Експлойт — це код, команда або спеціально підготовлений файл, який використовує вразливість у програмі, операційній системі чи пристрої, щоб змусити їх виконати непередбачену дію: запустити сторонній код, надати зловмиснику ширші права або розкрити дані. Сам по собі експлойт зазвичай не є шкідливим ПЗ. Це інструмент, що відчиняє двері, через які потім заходить троян, програма-вимагач чи шпигунський модуль.

Атаки через вразливості — не історія з минулого. За спостереженнями Google Threat Intelligence Group (GTIG), експлуатація вразливостей залишається найпоширенішим способом початкового проникнення в інцидентах, які розслідує Mandiant, — частіше, ніж викрадені облікові дані чи фішинг. Лише у 2025 році аналітики Google зафіксували 90 вразливостей, які зловмисники використовували ще до виходу виправлень.

Що таке експлойт простими словами

Вразливість — це помилка в коді, логіці чи налаштуваннях програми, яку можна обернути на шкоду. Експлойт — конкретний спосіб нею скористатися. Якщо порівняти з дверима, вразливість — це дефект замка, експлойт — відмичка, виготовлена саме під цей дефект, а корисне навантаження (payload) — те, що зловмисник робить, опинившись усередині.

Тому в кожній атаці через вразливість можна виділити три складники:

• вразливість — помилка в програмному чи апаратному забезпеченні або в конфігурації;
• експлойт — код чи дані, які цю помилку активують;
• корисне навантаження — бекдор, програма-вимагач, шпигунський модуль чи викрадач паролів, що запускається після успішної експлуатації.

Кожна публічно відома вразливість отримує ідентифікатор CVE (наприклад, CVE-2025-8088) та оцінку критичності за шкалою CVSS від 0 до 10. Саме за цими ідентифікаторами розробники випускають виправлення, а фахівці з безпеки відстежують атаки.

У геймерському середовищі слово «експлойт» має інше значення: так називають використання помилки в грі для нечесної переваги — проходження крізь стіни, дублювання предметів тощо. З кібербезпекою це значення поєднує лише спільне походження від англійського to exploit — «використовувати».

Як працює експлойт

Атака з використанням експлойта зазвичай проходить кілька етапів.

1. Пошук цілі. Зловмисники сканують інтернет у пошуках серверів, VPN-шлюзів і роутерів із вразливими версіями програм або розсилають листи з розрахунком, що одержувач відкриє вкладення у вразливому застосунку.
2. Доставка. Експлойт потрапляє до цілі як мережевий запит, вебсторінка, документ, зображення чи архів.
3. Спрацювання. Програма обробляє підготовлені дані й через помилку виконує дію, якої не мала б виконувати. У звіті GTIG за 2025 рік близько 35% використаних вразливостей становили помилки безпеки памʼяті (зокрема use-after-free та запис за межами буфера), а в корпоративних продуктах поширеними були інʼєкції команд, небезпечна десеріалізація та обхід автентифікації.
4. Закріплення. Після успішної експлуатації запускається корисне навантаження: встановлюється бекдор, шкідливий файл прописується в автозавантаження, починається викрадення даних.

Сучасні браузери, iOS та Android мають кілька рівнів захисту, тож однієї помилки часто недостатньо. Зловмисники поєднують вразливості в ланцюжок експлойтів: одна дає змогу виконати код у браузері, друга — вийти з пісочниці, третя — отримати системні права. За даними GTIG, частина мобільних ланцюжків, виявлених у 2025 році, складалася з трьох і більше вразливостей.

Види експлойтів

Експлойти класифікують за кількома ознаками.

• Віддалені — працюють через мережу без попереднього доступу до системи. Вони найцінніші для зловмисників: саме ними атакують VPN-шлюзи, поштові та вебсервери.
• Локальні — потребують, щоб атакувальник уже мав певний доступ, наприклад обліковий запис зі звичайними правами. Їхня мета — підвищення привілеїв до рівня адміністратора чи системи.
• Експлойти нульового дня (zero-day) — використовують вразливість, для якої на момент атаки не існує виправлення.
• N-day — використовують уже відому й виправлену вразливість на пристроях, де оновлення не встановили.
• Zero-click і one-click — перші не потребують жодної дії жертви (досить отримати повідомлення чи файл), другі спрацьовують після одного натискання. Приклад з аналізу GTIG: спеціально сформовані зображення DNG, надіслані через WhatsApp, атакували бібліотеку обробки зображень на смартфонах Samsung; для запуску достатньо було, щоб жертва відкрила картинку.

Чому старі вразливості небезпечніші, ніж здається

Вразливості нульового дня привертають найбільше уваги, але масові атаки найчастіше будуються на n-day. Після виходу виправлення зловмисники порівнюють стару й нову версії програми, зʼясовують суть помилки й атакують тих, хто не оновився.

Класичний приклад — WannaCry. Microsoft випустила оновлення MS17-010 для протоколу SMBv1 14 березня 2017 року. У квітні угруповання Shadow Brokers оприлюднило експлойт EternalBlue, що використовував цю помилку. Програма-вимагач WannaCry, яка поширювалася саме через EternalBlue, вразила компʼютери по всьому світу в травні — через два місяці після виходу виправлення. За даними CISA, системи з установленим оновленням були їй не вразливі; згодом уряд США публічно поклав відповідальність за атаку на КНДР.

Та сама логіка працює й сьогодні: GTIG у звіті про WinRAR наголошує, що після виправлення зловмисники продовжують покладатися на n-day і використовують те, що користувачі та організації оновлюються повільно.

Хто створює і продає експлойти

Вразливості шукають дослідники безпеки, які повідомляють про них розробникам, державні хакерські угруповання і кіберзлочинці. Між ними існує розвинений ринок.

• Комерційні постачальники шпигунського ПЗ. У 2025 році Google уперше приписала їм більше вразливостей нульового дня, ніж традиційним державним шпигунським групам. Такі компанії продають готові інструменти стеження клієнтам, які самі не здатні розробити експлойти.
• Тіньовий ринок. GTIG описує продавця під псевдонімом zeroplayer, який у липні 2025 року рекламував експлойт для WinRAR, а згодом — експлойт для Microsoft Office за 300 тис. доларів, підвищення привілеїв у Windows за 100 тис. і інструмент для вимкнення антивірусів та EDR за 80 тис.
• Кіберзлочинці. У 2025 році фінансово мотивовані угруповання використали девʼять вразливостей нульового дня, зокрема дві — в атаках, що завершилися розгортанням програм-вимагачів.

Новий чинник — ШІ. У травні 2026 року GTIG повідомила, що уперше виявила експлойт нульового дня, створений, імовірно, за допомогою ШІ: кіберзлочинне угруповання готувало масову атаку, але її, ймовірно, вдалося зірвати. Йшлося про обхід двофакторної автентифікації в популярному відкритому інструменті для адміністрування серверів через веб.

Що атакують у 2025–2026 роках

Річний звіт GTIG 2025 Zero-Days in Review дає найповнішу картину того, куди спрямовані експлойти:

• 90 вразливостей нульового дня у 2025 році проти 78 у 2024-му; рекорд — 100 у 2023-му;
• 43 вразливості (48%) — у корпоративних продуктах; приблизно половина з них припала на засоби безпеки та мережеве обладнання;
• 14 — у периферійних пристроях (VPN-шлюзах, мережевих екранах, роутерах), причому GTIG вважає цю цифру заниженою: на таких пристроях зазвичай немає EDR, тож атаки важко помітити;
• операційні системи (настільні й мобільні) стали найчастішою мішенню — 39 вразливостей, або 44%;
• мобільних вразливостей нульового дня — 15 проти 9 роком раніше;
• на браузери припало менш ніж 10% — Google пояснює це посиленням захисту, хоча зловмисники могли просто навчитися краще ховатися.

Серед виробників найчастіше атакують великі технологічні компанії, а також Cisco, Fortinet, Ivanti та VMware — постачальників VPN, мережевих екранів і платформ віртуалізації.

Відомі атаки з використанням експлойтів

NotPetya: удар по Україні через оновлення M.E.Doc

27 червня 2017 року шкідливе ПЗ Diskcoder.C, відоме як NotPetya, уразило українські фінансові, енергетичні та державні установи. За даними ESET, зловмисники вбудували бекдор у легітимний модуль бухгалтерської програми M.E.Doc і поширили шкідливий код через її оновлення. Усередині мереж NotPetya розповсюджувалася, зокрема, за допомогою того самого експлойта EternalBlue.

Назву взяли в програми-вимагача Petya, але NotPetya лише маскувалася під неї: британський Національний центр кібербезпеки констатував, що зашифровані дані не передбачалося розшифровувати, тобто це була атака-вайпер, а не вимагання. У лютому 2018 року уряд Великої Британії офіційно поклав відповідальність на російських військових; основними цілями названо фінансовий, енергетичний та державний сектори України.

Heartbleed: витік памʼяті серверів

Вразливість CVE-2014-0160 у бібліотеці OpenSSL, оприлюднена у квітні 2014 року, виникла через відсутню перевірку довжини даних у розширенні TLS Heartbeat. Сервер повертав на запит до 64 КБ вмісту своєї памʼяті, а запити можна було повторювати необмежено, поступово витягаючи паролі, приватні ключі шифрування та дані сесій. Експлуатація не залишала слідів у журналах сервера. Виправлення вийшло у версії OpenSSL 1.0.1g.

Log4Shell: один рядок у журналі — і повний контроль над сервером

У грудні 2021 року в популярній Java-бібліотеці журналювання Apache Log4j виявили вразливість CVE-2021-44228 (версії від 2.0-beta9 до 2.14.1). Помилка ховалася в тому, як бібліотека обробляла змінні через JNDI: досить було, щоб застосунок записав у журнал спеціально сформований рядок — наприклад, імʼя користувача чи заголовок запиту, — і бібліотека зверталася до сервера зловмисника й завантажувала з нього код. 17 грудня 2021 року CISA видала надзвичайну директиву, що зобовʼязала федеральні відомства США терміново усунути вразливість.

Log4Shell показала, наскільки важко знайти вразливий компонент, «зашитий» у сотні продуктів. Відтоді GTIG та інші організації радять вести реєстр програмних компонентів (SBOM), щоб за кілька годин зʼясовувати, де саме використовується проблемна бібліотека.

WinRAR CVE-2025-8088: експлойт, який досі атакує Україну

Вразливість у WinRAR дозволяє через шкідливий RAR-архів записати файл за межі обраної для розпакування папки — найчастіше в папку автозавантаження Windows. Користувач бачить безневинний документ, а при наступному вході в систему автоматично запускається шкідливий код. Експлуатацію зафіксували з 18 липня 2025 року; виправлення вийшло у WinRAR 7.13 30 липня 2025 року. Виявили атаку дослідники ESET, які повʼязали її з угрупованням RomCom.

Попри виправлення, вразливість залишається робочим інструментом проти України. За даними GTIG, її використовують кілька повʼязаних із росією угруповань проти українських військових та державних структур: UNC4895 (RomCom), APT44, TEMP.Armageddon, активність якого тривала щонайменше до січня 2026 року, і Turla, що маскувала приманки під матеріали про українських військових та дрони. Серед файлів-приманок трапляються архіви з назвами на кшталт «Заява про скоєння злочину». Схожу історію Google описувала й у 2023 році, коли державні хакери масово використовували іншу вразливість WinRAR, уже виправлену на той момент.

Важлива деталь: WinRAR не оновлюється автоматично, тож нову версію потрібно встановлювати вручну. Саме такі програми — встановлені колись і забуті — найчастіше залишаються вразливими роками.

Як захиститися від експлойтів

Базові правила для всіх

1. Встановлювати оновлення одразу. Варто увімкнути автоматичне оновлення операційної системи, браузера та офісних програм і не відкладати перезапуск: багато виправлень починають діяти лише після нього. GTIG серед іншого радить регулярно перезавантажувати смартфон.
2. Видаляти програми, якими не користуються. Кожна встановлена програма — потенційна точка входу. Особливу увагу варто звернути на ті, що не оновлюються самі, як-от архіватори.
3. Не відкривати несподівані архіви та документи. Навіть якщо лист виглядає як офіційний запит, повістка чи заява, вкладення варто перевірити, а відправника — підтвердити іншим каналом.
4. Працювати без прав адміністратора. Щоденний обліковий запис зі звичайними правами обмежує шкоду, якщо експлойт таки спрацює.
5. Не вимикати вбудований захист Windows. «Захист від експлойтів» у Windows 10 і 11 увімкнений за замовчуванням (Безпека Windows → Керування програмами та браузером). Додатково варто перевірити «Цілісність памʼяті» в розділі «Безпека пристрою → Ізоляція ядра»: функція ускладнює захоплення системи через драйвери і в більшості компʼютерів з Windows 11 уже ввімкнена.
6. Посилити захист браузера. У Chrome варто увімкнути розширений режим Безпечного перегляду, який швидше блокує шкідливі сайти та файли.

Для людей з підвищеним ризиком

Журналісти, активісти, військові та держслужбовці можуть стати мішенню шпигунського ПЗ, яке використовує ланцюжки експлойтів нульового дня. GTIG рекомендує їм вмикати Режим карантину на iPhone, iPad і Mac та Advanced Protection на Android. Режим карантину — це надзвичайний режим, який Apple радить лише тим, хто може бути ціллю складних атак: у ньому блокується більшість типів вкладень у Повідомленнях, вимикаються деякі вебтехнології, а запрошення від незнайомих контактів не приймаються.

Для організацій

• Вести актуальний перелік усіх систем і програмних компонентів (SBOM), щоб швидко знаходити вразливі версії.
• Пріоритезувати виправлення вразливостей із каталогу CISA KEV — переліку тих, що вже використовуються в реальних атаках.
• Не відкривати в інтернет інтерфейси керування та службові порти без потреби; відокремлювати DMZ, мережеві екрани та VPN від ядра мережі й контролерів домену.
• Мати процедуру екстреного оновлення в обхід звичайного погодження змін — на випадок критичних вразливостей.
• Регулярно сканувати інфраструктуру на відомі вразливості, наприклад за допомогою Nessus або OpenVAS.
• Окремо моніторити периферійні пристрої: на VPN-шлюзах і мережевих екранах зазвичай немає EDR, тому аномалії там легко пропустити.

Підсумок

Експлойт — це не окремий вірус, а спосіб перетворити помилку в програмі на точку входу для атаки. Найнебезпечніші з них — експлойти нульового дня, проте більшість масових атак, від WannaCry до нинішніх кампаній проти України через WinRAR, використовує вразливості, для яких виправлення давно існує. Тому найефективніший захист залишається простим: вчасно оновлювати все встановлене, позбуватися зайвого та не вимикати вбудовані механізми захисту операційних систем.

Ця стаття Що таке експлойт, як він працює і як захиститися від атак через вразливості раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Наприкінці червня 2026 року RARLAB випустила WinRAR 7.23 з виправленням уразливості CVE-2026-14191 у коді, що відновлює пошкоджені RAR-архіви. Це вже не перша вада в цьому фрагменті програми: як зазначає Malwarebytes з посиланням на запис EUVD-2026-40869 у Європейській базі уразливостей, нова помилка є варіантом CVE-2023-40477, яку закрили ще 2023 року.

За останні сім років WinRAR пережив низку схожих уразливостей, і в усіх них одна спільна риса: програма не оновлюється автоматично. Тому навіть давно виправлені вади місяцями й роками лишаються робочим інструментом для атак — зокрема проти українських державних установ і військових.

Чому WinRAR роками лишається мішенню

WinRAR не встановлює оновлення сам: про нову версію користувач має дізнатися й завантажити її вручну, на що звертає увагу Malwarebytes. В організаціях проблема глибша. За даними Trend Micro, WinRAR не підтримує групові політики Windows і не потрапляє в корпоративні канали оновлень на кшталт WSUS, SCCM чи Intune, тож перевірити версію на сотнях компʼютерів можна лише вручну або сторонніми засобами.

WinRAR глибоко вбудований у щоденну роботу українських організацій, і саме це робить його привабливою ціллю для атак

Має значення і масштаб. Ще 2019 року, як зазначали в Check Point Research, RARLAB заявляла про понад 500 млн користувачів. Для зловмисника це означає, що один робочий експлойт годиться для величезної кількості цілей, а повільне оновлення дає йому місяці, а то й роки.

Хронологія ключових уразливостей

2019 — CVE-2018-20250: помилка, що жила 19 років

Дослідник Check Point Research Надав Гроссман виявив, що для розпакування архівів застарілого формату ACE WinRAR використовував бібліотеку UNACEV2.dll, скомпільовану ще 2006 року без базових механізмів захисту на кшталт ASLR і DEP. Помилка обходу шляху (path traversal) дозволяла записати файл не в обрану користувачем папку, а, наприклад, у папку автозавантаження Windows — і шкідлива програма запускалася під час наступного входу в систему. Атаці не заважало навіть розширення: досить було перейменувати ACE-архів на .rar, бо WinRAR визначав формат за вмістом файлу. Сама вада існувала понад 19 років.

