Стилер с YouTube: что он крадёт, почему 2FA не спасла и когда проверять уже нечего

Содержание

На Microsoft Q&A человек описал свою историю: четыре месяца назад поймал стилер с YouTube, почти потерял Telegram, сменил все пароли, включил 2FA, прогнал пять антивирусов и дважды переустановил Windows. Всё в порядке, кроме одного — он до сих пор боится включать ноутбук.

Это не история про вирус. Это история про то, как неправильно понятая угроза превращается в привычку проверять.

Разберу по порядку: что такой вирус делает, почему 2FA не помогла и где заканчивается техника и начинается психология.

Один запуск, и всё #

Стилер (info-stealer) — не вирус в бытовом смысле. Он не живёт в системе, не показывает рекламу и не шифрует файлы. Он запускается один раз, собирает всё, что плохо лежит, отправляет на сервер и часто удаляет себя, чтобы не оставлять следов.

Так ведёт себя не вся малварь. Майнер, например, живёт в системе месяцами и выдаёт себя нагрузкой — его ищут по другим следам.

По оценке Microsoft, логи с заражённых устройств уходят на рынки в течение часов: обычный стоит 10–50 долларов, премиальный с банковскими или корпоративными аккаунтами — до 100 и дороже. На русских площадках встречаются предложения от 2 долларов за лог. Дальше их покупают посредники, проверяют и перепродают уже как доступ.

24 июня 2026 года Microsoft вместе с Europol отключила инфраструктуру двух популярных семейств — StealC и Amadey, больше 200 доменов и серверов управления. Инфраструктуру снесли, схему — нет. Сами стилеры никуда не делись.

Кладут их туда, где пользователь сам запускает файл: «кряки», читы для игр, «бесплатные» версии программ в описании к видео. Уязвимости не нужны — достаточно, чтобы человек дважды кликнул.

Бывает и наоборот: заражение приходит с обновлением официальной программы, без единого перехода по подозрительной ссылке. Так было с AOMEI Backupper: вредоносный файл отдавали серверы самой программы.

Почему увели Telegram, а не Google #

Ключевая деталь в той истории: Google-аккаунты не тронули, а Telegram почти угнали. И это логично, если понимать, что именно воруют.

Telegram Desktop хранит авторизацию в папке tdata в профиле пользователя. Внутри — не пароль, а готовый ключ сессии. Если скопировать эту папку на другую машину и подставить в свежеустановленный клиент, Telegram откроется уже авторизованным. Ни номера телефона, ни кода из SMS, ни пароля двухфакторной аутентификации не потребуется: для сервера устройство уже авторизовано.

Именно поэтому в тот момент не сработала 2FA. Она защищает вход, а вход уже состоялся раньше — на его собственном ноутбуке.

Дальше — как повезёт. Без доступа к номеру злоумышленник может держать сессию, читать переписку, писать от имени владельца и выпрашивать деньги у контактов. Почему не тронули Google — точной статистики нет. Скорее всего, сработала защита: 2FA и подтверждение входа с нового устройства делают такую цель дороже в работе. Но это объяснение, а не гарантия — берут то, что открывается легче.

Правильный порядок действий в такой ситуации — не антивирус, а сервер Telegram: Настройки → Приватность и безопасность → Активные сеансы, завершить всё незнакомое. Это отзывает сессию на стороне сервера, и копия tdata на чужом компьютере превращается в мусор. Плюс 2FA, чтобы следующий вход по коду из SMS был невозможен.

Оба шага в той истории сделали. Поэтому аккаунт и выжил.

Что ещё забирают #

Список у современных семейств почти одинаковый:

сохранённые логины и пароли из Chrome, Edge, Firefox, Opera;
cookie, включая сессионные, — это вход на сайты без пароля;
данные автозаполнения и сохранённые банковские карты;
расширения-кошельки и файлы криптокошельков;
tdata Telegram, данные Steam (ssfn*, config.vdf), сохранённые пароли Outlook, Foxmail, WinSCP;
скриншот экрана и полный список железа, программ и процессов.

Отдельно про Chrome и Edge. Летом 2024 года Chrome перевёл cookie на шифрование, привязанное к самому приложению (App-Bound Encryption), в Edge есть такая же настройка. Просто скопировать базу и расшифровать её снаружи уже не выйдет. Стилеры это обошли без взлома шифра: код внедряется в процесс самого браузера и читает данные оттуда, где они уже расшифрованы. Поэтому «у меня же Chrome, там всё зашифровано» — не аргумент.

Ещё нюанс из отчёта Microsoft по StealC: это семейство проверяет язык системы и не запускается на русской, украинской, белорусской, казахской и узбекской локалях. Это не забота о пользователях, а раздел рынка между группировками. Рассчитывать на такую «защиту» нельзя: так делают не все семейства.

Переустановка закрывает вопрос. Но не тот, что кажется #

В той истории человек удалил все разделы при установке и создал разметку заново. С точки зрения кода это финальная точка: на диске не остаётся ни файлов, ни загрузочных записей, из которых что-то могло бы стартовать.

Сброс до заводских настроек из работающей системы — более мягкий вариант. Для заражённой машины он слабее чистой установки, а какие режимы сброса бывают и что они стирают стоит посмотреть до нажатия кнопки.

Пустая папка Windows.old после такой установки пугает зря: её создаёт новый установщик, а не остатки старой системы.

Единственное, что теоретически переживает форматирование, — прошивка. UEFI-буткиты существуют: BlackLotus в 2023 году обходил Secure Boot даже на полностью обновлённых системах, используя уязвимость в загрузчике Windows (CVE-2022-21894). Но это целевые атаки на организации через конкретную дыру, а не полезная нагрузка стилера из описания к видео. Стилеру прошивка не нужна: его задача — забрать данные и уйти.

