✅█▬█ █ ▀█▀ ⭐ ВЗЛОМ ТРИАДЫ ⭐ ✅: Как я нашел 0-day, который проспал Kaspersky

Первым делом я обратился в поддержку, так как мне нужно было установить защиту на телефон после обнаружения странной активности. Каково же было моё удивление, когда после звонка и оформления заявки мне прислали ссылки для скачивания, среди которых не было версии для Android. В письме предлагались только Windows и Mac. Это был первый «звоночек» о качестве работы сервиса: мне прислали что угодно, кроме того, что я просил для зараженного устройства.

Когда я сообщил поддержке, что Dr.Web уже идентифицировал вирусы в системных файлах, но не может их удалить без Root-прав, а их продукт при этом рапортует: «Устройство защищено», — вместо анализа этой аномалии мне прислали стандартную инструкцию. От меня потребовали собрать дампы установленных приложений и отчет AIDA64. На этом этапе я понял, что лаборатория не видит угрозу «в упор», и решил сам предоставить им все логи и прямую ссылку на анализ моего устройства, чтобы доказать наличие Triada. [ЛОГ]

 

---

 

Несмотря на то, что «тело» вируса уже было загружено в их песочницу, система поддержки снова выдала шаблонный ответ. Вместо анализа присланной малвари они по второму кругу запросили дамп установленных приложений. Типичный пример «футбола»: когда клиент предоставляет готовое решение проблемы, поддержка продолжает работать по скрипту, затягивая время и игнорируя предоставленные улики.

Очередной виток абсурда: после того как поддержка сама предоставила мне ссылку на прямой APK-файл для Android, они присылают письмо с требованием «обновить продукт до актуальной версии». По их логике получается, что они сознательно дали клиенту устаревший дистрибутив для борьбы с активным заражением. Вместо того чтобы анализировать присланную Triada, они предлагают бесконечный цикл переустановок одного и того же софта, который в упор не видит угрозу.

Параллельно с борьбой против Триады на телефоне, начались проблемы и на ПК. Скорость интернета упала до критических значений. Как специалист, я сначала искал проблему в роутере, линии и настройках провайдера (Ростелеком), но реальность оказалась хуже.

Используя независимый измеритель скорости qms.ru, я зафиксировал аномалию: при включенной сетевой защите Kaspersky скорость резалась практически в ноль. Как только защита отключалась — происходил мгновенный скачок до нормальных значений. Антивирус не только «проспал» троян в системе, но и начал работать как тормоз для всего сетевого трафика, создавая видимость проблем у провайдера.

Замер №2: Чистый канал (Kaspersky OFF)

Разница шокирующая. Как только я отключил сетевую защиту, скорость загрузки взлетела с 10 Мбит/с до 223 Мбит/с, а отдача — до 300 Мбит/с. Пинг упал более чем в два раза, джиттер стабилизировался.

Это прямое доказательство того, что программный комплекс не просто неэффективен против новых угроз, но и физически блокирует работу сетевого оборудования, создавая искусственные помехи там, где их быть не должно. На фоне игнорирования системного трояна на мобильном устройстве, такая работа десктопной версии выглядит как окончательный приговор качеству продукта.

Эпизод 3: Официальная фиксация «тормозов»

Во время живого разговора с техническим специалистом поддержки, я провел сравнительные замеры скорости прямо «в эфире». Оператор был вынужден признать аномалию и попросил официально зафиксировать эти данные в рамках открытого тикета.

Я отправил скриншоты настроек Сетевого экрана и результатов тестов qms.ru ответным письмом, строго соблюдая формат заголовка для идентификации инцидента. Теперь у лаборатории на руках не только данные о пропущенном вирусе, но и доказательства того, что их ПО критически дестабилизирует работу сетевого оборудования клиента. Все технические доки и таймстампы переданы — «отвертеться» шаблонным ответом больше не получится.