Вихідного коду бібліотеки в RARLAB не було, тож компанія повністю відмовилася від підтримки формату ACE, починаючи з WinRAR 5.70. Зловмисники швидко скористалися паузою між виправленням і оновленням: McAfee Labs фіксувала шкідливі архіви, замасковані під піратський музичний альбом. За даними Trend Micro, цю уразливість використовували в цільових атаках ще кілька років після розкриття.

2023 — CVE-2023-38831: «картинка», що запускає скрипт

Цю ваду кіберзлочинці використовували як уразливість нульового дня щонайменше з квітня 2023 року в атаках на трейдерів — про це першою повідомила Group-IB. Механізм, за описом Google Threat Analysis Group: користувач двічі клацає на безпечний на вигляд файл в архіві, наприклад PNG-зображення, а WinRAR через логічну помилку і особливість обробки розширень у Windows запускає замість нього підкладений скрипт. Виправлення увійшло до WinRAR 6.23 у серпні 2023 року.

Щойно опис уразливості став публічним, на GitHub зʼявилися готові генератори експлойтів, і до справи долучилися державні хакери. Google TAG зафіксувала кампанію Sandworm, яку повʼязують із підрозділом 74455 ГРУ: угруповання розсилало запрошення від імені української школи операторів дронів і заражало компʼютери викрадачем даних Rhadamanthys. Інше угруповання ГРУ, APT28, за даними CERT-UA використовувало цю ваду проти обʼєктів енергетики, а в одній із кампаній маскувало приманку під запрошення на захід від Центру Разумкова.

2023 — CVE-2023-40477: перший збій у томах відновлення

Саме цій уразливості була присвячена перша версія цієї статті. Її знайшов дослідник goodbyeselene, який співпрацює з Zero Day Initiative. Помилка в обробці томів відновлення — файлів .rev, які допомагають відтворити пошкоджені багатотомні архіви, — дозволяла звернутися до памʼяті за межами виділеного буфера і виконати код. Оцінка за шкалою CVSS — 7,8; для атаки жертва мала відкрити шкідливий файл або сторінку. Виправлення увійшло до того самого випуску WinRAR 6.23, що й захист від CVE-2023-38831.

2025 — CVE-2025-6218 і CVE-2025-8088: обхід шляху повертається

У червні 2025 року RARLAB виправила у версії 7.12 ваду, через яку спеціально підготовлений архів міг підмінити обрану користувачем папку для розпакування. Про проблему повідомив дослідник, який співпрацює з Zero Day Initiative. У грудні 2025 року американське агентство CISA внесло CVE-2025-6218 до каталогу уразливостей, які активно використовують в атаках; серед тих, хто її застосовував, The Hacker News називає і Gamaredon у кампаніях проти українських військових і держорганів.

Майже одночасно, 18 липня 2025 року, дослідники ESET натрапили на нову уразливість нульового дня, яку вже використовувало повʼязане з росією угруповання RomCom. Цього разу шкідливі файли ховали в альтернативних потоках даних NTFS (Alternate Data Streams): користувач бачив в архіві один безневинний документ, а WinRAR непомітно розкладав по системі шкідливу бібліотеку і ярлик у папці автозавантаження. Розсилки RomCom маскувалися під резюме кандидатів і були спрямовані на фінансові, виробничі, оборонні та логістичні компанії в Європі та Канаді. RARLAB випустила WinRAR 7.13 30 липня 2025 року. Про цю кампанію CyberCalm писав окремо.

Після цього уразливість розійшлася «по руках». У січні 2026 року Google Threat Intelligence Group повідомила, що CVE-2025-8088 використовують Sandworm, Turla і Gamaredon проти українських військових і державних установ, а також китайські угруповання та звичайні кіберзлочинці. Експлойт для WinRAR, за даними Google, ще в липні 2025 року рекламував на підпільних майданчиках постачальник під ніком zeroplayer.

2026 — та сама вада проти України, через рік після патча

У червні 2026 року Trend Micro описала дві окремі кампанії проти українських організацій, які досі трималися на CVE-2025-8088. Першу проводить Gamaredon, другу — угруповання, яке CERT-UA відстежує як UAC-0226. Нові зразки експлойтів обидва створювали щонайменше до квітня 2026 року.

Приманки підібрано під українські реалії. UAC-0226 маскував архіви під повістку Дніпропетровського окружного адміністративного суду, реєстр військовозобовʼязаних від імені Міноборони і документи на автомобілі КрАЗ. Після зараження запускалася оновлена версія викрадача GIFTEDCROOK: він збирає паролі й файли cookie з Chrome, Edge, Opera і Firefox, а також документи 35 типів, зокрема бази паролів KeePass (.kdbx) і конфігурації OpenVPN (.ovpn), а потім видаляє власні сліди. Gamaredon розсилав «судові» листи — повістки, виконавчі документи, постанови про арешт майна — здебільшого зі зламаних скриньок українських держорганів, тож адреса відправника не викликала підозр.

2026 — CVE-2026-14191: знову томи відновлення

У WinRAR 7.23 RARLAB виправила переповнення буфера в купі (heap overflow) у коді, що відновлює дані з томів відновлення формату RAR5. Про проблему повідомив Арджун Баснет із Securin Labs. Уразливість зачіпає WinRAR, консольні утиліти RAR і UnRAR; бібліотека UnRAR.dll томів відновлення не обробляє, тож її це не стосується. За описом Tenable, набір підготовлених .rev-файлів дозволяє записати дані за межі виділеної памʼяті й потенційно виконати код. У тому самому випуску закрито ще одну ваду — повʼязану із символьними посиланнями, які могли вказувати за межі папки розпакування.

Що обʼєднує ці уразливості

Помилки повторюються у двох місцях: в обробці шляхів під час розпакування (CVE-2018-20250, CVE-2025-6218, CVE-2025-8088) і в роботі з памʼяттю в томах відновлення (CVE-2023-40477, CVE-2026-14191). Але головна закономірність не технічна. Як підсумовувала Google TAG ще 2023 року, навіть найдосвідченіші зловмисники роблять лише те, що необхідно, — і якщо стара вада досі працює, нова їм не потрібна. Для CVE-2025-8088 це підтвердилося майже дослівно: виправлення вийшло в липні 2025-го, а атаки на Україну тривали й навесні 2026-го.

Як перевірити й оновити WinRAR

1. Відкрити WinRAR і в меню «Довідка» вибрати «Про WinRAR» — у вікні буде номер версії. Інший спосіб у Windows 11: «Параметри» → «Програми» → «Інстальовані програми», рядок WinRAR.
2. Якщо версія нижча за 7.23, завантажити інсталятор лише з офіційного сайту і встановити поверх старої версії. «Збірки» з торентів і сайти-двійники — окремий ризик.
3. Вибрати правильну збірку: починаючи з WinRAR 7.10, програма працює лише в 64-бітних Windows 7 і новіших; для компʼютерів на процесорах ARM є окремий інсталятор.
4. Оновити й інші компоненти RAR, якщо вони є в системі: консольні RAR і UnRAR, а також програми, що використовують UnRAR.dll, — CVE-2025-8088, за даними ESET, зачіпала й їх.
5. Перевіряти наявність нової версії регулярно: автоматичного оновлення WinRAR не має.

Чи потрібен WinRAR узагалі

Для більшості домашніх користувачів — ні. За даними Microsoft, Windows 11 версії 24H2 підтримує формати ZIP, RAR, 7z і TAR вбудованими засобами Провідника: архів відкривається подвійним клацанням, а команда «Видобути все» розпаковує вміст. Обмеження одне — зашифровані, тобто захищені паролем, архіви Windows не обробляє. Покрокову інструкцію CyberCalm публікував раніше.

Вбудований інструмент теж не застрахований від помилок: у квітні 2024 року Microsoft виправила уразливість CVE-2024-26256 у бібліотеці libarchive, яку Windows використовує для роботи з архівами. Різниця принципова: такі виправлення приходять через Windows Update без участі користувача.

Якщо WinRAR лишився після давньої інсталяції й не використовується, його варто видалити через «Інстальовані програми»: програма, якої немає в системі, не може бути вразливою. Для зашифрованих архівів знадобиться сторонній архіватор, і до нього застосовне те саме правило — регулярні оновлення.

Рекомендації для організацій

• Провести інвентаризацію компʼютерів зі встановленим WinRAR і включити його до процесу керування оновленнями через засоби централізованого розгортання ПЗ — штатні канали Windows цього не роблять.
• Видаляти WinRAR там, де він не потрібен для роботи: Malwarebytes радить розглядати його як необовʼязкове ПЗ.
• Блокувати або ізолювати RAR-вкладення на поштовому шлюзі, якщо робочі процеси цього не вимагають, — таку рекомендацію дає Trend Micro.
• Налаштувати моніторинг: ярлики (.lnk) і HTA-файли з випадковими назвами в папці автозавантаження, запуск mshta.exe з неї, а також cmd.exe, що запускає PowerShell у прихованому вікні.
• У разі підозри на зараження — змінити паролі, збережені в браузерах, завершити активні сесії, увімкнути багатофакторну автентифікацію та повідомити про інцидент CERT-UA.

Як розпізнати небезпечний архів

Усі описані атаки обʼєднує одне: жертва сама відкриває архів. Тому найкращий захист — недовіра до вкладень, які тиснуть терміновістю: «повістка», «виконавчий документ», «судовий виклик», резюме від незнайомого кандидата. Лист зі зламаної скриньки держустанови виглядає цілком правдоподібно, тож несподіваний документ варто перевірити іншим каналом — дзвінком або повідомленням відомому контакту.

Є й технічна ознака. У кампанії RomCom, за описом ESET, WinRAR під час розпакування показував попередження про неіснуючі шляхи, а підозрілі адреси ховалися нижче у списку помилок. Будь-яке таке попередження під час розпакування документа — привід зупинитися, а не закрити вікно і продовжити роботу.

Ця стаття Уразливості WinRAR: хронологія атак від 2019 до 2026 року і як захистити компʼютер раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Вразливість нульового дня (zero-day) — це помилка в програмі чи пристрої, яку зловмисники вже використовують, а виправлення для неї ще не опубліковано. У 2025 році Google Threat Intelligence Group зафіксувала 90 таких вразливостей, і майже половина з них припала на корпоративне програмне забезпечення та мережеве обладнання.

Для України ця тема має цілком практичний вимір. Вразливість в архіваторі WinRAR, яку влітку 2025 року використали як zero-day, російські угруповання досі застосовують проти українських військових, правоохоронців і органів місцевого самоврядування — хоча виправлення вийшло ще в липні 2025 року.

Що таке вразливість і чому її називають «нульового дня»

Вразливість — це помилка або прогалина в програмному чи апаратному забезпеченні, яку можна використати для дій, не передбачених розробником: виконати сторонній код, отримати доступ до чужих даних, підвищити власні привілеї в системі. Публічно відомим вразливостям присвоюють ідентифікатор CVE (наприклад, CVE-2025-8088), а їхню небезпечність оцінюють за шкалою CVSS від 0 до 10.

Вразливістю нульового дня називають таку, яку зловмисники почали використовувати раніше, ніж зʼявилося публічне виправлення. Саме так її визначає Google Threat Intelligence Group (GTIG): вирішальним є не те, чи знає про проблему розробник, а те, чи встигли користувачі отримати патч. Назва описує ситуацію з погляду захисту: у постачальника було «нуль днів», щоб випустити виправлення до початку атак.

Поширене спрощення «про вразливість нульового дня розробник не знає» тому не завжди точне. Вразливість CVE-2021-30116 у системі віддаленого адміністрування Kaseya VSA дослідники з Нідерландського інституту розкриття вразливостей (DIVD) передали компанії ще у квітні 2021 року. Проте в липні угруповання REvil використало її раніше, ніж вийшло виправлення.

Вразливість, експлойт і атака нульового дня: у чому різниця

Ці три терміни часто вживають як синоніми, хоча вони описують різні етапи одного процесу.

• Вразливість нульового дня — сама помилка в коді чи конфігурації, для якої ще немає публічного виправлення.
• Експлойт нульового дня — код або техніка, що використовує цю помилку для конкретної дії: запуску шкідливого ПЗ, обходу автентифікації, викрадення даних.
• Атака нульового дня — застосування такого експлойту проти реальних жертв.

Як влаштовані експлойти і чим вони відрізняються від шкідливого ПЗ, CyberCalm детально пояснює в окремому матеріалі.

Zero-day і n-day: чому «старі» вразливості не менш небезпечні

Щойно розробник публікує виправлення, вразливість нульового дня стає n-day — відомою і закритою, але досі придатною для атак на неоновлені системи. В Anthropic зазначають, що в певному сенсі n-day навіть небезпечніші: факт існування вразливості вже публічний, а сам патч фактично вказує зловмисникам, де шукати помилку. Між розкриттям і масовими атаками стоїть лише час, потрібний на створення робочого експлойту.

Наскільки швидко це відбувається, показала Log4Shell (CVE-2021-44228) — критична вразливість у бібліотеці журналювання Apache Log4j, яку використовують тисячі Java-застосунків. За даними Cloudflare, поодинокі спроби перевірити вразливість компанія зафіксувала 1 грудня 2021 року, за вісім днів до публічного розкриття, тобто ще на етапі zero-day. А після оголошення першу спробу експлуатації помітили вже через девʼять хвилин.

Ще один бік проблеми — програми, які не оновлюються самі. WinRAR, наприклад, не має автооновлення, не підтримує групові політики Windows і не потрапляє в корпоративні системи керування оновленнями. Через це вразливі версії залишаються на компʼютерах набагато довше, ніж після виходу патча для операційної системи.

Хто використовує вразливості нульового дня

Експлойти нульового дня дорогі, тож історично ними користувалися передусім держави. Проте, за даними звіту GTIG за 2025 рік, коло покупців розширюється.

• Комерційні постачальники шпигунського ПЗ та їхні клієнти. У 2025 році GTIG уперше приписала їм більше вразливостей нульового дня, ніж традиційним державним угрупованням кібершпигунства. Такі компанії зосереджуються на смартфонах і браузерах, а їхні продукти, за оцінкою GTIG, використовують у тому числі проти правозахисників і журналістів.
• Державні угруповання кібершпигунства. Понад половину приписаних їм zero-day вони спрямували на периметральні пристрої та засоби безпеки — маршрутизатори, VPN-шлюзи, міжмережеві екрани. Найактивнішими серед держав залишаються повʼязані з Китаєм групи — щонайменше 10 вразливостей у 2025 році. Жодної вразливості нульового дня GTIG не приписала угрупованням КНДР, хоча у 2024 році їх було пʼять.
• Фінансово мотивовані злочинці. На них припадає 9 вразливостей нульового дня у 2025 році, дві з яких використали в операціях, що завершилися розгортанням програм-вимагачів.

Для тих, хто не може знайти вразливість самостійно, існує тіньовий ринок. На кіберзлочинних форумах, як повідомляє The Register, у листопаді 2025 року пропонували експлойт нульового дня для Microsoft Office з виходом із «пісочниці» за 300 тисяч доларів, а місяцем раніше — експлойт для підвищення привілеїв у Windows за 100 тисяч доларів.

Що атакують найчастіше: статистика 2025 року

За даними GTIG, загальна кількість вразливостей нульового дня за останні пʼять років коливається в межах 60–100 на рік. У 2025-му їх нарахували 90 — більше, ніж 78 у 2024 році, але менше за рекордні 100 у 2023-му. Змінюється насамперед структура цілей:

• Корпоративні технології — 43 вразливості (48%), рекордна частка. Близько половини з них (21) — засоби безпеки та мережеве обладнання. Ще 14 стосувалися периметральних пристроїв, і, на думку дослідників, ця цифра занижена: на таких пристроях зазвичай немає засобів моніторингу, тож зломи складно помітити.
• Операційні системи — 39 вразливостей (44%), найбільша категорія. Окремо зросла кількість вразливостей у мобільних ОС: 15 проти 9 у 2024 році.
• Браузери — менш ніж 10% від загальної кількості. GTIG пояснює спад як посиленням захисту браузерів, так і тим, що зловмисники стали обережнішими й рідше потрапляють у поле зору.

Найчастіше вразливості нульового дня використовують для віддаленого виконання коду, на другому місці — підвищення привілеїв. Приблизно 35% усіх таких вразливостей становлять помилки безпеки памʼяті. Серед постачальників, як підрахувала SecurityWeek на основі звіту GTIG, найбільше zero-day у 2025 році припало на продукти Microsoft (25), далі йдуть Google (11), Apple (8) і Cisco (4).

Вразливість у WinRAR: zero-day, який досі використовують проти України

CVE-2025-8088 — вразливість типу path traversal в архіваторі WinRAR для Windows з оцінкою 8,4 за шкалою CVSS. Її виявили дослідники ESET влітку 2025 року, коли повʼязане з росією угруповання RomCom уже використовувало її як zero-day. За даними GTIG, приблизно в той самий час, у середині липня 2025 року, вразливість почало експлуатувати й фінансово мотивоване угруповання UNC2165, частина учасників якого перебуває в росії.

Механізм атаки простий для жертви і непомітний для неї. Людина отримує RAR-архів, зазвичай електронною поштою, і відкриває його у старій версії WinRAR. За даними Trend Micro, на екрані зʼявляється лише PDF-документ, а у фоновому режимі архіватор без жодних попереджень записує додаткові файли в папку автозапуску Windows. Під час наступного входу в систему шкідливий код запускається сам.

