

Как обнаружить

1. Наличие сетевых соединений с адресами, указанными в IOC (iport, domain).
   
2. Обнаружение активности, соответствующей типу botnet_cc или payload_delivery.
   
3. Проверка поведения процессов на предмет взаимодействия с C2-сервером.
   
4. Анализ сигнатур в метаданных файлов, помеченных как Grandoreiro.
   
5. Обнаружение необычной активности в сети, соответствующей работе с ботнетом.
   

Что делать при заражении

1. Немедленно изолировать заражённое устройство от сети.
   
2. Сохранить телеметрию сетевых и процессных событий.
   
3. Проверить активность, связанную с C2-сервером.
   
4. Оценить использование учётных данных и потенциальное перемещение внутри сети.
   
5. Удалить подтверждённые артефакты, если возможно.
   
6. При невозможности подтвердить целостность системы — рассмотреть возможность переустановки ОС.
   

Как снизить риск

1. Ограничить доступ к сети для устройств, подозреваемых в заражении.
   
2. Использовать фильтрацию трафика по IOC, таким как iport и domain.
   
3. Проводить регулярный мониторинг сетевой активности на предмет подозрительных соединений.
   
4. Обновлять списки заблокированных адресов и доменов.
   
5. Проверять поведение процессов на предмет необычной активности, связанной с C2.
   

Скачать образцы​

Скачать образцы можно здесь:

Источники​

1. MalwareBazaar — Grandoreiro
   
2. ThreatFox — IOC Grandoreiro
   
3. Malpedia — Grandoreiro
   

История обновлений статьи​

• 12.08.2026 — Опубликована первая версия материала.