Отсюда практический вывод, который в той переписке так и не прозвучал. После чистой установки с удалением разделов проверять больше нечего. Очередной антивирус и очередная переустановка ничего не добавляют к безопасности — они добавляют только тревоги.

Что делать в первые часы #

Порядок важен: сначала аккаунты, потом компьютер. Потому что аккаунты пострадали уже, а компьютер — ещё нет.

Не менять пароли с заражённой машины. Любой новый пароль, введённый на ней, уйдёт туда же.
Начать с почты. Она — ключ восстановления ко всему остальному. Пароль сменить с телефона или другого ПК, затем включить 2FA.
Завершить сессии везде, где они есть. Telegram: Настройки → Приватность и безопасность → Активные сеансы. Google: myaccount.google.com → Безопасность → Ваши устройства. Microsoft: account.microsoft.com → Дополнительные параметры безопасности → Sign out everywhere (выйти везде). У Microsoft команда выполняется не мгновенно, а в течение суток.
Проверить правила пересылки в почте. Стилеры и почтовые трояны любят оставлять скрытое правило, которое копирует письма на чужой адрес. Смотрите и в веб-интерфейсе, и в клиенте.
Считать кошелёк потерянным, если seed лежал на диске. Фразу не «поменять» — создать новый кошелёк и перевести средства.
Переустановить Windows — если хочется. Это уже про спокойствие, а не про защиту аккаунтов. С флешки — по оригинальному ISO Microsoft, без флешки — через Cloud Rebuild.

Проверить, что было на машине и что с защитой сейчас, можно тремя командами в PowerShell от администратора.

Статус Defender, версия баз и время последнего обновления:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureVersion, AntivirusSignatureLastUpdated

История обнаружений — что именно нашли и когда:

Get-MpThreatDetection | Sort-Object InitialDetectionTime -Descending | Select-Object -First 10

И офлайн-проверка, если остались сомнения. Она перезагрузит компьютер и просканирует диск до запуска Windows:

Start-MpWDOScan

Про MRT (mrt.exe) стоит знать одно: Microsoft прямо пишет, что этот инструмент убирает только конкретные распространённые угрозы из своего списка, а для полной проверки советует Defender Offline. Как сканер «на всякий случай» он не работает, а как аргумент «я проверил пятью инструментами» — тем более.

Почему проверки не заканчиваются #

Технически вопрос закрыт: сессии отозваны, пароли сменены, диск отформатирован. Но человек продолжает искать подтверждение, что всё чисто, — и не находит, потому что окончательного подтверждения не существует.

Дальше работает простая механика. Каждая проверка даёт облегчение на несколько часов, а потом тревога возвращается — и требует следующей проверки, уже «на всякий случай». Пять антивирусов не успокоили, а научили мозг тому, что угроза серьёзная, раз столько внимания. В той истории цикл дошёл до того, что человек повредил редактор реестра «из-за своих мыслей» и из-за этого снёс систему. Единственный реальный ущерб за четыре месяца нанесла не малварь, а борьба с ней.

Что с этим делать практически:

Проверки по расписанию, а не по тревоге. Раз в месяц быстрая проверка Defender, раз в месяц — просмотр активных сеансов в почте и Telegram. Всё, что вне расписания, откладывается.
Никаких повторных переустановок без технической причины. «Мне кажется, что-то осталось» — не причина.
Стоп-лист: не лезть в реестр, не ставить третий антивирус, не спрашивать форум и ИИ, вирус ли это, если симптомов нет.
Мысль не равна действию. «А вдруг» придёт ещё не раз. Задача — заметить её и не запускать ритуал. Тяга отложить на 20 минут и заняться чем-то физическим проходит, как любая другая.

Если это уже мешает работе, сну или отношениям — это не про компьютер, и решается не сканером. Проверочные компульсии — один из хорошо проработанных запросов в когнитивно-поведенческой терапии; конкретный формат и сроки определяет специалист, а не статья.

Коротко #

Стилер крадёт сессии, а не заражает систему навсегда. Поэтому лечат не ноутбук, а аккаунты: сменить пароли с чистого устройства, отозвать сессии, включить 2FA. Ноутбук же лечится переустановкой с удалением разделов — и после неё проверять действительно нечего.

Если после всех этих шагов хочется поставить ещё один антивирус, проблема уже не в вирусе.

Частые вопросы #

Может ли стилер остаться после переустановки Windows? #

После установки с удалением всех разделов — нет. Единственное исключение — прошивка, но UEFI-буткиты используются в целевых атаках и к стилерам из описаний к видео отношения не имеют.

Помогает ли 2FA от стилера? #

От кражи уже существующей сессии — нет, для сервера устройство уже авторизовано. Но 2FA обязательна: без неё для входа достаточно кода из SMS, а его перехватывают или выманивают.

Найдёт ли стилер обычная проверка Defender? #

Иногда да, если базы знают семейство. Но стилер работает минуты и часто удаляет себя, поэтому «чисто» в отчёте не значит «ничего не было». Надёжнее смотреть на активные сеансы в аккаунтах.

Надо ли менять пароли, если ничего не пропало? #

Да. Стилер копирует всё сразу, а логи продаются позже. Отсутствие проблем сегодня ничего не говорит о том, что случится через месяц.

Если ваш случай ещё не закрыт #

Помогаю разбираться с последствиями стилеров удалённо: проверяю, какие устройства и сессии висят в почте, Telegram и аккаунте Microsoft, ищу забытые правила пересылки, смотрю, что осталось в системе после чисток, и объясняю, что делать дальше. От 500 ₽, с проверкой результата вместе с вами — как проходит удалённая помощь.

Напишите в чат на сайте, кнопка справа внизу. Запасной контакт: @walgo.