Приманки розраховані саме на українських адресатів: повістки до суду (зокрема від імені Дніпропетровського окружного адміністративного суду), реєстри військовозобовʼязаних від імені Міністерства оборони, переліки військової техніки. Частину листів, за даними дослідників, надсилали зі зламаних поштових скриньок українських державних установ.

Виправлення вийшло у WinRAR 7.13 у липні 2025 року. Проте, за даними звіту Trend Micro від червня 2026 року, щонайменше до квітня 2026-го два різні угруповання продовжували створювати нові зразки експлойта. Одне з них CERT-UA відстежує як UAC-0226: воно атакує центри військових інновацій, військові формування, правоохоронні органи та органи місцевого самоврядування поблизу східного кордону. Його шкідлива програма GIFTEDCROOK викрадає паролі й файли cookie з браузерів, а також документи 35 типів, зокрема бази паролів KeePass і конфігурації OpenVPN. Друге — Gamaredon, одне з найактивніших проросійських угруповань, яке атакує Україну щонайменше з 2013 року. Окрім них, цю вразливість, за даними дослідників, використовували також Sandworm і Turla.

Відомі атаки нульового дня: від Stuxnet до Oracle

Stuxnet (2010)

Хробак Stuxnet використовував чотири вразливості нульового дня в Windows) і був створений для атаки на програмовані логічні контролери Siemens, що керували центрифугами на іранському ядерному обʼєкті в Натанзі. Мережа обʼєкта була ізольована від інтернету, тож, імовірно, шкідливе ПЗ потрапило туди через USB-накопичувач. Stuxnet досі вважають одним із перших зразків кіберзброї, здатної завдавати фізичної шкоди обладнанню.

Kaseya VSA (2021)

2 липня 2021 року угруповання REvil використало вразливість нульового дня в Kaseya VSA — інструменті, через який постачальники керованих ІТ-послуг обслуговують мережі клієнтів. Через одну ланку зловмисники дісталися до сотень компаній: за оцінкою Kaseya, постраждали від 800 до 1500 підприємств. Виправлення компанія випустила лише 11 липня.

Oracle E-Business Suite (2025)

Наприкінці вересня 2025 року керівники багатьох компаній отримали листи від угруповання, що називало себе Cl0p, з твердженнями про викрадення даних із систем Oracle E-Business Suite. Розслідування GTIG показало, що вимогам передували місяці зломів: вразливості CVE-2025-61882 і/або CVE-2025-61884 експлуатували як zero-day щонайменше з 9 серпня 2025 року — за кілька тижнів до виходу виправлення.

WannaCry і NotPetya: чому це не атаки нульового дня

У багатьох оглядах ці атаки 2017 року наводять як класичні приклади zero-day. Насправді обидві використовували вразливість у протоколі SMB Windows, яку Microsoft закрила оновленням MS17-010 ще 14 березня 2017 року. Експлойт EternalBlue для неї, ймовірно, розробило Агентство національної безпеки США, а у квітні 2017 року його оприлюднило угруповання Shadow Brokers.

WannaCry почав поширюватися 12 травня 2017 року — майже через два місяці після виходу патча. За даними Європолу, програма-вимагач уразила понад 200 тисяч жертв щонайменше у 150 країнах. Шкоди зазнали саме ті, хто не встановив доступне оновлення.

NotPetya, що вразив Україну 27 червня 2017 року, теж не був атакою нульового дня. За даними CISA, шкідливе ПЗ поширювалося через скомпрометоване оновлення української бухгалтерської програми M.E.Doc, а всередині мереж — зокрема через EternalBlue. Хоча NotPetya показував вимогу викупу, британський Національний центр кібербезпеки встановив, що розшифрування файлів не було передбачене взагалі. У лютому 2018 року уряд Великої Британії офіційно поклав відповідальність за атаку на російських військових; основними цілями, за його оцінкою, були фінансовий, енергетичний і державний сектори України.

Обидва випадки показують, що неоновлена система вразлива не менше, ніж система без виправлення взагалі.

Як штучний інтелект змінює пошук вразливостей

У прогнозі на 2026 рік GTIG очікувала, що ШІ пришвидшить перегони між зловмисниками та захисниками: перші автоматизуватимуть розвідку, пошук вразливостей і розробку експлойтів, другі — знаходитимуть і закриватимуть вразливості до того, як їх почнуть використовувати. Обидва сценарії справдилися вже в першій половині року.

7 квітня 2026 року Anthropic повідомила, що її модель Claude Mythos Preview знайшла та змогла експлуатувати вразливості нульового дня в усіх основних операційних системах і браузерах. Серед підтверджених знахідок — 27-річна помилка в OpenBSD, операційній системі з репутацією однієї з найзахищеніших, і 16-річна вразливість у бібліотеці FFmpeg, яку не помітили автоматизовані тести. На момент публікації понад 99% знайдених вразливостей ще не мали виправлень. Компанія не відкрила модель для широкого доступу і надала її лише обмеженому колу організацій у межах ініціативи Project Glasswing, щоб ті встигли закрити вразливості до появи подібних інструментів у зловмисників.

11 травня 2026 року GTIG описала перший відомий випадок, коли кіберзлочинці застосували ШІ-модель для пошуку та експлуатації вразливості нульового дня. Ідеться про обхід двофакторної автентифікації в популярному відкритому вебінструменті системного адміністрування. Google разом із розробником закрила вразливість, і, за оцінкою компанії, це могло зірвати заплановану масову атаку.

Для користувачів і адміністраторів висновок спільний: вікно між публікацією виправлення та першими атаками скорочується. Тому в Anthropic радять вмикати автоматичні оновлення всюди, де це можливо, і сприймати оновлення з виправленнями безпеки як термінові, а не планові.

Чи можна помітити атаку нульового дня

Антивірус, що спирається на сигнатури, не впізнає експлойт для невідомої вразливості. Проте дії зловмисників після проникнення часто залишають сліди. Насторожити мають такі ознаки:

• несподівані збої або перезапуски застосунків чи операційної системи, особливо після відкриття вкладення чи посилання;
• нові елементи в автозапуску або невідомі файли в системних папках;
• мережеві зʼєднання з незнайомими адресами, підвищений вихідний трафік;
• входи в облікові записи з незнайомих пристроїв чи місць, змінені налаштування безпеки;
• вимкнений антивірус або інші засоби захисту, які ніхто не вимикав.

Людям із підвищеним ризиком — журналістам, правозахисникам, військовим — GTIG радить звертатися до фахівців, якщо вони отримали підозріле посилання чи вкладення або помітили незвичні збої застосунків чи ОС. Організаціям в Україні варто повідомляти про інциденти CERT-UA.

Як захиститися від атак нульового дня

Повністю убезпечитися від невідомої вразливості неможливо, але можна суттєво скоротити час, протягом якого вона становить загрозу, і ускладнити зловмисникам її використання.

Для користувачів

• Встановлювати оновлення одразу. Автоматичні оновлення операційної системи, браузера й застосунків варто тримати увімкненими, а браузер — перезапускати, щоб оновлення набуло чинності. GTIG також радить регулярно перезавантажувати смартфон.
• Перевіряти програми без автооновлення. WinRAR, програми для перегляду PDF, медіаплеєри та інші утиліти часто роками залишаються в старих версіях. Для WinRAR потрібна версія 7.13 або новіша. Програми, якими ніхто не користується, краще видалити.
• Обережно ставитися до архівів і вкладень. Повістки, судові документи й «термінові» листи від державних органів — улюблені приманки угруповань, що атакують Україну. Архів від невідомого відправника не варто відкривати, навіть якщо він виглядає офіційно.
• Увімкнути посилений захист на смартфоні. На iPhone це режим карантину (Lockdown Mode) у розділі «Параметри» → «Приватність і безпека», на Android — Розширений захист. Вони обмежують частину функцій, через які найчастіше атакують пристрої. Apple позиціює режим блокування для людей, які можуть стати мішенню складних цільових атак, тож для більшості користувачів це радше додатковий захід.
• Не покладатися лише на VPN чи антивірус. VPN шифрує трафік, але не закриває вразливостей у програмах. Антивірус допомагає виявити наслідки зламу, однак не замінює оновлень.

Для організацій

• Пріоритезувати виправлення за реальними загрозами. Каталог CISA Known Exploited Vulnerabilities містить вразливості, які вже експлуатують у реальних атаках; CISA радить використовувати його як основу для визначення пріоритетів.
• Вести облік усього ПЗ, включно з утилітами. Trend Micro радить окремо інвентаризувати програми, що не оновлюються через стандартні канали, і включити їх у процес керування оновленнями. Перелік програмних компонентів (SBOM) допомагає за лічені години знайти вразливі бібліотеки на кшталт Log4j.
• Захистити периметр. За рекомендаціями GTIG, VPN-шлюзи, міжмережеві екрани та інші периметральні пристрої слід відокремлювати від критичних систем, а мережеві порти не відкривати в інтернет без потреби. Якщо виправлення ще немає, вразливий сервіс варто тимчасово вимкнути або ізолювати.
• Стежити за поведінкою, а не лише за сигнатурами. Моніторинг аномальної активності, контроль запуску PowerShell і mshta, фільтрація RAR-вкладень на поштовому шлюзі допомагають помітити атаку навіть тоді, коли сама вразливість ще невідома.
• Скоротити цикл оновлень. В Anthropic наголошують, що адміністраторам доведеться швидше розгортати оновлення безпеки, а оновлення залежностей із виправленнями CVE варто сприймати як термінові.

Ця стаття Вразливість нульового дня: що це таке, як працюють атаки zero-day і як від них захиститися раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

OSINT, або розвідка з відкритих джерел, — це збирання й аналіз публічно доступної інформації, щоб відповісти на конкретне запитання. Цими методами користуються журналісти-розслідувачі, фахівці з кібербезпеки, фактчекери та прокурори, які документують воєнні злочини. Ними ж користуються шахраї та кіберзлочинці, коли готують атаку.

Що таке OSINT простими словами

OSINT (англ. Open Source Intelligence) — розвідка з відкритих джерел. Фахівців, які професійно нею займаються, називають осінтерами або OSINT-аналітиками.

Офіс директора національної розвідки США (ODNI) у стратегії OSINT на 2024–2026 роки визначає OSINT як розвідувальні дані, отримані виключно з публічно або комерційно доступної інформації, які відповідають на конкретні пріоритети, потреби чи прогалини розвідки. Ключове в цьому визначенні — не лише «відкритість» джерел, а аналіз і мета. Розрізнені публічні факти стають розвідувальними даними тоді, коли їх зібрали, перевірили й зіставили, щоб відповісти на конкретне запитання.

Фото з відпустки в соцмережі — це просто інформація. Але якщо зіставити геотег, час публікації, вивіски в кадрі й розклад рейсів, можна з високою точністю встановити, де і коли перебувала людина. Саме перехід від окремих даних до обґрунтованого висновку і є OSINT.

До OSINT не належать злам акаунтів, доступ до даних під паролем, купівля злитих баз і видавання себе за іншу людину, щоб вивідати інформацію. Це вже не розвідка з відкритих джерел, а здебільшого — правопорушення.

Звідки взявся OSINT

Розвідка з відкритих джерел старша за інтернет: спецслужби десятиліттями вивчали іноземну пресу, радіо та офіційні публікації. Цифрова епоха змінила масштаб. Відкритих даних стало настільки багато, що розвідувальна спільнота США назвала свій стратегічний документ «The INT of First Resort» — розвідка, до якої звертаються насамперед.

Паралельно OSINT вийшов за межі спецслужб. Незалежні розслідувачі, журналісти й волонтерські спільноти навчилися встановлювати факти, які держави намагалися приховати, спираючись лише на публічні фото, відео та дописи в соцмережах.

Основні джерела OSINT

• Пошукові системи. Google, Bing, DuckDuckGo, Brave Search. Оператори на кшталт site:, filetype: чи intitle: дають змогу знаходити документи й сторінки, які звичайний пошук не показує на перших позиціях.
• Соціальні мережі та месенджери. X, Facebook, Instagram, TikTok, LinkedIn, публічні Telegram-канали. Це найбагатше джерело даних про людей: фото, звʼязки, місця, звички, місце роботи.
• Публічні реєстри. В Україні це, зокрема, реєстр юридичних осіб і ФОП, Єдиний державний реєстр судових рішень, система публічних закупівель Prozorro, реєстр декларацій НАЗК.
• Медіа й вебархіви. Новинні сайти, блоги, форуми, а також архіви на кшталт Wayback Machine, які зберігають видалені або змінені сторінки.
• Карти й супутникові знімки. Google Maps і Google Earth, OpenStreetMap, відкриті знімки європейської програми Copernicus. Вони допомагають геолокувати фото й відео та відстежувати зміни на місцевості.
• Технічні дані. Записи DNS, сертифікати SSL/TLS, відкриті порти й банери серверів, метадані документів і зображень.

Як працює OSINT-розслідування

Професійне OSINT-розслідування — це цикл, а не хаотичний пошук. Міжнародним орієнтиром для розслідувань на основі відкритих цифрових джерел є Берклійський протокол. Його розробили Центр прав людини Каліфорнійського університету в Берклі та Управління Верховного комісара ООН з прав людини. Протокол визначає мінімальні професійні стандарти для пошуку, збирання, збереження, верифікації та аналізу цифрової інформації з відкритих джерел.

На практиці розслідування складається з шести кроків:

1. Постановка завдання. Що саме потрібно зʼясувати і навіщо. Чітке запитання визначає, які джерела й інструменти знадобляться, і не дає потонути в зайвих даних.
2. Збирання. Пошук у релевантних джерелах і фіксація всього знайденого разом із посиланнями та часом доступу.
3. Збереження. Сторінки видаляють, акаунти закривають, тому знахідки архівують одразу: знімки екрана, копії у вебархівах, оригінальні файли з метаданими.
4. Верифікація. Кожен факт підтверджують кількома незалежними джерелами. Фото й відео перевіряють на дату, місце та ознаки монтажу чи генерації ШІ.
5. Аналіз. Зіставлення фактів, пошук закономірностей і суперечностей, оцінка достовірності кожного висновку.
6. Звіт. Результати фіксують так, щоб інший дослідник міг пройти тим самим шляхом і перевірити висновки.

Хто такі осінтери і де застосовують OSINT

Осінтер — фахівець, який професійно займається розвідкою з відкритих джерел. Єдиного шляху в професію немає: осінтерами стають журналісти, аналітики, ІТ-фахівці, юристи. Базові навички — критичне мислення, увага до деталей, знання інструментів і розуміння правових меж.

Основні сфери застосування OSINT:

• Журналістика й фактчекінг — розслідування, спростування фейків, перевірка вірусних фото й відео.
• Кібербезпека — оцінка того, що про організацію видно ззовні, розвідка загроз, підготовка до тестування на проникнення.
• Бізнес — перевірка контрагентів і партнерів (due diligence), конкурентна розвідка, пошук ризиків перед угодами.
• Правозахист і правосуддя — документування порушень прав людини та воєнних злочинів.
• Безпека й оборона — моніторинг дій противника, ідентифікація техніки та військовослужбовців.

OSINT у війні: український досвід

Для України OSINT став зброєю задовго до повномасштабного вторгнення. Міжнародна волонтерська спільнота InformNapalm збирає й оприлюднює докази участі російської армії у війні проти України з весни 2014 року. Основним методом роботи спільнота називає саме OSINT: вона не бере участі у зламах, а дані, отримані від хактивістів, перевіряє за альтернативними джерелами.

OSINT-агенцію Molfar заснував у 2019 році Артем Старосєк. Після ракетного удару по багатоповерхівці в Дніпрі 14 січня 2023 року учасники спільноти Molfar встановили й оприлюднили дані військовослужбовців 52-го бомбардувального авіаполку, який, за їхніми даними, здійснив обстріл.

Відкриті джерела працюють і на правосуддя. Берклійський протокол активно використовують українські прокурори, які документують російські воєнні злочини. Неофіційний український переклад документа зʼявився вже за кілька тижнів після початку вторгнення.

Водночас OSINT працює в обидва боки. Противник так само аналізує фото й відео, які українці публікують у соцмережах. Знімки наслідків обстрілів, руху техніки чи розташування позицій допомагають коригувати удари. OSINT-розслідувачі Molfar окремо пояснювали, що не можна знімати під час війни.

OSINT у кібербезпеці: погляд атакувальника і захисника

Перш ніж атакувати організацію, зловмисники проводять розвідку, і майже завжди починають з відкритих джерел. Ось що вони шукають:

• Людей. Імена, посади, формат корпоративних адрес, дати народження, імена дітей і домашніх тварин. Усе це допомагає скласти переконливий фішинговий лист або вгадати пароль.
• Інфраструктуру. Піддомени, відкриті порти, застарілі версії програмного забезпечення, неправильно налаштовані хмарні сховища.
• Витоки. Паролі, API-ключі й токени, випадково опубліковані в репозиторіях коду, а також облікові дані з раніше зламаних сервісів.
• Документи. Метадані публічних PDF та офісних файлів, які розкривають імена користувачів, шляхи до папок і версії програм.

