Як працював непомітний майнер

XMRig-корисне навантаження було спроєктоване для скритності. На відміну від агресивного шкідливого ПЗ, яке заявляє про себе гальмуванням системи, цей майнер був налаштований запускатися лише тоді, коли хост-система простоювала, що зводило до мінімуму ризик виявлення користувачем .

Після встановлення шкідливе ПЗ забезпечувало собі постійну присутність через серію продуманих дій:

• Розміщення файлів: Майнер копіював себе до C:\Program Files\Hola\HolaMonitorService.exe — шляху та назви, які мали виглядати як легітимний компонент моніторингу браузера .
• Створення сервісу: Він створював службу Windows з іменем hola_monitor_svc та налаштовував її тип запуску як 0x00000002, гарантуючи автоматичний запуск при кожному завантаженні системи .
• Обхід антивірусу: Щоб уникнути вбудованих антивірусних сканувань, шкідливе ПЗ додавало шлях до винятків Windows Defender .
• Обфускація та анонімність: Виконуваний файл me.exe не був підписаний, містив обфускований код та не мав дійсної часової мітки. Дослідники з безпеки зазначили, що сама назва файлу, здавалося, була обрана через її непримітність, дозволяючи злитися з легітимними процесами .

Обмежена, але серйозна поверхня атаки

Масштаб компрометації був відносно вузьким. Sophos підрахувала, що постраждало приблизно 0,1% користувачів Hola Browser . Хоча це невелика частка бази користувачів, інцидент є хрестоматійним прикладом атаки на ланцюжок постачання: надійний канал розповсюдження програмного забезпечення був обернений проти своїх користувачів, обходячи звичайну перевірку безпеки, яку користувачі застосовують до офіційних інсталяторів.

Атака не була зламом вихідного коду Hola. Натомість вона підкреслила вразливість конвеєра збірки та випуску ПЗ — нагадування про те, що навіть коли розробники пишуть чистий код, компрометація під час компіляції, пакування або розповсюдження може отруїти кінцевий продукт .

Як відреагувала Hola

Після того, як Sophos X-Ops повідомили про знахідку, Hola вжила заходів для стримування загрози та запобігання повторенню. Кроки компанії з усунення наслідків включали:

• Перебудову конвеєра розповсюдження з нуля, щоб усунути будь-який залишковий доступ зловмисника .
• Впровадження перевірки цифрового підпису коду, щоб блокувати непідписані та несанкціоновані виконувані файли від проходження через процес збірки .
• Запровадження суворішого контролю доступу та безперервного моніторингу інфраструктури розповсюдження .

Попри ці заходи, станом на публічне розкриття 4 червня 2026 року, критичні питання залишаються без відповіді. Hola публічно не розкрила вектор атаки — як конвеєр було зламано спочатку, — особу суб'єкта загрози або тривалість його доступу. Повна криміналістична картина залишається закритою для публіки, і ця прогалина залишає як користувачам, так і спільноті безпеки повчальну історію з неповним розумінням загрози .

Як працював непомітний майнер

XMRig-корисне навантаження було спроєктоване для скритності. На відміну від агресивного шкідливого ПЗ, яке заявляє про себе гальмуванням системи, цей майнер був налаштований запускатися лише тоді, коли хост-система простоювала, що зводило до мінімуму ризик виявлення користувачем .

Після встановлення шкідливе ПЗ забезпечувало собі постійну присутність через серію продуманих дій:

• Розміщення файлів: Майнер копіював себе до C:\Program Files\Hola\HolaMonitorService.exe — шляху та назви, які мали виглядати як легітимний компонент моніторингу браузера .
• Створення сервісу: Він створював службу Windows з іменем hola_monitor_svc та налаштовував її тип запуску як 0x00000002, гарантуючи автоматичний запуск при кожному завантаженні системи .
• Обхід антивірусу: Щоб уникнути вбудованих антивірусних сканувань, шкідливе ПЗ додавало шлях до винятків Windows Defender .
• Обфускація та анонімність: Виконуваний файл me.exe не був підписаний, містив обфускований код та не мав дійсної часової мітки. Дослідники з безпеки зазначили, що сама назва файлу, здавалося, була обрана через її непримітність, дозволяючи злитися з легітимними процесами .

Обмежена, але серйозна поверхня атаки

Масштаб компрометації був відносно вузьким. Sophos підрахувала, що постраждало приблизно 0,1% користувачів Hola Browser . Хоча це невелика частка бази користувачів, інцидент є хрестоматійним прикладом атаки на ланцюжок постачання: надійний канал розповсюдження програмного забезпечення був обернений проти своїх користувачів, обходячи звичайну перевірку безпеки, яку користувачі застосовують до офіційних інсталяторів.

Атака не була зламом вихідного коду Hola. Натомість вона підкреслила вразливість конвеєра збірки та випуску ПЗ — нагадування про те, що навіть коли розробники пишуть чистий код, компрометація під час компіляції, пакування або розповсюдження може отруїти кінцевий продукт .

Як відреагувала Hola

Після того, як Sophos X-Ops повідомили про знахідку, Hola вжила заходів для стримування загрози та запобігання повторенню. Кроки компанії з усунення наслідків включали:

• Перебудову конвеєра розповсюдження з нуля, щоб усунути будь-який залишковий доступ зловмисника .
• Впровадження перевірки цифрового підпису коду, щоб блокувати непідписані та несанкціоновані виконувані файли від проходження через процес збірки .
• Запровадження суворішого контролю доступу та безперервного моніторингу інфраструктури розповсюдження .

Попри ці заходи, станом на публічне розкриття 4 червня 2026 року, критичні питання залишаються без відповіді. Hola публічно не розкрила вектор атаки — як конвеєр було зламано спочатку, — особу суб'єкта загрози або тривалість його доступу. Повна криміналістична картина залишається закритою для публіки, і ця прогалина залишає як користувачам, так і спільноті безпеки повчальну історію з неповним розумінням загрози .