Эпизод 4: Повторный удар и неопровержимые улики

Когда поддержка начала играть в «молчанку» и заявлять, что письма якобы «утеряны» или «не дошли», я нанёс повторный удар. Я отправил всё заново, но теперь — с прямой привязкой к инциденту #INC000018311160.

Что было в пакете улик:

1. Полный системный лог (log.txt): Тот самый, в котором зафиксирована активность Triada в реальном времени.
2. Скриншоты детекта: Прямое сравнение результатов. На одном экране — вердикт Android.Triada.4945, на другом — беспомощное молчание Касперского.
3. Идентификация: Чёткая привязка малвари к системным процессам.

Я буквально завалил их техническими фактами, которые невозможно «потерять» на почтовом сервере. Поддержка оказалась в ситуации, когда игнорировать профессиональный разбор стало физически невозможно.

Эпизод 6: Что такое Triada на самом деле

Описание вируса в базе Dr.Web способно внушить страх любому рядовому пользователю. Этот троян внедряет свой код в системный процесс Zygote, который является фундаментом для запуска всех приложений в Android. Это означает полный контроль над устройством: перехват СМС, кража банковских данных и подмена текстов сообщений.

Но пока конкуренты подробно описывают архитектуру угрозы и методы её нейтрализации, «профессионалы» из Касперского продолжают требовать стандартные отчеты, игнорируя факт того, что их защита полностью скомпрометирована на системном уровне. Мы не из тех, кто поддается панике, поэтому идем на прорыв и вскрываем эту заразу до основания сами.

Эпизод 7: «Вы под защитой» — иллюзия безопасности

А вот и момент истины. На экране — тот самый «мега-продукт» 2026 года со статусом «Вы под защитой». В то время как бесплатный Dr.Web четко указывает на системный троян, Kaspersky рапортует о полной безопасности.

Я специально уточнил у сотрудника поддержки: возможно, функционал Free-версии ограничен? На что получил четкий ответ: «Даже бесплатная версия работает и ищет вирусы в полном объеме».

Вердикт печален: либо хваленый ИИ прикрывает заразу, либо квалификации инженеров не хватает, чтобы догнать «бесплатников» в обнаружении критических угроз в Zygote. Все эти скриншоты были отправлены в лабораторию как доказательство их полной профнепригодности в данном кейсе.

Эпизод 8: Железная фиксация улик

Чтобы исключить любые «нюансы» в духе «письмо не дошло» или «вложения потерялись», я применил метод тотальной фиксации. В ответном письме по инциденту #INC000018311160 я не просто изложил факты, а прикрепил полный пакет доказательств: от дампов системы до скриншотов извлеченных файлов.

На предоставленном скриншоте видна структура моей локальной «песочницы» — подготовленные архивы с вирусом, логи сканирования и те самые подозрительные APK. Я потребовал предоставить облачное хранилище для выгрузки этих данных напрямую их аналитикам. Теперь каждое моё действие зафиксировано в их почтовой системе, и любая попытка проигнорировать угрозу будет выглядеть как осознанное сокрытие критической уязвимости в их собственном продукте.

Эпизод 9: Лаборатория в кармане и «улика №1»

Для тех, кто сомневается в реальности угрозы, я привожу скриншот своей рабочей директории. Это не просто папка с файлами — это полноценный криминалистический архив зараженного устройства.

Что здесь зафиксировано:

• virus_sample.zip: Тот самый исполняемый код малвари Triada, который был физически извлечен из защищенного раздела

  /vendor<!--TgQPHd|[]-->

  через ADB.
• DumpAndroidApps: Полный дамп всех установленных приложений, включая модифицированный вирусом WhatsApp.
• Таймстампы: Обратите внимание на даты — это хронология борьбы в реальном времени.

Каждый архив — это гвоздь в гроб версии Касперского о том, что «угроз не обнаружено». Все эти данные были подготовлены для передачи аналитикам как доказательство существования 0-day уязвимости в системных библиотеках Android. Я собрал всё: от исходников PHP-инъекций до нативных библиотек на C++. Теперь «отвертеться» у поддержки не получится — улика на руках.