Хрестоматійний приклад — Uber. За даними Федеральної торгової комісії США (FTC), у 2016 році зловмисники скористалися ключем доступу, який інженер компанії розмістив на сайті для обміну кодом. З хмарного сховища вони завантажили незашифровані файли з понад 25 млн імен та адрес електронної пошти, 22 млн імен і номерів телефонів, а також 600 тис. імен і номерів водійських посвідчень. Uber заплатила зловмисникам $100 тис. через програму bug bounty і приховувала інцидент до листопада 2017 року. FTC наголосила, що злам був разюче схожим на попередній інцидент 2014 року.

Та сама логіка працює на захист. Служби безпеки регулярно проводять OSINT-аудит власної організації: дивляться, що видно ззовні, і прибирають зайве. Вони закривають порти, видаляють ключі з репозиторіїв, очищують метадані документів і навчають працівників не розкривати в соцмережах подробиць роботи.

Інструменти OSINT у 2026 році

Інструментів сотні, і вони швидко змінюються: одні закриваються, інші стають платними. Нижче наведено актуальні варіанти, згруповані за завданнями. Ширшу добірку сервісів за категоріями веде каталог OSINT Framework.

Інфраструктура та пошук

• Shodan — пошукова система для пристроїв, підключених до інтернету: серверів, камер, промислових систем. Показує відкриті порти, банери сервісів і версії програмного забезпечення.
• theHarvester — консольний інструмент, який збирає імена, адреси електронної пошти, IP-адреси, піддомени та URL з десятків публічних джерел.
• SpiderFoot — автоматизує збирання даних через понад 200 модулів: від DNS і піддоменів до пошуку у витоках. Має вебінтерфейс і командний рядок.
• Recon-ng — модульний консольний фреймворк для розвідки з відкритих джерел.
• Оператори пошуку (Google dorks) — site:, filetype:, intitle:, inurl:. Готові запити для пошуку вразливих сторінок і файлів зібрано в Google Hacking Database.

Люди, акаунти та звʼязки

• Sherlock — шукає акаунти із заданим імʼям користувача у понад 400 соцмережах і сервісах.
• Maltego — платформа для аналізу звʼязків, яка будує граф між людьми, доменами, компаніями та адресами. Безкоштовний план Basic з Maltego Graph Community Edition дає 200 кредитів на місяць і до 24 результатів на одну трансформацію; повноцінні тарифи платні.

Документи й метадані

• Metagoofil — знаходить через Google документи певного типу на заданому домені й завантажує їх. Підтримувану версію за замовчуванням встановлено в Kali Linux; аналіз метаданих вона передає ExifTool.
• ExifTool — читає й редагує метадані зображень, PDF та офісних файлів.

Перевірка фото й відео

• InVID-WeVerify — розширення для браузера, яке розробляє AFP Medialab; автори описують його як «швейцарський ніж» для верифікації. Розкладає відео на ключові кадри, запускає зворотний пошук зображень, містить інструменти криміналістичного аналізу.
• Google Lens та інші сервіси зворотного пошуку зображень допомагають знайти першоджерело фото.
• Wayback Machine показує, який вигляд сторінка мала раніше, навіть якщо її вже видалили.

Окремо про Telegram-боти, які «пробивають» людину за номером телефону. Вони здебільшого працюють на злитих базах, тобто на викраденій інформації. Це не OSINT, а обіг незаконно отриманих персональних даних. Користування такими ботами підживлює ринок витоків і може мати правові наслідки.

Що законно, а що ні

Сама по собі розвідка з відкритих джерел законна: вивчати публічні сторінки, реєстри й карти не заборонено. Проблеми починаються там, де закінчується «відкритість» або де метою стає шкода конкретній людині.

• Доступ до захищених даних. Підбір пароля, використання чужих облікових даних чи обхід обмежень доступу — це вже не OSINT.
• Конфіденційна інформація про особу. Стаття 182 Кримінального кодексу України встановлює відповідальність за незаконне збирання, зберігання, використання та поширення конфіденційної інформації про особу. Покарання — від штрафу до обмеження волі, а за повторне порушення чи заподіяння істотної шкоди — до пʼяти років позбавлення волі.
• Персональні дані. Їхню обробку в Україні регулює Закон «Про захист персональних даних». Те, що дані десь опубліковані, не означає згоди людини на будь-яке їхнє використання.
• Доксинг. Зібрати досьє на людину з відкритих джерел і оприлюднити його, щоб зацькувати, — одна з найпоширеніших форм зловживання OSINT.

Для професійних розслідувань Берклійський протокол окремо наголошує на безпеці та етиці: дослідник має дбати про цифрову, фізичну й психологічну безпеку — власну, свідків і постраждалих.

ШІ та OSINT

Штучний інтелект змінює OSINT з обох боків. Моделі прискорюють рутину: транскрибують і перекладають відео, розпізнають обʼєкти на знімках, підсумовують великі масиви тексту. Водночас згенеровані фото, відео й голос ускладнюють верифікацію.

Тому інструменти перевірки додають детектори синтетичного контенту. Наприклад, у розширенні InVID-WeVerify зареєстрованим користувачам доступні бета-детектор згенерованих зображень і детектор клонування голосу. Проте жоден детектор не дає стовідсоткової гарантії: остаточний висновок робить людина, зіставляючи незалежні джерела.

Як зменшити власну вразливість до OSINT

Оскільки ті самі методи може застосувати будь-хто, корисно час від часу дивитися на себе очима дослідника. Базові кроки:

• Шукати власне імʼя, нікнейми, номер телефону й адресу пошти в пошукових системах.
• Переглянути налаштування приватності в соцмережах: хто бачить друзів, фото, місце роботи й дату народження.
• Вимкнути геотеги в камері та видаляти метадані з фото перед публікацією.
• Не публікувати фото документів, квитків, посадкових талонів і перепусток.
• Використовувати різні нікнейми й адреси пошти для різних сервісів, щоб акаунти було важче повʼязати між собою.

Висновок

OSINT — це дисципліна, а не набір сайтів: запитання, збирання, збереження, перевірка, аналіз. Ця методологія допомагає журналістам викривати, фахівцям з безпеки — захищати компанії, а українським розслідувачам — встановлювати імена воєнних злочинців. Тож варто памʼятати: усе, що опубліковано відкрито, може стати частиною чийогось розслідування.

Ця стаття Що таке OSINT: як працює розвідка з відкритих джерел і хто такі осінтери раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Ботнет — це мережа заражених шкідливим ПЗ компʼютерів, смартфонів, роутерів та інших підключених до інтернету пристроїв, якими зловмисник віддалено керує без відома власників. Саме так цей термін визначає ФБР у своїх попередженнях. Кожен заражений пристрій називають ботом, або «зомбі», а того, хто керує мережею, — ботмайстром (bot herder).

Сила ботнету — у кількості. Один зламаний роутер нічого не вирішує, але сотні тисяч чи мільйони пристроїв, які одночасно виконують одну команду, здатні вивести з ладу великий сервіс DDoS-атакою, розіслати мільйони фішингових листів або сховати слід злочинця за чужими IP-адресами. Власник зараженого пристрою найчастіше нічого не помічає: шкідлива програма працює у фоновому режимі й намагається не привертати уваги.

Як працює ботнет

Будь-який ботнет проходить три етапи.

• Зараження. Шкідливе ПЗ потрапляє на пристрій через вкладення у фішингових листах, піратські програми, «безкоштовні» VPN-застосунки, неоновлене програмне забезпечення з відомими вразливостями або стандартні паролі на роутерах і камерах. Деякі дешеві ТВ-приставки надходять у продаж уже зараженими: шкідливий код встановлено ще до покупки.
• Підключення до керування. Заражений пристрій звʼязується з сервером керування (command-and-control, C2) і чекає на команди. У класичній схемі таких серверів один або кілька, тож правоохоронці можуть «обезголовити» мережу, захопивши їх. Складніші ботнети будують децентралізовану пірингову (P2P) мережу, де боти передають команди один одному. Так працював, наприклад, Gameover Zeus, що суттєво ускладнювало його ліквідацію.
• Виконання команд. Ботмайстер розсилає завдання: атакувати сайт, розіслати спам, завантажити на пристрої інше шкідливе ПЗ, пропустити через них чужий трафік. Доступ до ботнету часто здають в оренду іншим злочинцям — це окремий кримінальний бізнес.

Які пристрої потрапляють у ботнети

Ще десять років тому ботнети складалися переважно з компʼютерів на Windows. Сьогодні до них потрапляє будь-яка техніка з доступом до мережі.

• Компʼютери та ноутбуки — традиційна мішень банківських троянів і завантажувачів шкідливого ПЗ.
• Роутери, IP-камери та відеореєстратори — пристрої інтернету речей, які рідко оновлюють і на яких часто залишаються заводські паролі. Саме на цьому побудований Mirai і його численні клони.
• Смарт-ТВ, ТВ-приставки, проєктори, цифрові фоторамки й автомобільні мультимедійні системи — ФБР попереджало про масове зараження саме таких пристроїв на Android з відкритим кодом.
• Смартфони — переважно через застосунки з неофіційних магазинів.
• Сервери — орендовані або зламані машини в дата-центрах, які дають ботнету значно більшу потужність, ніж домашні пристрої.

Для чого використовують ботнети

• DDoS-атаки. Боти одночасно надсилають запити до сайту чи сервера, доки той не перестане відповідати. Рекорди потужності оновлюються постійно: наприкінці 2025 року Cloudflare відбила атаку ботнету Aisuru/Kimwolf пікової потужності 31,4 Тбіт/с, яка тривала лише 35 секунд. Докладніше про цей тип атак — у матеріалі про DDoS-атаки.
• Резидентні проксі. Злочинці пропускають свій трафік через IP-адреси звичайних домашніх користувачів, щоб обійти антифрод-системи банків і приховати справжнє місцезнаходження. Власник зараженого пристрою ризикує опинитися в полі зору правоохоронців через дії, яких не вчиняв.
• Доставка іншого шкідливого ПЗ. Ботнети на зразок Emotet і Qakbot продавали доступ до заражених компʼютерів операторам програм-вимагачів.
• Крадіжка даних. Боти збирають логіни, паролі, дані банківських карток і файли сесій, які дають змогу увійти в обліковий запис без пароля.
• Спам і фішинг. Заражені компʼютери розсилають листи від імені власників. Emotet, наприклад, викрадав листування жертв і відповідав у наявних ланцюжках, тож отримувачі бачили знайоме імʼя і реальну переписку.
• Рекламне шахрайство. Боти «переглядають» рекламу й «клікають» по ній у прихованих вікнах браузера, а гроші рекламодавців отримують шахраї.
• Майнінг криптовалют за рахунок ресурсів чужих пристроїв — про цю загрозу є окремий матеріал щодо прихованого криптомайнінгу.
• Підбір паролів. Перебираючи паролі до облікових записів через мільйони різних IP-адрес, зловмисники обходять системи захисту, які блокують масові спроби входу з одного джерела. Мережу ботнету Popa, за даними Google, використовували саме для таких атак.

Ознаки того, що компʼютер став частиною ботнету

Найхарактерніша ознака — незвична мережева активність: компʼютер передає дані й навантажує інтернет-канал навіть тоді, коли ним ніхто не користується. Окремо жодна ознака не доводить зараження, але поєднання кількох — привід для негайної перевірки.

• Мережевий трафік у простої. Індикатор активності роутера постійно блимає, а диспетчер завдань показує мережеве навантаження, хоча всі програми закрито. Інтернет помітно сповільнився без видимої причини.
• Постійне навантаження на процесор. Вентилятор працює на повну, компʼютер гріється й гальмує в простої — так проявляються прихований майнінг і розсилання спаму.
• Невідомі процеси та програми. У диспетчері завдань чи автозавантаженні зʼявилися незнайомі програми, у браузері — розширення, які ніхто не встановлював.
• Вимкнений або непрацездатний антивірус. Захист не оновлюється чи не запускається, а сайти антивірусних компаній не відкриваються. Саме так поводився Conficker: він завершував процеси захисних програм і блокував доступ до сайтів про безпеку.
• Скарги знайомих на спам. Контакти отримують від власника пристрою підозрілі листи чи повідомлення з вкладеннями, яких він не надсилав.
• Капча на кожному кроці. Сайти частіше просять довести, що користувач не робот, листи повертаються з позначкою про спам, а провайдер попереджає про підозрілий трафік. Це ознака того, що IP-адресу вже внесено до чорних списків.
• Незрозумілі входи в облікові записи та сповіщення про зміну паролів, яких власник не ініціював.

Ознаки зараження роутера, ТВ-приставки та інших розумних пристроїв

На роутері чи камері немає антивірусу, тож зараження доводиться визначати непрямо. ФБР у попередженні щодо ботнету BadBox 2.0 називає такі тривожні сигнали:

• пристрій вимагає вимкнути Google Play Protect або встановлювати застосунки з незнайомих магазинів;
• ТВ-приставку рекламують як «розблоковану» з доступом до безкоштовного контенту;
• виробник — невідомий бренд, а Android на пристрої не сертифікований Google Play Protect;
• у домашній мережі фіксується незрозумілий або підозрілий трафік.

Для роутера додаткові ознаки — змінені DNS-сервери в налаштуваннях, невідомі правила переадресації портів і пароль адміністратора, який раптом перестав підходити.

Що робити, якщо пристрій заражено

1. Відключити пристрій від мережі. Так він перестане брати участь в атаках і передавати дані зловмисникам.
2. Перевірити компʼютер антивірусом. На Windows варто запустити повну перевірку, а краще — офлайн-сканування Microsoft Defender: воно виконується до завантаження системи й виявляє шкідливе ПЗ, яке маскується в запущеній ОС.
3. Оновити операційну систему, браузер і всі програми.
4. Змінити паролі з іншого, чистого пристрою. Спершу — пошта, банкінг і соцмережі; скрізь, де можливо, варто увімкнути двофакторну автентифікацію або ключі доступу. Також потрібно завершити всі активні сесії: сучасні інфостілери викрадають не лише паролі, а й сесії.
5. Скинути роутер до заводських налаштувань, одразу встановити найновішу прошивку і задати новий складний пароль адміністратора.
6. Позбутися підозрілих ТВ-приставок. Якщо шкідливий код вбудовано в прошивку ще на заводі, скидання налаштувань його не видаляє. Пристрій невідомого бренду з ознаками зараження надійніше замінити на сертифікований.
7. Повідомити про інцидент. Організаціям варто звернутися до CERT-UA, приватним особам — до кіберполіції, якщо з облікових записів чи карток уже викрадено кошти.

Як захиститися від ботнетів

Компʼютер і смартфон

• Вчасні оновлення. Conficker у 2008 році поширювався через вразливість Windows, для якої Microsoft уже випустила виправлення, — заражалися ті, хто його не встановив.
• Обережність із вкладеннями. Emotet і Qakbot потрапляли на компʼютери переважно через листи з вкладеннями, замаскованими під рахунки чи повідомлення про доставку.
• Жодного піратського ПЗ і «безкоштовних» VPN сумнівного походження. Ботнет 911 S5 поширювався саме через безкоштовні VPN-застосунки та піратські програми.
• Надійний антивірус. Вбудований Microsoft Defender забезпечує базовий захист; антивіруси російського походження використовувати не варто.
• Застосунки лише з офіційних магазинів і перевірка дозволів, які вони запитують.

Роутер, камери та розумна техніка

• Змінити заводський пароль адміністратора одразу після встановлення. Mirai перебирав лише 62 поширені пари «логін — пароль», і цього вистачило для створення одного з найпотужніших ботнетів свого часу.
• Регулярно оновлювати прошивку або ввімкнути автоматичне оновлення.
• Вимкнути UPnP і віддалене адміністрування роутера, якщо в них немає потреби, — таку пораду дає американське агентство CISA.
• Купувати техніку відомих виробників з гарантованою підтримкою оновлень і уникати «розблокованих» ТВ-приставок із безкоштовним контентом.
• Виділити розумним пристроям окрему гостьову мережу, щоб заражена камера чи телевізор не мали доступу до компʼютерів і смартфонів.

Ботнет і ботоферма: у чому різниця

Ці поняття часто плутають, хоча йдеться про різні речі. Ботнет складається з чужих пристроїв, захоплених без відома власників. Ботоферма — це обладнання, яким зловмисники володіють самі: телефони й модеми, тисячі SIM-карток і програми, що автоматично керують фейковими акаунтами в соцмережах. Її мета — не технічна атака, а маніпулювання громадською думкою.

Масштаб таких схем показовий: у 2022 році СБУ повідомила про ліквідацію ботоферми, для якої зловмисники використовували 5 000 SIM-карток і 200 мобільних проксі-ферм для підміни IP-адрес.

Проти українських ресурсів застосовують і гібридні схеми. Проросійське угруповання NoName057(16), яке діє з березня 2022 року, залучало прихильників встановлювати на власні компʼютери програму DDoSia і платило їм криптовалютою за участь в атаках; паралельно група мала власний ботнет із кількох сотень серверів. У липні 2025 року міжнародна операція Eastwood за координації Європолу вивела з ладу центральну інфраструктуру угруповання, розслідування підтримувала й Україна. Понад тисячу прихильників мережі правоохоронці попередили про кримінальну відповідальність: добровільна участь у DDoS-атаках є злочином.

