Как работал «тихий» майнер

Полезная нагрузка XMRig была спроектирована с упором на скрытность. В отличие от агрессивного вредоносного ПО, сразу заявляющего о себе падением производительности, этот майнер запускался только тогда, когда система простаивала. Такой подход минимизировал риск обнаружения пользователем .

После установки вредонос закреплялся в системе через несколько последовательных шагов:

• Размещение файла: Майнер копировал себя в директорию C:\Program Files\Hola\HolaMonitorService.exe. И путь, и название файла были подобраны так, чтобы имитировать легитимный компонент мониторинга браузера .
• Создание службы: Вредонос создавал службу Windows с именем hola_monitor_svc и типом запуска 0x00000002 (автоматический старт). Это гарантировало, что майнер будет запускаться при каждой загрузке системы .
• Обход антивируса: Чтобы избежать проверок встроенным антивирусом, программа добавляла путь к себе в список исключений Защитника Windows .
• Запутывание следов: Файл me.exe не имел цифровой подписи и корректной временной метки, а его код был обфусцирован (запутан). Специалисты по безопасности отметили, что само имя файла, по-видимому, было выбрано из-за своей непримечательности — оно позволяло майнеру затеряться среди легитимных процессов .

Ограниченный, но серьезный масштаб атаки

Хотя масштабы заражения оказались относительно невелики, сам факт инцидента чрезвычайно показателен. По оценкам Sophos, пострадало около 0,1% пользователей Hola Browser . Несмотря на малую долю, это хрестоматийный пример атаки на цепочку поставок: официальный, казалось бы, надежный канал распространения ПО был обращен против своих же пользователей. Скачивая программу из доверенного источника, люди теряли стандартный уровень защиты, который обеспечивает им проверка незнакомых установщиков.

Важно понимать: атака не была взломом исходного кода Hola. Она выявила уязвимость именно процесса сборки и выпуска релизов. Этот случай — напоминание о том, что, даже если разработчики пишут чистый код, компрометация на этапе компиляции, упаковки или распространения способна отравить конечный продукт .

Как отреагировали в Hola

После того как Sophos X-Ops сообщили о находке, компания предприняла шаги для сдерживания угрозы и предотвращения рецидивов. В числе мер реагирования были:

• Полная перестройка сборочного конвейера с нуля, чтобы лишить злоумышленников любого остаточного доступа .
• Внедрение проверки цифровой подписи кода при сборке: теперь неподписанные и посторонние исполняемые файлы через этот фильтр не пройдут .
• Усиление контроля доступа и постоянный мониторинг инфраструктуры распространения .

Тем не менее по состоянию на момент публичного раскрытия информации 4 июня 2026 года ключевые вопросы остаются без ответа. Компания Hola публично не сообщила ни о способе первоначального проникновения в сборочный конвейер, ни о том, кто стоял за атакой, ни о продолжительности присутствия злоумышленников в системе. Полная криминалистическая картина для публики по-прежнему закрыта. Этот пробел в информации оставляет и пользователям, и всему сообществу ИБ-специалистов лишь поучительную историю, но без полного понимания характера угрозы .

Как работал «тихий» майнер

Полезная нагрузка XMRig была спроектирована с упором на скрытность. В отличие от агрессивного вредоносного ПО, сразу заявляющего о себе падением производительности, этот майнер запускался только тогда, когда система простаивала. Такой подход минимизировал риск обнаружения пользователем .

После установки вредонос закреплялся в системе через несколько последовательных шагов:

• Размещение файла: Майнер копировал себя в директорию C:\Program Files\Hola\HolaMonitorService.exe. И путь, и название файла были подобраны так, чтобы имитировать легитимный компонент мониторинга браузера .
• Создание службы: Вредонос создавал службу Windows с именем hola_monitor_svc и типом запуска 0x00000002 (автоматический старт). Это гарантировало, что майнер будет запускаться при каждой загрузке системы .
• Обход антивируса: Чтобы избежать проверок встроенным антивирусом, программа добавляла путь к себе в список исключений Защитника Windows .
• Запутывание следов: Файл me.exe не имел цифровой подписи и корректной временной метки, а его код был обфусцирован (запутан). Специалисты по безопасности отметили, что само имя файла, по-видимому, было выбрано из-за своей непримечательности — оно позволяло майнеру затеряться среди легитимных процессов .

Ограниченный, но серьезный масштаб атаки

Хотя масштабы заражения оказались относительно невелики, сам факт инцидента чрезвычайно показателен. По оценкам Sophos, пострадало около 0,1% пользователей Hola Browser . Несмотря на малую долю, это хрестоматийный пример атаки на цепочку поставок: официальный, казалось бы, надежный канал распространения ПО был обращен против своих же пользователей. Скачивая программу из доверенного источника, люди теряли стандартный уровень защиты, который обеспечивает им проверка незнакомых установщиков.

Важно понимать: атака не была взломом исходного кода Hola. Она выявила уязвимость именно процесса сборки и выпуска релизов. Этот случай — напоминание о том, что, даже если разработчики пишут чистый код, компрометация на этапе компиляции, упаковки или распространения способна отравить конечный продукт .

Как отреагировали в Hola

После того как Sophos X-Ops сообщили о находке, компания предприняла шаги для сдерживания угрозы и предотвращения рецидивов. В числе мер реагирования были:

• Полная перестройка сборочного конвейера с нуля, чтобы лишить злоумышленников любого остаточного доступа .
• Внедрение проверки цифровой подписи кода при сборке: теперь неподписанные и посторонние исполняемые файлы через этот фильтр не пройдут .
• Усиление контроля доступа и постоянный мониторинг инфраструктуры распространения .

Тем не менее по состоянию на момент публичного раскрытия информации 4 июня 2026 года ключевые вопросы остаются без ответа. Компания Hola публично не сообщила ни о способе первоначального проникновения в сборочный конвейер, ни о том, кто стоял за атакой, ни о продолжительности присутствия злоумышленников в системе. Полная криминалистическая картина для публики по-прежнему закрыта. Этот пробел в информации оставляет и пользователям, и всему сообществу ИБ-специалистов лишь поучительную историю, но без полного понимания характера угрозы .