Эпизод 10: Прямая передача «тела» в лабораторию

Чтобы у вирусных аналитиков не осталось ни единого оправдания, я зафиксировал процесс загрузки улик в их официальную песочницу Kaspersky Box. На скриншоте виден процесс выгрузки архивов с инцидентом #INC000018311160.

В этот момент «мяч» официально перешёл на сторону вендора. Я предоставил им всё: от извлечённых из системного раздела библиотек до полных логов активности трояна. Это была точка невозврата — теперь они физически не могли заявить, что «данных недостаточно». Каждое «тело» вируса, каждый байт вредоносного кода были доставлены напрямую в их распоряжение для внесения в базы обновлений.

Эпизод 11: Момент истины — Касперский детектирует вирус только в своей песочнице

На этом этапе произошел самый абсурдный и одновременно показательный момент всего расследования. Когда я начал загружать собранные мною образцы вируса в официальное облако Kaspersky Box, их же настольная защита внезапно «проснулась».

Обратите внимание на скриншот:
Как только вредоносный файл начал передаваться на сервер лаборатории, всплыло уведомление о блокировке загрузки. Объект был идентифицирован как HEUR:Backdoor.PHP.WebShell.gen.

Ирония ситуации зашкаливает:

1. Пока вирус жил в моем телефоне и резал скорость на ПК — антивирус молчал и писал «Вы под защитой».
2. Как только я сам поймал вирус, деобфусцировал его и попытался отправить им на анализ — их система тут же признала его вредоносным и заблокировала передачу.

Это окончательно подтверждает: базы и алгоритмы содержат информацию об этих угрозах, но по непонятной причине (будь то маскировка под 1980 год или инъекция в системные разделы) продукт отказывается видеть их в реальном времени на устройстве пользователя. Лаборатория получила «тело» вируса только потому, что я, как исследователь, заставил их систему его заметить.

Эпизод 12: Экспертный анализ или признание позора? Финальный скриншот из отчёта «Интернет-защиты» ставит жирную точку в этом расследовании. Посмотрите на детали: Событие: «Обнаружен вредоносный объект».Результат: «Запрещено».Причина: «Экспертный анализ».Абсурд ситуации: Система мгновенно распознаёт мой файл как HEUR:Trojan.PHP.Uploader в ту самую секунду, когда я пытаюсь залить его в их же облако. То есть алгоритмы «Экспертного анализа» прекрасно знают этот код.Но почему этот же самый «эксперт» молчал, пока вирус хозяйничал в системе? Почему он не заблокировал его активность на устройстве, а проснулся только тогда, когда я решил отправить улику аналитикам? Вердикт: Это официальное подтверждение того, что защита работает выборочно. Продукт видит угрозу только тогда, когда она выходит за пределы «серой зоны» системных разделов. Если вирус смог замаскироваться под системный файл 1980 года или внедриться в /vendor, хвалёная интернет-защита просто «отворачивается», оставляя пользователя один на один с трояном.

Эпизод 13: Шах и мат — «Песочница» заблокировала сама себя

Финальный абсурд произошел при попытке выполнить требование самой техподдержки. Когда я начал загружать собранные доказательства в предоставленное ими облако, их же защитный модуль заблокировал загрузку моих файлов.

Я немедленно позвонил в поддержку и зафиксировал этот момент: «Ваша система не дает мне залить вирусы, которые вы просите для изучения, потому что она их внезапно «увидела», хотя на моем устройстве до этого писала «Вы под защитой»».

Чтобы исключить любые отговорки, я сделал скриншот процесса блокировки и отправил его ответным письмом в тикет #INC000018311160. На скриншоте четко видно: список файлов в облаке обрывается на попытке загрузить вирусные образцы. Это стало окончательным доказательством того, что антивирусные базы содержат информацию об этой угрозе, но продукт намеренно или из-за багов игнорирует её наличие в системных разделах пользователя.