Найвідоміші ботнети: від Zeus до Popa

Zeus і Gameover Zeus (2007–2014)

Банківський троян Zeus зʼявився щонайменше у 2007 році і викрадав облікові дані до онлайн-банкінгу. Його версія Gameover Zeus, що виникла у 2011 році, використовувала децентралізовану P2P-мережу й, за оцінками, на які посилалося Міністерство юстиції США, заразила від 500 тисяч до 1 млн компʼютерів. За даними ФБР, збитки від ботнету перевищили 100 млн доларів, а звинувачення в його адмініструванні висунули росіянину Євгенію Богачову з Анапи. У червні 2014 року ботнет ліквідували в межах міжнародної операції; українські правоохоронці вилучили його сервери в Києві та Донецьку.

Conficker (2008)

Червʼяк Conficker зʼявився в листопаді 2008 року й поширювався через вразливість у службі Server Windows. Він уразив мільйони домашніх, корпоративних і урядових компʼютерів у 190 країнах та сформував величезний ботнет. Conficker блокував оновлення й антивіруси, тож позбутися його було складно, і він роками залишався однією з найпоширеніших інфекцій.

Mirai (2016)

Mirai перетворював на ботів роутери, IP-камери та відеореєстратори, перебираючи 62 стандартні пари «логін — пароль». У вересні 2016 року ботнет атакував блог журналіста Браяна Кребса з потужністю понад 620 Гбіт/с — одна з найбільших атак на той момент. А 21 жовтня 2016 року кілька хвиль атак на DNS-провайдера Dyn зробили недоступними численні популярні сайти для мільйонів користувачів. Після публікації вихідного коду Mirai зʼявилися десятки модифікацій, і нові варіанти ботнету атакують пристрої досі.

Methbot і 3ve (2014–2018)

Ці схеми рекламного шахрайства часто плутають. Methbot, викритий у 2016 році, працював на орендованих серверах у дата-центрах і лише імітував трафік домашніх користувачів, тож у класичному розумінні ботнетом не був. За даними Мінʼюсту США, він приніс шахраям щонайменше 7 млн доларів. Справжнім ботнетом була наступна схема тих самих людей — 3ve: вона використовувала понад 1,7 млн заражених компʼютерів, у прихованих браузерах яких «переглядалася» реклама на підроблених сайтах, і принесла щонайменше 29 млн доларів. У 2018 році ФБР разом із Google та іншими компаніями ліквідувало інфраструктуру 3ve, а вісьмом фігурантам — шістьом громадянам росії та двом громадянам Казахстану — висунули звинувачення.

Emotet (з 2014 року)

Emotet зʼявився у 2014 році як банківський троян і згодом перетворився на головні «двері» для кіберзлочинців: оператори продавали доступ до заражених компʼютерів угрупованням, які встановлювали програми-вимагачі. Поширювався він через листи з вкладеннями — підробленими рахунками, повідомленнями про доставку й навіть інформацією про COVID-19. У січні 2021 року Європол і Євроюст скоординували ліквідацію інфраструктури Emotet за участі правоохоронців восьми країн, серед яких була й Україна. Утім, уже в листопаді 2021 року ботнет почав відроджуватися — за допомогою іншого ботнету, TrickBot.

Qakbot (2007–2023)

Qakbot, також відомий як Qbot, діяв із 2007 року і поширювався через спам-листи. Через нього проникали в мережі жертв угруповання-вимагачі Conti, REvil, Black Basta та інші. У серпні 2023 року ФБР отримало доступ до інфраструктури ботнету, виявило понад 700 тисяч заражених компʼютерів і перенаправило їхній трафік на власні сервери, звідки пристрої отримали команду видалити шкідливу програму. Також було конфісковано близько 8,6 млн доларів у криптовалюті.

911 S5 (2014–2024)

ФБР назвало 911 S5 імовірно найбільшим ботнетом в історії. З 2014 до 2022 року він обʼєднав мільйони домашніх компʼютерів на Windows, повʼязаних із понад 19 млн унікальних IP-адрес. Шкідливе ПЗ поширювали через безкоштовні VPN-застосунки MaskVPN, DewVPN та інші, а також у збірках піратських програм. Доступ до заражених IP-адрес продавали злочинцям: лише шахрайство з американськими пандемічними виплатами на випадок безробіття, за оцінкою Мінʼюсту США, завдало збитків понад 5,9 млрд доларів. Імовірного адміністратора ботнету заарештували у травні 2024 року.

Операція Endgame (2024)

У травні 2024 року Європол провів найбільшу в історії операцію проти ботнетів: удар отримали мережі завантажувачів IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee і Trickbot, через які поширювали програми-вимагачі. Правоохоронці вимкнули понад 100 серверів і захопили понад 2 000 доменів. Трьох підозрюваних затримали в Україні, ще одного — у Вірменії.

BadBox 2.0 (з 2023 року)

BadBox 2.0 складається з дешевих Android-пристроїв: ТВ-приставок, планшетів, проєкторів, автомобільних мультимедійних систем. Частину з них заражали ще до продажу, інші — під час встановлення застосунків із неофіційних магазинів. У червні 2025 року ФБР випустило попередження для споживачів, а в липні Google подала позов проти операторів ботнету, який, за її даними, охопив понад 10 млн пристроїв. Заражену техніку використовували як резидентні проксі та для рекламного шахрайства.

Aisuru/Kimwolf (2025)

Ботнет, що встановив рекорд потужності DDoS-атак. Наприкінці 2025 року Cloudflare відбила його атаку потужністю 31,4 Тбіт/с. Основу ботнету становлять заражені IoT-пристрої та роутери, а джерелами трафіку в рекордній кампанії були телевізори на Android.

Popa (2026)

2 липня 2026 року ФБР вилучило сотні доменів, повʼязаних із сервісом резидентних проксі NetNut і ботнетом Popa. За оцінкою Google, Popa налічував щонайменше 2 млн пристроїв, зокрема смарт-телевізорів і ТВ-приставок, на які програмний компонент потрапляв разом зі звичайними застосунками без явної згоди власників. Лише за один тиждень червня 2026 року вихідні вузли мережі використовували 316 різних угруповань — від кіберзлочинців до шпигунських груп. Материнська компанія NetNut, Alarum Technologies, заявила, що співпрацює зі слідством.

Ця стаття Ботнет: що це таке, як працює і за якими ознаками зрозуміти, що компʼютер заражено раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Група кіберрозвідки Google — Google Threat Intelligence Group (GTIG) — 20 серпня 2026 року оприлюднила звіт про три окремі кластери підозрюваного російського кібершпигунства, які зламують акаунти не через підроблені сторінки входу, а через штатні механізми автентифікації: паролі застосунків, потік device code, дозволи OAuth і функцію привʼязки пристроїв у WhatsApp. Ціль — науковці, дипломати, аналітичні центри, урядовці та підприємства оборонної галузі в Європі та США. Один із кластерів зосереджений насамперед на Україні та Вірменії.

Ключова проблема, на якій наголошують дослідники Gabby Roncone та Wesley Shields, полягає в тому, що така атака майже не виглядає як фішинг. Жертва вводить пароль на справжній сторінці Google або Microsoft, сканує справжній QR-код WhatsApp і бачить справжні системні підказки. Зловмисник лише переконує зробити це в потрібний йому момент — і отримує токен доступу або паралельну сесію в месенджері.

Кластери позначені як UNC6293, UNC7005 і UNC5976. GTIG із високою впевненістю повʼязує всі три з росією — на підставі схожої вибірки цілей, тематики приманок і спільних операційних технік. Перші два з помірною впевненістю віднесено до підкластера угруповання ICE RELIC (попередня назва — APT29; також відоме як Cozy Bear і Midnight Blizzard), відповідального за початковий доступ. Уряди США та Великої Британії повʼязують APT29 зі Службою зовнішньої розвідки росії (СЗР).

UNC6293: «співробітники Держдепу» і паролі застосунків

Уперше цей кластер описали в червні 2025 року — GTIG і Citizen Lab зафіксували кампанію проти відомих критиків росії, науковців і журналістів. Зловмисники видавали себе за представників Державного департаменту США й переконували жертву створити в акаунті Google так званий пароль застосунку з назвою ms.state.gov. Такий пароль дає стороннім програмам доступ до акаунта в обхід двофакторної автентифікації.

У жовтні 2025 року GTIG побачила ту саму приманку у форматі PDF — з ідентичними скриншотами інструкцій. Змінився лише спосіб передавання: якщо раніше пароль просили надіслати листом, то тепер його пропонували ввести у форму на сайті, який виглядав легітимним. Кампанії залишаються точковими: зазвичай менш ніж пʼятеро адресатів за раз, а тематика приманок — дипломатичні заходи й запрошення на конференції. Частину таких операцій у грудні 2025 року описала компанія Volexity.

У червні 2026 року до арсеналу додався OAuth-фішинг: жертву просили після входу на сторонньому сервісі надіслати «код підтвердження» або повне посилання з адресного рядка. Саме цей код і відкривав зловмисникам доступ до акаунта.

UNC7005: від запрошень на конференції до «дзвінка» у WhatsApp

Головний фокус звіту — кластер UNC7005 (Microsoft відстежує його як STORM-2945), виявлений у лютому 2026 року. Він атакує науковців, дипломатів і працівників неурядових організацій в Україні, Західній Європі та США. GTIG відстежує його окремо від UNC6293 через нижчий рівень підготовки, слабшу операційну безпеку, іншу інфраструктуру та застосування шкідливого ПЗ.

Device code: реєстрація на конференцію з вибором вина

У травні 2026 року UNC7005 підробив сайт форуму GLOBSEC, використавши шаблон із попередньої операції на тему «запрошення до посольства». Сторінка знімала цифровий відбиток браузера жертви, щоб відсіяти автоматичні сканери, після чого пропонувала пройти реєстрацію — з докладною анкетою, яка серед іншого містила вибір вина до вечері. Винна тематика в операціях ICE RELIC простежується щонайменше з квітня 2023 року, коли Mandiant описала приманку із запрошенням на дегустацію від імені посольства Чехії. Наприкінці реєстрації жертві показували код пристрою (device code), який вона мала ввести на справжній сторінці входу Microsoft — і тим самим авторизувала сесію зловмисника, а не свою.

Привʼязка пристрою у WhatsApp

У травні та червні 2026 року UNC7005 розгорнув операції з підробкою WhatsApp. Фішингова сторінка пропонувала привʼязати акаунт до пристрою зловмисника — нібито щоб долучитися до захищеного дзвінка, чату чи обміну документами. Механіка проста: жертва вводить номер телефону, сервер зловмисника ініціює справжній запит на привʼязку пристрою, а сторінка показує справжній QR-код і код привʼязки разом з інструкцією.

Після успішної привʼязки сторінка пропонувала один із трьох сценаріїв:

• Голосовий дзвінок — імітація виклику з гудками, під час якої JavaScript таємно записував аудіо та відео з камери й мікрофона. Коли «дзвінок» нібито зривався, запис вивантажувався на керований сервер (C2).
• Зашифрований чат — жертві показували логін і пароль з проханням увійти за додатковим посиланням.
• Завантаження файлу — що саме мали завантажити, GTIG встановити не вдалося.

Крадії даних напрокат і OAuth через хмарні проєкти

Наприкінці травня 2026 року кластер провів найширшу зі зафіксованих розсилок — проти американських науковців, дипломатів і дослідників, які спеціалізуються на росії та пострадянському просторі. Посилання вело на сайт, що імітував «саміт» довкола резолюції на підтримку України, і пропонувало завантажити «застосунок-компаньйон» для читання повного тексту. Залежно від операційної системи жертва отримувала VIDAR (Windows) або ATOMIC, він же AtomicStealer (macOS) — обидва орендовані за моделлю malware-as-a-service та націлені на дані з браузерів.

На початку серпня 2026 року UNC7005 перейшов до OAuth-фішингу з використанням хмарної інфраструктури. З 31 липня зловмисники реєстрували домени, що імітували фінський Finnish Operations Center (FOC) — організацію, яка супроводжує фінські оборонні та безпекові компанії, зокрема в контексті НАТО. Між 6 і 13 серпня 2026 року цільові листи розійшлися адресатам, повʼязаним з європейською оборонною промисловістю. Після входу через справжню сторінку Google жертву перенаправляли до непідтвердженого хмарного проєкту зловмисника, який збирав токени доступу.

Звʼязок із CaptiveCrunch: готельний Wi-Fi як точка входу

GTIG повʼязала інфраструктуру UNC7005 з кампанією CaptiveCrunch, яку 23 липня 2026 року описала ReliaQuest, а 31 липня — Microsoft Threat Intelligence. Ідеться про підміну DNS- і HTTP-трафіку в мережах із captive-порталами — тими самими сторінками входу, які зʼявляються під час підключення до Wi-Fi у готелях і конференц-центрах. За даними Microsoft, така активність триває щонайменше з початку травня 2026 року й охоплює заклади гостинності по всьому світу.

Здобувши адміністративний доступ до шлюзу, зловмисники підмінювали DNS-відповіді й перенаправляли автоматичну перевірку зʼєднання, яку виконує браузер, на фальшиве «оновлення» браузера чи операційної системи. Далі застосовувалася техніка ClickFix, коли користувача покроково просять самостійно виконати підготовлену команду.

Microsoft описала два основні інструменти кампанії. CornFlake — написаний мовою Go троян віддаленого доступу для Windows: кейлогер, знімки екрана, запис із камери та мікрофона, збір файлів, крадіжка облікових даних і токенів сесій, віддалена командна оболонка. ChocoShell (GTIG відстежує його як CHERRYPIE) — крадій даних на PowerShell, що працює в памʼяті: вимикає інтерфейс сканування AMSI, обходить контроль облікових записів UAC і дістає cookie сесій, збережені паролі, токени єдиного входу Microsoft 365 та паролі до мереж Wi-Fi. Керується все це вебпанеллю FruitStone, оформленою як «CloudSync Console» від вигаданої «Acuity Systems, Inc.» — щоб мати вигляд легального хмарного сервісу.

Обидві компанії звертають увагу на ознаки того, що частину коду ChocoShell згенеровано за допомогою великої мовної моделі: у скрипті збереглися розлогі коментарі розробника, які пояснюють логіку обходу конкретних сигнатур виявлення.

Дослідники Lumen Black Lotus Labs, які паралельно відстежують цю ж кампанію, припускають у звіті, наданому виданню The Hacker News, що зловмисники могли зламати кількох провайдерів керованих ІТ-послуг (MSP) і скористатися їхнім довіреним доступом до клієнтських мереж. Телеметрія Lumen виявила близько 70 IP-адрес жертв: із них 40 надсилали DNS-запити до серверів керування CaptiveCrunch, ще 30 взаємодіяли з інфраструктурою перехоплення (adversary-in-the-middle), а одна — із сервером ChocoShell.

UNC5976: фейкові файлообмінники та цілі в Україні

Третій кластер GTIG вважає окремим від двох попередніх — імовірно, він працює в інтересах іншої російської спецслужби. OAuth-активність UNC5976 відстежують із березня 2026 року.

Схема така: купується домен із «файлообмінною» назвою, під нього створюється хмарний проєкт, а на сайті розміщується підроблена сторінка обміну файлами. За кілька секунд після відкриття вискакує вікно входу з кнопкою «Continue with Google», яка веде на справжню сторінку OAuth. Після автентифікації жертву перенаправляють на адресу хмарного проєкту, де скрипти виймають токен із посилання й зберігають його для оператора. Приблизно за три місяці після першого виявлення кластер створив щонайменше 12 нових доменів; Google вимкнула ці проєкти, і тепер, за оцінкою GTIG, зловмисники переносять частину інфраструктури до інших провайдерів.

Окремо в квітні 2026 року дослідники виявили шкідливий плагін для Excel під назвою HEADRUSH, який запускав завантажувач у форматі HTA. Його поширювали через домен, що імітував український науково-дослідний інститут; імовірною ціллю була українська компанія у сфері аерокосмічних технологій і зйомки. Повний ланцюжок зараження встановити не вдалося. Загалом UNC5976 зосереджений на військових, аерокосмічній галузі, оборонно-промисловій базі та аналітичних центрах, а географічно — насамперед на Україні та Вірменії.

Як захиститися

Google наголошує: паролі застосунків не є засобом перевірки особи й у більшості випадків узагалі не потрібні. Рекомендації компанії та Microsoft можна звести до кількох правил.

• Не створювати паролі застосунків на прохання співрозмовника — жодна легітимна організація не потребує їх для «підтвердження особи». Створені раніше варто відкликати, особливо ті, що привʼязані до втрачених або невживаних пристроїв.
• Ніколи не передавати нікому код підтвердження, код пристрою або посилання з адресного рядка після входу.
• Перевіряти адресу сайту перед введенням пароля та регулярно переглядати сторонні застосунки з доступом до акаунта Google.
• Для месенджерів — увімкнути блокування реєстрації та двоетапну перевірку, а також періодично переглядати список привʼязаних пристроїв і видаляти незнайомі.
• Особам із групи підвищеного ризику — розглянути Advanced Protection Program від Google: участь у програмі взагалі унеможливлює створення паролів застосунків. Стійкість до фішингу дають апаратні ключі безпеки та passkeys.
• Запрошення на заходи від незнайомих осіб варто підтверджувати через контакти організаторів, знайдені поза самим запрошенням.
• У поїздках мережі готелів, аеропортів і конференц-центрів слід вважати недовіреними; оновлення браузера чи системи, запропоновані через сторінку входу до Wi-Fi, встановлювати не можна за жодних обставин.
• За підозри на компрометацію — перевірити пристрій і завершити всі активні сесії з іншого, свідомо чистого пристрою.

GTIG подякувала за співпрацю в розслідуванні партнерам, серед яких Black Lotus Labs (Lumen Technologies), Microsoft Threat Intelligence Center, Служба військової контррозвідки Польщі (SKW), WhatsApp і компанія Anthropic.

Питання та відповіді

Що таке пароль застосунку і чому він небезпечний?

Це окремий код, який дає менш захищеній програмі чи пристрою доступ до акаунта. Його головна особливість — він працює в обхід двофакторної автентифікації, тож зловмисник, який отримав такий пароль, заходить в акаунт без жодних додаткових підтверджень.

Чи означає привʼязка пристрою у WhatsApp, що зловмисник читає листування?

Так. Привʼязаний пристрій отримує доступ до чатів так само, як вебверсія месенджера на компʼютері. Саме тому список привʼязаних пристроїв у налаштуваннях варто перевіряти регулярно й видаляти всі незнайомі.

Чи захищає VPN від атак через captive-портали?

Частково. Підключення до VPN відбувається вже після проходження сторінки входу до Wi-Fi, тому саме на цьому етапі — коли підміняється DNS і показується фальшиве «оновлення» — VPN ще не працює. Він зменшує решту ризиків, але не скасовує правила не встановлювати нічого зі сторінок captive-порталу.

Кого саме атакують ці кластери?

Насамперед приватні, а не корпоративні акаунти науковців, дипломатів, працівників аналітичних центрів і неурядових організацій, а також фахівців оборонної галузі. Через це компрометацію складніше помітити службам безпеки організацій — активність відбувається поза корпоративним периметром.

Ця стаття Російські хакери зламують акаунти через OAuth і привʼязку пристроїв у WhatsApp раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Центр стратегічних комунікацій NATO у Ризі (NATO StratCom COE) оприлюднив дослідження «Crisis, Control, Crusade: Russiaʼs Propaganda Architecture» — четверту поспіль роботу центру про внутрішні комунікації росії часів повномасштабної війни. Головна теза: здатність кремля утримувати підтримку затяжної війни всередині країни тримається не стільки на змісті окремих повідомлень, скільки на комунікаційній системі, яка перетворює невизначеність на відчуття стратегічної послідовності.

Автори проаналізували 15 місяців — з 1 січня 2024 до 31 березня 2025 року — і близько 3,13 мільйона одиниць контенту. Висновок, який відрізняє цю роботу від попередніх: пропагандистський апарат росії перестав бути жорсткою ієрархією і став адаптивною екосистемою, здатною поглинати удари, тестувати наративні рамки і зводити повідомлення докупи між платформами. Але саме через це в ньому проступили структурні розломи, які можна виміряти в годинах.

Що саме рахували

У вибірку потрапили 24 749 статей з російських державних сайтів, 1 224 записи телеефірів і 1,86 мільйона дописів з 414 каналів у Telegram. Окремо аналітики зібрали порівняльний масив на 1,25 мільйона одиниць — з незалежних російських та іноземних новинних порталів і соцмереж 22 країн мовами оригіналу.

Методи — текстові ембединги для кластеризації наративів, вимірювання тональності, виявлення часових сплесків і глибокий аналіз відео, який розпізнає зміст роликів без опису та підписів.

Формула 3C

Ключова знахідка дослідження — відтворюваний трифазний цикл, який автори назвали 3C: Crisis → Control → Crusade (криза → контроль → хрестовий похід).

• Криза (0–18 годин). Інформаційна дезорганізація, відкладене визнання події, тестування версій.
• Контроль (18–72 години). Консолідація між платформами, емоційне рамкування.
• Хрестовий похід (понад 72 години). Піднесення тактичного епізоду до рівня цивілізаційної моральної боротьби.

На операційному рівні цикл реалізується через послідовність DTCA — Delay → Test → Consolidate → Amplify (затримка → тестування → консолідація → підсилення). Спершу система мовчить, доки узгоджує позицію; потім обкатує альтернативні версії в Telegram; далі синхронізує їх між платформами; і врешті підсилює повторенням та емоційним нагнітанням.

Вісімнадцять годин уразливості

Найцінніше в цій схемі те, що вона вимірювана. Під час курської операції Сил оборони України, яка почалася 6 серпня 2024 року, російські державні медіа мовчали сім годин, перш ніж визнати прорив; координація на рівні кремля зайняла 18 годин.

Під час теракту в «Крокус Сіті Холі» вже протягом першої години 16% усього висвітлення згадувало Україну — тобто система почала тестувати версії ще до централізованого узгодження і до того, як відповідальність узяло угруповання ISIS-K. Додатковий кейс, який автори розглядали окремо, — інцидент довкола Калінінграда в січні 2025 року — показав ту саму картину: активність у Telegram досягала піку за дві-чотири години до офіційних заяв держдуми.

Висновок авторів: перші 18 годин — найвразливіша фаза системи. Саме тоді рамку події ще можна встановити раніше, ніж централізована координація витіснить конкурентні пояснення. Тому ефективна протидія має ставити на швидкість, ясність і рамкування, а не на вичерпність.

Кожна платформа має свою роль — і свою слабкість

Пропаганда росії не є монолітним рупором. Це ієрархічна екосистема з розподіленими функціями, де кожен майданчик має власне завдання і власну вразливість.

Державні сайти — kremlin.ru, government.ru, mil.ru, duma.gov.ru, mid.ru та інші — задають інституційний авторитет і базову лінію офіційної позиції. Їхня мова технічна й юридична, а публікації системно запізнюються відносно соцмереж через міжвідомчі узгодження, юридичну перевірку і схвалення керівництвом. Дисципліну повідомлення тут купують ціною швидкості.

Телебачення відповідає за емоційну мобілізацію і моральні настанови. Воно лишається основним джерелом для старших вікових груп і населення поза великими містами — і формує не так думку, як емоційне ставлення до війни.

Telegram у дослідженні названо центральною нервовою системою: швидкість, інфраструктура підсилення, сегментація аудиторій. Зовні екосистема виглядає плюралістичною і стихійною, але канали, що позиціюють себе як незалежні, регулярно тиражують майже ідентичні формулювання з мінімальним часовим розривом. Ця суперечність — децентралізований вигляд за синхронного виходу — і є структурною ознакою платформи.

Крокус: як витісняють пояснення

Теракт у «Крокус Сіті Холі» 22 березня 2024 року забрав 149 життів, понад 600 людей дістали поранення. Слідчий комітет росії заявив, що напад планували і здійснили в інтересах чинного керівництва України; Київ і Вашингтон цю версію відкинули.

Аналіз тональності показав, що 23 березня 2024 року стало найнегативнішим днем усієї 15-місячної вибірки — середній показник −40,9%. Другим за негативністю виявився 6 серпня 2024 року, день початку курської операції, з −40,1%.

Дослідники описують те, що сталося далі, як витіснення наративу: російські медіа зійшлися на версії з українським слідом, і вона витіснила альтернативні пояснення. Затримання підозрюваних поблизу кордону з Україною стало достатнім приводом, хоча Білорусь була не менш імовірним географічним маршрутом. У комунікаційній архітектурі кремля теракт спрацював як перезавантаження порядку денного: відвернув увагу від суперечок довкола президентських виборів, обірвав опозиційні наративні цикли і згуртував аудиторію навколо жалоби, єдності та зовнішнього винуватця.

«Мир» — це не про переговори

Окремий розділ присвячено тому, як росія говорила про мир упродовж 2024–2025 років. Риторика еволюціонувала від прямого відкидання до умовної нормалізації — але без жодного помʼякшення вимог. Мир послідовно подавали як умовний, абстрактний і підпорядкований воєнним та геополітичним цілям росії.

Політична траєкторія Дональда Трампа працювала як прискорювач наративу, а не як поворотний пункт. Російські медіа вибірково підсилювали ті елементи його риторики, що збігалися з внутрішніми наративами: критику західних союзників, скепсис щодо тривалої підтримки України, заклики до переговорів у рамці втоми Заходу. Заяви, критичні щодо росії або обумовлені суверенітетом України, маргіналізували чи пропускали.

Показово, що 6 листопада 2024 року — день перемоги Трампа на виборах — дав найпозитивнішу тональність у всій вибірці. Але аудиторію до компромісу не готували. Натомість у ній виховували інтерпретаційну гнучкість: здатність поглинути будь-який майбутній розвиток подій без зміни політики.

9 травня як інфраструктура мобілізації

Дослідження показує, що 9 травня в кремлівській комунікації давно не є актом памʼяті. Це робоча інтерпретаційна рамка, яку розгортають наперед.

Комеморація 1945 року і виправдання нинішньої війни синхронізовані свідомо: офіційні промови, регіональні комунікації та локальні заходи відтворювали однакові тематичні структури — єдність, жертовність, лояльність. Українські удари безпілотниками і ракетами по російських регіонах 9 травня рамкували не як воєнні операції, а як умисні напади на цивільних у «найсвятіше свято».

Автори наголошують: такий прийом стійкіший за прості фейки, бо вбудовує сконструйоване виправдання у справжнє поминальне почуття. Спростовувати тут доводиться не окреме твердження, а саме зрощення памʼяті з мобілізацією.

Тува і Бурятія: стримування без агрегації

Найтонший розділ дослідження — про те, як росія поводиться з власними втратами. Два етнічні регіони з непропорційно високими показниками загиблих на душу населення, Тува і Бурятія, стали кейсом стратегії, яку автори називають стримуванням без агрегації.

Втрати не приховують — їх подрібнюють. Загиблих показують через локальні, персоналізовані історії героїзму, родинної гордості й общинної честі, а не як сукупну або статистично виняткову цифру.

Стилістика при цьому різна. У Туві мобілізаційного контенту помітно мало, а війну вбудовують у культурні мотиви обовʼязку, шани до предків і стоїчного терпіння; у стрічках домінують повені, кримінальні справи та інфраструктурні проблеми. Бурятія натомість демонструє відкриту нормалізацію і героїзацію: постійний потік некрологів, оголошення про пільги для учасників війни та їхніх родин, релігійні церемонії, вбудовані в регіональну ідентичність.

Результат в обох випадках однаковий: визнання без агрегації, емоція без політизації. Горе і гнів перенаправляють на зовнішнього ворога, не даючи регіональним претензіям вирости до національного питання про те, хто саме платить за війну.

Де система дає збій

Дослідження фіксує і межі цієї машини. Протягом доби після теракту в «Крокусі» росія просувала три різні наративи про причетність України, але в західних заголовках вони зʼявлялися здебільшого поруч із контрнаративами, а не самостійно. Автори роблять висновок, що головна мета таких кампаній усе-таки внутрішня: мобілізувати власне населення, а не переконати закордонну аудиторію.

Ще одна вразливість — тертя. Під тиском кризи обмін між платформами дає видимі збої: затримки офіційних публікацій, розсинхрон телебачення, розходження між офіційними каналами і проксі-голосами. Регіональні повідомлення, підігнані окремо під прикордонні області, етнічні республіки і столичні аудиторії, бувають взаємно несумісними — і це помітно тому, хто читає кілька каналів одночасно.

Війна перетворилася на бюрократичну рутину

До березня 2025 року регіональне висвітлення курського напрямку в Telegram набуло квазібюрократичного ритму: тривоги, відбої, звіти протиповітряної оборони — усе за стандартизованими форматами. Паралельно змінилася й мова виправдання війни: від денацифікації та відплати — до оборони, віри й обовʼязку.

Це знижує навантаження на пропагандистську систему, але створює інший ризик. Тривала нормалізація веде до втоми, ерозії мобілізаційної здатності й падіння ефективності наративів на довгій дистанції.

Що з цього випливає

Практичні висновки авторів адресовані передусім стратегічним комунікаціям держав, але читаються і як принципи інформаційної гігієни.

Перший: реагувати треба в перші години, а не спростовувати за тиждень. Після того як система консолідувалася, спростування конкурує вже не з версією, а з усталеною рамкою.

Другий: ресурси моніторингу варто розподіляти за інтенсивністю загрози, а не рівномірно. Telegram — головна ціль для раннього втручання, телебачення — арена довгої боротьби за легітимність.

Третій: мирну риторику росії слід читати як інструмент управління внутрішньою легітимністю, а не як сигнал готовності до переговорів.

Четвертий: розсіяні дані про втрати мають аналітичну цінність саме в агрегованому вигляді. Нерівність стає політично дестабілізаційною лише тоді, коли видно систему, а не окрему жертву.

Окремо автори відзначають цінність глибокого аналізу відео: модель, застосована до 13 592 зображень і коротких роликів у перший курський період, виявила 4 057 одиниць контенту про Курськ, які текстовий моніторинг просто не побачив би — бо на платформах коротких відео опису часто немає взагалі.

Дослідження не відображає офіційну позицію NATO або NATO StratCom COE. Повний текст доступний на сайті центру безкоштовно.

Ця стаття Криза, контроль, хрестовий похід: NATO розібрало російську пропаганду на механізми раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

30 липня 2026 року Google додала до вебверсії Google Earth генератор зображень Nano Banana 2: користувач міг наблизити будь-яку точку на карті, ввести речення — і отримати фотореалістичне зображення, накладене на справжні супутникові, аерофото- та 3D-знімки цього місця. Менш ніж за добу компанія вимкнула функцію. Дослідники за один вечір згенерували неіснуючу атомну електростанцію в Ірані, табір біженців на кордоні США та Мексики, кратер від вибуху біля лікарні в Газі — і російські танки в центрі Києва.

Що саме запустила Google

Функція зʼявилася в Google Earth під кнопкою «create image» і була доступна глобально, без списку очікування, лише у вебверсії сервісу — у застосунках для Android та iOS її не було. В анонсі на офіційному блозі менеджер продукту Google Earth Браян Горовіц описував інструмент як спосіб побачити реконструкцію Помпеїв часів Римської імперії, згенерувати інфографіку про Статую Свободи, візуалізувати забудову порожньої ділянки в Токіо або майбутній будинок біля озера.

Ключова відмінність від звичайних генераторів зображень полягала саме в підкладці. Nano Banana 2 працював не з чистим аркушем, а з реальними геоданими Google: згенерована сцена лягала поверх автентичного знімка конкретних координат. Саме це Google подавала як перевагу — і саме це виявилося головною проблемою.

Тест, який зайняв один вечір

Уже ввечері 30 липня нідерландський дослідник відкритих джерел Хенк ван Есс перевірив нову функцію і описав результат у своїй розсилці Digital Digging. За кілька запитів він розмістив біженців біля мексиканського кордону, атомну електростанцію в Ірані, смертельну аварію на вулиці Амстердама та лікарню в Газі з кратером від вибуху поруч. Під усіма трьома сценами — власні супутникові знімки Google.

«Нічого не було відхилено», — зафіксував ван Есс. Модель не пропонувала переформулювати запит і не помʼякшувала результат. Його головна теза: підробка не мусить бути переконливою сама по собі, бо вона успадковує довіру до карти, на якій зображена.

Незалежно від нього редакція NPR згенерувала пожежу на іранському нафтовому терміналі острова Харк і затоплений Капітолій США. Видання Futurism отримало Білий дім у вигляді поля бою, а Financial Times перелічила серед створених користувачами сцен літак, що врізається в хмарочос, і вибух у москві.

Танки росії в центрі Києва: що згенерувала BBC Verify

Команда BBC Verify провела власне тестування і повідомила, що змогла створити зображення зруйнованої Ейфелевої вежі, величезної вирви, яка поглинає піраміду Хеопса в Гізі, та російських танків у центрі української столиці. Усі сцени — вигадані, усі привʼязані до справжніх географічних координат.

Захисні механізми при цьому спрацьовували вибірково. Коли журналісти попросили «викосити» на газоні Білого дому слово Trump, інструмент відмовив із посиланням на правила. Прохання розмістити на тому самому місці громадський сад він виконав без застережень. Невеликі зміни у формулюванні запиту, за даними BBC Verify, дозволяли обійти обмеження.

Дослідник у сфері виявлення ШІ-контенту Генрі Адждер попередив: фальшиві зображення із зон бойових дій особливо дестабілізують ситуацію тоді, коли події розвиваються швидко, а достовірної інформації бракує. Він також зауважив, що простори, які вважалися «незаплямованими» штучним інтелектом, мають окрему цінність для журналістів і для тих, хто працює на передовій кризових подій.

Геопросторовий аналітик Білл Ґрір, співзасновник некомерційного сервісу Common Space, у коментарі BBC Verify наголосив, що шкода для суспільної довіри тут особлива: супутникові знімки історично сприймалися як один із найнадійніших видів даних.

Чому водяний знак SynthID не став запобіжником

До відкоту функції Google наголошувала, що кожне згенероване зображення несе невидимий водяний знак SynthID, розроблений Google DeepMind, і що його можна перевірити через застосунок Gemini або Google Lens.

На практиці ця гарантія виявилася хиткою. Тестування BBC Verify показало, що перевірку можна обійти: якщо подати фейкове зображення назад у Gemini з відповідним формулюванням запиту, чат-бот у частині випадків визначав підробку як справжній знімок. Сторонні сервіси виявлення ШІ-контенту теж не розпізнавали окремі зображення.

Принципова межа SynthID у тому, що це маркер походження, а не запобіжник. Він дозволяє встановити, що зображення згенероване, — але не заважає його створити, не мандрує разом зі скриншотом і не має жодного значення для людини, яка побачила картинку в стрічці й не збирається нічого перевіряти. Про схожу проблему з довірою до синтетичного контенту cybercalm.org писав у матеріалі про ШІ-«лікарів» у TikTok.

Що відповіла Google

31 липня компанія додала до початкового анонсу оновлення і вимкнула функцію. У заяві Google зазначила, що люди довіряють Google Earth як надійному відображенню світу; що геопросторові фахівці використовували інструмент для корисних завдань, але водночас у мережі поширювалися скриншоти згенерованих зображень, які, схоже, порушують правила компанії. Функцію відкочено на час роботи над «сильнішими запобіжниками».

Google також підкреслила, що згенеровані зображення не потрапляли в основний інтерфейс Google Earth і не були видимі іншим користувачам, а також мали позначку про ШІ-походження. Термінів повернення функції компанія не назвала. Формально йдеться про паузу, а не про скасування.

Це не перший випадок зловживання ШІ Google

Історія з Google Earth лягає в довший ряд. 12 червня 2026 року Google подала позов до федерального суду Мангеттена проти китайської кіберзлочинної мережі, яку компанія називає Outsider Enterprise. За версією Google, учасники мережі використовували Gemini для генерації коду фішингових сторінок, а потім імпортували його у власний набір інструментів. За даними позову, із мережею повʼязують понад 9 тисяч фальшивих сайтів і близько 1,59 млн шахрайських URL, а ліцензія на набір коштувала від 88 доларів на тиждень. Це був перший позов Google щодо зловживання саме її ШІ-інструментами.

Паралельно Google Threat Intelligence Group (GTIG) веде квартальну звітність про зловмисне використання ШІ. У лютневому звіті 2026 року група описала зростання атак на витягування моделей, появу шкідливого ПЗ, яке звертається до API Gemini під час виконання, та зрілий підпільний ринок «зламаних» ШІ-інструментів. У травневому звіті GTIG зафіксувала, що зловмисники соціально інженерять самі запити — наприклад, видають шкідливі прохання за завдання зі змагань capture the flag, щоб обійти обмеження моделі.

Чому це окрема проблема для України

Для країни, що воює, фальшиві супутникові знімки — не абстрактний ризик. Вони можуть слугувати «доказом» наслідків ракетного удару, якого не було, або навпаки — приводом заперечити удар, який стався. Саме тому тест BBC Verify із російськими танками в центрі Києва варто читати не як курйоз, а як демонстрацію готового інструменту інформаційної операції.

Українські фахівці вже стикалися з тим, що російські ШІ-інструменти вбудовуються безпосередньо у зловмисне ПЗ. У звіті GTIG описано шкідливу програму PROMPTSTEAL, яку CERT-UA задокументувала під назвою LAMEHUG: у червні 2025 року її застосувала група APT28 (UAC-0001, повʼязана з ГРУ) проти українського сектору безпеки й оборони. Замість жорстко зашитих команд програма зверталася до мовної моделі Qwen2.5-Coder-32B-Instruct через API Hugging Face і генерувала команди на льоту. GTIG назвала це першим випадком, коли шкідливе ПЗ звертається до LLM у реальній операції.

Показова деталь: файли LAMEHUG поширювалися під іменами на кшталт «AI_image_generator_v0.95.exe» — тобто маскувалися саме під генератор зображень. Тема ШІ-генерації вже працює як приманка проти українських користувачів.

Як перевіряти супутникові знімки: що можна зробити самому

Відкіт функції не робить проблему меншою: зображення, згенеровані за добу її роботи, залишилися на дисках і в соцмережах. Кілька практичних кроків, які знижують ризик повірити підробці.

1. Шукайте другий незалежний знімок. Комерційні оператори — Planet, Maxar, Sentinel Hub, а також безкоштовний Copernicus Browser із даними Sentinel-2 — дають знімки тих самих координат від інших постачальників. Подія, яку видно лише в одному джерелі, майже завжди фейк.
2. Перевіряйте дату й метадані. Google Earth підписує дату зйомки шару. Якщо «свіжа» катастрофа лежить на знімку кількарічної давності, це вже відповідь.
3. Читайте тіні та геометрію. Напрямок тіней має збігатися для всіх обʼєктів у кадрі. Згенеровані елементи часто мають тіні під іншим кутом або взагалі без них, а прямі лінії доріг і дахів у місці «домальовування» ламаються.
4. Прогоніть зображення через Gemini або Google Lens. Перевірка SynthID працює не завжди, але позитивний результат — сильний сигнал. Негативний результат нічого не доводить.
5. Не довіряйте скриншотам. Метадані та водяні знаки не переживають перезняття екрана й перезавантаження в месенджер. Якщо у вас лише скриншот — вважайте походження невстановленим.
6. Звіряйтеся з фактчекерами. В Україні знімки з зон бойових дій регулярно перевіряють Центр протидії дезінформації, StopFake та фактчекінгові редакції великих медіа.

Загальні ознаки синтетичних медіа та методи їх розпізнавання cybercalm.org розбирав у матеріалі про діпфейки. Про те, які функції Google Maps лишаються корисними і безпечними, ми писали окремо.

Питання та відповіді

Чи працює генерація зображень у Google Earth зараз?

Ні. Google вимкнула функцію 31 липня 2026 року, менш ніж за добу після запуску. Компанія заявила, що поверне її після впровадження сильніших запобіжників, але термінів не назвала.

Чи були згенеровані зображення видимі іншим користувачам Google Earth?

За заявою Google — ні. Зображення не потрапляли в основний інтерфейс сервісу й не показувалися стороннім. Проблема в іншому: користувач міг завантажити результат або зробити скриншот і поширити його на будь-якій платформі.

Чи можна відрізнити такі зображення від справжніх супутникових знімків?

Не завжди. Кожне зображення несло невидимий водяний знак SynthID, який перевіряється через Gemini або Google Lens. Проте тестування BBC Verify показало, що перевірку в частині випадків удавалося обійти, а сторонні детектори ШІ-контенту не розпізнавали окремі зображення. Скриншот, зроблений із такої картинки, водяного знака може не зберегти.

Які саме фейкові зображення вдалося створити дослідникам?

Серед задокументованих прикладів: атомна електростанція в Ірані, табір біженців на кордоні США та Мексики, лікарня в Газі з кратером від вибуху, пожежа на нафтовому терміналі острова Харк, затоплений Капітолій США, зруйнована Ейфелева вежа, вирва біля піраміди в Гізі та російські танки в центрі Києва.

Що робити, якщо я побачив підозрілий супутниковий знімок у соцмережах?

Не поширюйте його. Знайдіть ті самі координати в незалежному джерелі супутникових даних, звірте дату зйомки та напрямок тіней, за можливості перевірте зображення через Google Lens або Gemini і дочекайтеся підтвердження від фактчекерів.

Ця стаття Google Earth дозволяв «домалювати» війну на справжніх супутникових знімках. Функцію вимкнули за добу раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Естонія запровадить додаткову перевірку безпеки для електронних листів, надісланих із російського домену верхнього рівня .ru, перш ніж вони потраплять до державних службовців. Про це повідомила міністерка юстиції та цифрових справ країни Лійса Пакоста.

Новий захід набуде чинності 31 серпня — у річницю виведення російських військ з Естонії після розпаду Радянського Союзу. Його мета — захистити державні установи від кіберзагроз, заявила Пакоста у публічному виступі, який цитують місцеві медіа.

«Електронні адреси, що закінчуються на .ru, становлять підвищений кіберризик. Існує серйозна небезпека, що їх використовують для зламу персональних баз даних», — сказала вона.

Як працюватиме «карантин» для листів

За новою політикою одержувач отримуватиме сповіщення про те, що повідомлення з адреси на .ru ізольовано для додаткової перевірки, і вирішуватиме, чи відкривати його із застосуванням додаткових заходів безпеки.

За словами Пакости, механізм так званого «карантину для електронної пошти» вже діє в естонському держсекторі: він ізолює підозрілі листи за різними критеріями ризику. «Увесь державний сектор працює за кіберщитом», — зазначила міністерка, додавши, що російські поштові домени стануть іще одним критерієм автоматичного карантину.

Очікується, що зміни сповільнять комунікацію з користувачами, які покладаються на російських поштових провайдерів. Проте естонська влада наполягає, що додаткові перевірки необхідні з огляду на різке зростання з 2022 року кількості шкідливих листів із російських серверів, які часто використовували для розсилання фішингових повідомлень і шкідливого ПЗ.

Пакоста також закликала людей та організації, що спілкуються з естонськими органами влади через адреси на .ru, перейти до альтернативних провайдерів, не підконтрольних російській владі.

Чому Естонія посилює захист

Анонс пролунав на тлі того, як Таллінн продовжує зміцнювати оборону проти російських гібридних загроз. Естонія, одна з найпотужніших прихильниць України від початку російського вторгнення 2022 року, давно є мішенню для повʼязаних із кремлем кібероперацій, шпигунства та дезінформаційних кампаній.

Минулого місяця МЗС Естонії викликало російського дипломата через те, що відомство описало як дезінформаційну кампанію проти балтійських держав. На початку цього року естонська Поліція безпеки (KAPO) повідомила про рекордну кількість російських шпигунів, затриманих у 2025 році, і попередила, що диверсії, шпигунство та інформаційні операції відіграють дедалі помітнішу роль у ворожих діях росії проти країни.

Ця стаття Естонія відправлятиме листи з російського домену .ru у карантин, перш ніж вони дійдуть до держслужбовців раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Ймовірно російське кібершпигунське угруповання GreyVibe використовує приманки, згенеровані штучним інтелектом, і широкий арсенал власного шкідливого ПЗ для атак на українські військові, державні, цивільні та бізнесові структури.

Кампанію виявила фінська компанія з кібербезпеки WithSecure у січні 2026 року й встановила, що її основною ціллю є українські організації або структури, пов’язані з Україною. За оцінками дослідників, операція триває щонайменше з серпня 2025 року і відповідає інтересам росії, проте однозначно класифікувати її як діяльність державного рівня фахівці поки не можуть.

На зв’язок зловмисників із російськомовним середовищем вказує одразу кілька чинників: мова інтерфейсів панелей керування шкідливим ПЗ, коментарі в програмному коді, а також час на командно-контрольних серверах (C2), налаштований на UTC+3 — московський часовий пояс.

Штучний інтелект як головна зброя угруповання

Найпомітнішою рисою GreyVibe є масштабне використання ШІ. Саме завдяки кільком ШІ-сервісам — серед них ChatGPT, Ideogram AI та Google Gemini — зловмисники створювали детальні й переконливі приманки, різноманітність і якість яких дослідники називають нетиповими для угруповання такого рівня.

Штучний інтелект допомагав не лише з приманками, а й зі створенням інструментів. У WithSecure припускають, що за допомогою великих мовних моделей розроблено чотири власні обфускатори — LOOKVALPS, LOOKVALJS, DAYLIGHT і TEASOUP, — а також троян віддаленого доступу LegionRelay на основі PowerShell.

П’ять сценаріїв зараження

GreyVibe застосовує кілька паралельних ланцюжків атак. У кампанії PhantomMail жертвам розсилають цільові фішингові листи зі шкідливими архівами ZIP або RAR, які поширюються через посилання Google Drive і 4sync; для маскування використовують підроблені PDF-документи або фейкові повідомлення про помилки. Приманки імітували звернення українських державних, екстрених, телекомунікаційних та енергетичних структур.

Ланцюжок PhantomClick спирається на підроблені сторінки CAPTCHA та техніку ClickFix, замасковані під сайти Zoom і LAPAS: фейкова перевірка Cloudflare змушує жертву власноруч запустити команду, яка інфікує її пристрій.

Кампанія PrincessClub використовувала підроблені українські сайти для дорослих і знайомств, через які поширювалося шпигунське ПЗ FallSpy для Android та шкідливі програми PhantomRelay і LegionRelay для Windows. Оператори діяли від імені вигаданих жіночих профілів у Telegram, а згодом додали відеодзвінки на основі WebRTC, що давали змогу перехоплювати аудіо та відео жертви.

Споріднену інфраструктуру й інструментарій із кампанією PrincessClub мала кампанія DroneLink — підроблені сайти українських благодійних зборів на потреби військових, оформлені навколо тематики FPV-дронів і БпЛА. Окремий ланцюжок Nebo імітував сторінки входу до російської системи військового зв’язку «СПО НЕБО»: ймовірно, у такий спосіб зловмисники намагалися переконати українських військових, що ті отримують доступ до російського військового терміналу.

Арсенал шкідливого ПЗ

Троян LegionRelay уміє викрадати файли, робити знімки екрана, красти збережені в браузерах облікові дані, виводити дані з Telegram і WhatsApp та налаштовувати доступ через RDP. Другий PowerShell-троян, PhantomRelay, відповідає за збір відомостей про систему, динамічне завантаження скриптів і виконання команд PowerShell та Windows.

Для мобільного шпигунства в кампаніях PrincessClub і Nebo застосовували FallSpy — шпигунське ПЗ для Android, створене виключно для збору розвідданих. Воно збирає списки контактів, журнали дзвінків, відомості про пристрій і мережу, дані геолокації, медіафайли та інформацію про SIM-картку.

Кіберзлочинці чи державні хакери?

Попри те що дії GreyVibe загалом відповідають державній операції, угрупованню, за оцінкою WithSecure, бракує рівня витонченості й операційної дисципліни, притаманних зрілим державним структурам. До того ж шкідливе ПЗ PhantomRelay раніше фігурувало в суто кіберзлочинній активності, хоча дослідники змогли відрізнити ці випадки від атак, узгоджених із державними інтересами. Це дало підстави припустити, що до складу угруповання можуть входити «нинішні або колишні кіберзлочинці».

На користь цієї версії свідчить кілька деталей. У ранніх і тестових зразках використовувався унікальний інструмент для створення ISO-образів, пов’язаний із групою колишніх учасників TrickBot (UAC-0098), яка атакувала Україну на початку російського вторгнення. Крім того, зловмисники завантажували тестові зразки на публічну платформу для сканування, що нехарактерно для державних хакерів, а на частині заражених машин розгортали криптовалютний майнер.

Дослідники не беруться стверджувати напевне, чи були колишні або чинні кіберзлочинці інтегровані в державну структуру, чи діють самостійно, але за завданнями держави, чи сформували гібридну команду з представників держави та злочинного середовища.

Як захиститися

Щоб виявити сліди активності GreyVibe у власних системах, організаціям радять скористатися індикаторами компрометації (IoC), які оприлюднила WithSecure.

Ця стаття Хакери GreyVibe атакують Україну за допомогою ChatGPT і Gemini раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Кіберзлочинність давно перестала бути справою одинаків-ентузіастів. Сьогодні це багатомільярдна тіньова економіка з власною спеціалізацією професій, маркетплейсами в стилі Amazon, відгуками клієнтів і навіть «технічною підтримкою». За оцінкою Cybersecurity Ventures, у 2025 році збитки від кіберзлочинів у світі сягають близько 10,5 трлн доларів — це більш ніж утричі перевищує показник 2015-го. У цьому матеріалі — як працює тіньовий ринок кіберзлочинності, скільки коштують вкрадені дані українців і чому війна робить нас особливо вразливими.

Від «магазинів вкрадених карток» до екосистеми «злочин як послуга»

Ще кілька років тому тіньові ринки сприймалися здебільшого як торгові майданчики для викрадених банківських карток і піратського ПЗ. Сьогодні картина принципово інша: ринок став модульним і спеціалізованим. За даними звіту KELA «State of Cybercrime 2026», у 2025 році в підпільному обігу перебувало щонайменше 2,86 млрд скомпрометованих облікових даних — від паролів і файлів cookie до повних «логів» інфостілерів, що містять усю цифрову особистість користувача.

Дослідники Constella підрахували, що лише за 2025 рік було оброблено 51,7 млн «пакетів» інфостілерів, які походили з 24,8 млн унікальних інфікованих пристроїв. Усередині — близько 2,3 млрд викрадених паролів. А американський Internet Crime Complaint Center (IC3) при ФБР зафіксував, що сумарні втрати від кіберзлочинів у 2025 році в США перевищили 20,9 млрд доларів — на 26% більше, ніж роком раніше.

Принципова зміна — у самій бізнес-моделі. Якщо раніше один зловмисник міг сам зламувати, сам красти й сам продавати, то сьогодні ринок повністю розділений на ролі: розробники шкідливого програмного забезпечення, оператори ботнетів, «ініціатори загроз», що отримують первинний доступ до мереж, оператори програм-вимагачів, відмивачі криптовалюти. Цей підхід отримав назву Cybercrime-as-a-Service (CaaS) — кіберзлочин як послуга.

Скільки коштують ваші дані: ціни тіньового ринку у 2025–2026 роках

За даними щорічного звіту SOCRadar та аналітичних публікацій Privacy Affairs і Trustwave SpiderLabs, середні ціни на вкрадені дані у тіньовому сегменті 2025 року виглядають так:

• базові персональні дані (номер телефону, адреса, e-mail) — від 1 долара;
• номер соціального страхування США (SSN) — приблизно 1–6 доларів;
• викрадена банківська картка без CVV — близько 10 доларів;
• картка з CVV — 10–40 доларів, з високим балансом (від 5 000 доларів) — до 120 доларів;
• зламаний акаунт PayPal або Revolut — у середньому близько 100 доларів;
• верифікований акаунт Kraken із криптовалютою — понад 1 100 доларів;
• повні медичні записи — 250–310 доларів за запис;
• DDoS-атака на замовлення — від 20 доларів;
• підписка на інфостілер (malware-as-a-service) — від 15 доларів на місяць;
• кастомна фішингова сторінка — 50–2 000 доларів;
• експлойт нульового дня (zero-day) — до 150 000 доларів і вище.

Окрема й найдорожча категорія — корпоративні доступи. За даними Rapid7, у другій половині 2025 року середня ціна лоту від «ініціатора загроз» (Initial Access Broker) зросла з приблизно 2 726 доларів у 2024-му до понад 113 000 доларів. Йдеться про повний адміністративний доступ до мережі великої компанії, що дозволяє покупцеві — як правило, оператору програми-вимагача — одразу переходити до фінальної стадії атаки.

Як виглядає сучасний даркнет-маркет: рейтинги, відгуки, «чорна п’ятниця»

Сучасні тіньові ринки візуально й функціонально майже не відрізняються від легальних e-commerce-платформ. Зловмисники мають свої рейтинги продавців, відгуки покупців, систему ескроу-платежів (умовного депонування коштів до підтвердження покупки), розділи «поширені запитання», іноді — навіть live-чат із «технічною підтримкою». Періодично з’являються «акції», «купони знижок» і сезонні розпродажі — для імітації звичного клієнтського досвіду.

Оплата майже завжди відбувається у криптовалюті. Bitcoin усе ще використовується для виплат викупу за програмами-вимагачами, але для розрахунків на самих маркетплейсах злочинці все частіше переходять на Monero — через вбудовану анонімність транзакцій. За даними звіту Chainalysis «2025 Crypto Crime Report», близько 63% усього нелегального обігу криптовалют у 2025 році припадає на стейблкоїни, передусім USDT.

Russian Market та інфостілери: чому крадені облікові дані опиняються в продажу за 48 годин

Окрему й болючу для українців роль відіграє маркетплейс під назвою Russian Market. За оцінкою компанії Rapid7, у 2026 році це найбільший у світі майданчик для торгівлі «логами» інфостілерів — пакетами даних, які зловмисне ПЗ викрадає з інфікованого комп’ютера: збережені паролі браузерів, файли cookie сесій, дані автозаповнення форм, гаманці криптовалют. Російські злочинні форуми XSS та Exploit залишаються основними майданчиками для пошуку партнерів, попри періодичні правоохоронні втручання — зокрема у липні 2025 року XSS втратив адміністратора в результаті спецоперації.

Дослідження Whiteintel, опубліковане в березні 2026 року, описує типовий шлях вкрадених даних: від моменту зараження пристрою до появи облікових даних на маркеті проходить менш ніж 48 годин. У багатьох випадках — суттєво менше. Логи свіжих заражень (24–48 годин) продаються з преміальною надбавкою саме тому, що сесійні токени ще не встигли застаріти й дозволяють обійти двофакторну автентифікацію.

Згідно з звітом Verizon Data Breach Investigations Report 2025, 54% жертв атак програм-вимагачів виявили свої корпоративні облікові дані в логах інфостілерів ще до самої атаки. Тобто доступ було продано — а вже потім ним скористалися.

Найпоширеніші інфостілери, логи яких зараз можна знайти на тіньових ринках: Lumma (донедавна — лідер ринку, доки в травні 2025 року правоохоронні органи не вилучили його інфраструктуру), Acreed (швидко зайняв звільнену нішу — за оцінками Bitsight, до середини 2026 року кількість його логів зросла зі сотень у березні 2025 року до понад 118 000 у червні), а також Vidar, Stealc, Rhadamanthys, RedLine, Raccoon.

Ініціатори загроз і RaaS: як працює конвеєр сучасних атак

Ініціатори загроз (Initial Access Brokers, IABs) — це спеціалізована «професія» на тіньовому ринку. Їхня єдина задача — отримати первинний доступ до корпоративної мережі (через фішинг, експлуатацію вразливостей, перебір паролів або купівлю логів інфостілерів) і продати цей доступ далі. За даними дослідницької компанії Intel 471, у період з червня 2024 по травень 2025 року зафіксовано щонайменше 70 кореляцій між лотами IAB-брокерів і подальшими атаками програм-вимагачів. Середній час між появою оголошення про доступ і фактичною атакою — лише близько 19 днів.

Найактивніші групи програм-вимагачів, які закуповують доступи: Play, RansomHub, Everest, Medusa, Sarcoma. Ця модель «розподілу праці» отримала назву Ransomware-as-a-Service (RaaS): розробники створюють шкідливе програмне забезпечення й здають його в оренду «афілійованим партнерам», а ті, своєю чергою, купують доступ до конкретних компаній у брокерів. Прибуток ділиться у відсотках — як у звичайній партнерській програмі.

Що цікаво, у березні 2026 року американський суд виніс вирок російському «ініціатору загроз» Олексію Волкову із Санкт-Петербурга — 81 місяць ув’язнення. Волков, відомий під ніком chubaka.kor, продавав доступи групам Yanluowang та іншим. Його затримали в Римі та екстрадували до США. Це один із небагатьох прецедентів, коли «архітектора» сучасних атак вдалося реально притягнути до відповідальності.

Великі операції правоохоронців: чи вдається перемагати?

Останні роки принесли кілька гучних міжнародних операцій, які показали: тіньовий ринок не є безкарним.

• Operation Cronos (лютий 2024)— спільна операція 10 країн на чолі з Національним агентством злочинності Великої Британії (NCA), ФБР та Європолом. Інфраструктуру однієї з найвпливовіших груп програм-вимагачів LockBit було захоплено, а її лідер Дмитро Хорошев («LockBitSupp») із росії — публічно деанонімізований. Заарештовано 200 криптогаманців і 34 сервери; затримано трьох співучасників у Польщі та Україні. Уряд США оголосив винагороду в 10 млн доларів за інформацію, що приведе до арешту Хорошева.
• Operation Endgame (травень 2024)— за даними Європолу, найбільша в історії операція проти ботнетів. Вилучено понад 100 серверів, що обслуговували завантажувачі шкідливого ПЗ IcedID, Pikabot, Trickbot, Bumblebee, SmokeLoader та SystemBC. У 2025 році проведено серію подальших арештів — уже клієнтів цих сервісів, дані яких знайшли в захопленій базі.
• Захоплення BreachForums (травень 2024)— ФБР перехопило контроль над форумом, де роками публікували й продавали бази даних великих витоків. Сам форум кілька разів відроджувався, але остаточно розпався протягом 2024–2025 років. У судових документах Міністерства юстиції США згадуються 888+ викрадених датасетів і 14+ мільярдів записів, що там обертались.
• Знищення LummaC2 (травень 2025)— у скоординованій операції вилучено понад 2 300 доменів, які обслуговували найпопулярніший на той момент інфостілер. До цього на LummaC2 припадало близько 92% усіх логів на Russian Market.

Втім, фахівці з компанії Cognyte застерігають: ці успіхи не означають перемоги. Замість одного знищеного гравця з’являється кілька дрібніших. Ринок став більш фрагментованим, а отже — складнішим для моніторингу. Уже через кілька днів після кожної великої операції постачальники й покупці мігрують на запасні майданчики, як це сталося з TorZon і Nemesis після обвалу Abacus Market у середині 2025 року.

Що це означає для українців: ціна вашої цифрової особистості в умовах війни

Для України тіньовий ринок кіберзлочинності — це не абстрактна проблема. Це передовий край гібридної війни.

Згідно зі звітом ESET за Q2–Q3 2025, російська група Sandworm (пов’язана з ГРУ) продовжує систематичні атаки програм-знищувачів даних (wiper) на українські державні установи, енергетику, логістику і — що стало новою тенденцією 2025 року — на зерновий сектор як основне джерело валютних надходжень. Використовуються wipper-програми ZEROLOT і Sting.

У травні 2025 року дослідники ESET зафіксували атаку, в якій угрупування, назване InedibleOchotense, видавало себе за саму компанію ESET: українським організаціям розсилали спірфішингові листи й повідомлення в Signal із посиланнями на нібито офіційні інсталятори ESET, які насправді містили бекдор Kalambur (SUMBUR).

Державна служба спеціального зв’язку та захисту інформації України (Держспецзв’язку) повідомила, що в першій половині 2025 року зафіксувала 3 018 кіберінцидентів — на 17% більше, ніж у другому півріччі 2024-го. Атаки на місцеві органи влади та військові структури зросли особливо помітно.

Окрема загроза для українських користувачів — те, що частина російськомовних маркетів буквально торгує доступом до українських сервісів, акаунтів і навіть інфраструктури. Логи інфостілерів із заражених у 2022–2025 роках українських комп’ютерів досі циркулюють у продажу. Це означає, що пароль, який ви зберегли в браузері три роки тому, теоретично все ще може бути «свіжим товаром» на тіньовому ринку.

ШІ як новий інструмент: фішинг і дипфейки на потоці

Окрема тривожна тенденція 2025–2026 років — масштабне впровадження генеративного ШІ в арсенал кіберзлочинців. За даними IBM Threat Intelligence Index, кількість шкідливого ПЗ, доставленого через фішингові листи, у 2025 році зросла на 84% порівняно з попереднім роком — значною мірою завдяки автоматизованій генерації переконливих текстів.

Зловмисники використовують ШІ для створення фішингових листів без характерних граматичних помилок, для адаптації повідомлень під конкретну жертву (так званий spear-phishing), для генерації дипфейкових голосових і відео-повідомлень. Окремий бізнес-сегмент на тіньовому ринку — «комплекти дипфейк-особистостей» для фінансового шахрайства й обходу процедур верифікації.

Як захиститися: базовий мінімум для пересічного користувача

Хороша новина: попри ускладнення тіньового ринку, базова гігієна цифрової безпеки залишається ефективною проти переважної більшості атак. Ось мінімум, який варто дотримуватися.

• Використовуйте менеджер паролів і унікальні складні паролі для кожного сервісу. Якщо одне зі сховищ зливається — постраждає лише один акаунт, а не вся ваша цифрова особистість.
• Увімкніть багатофакторну автентифікацію всюди, де це можливо. Бажано — через застосунок-автентифікатор або апаратний ключ, а не через SMS.
• Переходьте на ключі доступу (passkeys) там, де це підтримується. Вони стійкі до фішингу й крадіжки облікових даних інфостілерами.
• Регулярно оновлюйте операційну систему й програмне забезпечення. Більшість успішних атак експлуатує вразливості, для яких уже існують патчі.
• Встановіть надійне антивірусне рішення. Для українських користувачів окрема рекомендація: НЕ використовуйте антивіруси російського походження (Kaspersky, Dr.Web), оскільки вони є джерелом ризиків як для приватності, так і для національної безпеки. Серед перевірених альтернатив — ESET (Словаччина, має офіційне представництво в Україні).
• Не зберігайте чутливі паролі (банкінг, корпоративна пошта, криптогаманці) у браузері. Саме ці дані — основна ціль інфостілерів.
• Будьте критичними до листів і повідомлень із посиланнями, навіть якщо вони здаються офіційними. Російські угрупування періодично видають себе за відомі компанії, включно з Microsoft та Google.
• Регулярно перевіряйте свої e-mail-адреси на сервісах Have I Been Pwned, щоб дізнаватися про потрапляння ваших облікових даних у відомі витоки.
• Не намагайтеся «зайти на даркнет із цікавості». Це не цікава екскурсія, а потенційно небезпечне середовище з шкідливим ПЗ, шахрайськими сторінками й наглядом правоохоронних органів — що погано закінчується для випадкових туристів.

Висновок: чому інформованість важлива більше, ніж будь-коли

Тіньовий ринок кіберзлочинності за останнє десятиріччя пройшов шлях від примітивних форумів до повноцінної підпільної ІТ-індустрії з власною спеціалізацією, фінансовими потоками й корпоративною культурою. Він став дорожчим, складнішим, географічно розмазаним — і водночас доступнішим для входу: підписку на інфостілер сьогодні може купити навіть підліток за 15 доларів.

Боротьба з цією індустрією потребує спільних зусиль урядів, правоохоронців, виробників технологій безпеки й кожного користувача окремо. Великі операції на кшталт Cronos та Endgame показують, що це можливо. Але водночас вони ж демонструють: ринок надзвичайно адаптивний, і кожна знищена платформа замінюється кількома меншими.

Для України, яка перебуває в стані повномасштабної війни, ставка особливо висока: наші персональні й корпоративні дані — це не просто товар на тіньовому ринку, а потенційний інструмент у руках ворога. Тому елементарні правила цифрової гігієни сьогодні — це не параноя, а внесок у безпеку країни.

Ця стаття Вкрадені дані, доступи до серверів і RaaS-сервіси: як влаштований сучасний тіньовий ринок кіберзлочинності раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Хакерська група APT28, пов’язана з Головним управлінням Генштабу Збройних сил РФ (ГРУ), експлуатує вразливість поштового серверу Zimbra Collaboration Suite (ZCS) в атаках на українські державні установи.

Ця серйозна вразливість (CVE-2025-66376, виправлена на початку листопада) пов’язана з міжсайтовим скриптингом (XSS), який дозволяє зловмисникам без автентифікації виконувати віддалений код та компрометувати як сам сервер Zimbra, так і поштові акаунти користувачів.

Вразливість додано до каталогу активно експлуатованих

У середу Агентство з кібербезпеки та захисту інфраструктури США (CISA) додало цю вразливість до свого каталогу вразливостей, які експлуатуються в реальних атаках. CISA також наказала федеральним цивільним відомствам захистити свої сервери протягом двох тижнів відповідно до обов’язкової директиви BOD 22-01, виданої у листопаді 2021 року.

Хоча американське агентство не надало додаткових деталей про поточну експлуатацію CVE-2025-66376, дослідники безпеки з Seqrite Labs повідомили днем раніше, що вразливість Zimbra використовувалася військовими хакерами APT28 в атаках на Україну.

Операція GhostMail проти України

Державне підприємство “Держгідрографія” (критично важливий об’єкт інфраструктури під контролем Міністерства інфраструктури, що забезпечує навігаційну, морську та гідрографічну підтримку) стало однією з цілей цієї фішингової кампанії, яку дослідники назвали Operation GhostMail.

“У фішинговому листі немає шкідливих вкладень, підозрілих посилань чи макросів. Весь ланцюг атаки знаходиться всередині HTML-тіла одного електронного листа”, — зазначають Seqrite Labs.

Зловмисні повідомлення хакерів APT28 (також відомих як Fancy Bear або Strontium) містили обфусковане JavaScript-завантаження, яке експлуатує вразливість CVE-2025-66376, коли отримувач відкриває листа у вразливій веб-версії Zimbra.

Що крадуть хакери

“Скрипт виконується непомітно в браузері та починає збирати облікові дані, токени сесій, резервні коди двофакторної автентифікації, паролі, збережені в браузері, а також вміст поштової скриньки жертви за останні 90 днів. Всі дані передаються через DNS та HTTPS”, — додають дослідники.

Zimbra — постійна ціль російських хакерів

Вразливості Zimbra регулярно стають мішенню атак, зокрема з боку російських державних хакерських груп, і використовувалися для злому тисяч вразливих поштових серверів в останні роки.

Наприклад, починаючи з лютого 2023 року, російська кіберрозвідувальна група Winter Vivern використовувала іншу XSS-вразливість для злому веб-порталів Zimbra і шпигунства за комунікаціями організацій та осіб, пов’язаних з НАТО, включаючи урядовців, військових та дипломатів.

У жовтні 2024 року американські та британські агентства з кібербезпеки попередили, що хакери APT29 (також відомі як Cozy Bear або Midnight Blizzard), пов’язані із Службою зовнішньої розвідки РФ (СЗР), атакували вразливі сервери Zimbra “у масовому масштабі”, експлуатуючи вразливість для крадіжки облікових даних електронної пошти.

Zimbra — це широко популярний програмний пакет для електронної пошти та співпраці, який використовують сотні мільйонів людей, включаючи сотні державних установ та тисячі компаній по всьому світу.

Що робити користувачам Zimbra

Якщо ваша організація використовує Zimbra Collaboration Suite, негайно перевірте, чи встановлено оновлення безпеки, випущені на початку листопада. Адміністраторам необхідно якнайшвидше оновити систему до останньої версії, яка містить виправлення вразливості CVE-2025-66376.

Ця стаття Російські хакери APT28 атакують українські держустанови через вразливість Zimbra раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин