Група кіберрозвідки Google — Google Threat Intelligence Group (GTIG) — 20 серпня 2026 року оприлюднила звіт про три окремі кластери підозрюваного російського кібершпигунства, які зламують акаунти не через підроблені сторінки входу, а через штатні механізми автентифікації: паролі застосунків, потік device code, дозволи OAuth і функцію привʼязки пристроїв у WhatsApp. Ціль — науковці, дипломати, аналітичні центри, урядовці та підприємства оборонної галузі в Європі та США. Один із кластерів зосереджений насамперед на Україні та Вірменії.

Ключова проблема, на якій наголошують дослідники Gabby Roncone та Wesley Shields, полягає в тому, що така атака майже не виглядає як фішинг. Жертва вводить пароль на справжній сторінці Google або Microsoft, сканує справжній QR-код WhatsApp і бачить справжні системні підказки. Зловмисник лише переконує зробити це в потрібний йому момент — і отримує токен доступу або паралельну сесію в месенджері.

Кластери позначені як UNC6293, UNC7005 і UNC5976. GTIG із високою впевненістю повʼязує всі три з росією — на підставі схожої вибірки цілей, тематики приманок і спільних операційних технік. Перші два з помірною впевненістю віднесено до підкластера угруповання ICE RELIC (попередня назва — APT29; також відоме як Cozy Bear і Midnight Blizzard), відповідального за початковий доступ. Уряди США та Великої Британії повʼязують APT29 зі Службою зовнішньої розвідки росії (СЗР).

UNC6293: «співробітники Держдепу» і паролі застосунків

Уперше цей кластер описали в червні 2025 року — GTIG і Citizen Lab зафіксували кампанію проти відомих критиків росії, науковців і журналістів. Зловмисники видавали себе за представників Державного департаменту США й переконували жертву створити в акаунті Google так званий пароль застосунку з назвою ms.state.gov. Такий пароль дає стороннім програмам доступ до акаунта в обхід двофакторної автентифікації.

У жовтні 2025 року GTIG побачила ту саму приманку у форматі PDF — з ідентичними скриншотами інструкцій. Змінився лише спосіб передавання: якщо раніше пароль просили надіслати листом, то тепер його пропонували ввести у форму на сайті, який виглядав легітимним. Кампанії залишаються точковими: зазвичай менш ніж пʼятеро адресатів за раз, а тематика приманок — дипломатичні заходи й запрошення на конференції. Частину таких операцій у грудні 2025 року описала компанія Volexity.

У червні 2026 року до арсеналу додався OAuth-фішинг: жертву просили після входу на сторонньому сервісі надіслати «код підтвердження» або повне посилання з адресного рядка. Саме цей код і відкривав зловмисникам доступ до акаунта.

UNC7005: від запрошень на конференції до «дзвінка» у WhatsApp

Головний фокус звіту — кластер UNC7005 (Microsoft відстежує його як STORM-2945), виявлений у лютому 2026 року. Він атакує науковців, дипломатів і працівників неурядових організацій в Україні, Західній Європі та США. GTIG відстежує його окремо від UNC6293 через нижчий рівень підготовки, слабшу операційну безпеку, іншу інфраструктуру та застосування шкідливого ПЗ.

Device code: реєстрація на конференцію з вибором вина

У травні 2026 року UNC7005 підробив сайт форуму GLOBSEC, використавши шаблон із попередньої операції на тему «запрошення до посольства». Сторінка знімала цифровий відбиток браузера жертви, щоб відсіяти автоматичні сканери, після чого пропонувала пройти реєстрацію — з докладною анкетою, яка серед іншого містила вибір вина до вечері. Винна тематика в операціях ICE RELIC простежується щонайменше з квітня 2023 року, коли Mandiant описала приманку із запрошенням на дегустацію від імені посольства Чехії. Наприкінці реєстрації жертві показували код пристрою (device code), який вона мала ввести на справжній сторінці входу Microsoft — і тим самим авторизувала сесію зловмисника, а не свою.

Привʼязка пристрою у WhatsApp

У травні та червні 2026 року UNC7005 розгорнув операції з підробкою WhatsApp. Фішингова сторінка пропонувала привʼязати акаунт до пристрою зловмисника — нібито щоб долучитися до захищеного дзвінка, чату чи обміну документами. Механіка проста: жертва вводить номер телефону, сервер зловмисника ініціює справжній запит на привʼязку пристрою, а сторінка показує справжній QR-код і код привʼязки разом з інструкцією.

Після успішної привʼязки сторінка пропонувала один із трьох сценаріїв:

• Голосовий дзвінок — імітація виклику з гудками, під час якої JavaScript таємно записував аудіо та відео з камери й мікрофона. Коли «дзвінок» нібито зривався, запис вивантажувався на керований сервер (C2).
• Зашифрований чат — жертві показували логін і пароль з проханням увійти за додатковим посиланням.
• Завантаження файлу — що саме мали завантажити, GTIG встановити не вдалося.

Крадії даних напрокат і OAuth через хмарні проєкти

Наприкінці травня 2026 року кластер провів найширшу зі зафіксованих розсилок — проти американських науковців, дипломатів і дослідників, які спеціалізуються на росії та пострадянському просторі. Посилання вело на сайт, що імітував «саміт» довкола резолюції на підтримку України, і пропонувало завантажити «застосунок-компаньйон» для читання повного тексту. Залежно від операційної системи жертва отримувала VIDAR (Windows) або ATOMIC, він же AtomicStealer (macOS) — обидва орендовані за моделлю malware-as-a-service та націлені на дані з браузерів.

На початку серпня 2026 року UNC7005 перейшов до OAuth-фішингу з використанням хмарної інфраструктури. З 31 липня зловмисники реєстрували домени, що імітували фінський Finnish Operations Center (FOC) — організацію, яка супроводжує фінські оборонні та безпекові компанії, зокрема в контексті НАТО. Між 6 і 13 серпня 2026 року цільові листи розійшлися адресатам, повʼязаним з європейською оборонною промисловістю. Після входу через справжню сторінку Google жертву перенаправляли до непідтвердженого хмарного проєкту зловмисника, який збирав токени доступу.

Звʼязок із CaptiveCrunch: готельний Wi-Fi як точка входу

GTIG повʼязала інфраструктуру UNC7005 з кампанією CaptiveCrunch, яку 23 липня 2026 року описала ReliaQuest, а 31 липня — Microsoft Threat Intelligence. Ідеться про підміну DNS- і HTTP-трафіку в мережах із captive-порталами — тими самими сторінками входу, які зʼявляються під час підключення до Wi-Fi у готелях і конференц-центрах. За даними Microsoft, така активність триває щонайменше з початку травня 2026 року й охоплює заклади гостинності по всьому світу.

Здобувши адміністративний доступ до шлюзу, зловмисники підмінювали DNS-відповіді й перенаправляли автоматичну перевірку зʼєднання, яку виконує браузер, на фальшиве «оновлення» браузера чи операційної системи. Далі застосовувалася техніка ClickFix, коли користувача покроково просять самостійно виконати підготовлену команду.

Microsoft описала два основні інструменти кампанії. CornFlake — написаний мовою Go троян віддаленого доступу для Windows: кейлогер, знімки екрана, запис із камери та мікрофона, збір файлів, крадіжка облікових даних і токенів сесій, віддалена командна оболонка. ChocoShell (GTIG відстежує його як CHERRYPIE) — крадій даних на PowerShell, що працює в памʼяті: вимикає інтерфейс сканування AMSI, обходить контроль облікових записів UAC і дістає cookie сесій, збережені паролі, токени єдиного входу Microsoft 365 та паролі до мереж Wi-Fi. Керується все це вебпанеллю FruitStone, оформленою як «CloudSync Console» від вигаданої «Acuity Systems, Inc.» — щоб мати вигляд легального хмарного сервісу.

Обидві компанії звертають увагу на ознаки того, що частину коду ChocoShell згенеровано за допомогою великої мовної моделі: у скрипті збереглися розлогі коментарі розробника, які пояснюють логіку обходу конкретних сигнатур виявлення.

Дослідники Lumen Black Lotus Labs, які паралельно відстежують цю ж кампанію, припускають у звіті, наданому виданню The Hacker News, що зловмисники могли зламати кількох провайдерів керованих ІТ-послуг (MSP) і скористатися їхнім довіреним доступом до клієнтських мереж. Телеметрія Lumen виявила близько 70 IP-адрес жертв: із них 40 надсилали DNS-запити до серверів керування CaptiveCrunch, ще 30 взаємодіяли з інфраструктурою перехоплення (adversary-in-the-middle), а одна — із сервером ChocoShell.

UNC5976: фейкові файлообмінники та цілі в Україні

Третій кластер GTIG вважає окремим від двох попередніх — імовірно, він працює в інтересах іншої російської спецслужби. OAuth-активність UNC5976 відстежують із березня 2026 року.

Схема така: купується домен із «файлообмінною» назвою, під нього створюється хмарний проєкт, а на сайті розміщується підроблена сторінка обміну файлами. За кілька секунд після відкриття вискакує вікно входу з кнопкою «Continue with Google», яка веде на справжню сторінку OAuth. Після автентифікації жертву перенаправляють на адресу хмарного проєкту, де скрипти виймають токен із посилання й зберігають його для оператора. Приблизно за три місяці після першого виявлення кластер створив щонайменше 12 нових доменів; Google вимкнула ці проєкти, і тепер, за оцінкою GTIG, зловмисники переносять частину інфраструктури до інших провайдерів.

Окремо в квітні 2026 року дослідники виявили шкідливий плагін для Excel під назвою HEADRUSH, який запускав завантажувач у форматі HTA. Його поширювали через домен, що імітував український науково-дослідний інститут; імовірною ціллю була українська компанія у сфері аерокосмічних технологій і зйомки. Повний ланцюжок зараження встановити не вдалося. Загалом UNC5976 зосереджений на військових, аерокосмічній галузі, оборонно-промисловій базі та аналітичних центрах, а географічно — насамперед на Україні та Вірменії.

Як захиститися

Google наголошує: паролі застосунків не є засобом перевірки особи й у більшості випадків узагалі не потрібні. Рекомендації компанії та Microsoft можна звести до кількох правил.

• Не створювати паролі застосунків на прохання співрозмовника — жодна легітимна організація не потребує їх для «підтвердження особи». Створені раніше варто відкликати, особливо ті, що привʼязані до втрачених або невживаних пристроїв.
• Ніколи не передавати нікому код підтвердження, код пристрою або посилання з адресного рядка після входу.
• Перевіряти адресу сайту перед введенням пароля та регулярно переглядати сторонні застосунки з доступом до акаунта Google.
• Для месенджерів — увімкнути блокування реєстрації та двоетапну перевірку, а також періодично переглядати список привʼязаних пристроїв і видаляти незнайомі.
• Особам із групи підвищеного ризику — розглянути Advanced Protection Program від Google: участь у програмі взагалі унеможливлює створення паролів застосунків. Стійкість до фішингу дають апаратні ключі безпеки та passkeys.
• Запрошення на заходи від незнайомих осіб варто підтверджувати через контакти організаторів, знайдені поза самим запрошенням.
• У поїздках мережі готелів, аеропортів і конференц-центрів слід вважати недовіреними; оновлення браузера чи системи, запропоновані через сторінку входу до Wi-Fi, встановлювати не можна за жодних обставин.
• За підозри на компрометацію — перевірити пристрій і завершити всі активні сесії з іншого, свідомо чистого пристрою.

GTIG подякувала за співпрацю в розслідуванні партнерам, серед яких Black Lotus Labs (Lumen Technologies), Microsoft Threat Intelligence Center, Служба військової контррозвідки Польщі (SKW), WhatsApp і компанія Anthropic.

Питання та відповіді

Що таке пароль застосунку і чому він небезпечний?

Це окремий код, який дає менш захищеній програмі чи пристрою доступ до акаунта. Його головна особливість — він працює в обхід двофакторної автентифікації, тож зловмисник, який отримав такий пароль, заходить в акаунт без жодних додаткових підтверджень.

Чи означає привʼязка пристрою у WhatsApp, що зловмисник читає листування?

Так. Привʼязаний пристрій отримує доступ до чатів так само, як вебверсія месенджера на компʼютері. Саме тому список привʼязаних пристроїв у налаштуваннях варто перевіряти регулярно й видаляти всі незнайомі.

Чи захищає VPN від атак через captive-портали?

Частково. Підключення до VPN відбувається вже після проходження сторінки входу до Wi-Fi, тому саме на цьому етапі — коли підміняється DNS і показується фальшиве «оновлення» — VPN ще не працює. Він зменшує решту ризиків, але не скасовує правила не встановлювати нічого зі сторінок captive-порталу.

Кого саме атакують ці кластери?

Насамперед приватні, а не корпоративні акаунти науковців, дипломатів, працівників аналітичних центрів і неурядових організацій, а також фахівців оборонної галузі. Через це компрометацію складніше помітити службам безпеки організацій — активність відбувається поза корпоративним периметром.

Ця стаття Російські хакери зламують акаунти через OAuth і привʼязку пристроїв у WhatsApp раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Угруповання Laundry Bear, яке повʼязують з російськими спецслужбами, використовує уразливість у вебінтерфейсі корпоративної пошти Microsoft Exchange, щоб встановлювати бекдор OWAReaper. Жертві не потрібно нічого натискати — достатньо відкрити лист. Доступ до поштової скриньки, отриманий у такий спосіб, зберігається навіть після зміни пароля та повного перевстановлення системи.

Про кампанію повідомила компанія Proofpoint, що спеціалізується на безпеці електронної пошти. Атаки розпочалися 22 липня 2026 року — за день до того, як Proofpoint разом з Агентством національної безпеки США оприлюднила спільний звіт про це саме угруповання, але щодо іншої поштової платформи, Zimbra.

Під ударом опинилися державні установи США та країн Європи, а також компанії телекомунікаційного, фінансового, готельного й аерокосмічного секторів. Обсяг розсилки та широта цілей нетипові для цього угруповання: ймовірно, кампанію навмисно зробили масовою, щоб вона загубилася серед звичайного спаму.

Угруповання відоме під кількома назвами: Laundry Bear — так його позначили нідерландські спецслужби, Void Blizzard — класифікація Microsoft, TA488 — позначення Proofpoint.

Що таке half-click і чому звичні поради тут не працюють

Дослідники Proofpoint називають такі атаки «half-click» — умовним «напівкліком». Класичний фішинг вимагає від жертви дії: перейти за посиланням, відкрити вкладення, ввести пароль на підробленій сторінці. У цьому разі нічого подібного немає. У листі немає ні підозрілих URL, ні вкладень — лише HTML-код, який поштовий сервер обробляє некоректно.

Теми листів навмисно нудні. Серед зафіксованих — показники глобальних ринків газу, індикатори ланцюга постачання напівпровідників, гідрологічні дані про рівні водосховищ і сніговий покрив, моніторинг громадського здоровʼя. Розрахунок простий: адресат відкриє лист, побіжно перегляне його, вирішить, що це чергова розсилка, — і не поскаржиться службі безпеки.

Уразливість CVE-2026-42897: кого вона стосується

CVE-2026-42897 — це уразливість типу міжсайтового скриптингу (XSS) у компоненті Outlook Web Access. Сервер Exchange недостатньо очищає HTML у тілі листа, тож під час відкриття повідомлення у браузері виконується довільний JavaScript — у контексті вже автентифікованої сесії користувача.

Ключовий нюанс, який часто губиться в новинах: уразливість стосується лише локальних серверів Exchange Server 2016, 2019 та Subscription Edition. Хмарний Exchange Online їй не піддається, наголошує Microsoft.

Хронологія виглядає так:

• 14 травня 2026 року — Microsoft позапланово розкрила уразливість і підтвердила, що її вже експлуатують. Постійного виправлення тоді не існувало, компанія запропонувала лише тимчасове помʼякшення через службу Exchange Emergency Mitigation.
• 15 травня — CISA внесла уразливість до каталогу активно експлуатованих (KEV) і зобовʼязала федеральні відомства США усунути її до 29 травня.
• 9 червня — Microsoft випустила повноцінні оновлення безпеки.
• 14 липня — липневе оновлення зняло рекомендацію зберігати тимчасове помʼякшення.

За шкалою CVSS 3.1 Microsoft оцінила уразливість у 8,1 бала з 10.

Інфраструктуру для кампанії зловмисники створили ще в березні 2026 року — за два місяці до попередження Microsoft. Тому дослідники припускають, що певний час уразливість використовували як zero-day, тобто до того, як про неї дізнався виробник. Proofpoint формулює це обережно, як імовірний, а не доведений сценарій.

Як працює бекдор OWAReaper

OWAReaper — це JavaScript-імплант, який виконується цілком у вікні перегляду листів Outlook Web Access. Він не залишає слідів на самому компʼютері: немає файлів на диску, немає записів в автозавантаженні.

Одразу після запуску шкідливий код:

• через програмні інтерфейси Outlook переписує лист на сервері Exchange і прибирає з нього код експлойту, тож жертва вже не побачить нічого підозрілого;
• вимикає спливні вікна OWA та контекстне меню правої кнопки миші, поки працює;
• збирає адресу, імʼя користувача та налаштування Outlook;
• створює у структурі сторінки (DOM) два невидимі поля вводу й чекає, поки браузер сам підставить у них збережені логін і пароль.

Proofpoint називає OWAReaper найскладнішим бекдором, який дослідникам доводилося бачити серед доставлених через half-click-експлойти. Це розвиток шкідливого коду ZimReaper з попередніх кампаній: збігається навіть спосіб викрадення паролів із автозаповнення браузера.

Чому зміна пароля не рятує

Найнеприємніша частина звіту стосується закріплення в системі. Дослідники описують три окремі механізми.

Перший — зашифрована копія імпланта в локальному сховищі браузера, під ключем PageDataPayload.OwaUserDefaultSettings. Це легітимний ключ, який OWA використовує під час штатної синхронізації сторінки. Щоразу, коли користувач відкриває вкладку з поштою, звичайний процес синхронізації сам запускає OWAReaper.

Другий — крадіжка токенів через надбудови Outlook. Імплант шукає встановлені надбудови з дозволом ReadWriteMailbox і через них викликає GetClientAccessToken, щоб отримати токени OAuth. Далі йде виклик UpdateFolder, який надає права рівня «власник» службовому обліковому запису Default на всі поштові теки. Фактично це відкриває скриньку жертви для будь-якого автентифікованого користувача організації.

Саме цей крок робить атаку такою стійкою: права виставлено на боці сервера. Ані зміна пароля, ані повне перевстановлення системи на компʼютері жертви не позбавляють зловмисників доступу — знімати ці права доводиться вручну на самому сервері Exchange.

Третій механізм — прихований iframe у локальному кеші листів. OWAReaper вмикає кешування й додає шкідливий код у повідомлення, збережені в офлайновій базі IndexedDB. Він спрацьовує щоразу, коли жертва відкриває «отруєний» лист із кешу.

Два канали керування і два способи виведення даних

Команди імплант отримує двома шляхами. Перший — публічні описи комітів на GitHub: раз на добу OWAReaper звертається до пошукового інтерфейсу GitHub і шукає коміти особливого формату, що містять адресу жертви. Дані зашифровані алгоритмом AES-CTR. Передбачено три типи команд: повна заміна коду імпланта, зміна серверів керування та разове виконання довільного коду.

Другий канал — звичайні листи. Кожні пʼять хвилин імплант переглядає локальний кеш у пошуках повідомлень із певною структурою тіла.

Викрадені дані виводяться теж двома способами. Основний — HTTPS-запити із зашифрованим шляхом, замасковані під звернення по зображення та пропущені через легітимні CDN-сервіси, зокрема images.weserv.nl, i3.wp.com (мережа доставки зображень WordPress) і slack-imgs.com. Резервний — тунелювання через DNS: дані шифрують, кодують у Base32 і розкладають по піддоменах у звичайних DNS-запитах до підконтрольного зловмисникам домену.

Український контекст

Laundry Bear — не нове угруповання. Microsoft та нідерландські спецслужби AIVD і MIVD оприлюднили його опис у травні 2025 року. Microsoft тоді зазначила, що кібершпигунська активність групи непропорційно спрямована проти країн НАТО та України.

У жовтні 2024 року зловмисники отримали доступ до кількох облікових записів української авіаційної організації — тієї самої, яку раніше атакувало угруповання Seashell Blizzard (Sandworm).

Попередня кампанія цього ж угруповання — проти поштових серверів Zimbra через уразливість CVE-2025-66376 — теж зачепила Україну. У березні 2026 року дослідники Seqrite описали операцію GhostMail: 22 січня 2026 року фішинговий лист українською мовою надійшов до державної установи, що відповідає за навігаційне, морське та гідрографічне забезпечення судноплавства. Лист був замаскований під запит студента про стажування й надійшов зі скриньки Національної академії внутрішніх справ, яку, найімовірніше, зламали раніше. Про інцидент повідомили CERT-UA.

Атрибуція тут не збігається повністю: Seqrite приписала GhostMail угрупованню APT28 із середньою впевненістю, тоді як Proofpoint і спільна заява розвідок повʼязують експлуатацію цієї ж уразливості з Laundry Bear. Остаточної ясності щодо співвідношення цих кластерів поки немає.

22 липня 2026 року АНБ, ФБР, CISA та спецслужби Нідерландів, Великої Британії, Канади, Австралії й низки інших країн оприлюднили спільне попередження про кампанію проти Zimbra.

Що робити

Організаціям, які використовують локальний Exchange, Proofpoint рекомендує:

• відкликати й перевірити токени Exchange Web Services (EWS) для встановлених надбудов;
• перевірити й прибрати права на поштові теки, видані обліковому запису Default;
• очистити базу IndexedDB (owa_offline_db) і ключ PageDataPayload.OwaUserDefaultSettings у локальному сховищі браузера на уражених пристроях;
• заблокувати вихідні зʼєднання із серверами керування, перелік яких наведено у звіті.

Окремо варто переконатися, що встановлено червневе та липневе оновлення безпеки Exchange.

Для користувачів висновок незвичний: порада «не переходьте за підозрілими посиланнями» тут не працює, бо посилань у листі немає. Що справді має сенс — не зберігати пароль від робочої пошти в браузері: саме дані з менеджера паролів браузера OWAReaper витягує через невидимі поля форми. І будь-який лист, після відкриття якого вебпошта поводиться дивно — зникають спливні вікна, не працює права кнопка миші, повідомлення раптом змінює вигляд, — варто одразу показати службі безпеки.

Питання та відповіді

Чи стосується ця уразливість Outlook у Microsoft 365?

Ні. CVE-2026-42897 вражає лише локальні сервери Exchange Server 2016, 2019 та Subscription Edition. Хмарний Exchange Online їй не піддається.

Чи допоможе двофакторна автентифікація?

Ні. Шкідливий код виконується всередині вже відкритої, успішно автентифікованої сесії користувача, тому другий фактор він просто обходить. За схожим принципом працюють і сучасні атаки типу «людина посередині».

Чи врятує перевстановлення системи?

Ні, якщо зловмисники встигли змінити права доступу до поштових тек на сервері. Ці налаштування зберігаються на боці Exchange і знімаються лише вручну адміністратором.

Як зрозуміти, що організація постраждала?

Основні ознаки — надані обліковому запису Default права рівня «власник» на поштові теки, підозрілі токени EWS у надбудовах Outlook та вихідні зʼєднання з доменами керування, перелік яких наведено у звіті Proofpoint.

Ця стаття Досить відкрити лист: російські хакери зламують корпоративну пошту через уразливість в Outlook Web Access раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Урядова команда реагування на компʼютерні надзвичайні події України CERT-UA зафіксувала кампанію, у якій зловмисники розповсюджують легітимну копію текстового редактора Notepad++ разом зі шкідливою бібліотекою, замаскованою під штатний плагін. Уразливостей у самому редакторі атака не використовує — вона спирається на звичайний механізм завантаження плагінів, тож для системи все виглядає як нормальна робота довіреної програми.

Активність приписано кластеру кіберзагроз, який CERT-UA відстежує під позначенням UAC-0099. Зміну тактик, технік і процедур задокументовано із середини літа 2026 року. У поточній кампанії дослідники виявили два нових інструменти — LUNCHPOKE і BURNYBEAR, а також оновлений завантажувач MATCHBOIL.V2.

Як починається атака

Ланцюг ураження стартує з електронного листа із вкладеним зображенням. Натискання на зображення відкриває гіперпосилання, приховане сервісом скорочення URL, і перенаправляє запит до файлового сервісу, звідки завантажується ZIP-архів.

Назви архівів імітують службове діловодство: у зафіксованих хвилях це «Додатки до розпорядження.zip» та «запит №9206.zip», а документами-приманками слугували «Заводський район.pdf», «Додаток 7.pdf» і «9206.docx». Усередині архіву — VBS-скрипт із подвійним розширенням: перед кінцевим «.vbs» додано значну кількість пробілів, тож у провіднику Windows файл візуально виглядає як PDF або документ Word.

Ланцюжок зараження через Notepad++

Запуск скрипта відкриває жертві документ-приманку, а у фоновому режимі завантажує архів Evernote.zip. Усередині — повний набір компонентів Notepad++ версії 8.8.3, а в каталозі /plugins/NppExport/ лежать три сторонні обʼєкти: шкідлива бібліотека NppExport.dll, захищений паролем архів updater.rar і легітимний виконуваний файл winrar.exe.

Скрипт створює каталог %PUBLIC%\Libs_<випадкове число>\Notepad\, видобуває туди вміст архіву та запускає notepad++.exe. Редактор штатно підвантажує бібліотеки з теки плагінів — і разом із ними шкідливий NppExport.dll. Саме цю бібліотеку CERT-UA класифікує як LUNCHPOKE.

LUNCHPOKE створює власний робочий каталог у %PUBLIC%\Libraries\ (його назва щоразу інша), розпаковує туди вміст updater.rar — файли RemoteLibUpdater.exe та InitTest.dll, — копіює штатну утиліту планувальника завдань schtasks.exe у %PUBLIC%\Wallpapers\Background.exe і створює заплановане завдання \W1n3r-U09oTy-Ap5\Updates. Воно кожні три хвилини запускає RemoteLibUpdater.exe з аргументами «setup nodisplay» — так забезпечується закріплення в системі.

BURNYBEAR і оновлений завантажувач MATCHBOIL

Файл RemoteLibUpdater.exe класифіковано як BURNYBEAR — завантажувач для бібліотеки InitTest.dll. Прикметно, що він має додаткову логіку: якщо запустити його некоректно, тобто без зазначення аргументів, замість корисного навантаження програма активує механізм вичерпання ресурсів компʼютера — оперативної памʼяті та процесора. Призначення цієї логіки CERT-UA не коментує.

InitTest.dll — модифікована версія раніше відомого завантажувача, позначена як MATCHBOIL.V2. Як і попередня, вона створює заплановане завдання, оновлює конфігурацію, зокрема адресу сервера управління, і довантажує інші програмні засоби. Головна відмінність: для видобування вмісту завантажених обʼєктів MATCHBOIL.V2 використовує WinRAR, а якщо цієї утиліти в системі немає — завантажує її з Dropbox.

Мети кампанії та переліку атакованих організацій CERT-UA не розкриває. Водночас у переліку індикаторів фігурують два виконувані файли, яких немає в описі ланцюжка ураження: RemoteFileViewer.exe у каталозі %LOCALAPPDATA%\RemoteClient\ та SMTPClientApplication.exe із конфігураційним файлом config.ini у %LOCALAPPDATA%\SMTPClient\. Їхнє призначення в повідомленні не пояснюється.

Атака побудована на легітимних сервісах

Прикметна риса кампанії — майже повна відмова від власної інфраструктури на ранніх етапах. Посилання в листах ховаються за скорочувачем cutt.ly, зображення роздаються через imageurlgenerator.com, архіви — через файлообмінники easysend.co і filemail.com та сховище Cloudflare R2, а WinRAR за потреби довантажується з Dropbox. Усе це звичайні сервіси, які рідко потрапляють під блокування й не викликають підозри в засобів мережевого захисту.

Власні ресурси зловмисників зʼявляються лише на етапі управління зараженою машиною. Повний перелік індикаторів кіберзагроз — хеші файлів, адреси серверів управління та хостові артефакти — опубліковано в повідомленні CERT-UA.

Суперечка навколо CVE-2025-56383

У публікаціях про ці атаки згадують CVE-2025-56383 — ідентифікатор, присвоєний у вересні 2025 року проблемі підміни DLL у Notepad++ 8.8.3, тобто саме в тій версії, яку використовують зловмисники. Проте статус цього запису спірний, і CERT-UA свідомо на нього не посилається.

В офіційному описі зазначено, що CVE оскаржують кілька сторін: описана поведінка відтворюється лише тоді, коли програму встановлено в каталог, доступний для запису непривілейованим користувачам. Це не є типовою конфігурацією — за замовчуванням Notepad++ встановлюється у Program Files, куди потрібні права адміністратора.

За даними команди розробників Notepad++, завантаження плагінів у вигляді бібліотек є штатним функціоналом програми та її архітектурною особливістю. У обговоренні спільноти на це додають: зловмисник, який дістав право перезаписати файл плагіна, з тим самим успіхом може підмінити й сам виконуваний файл редактора. У примітці до свого повідомлення CERT-UA зазначає, що навколо запису в NIST NVD триває диспут, тому команда згадує ідентифікатор лише для полегшення пошуку інформації.

Хто стоїть за UAC-0099

Уперше CERT-UA публічно описала UAC-0099 у червні 2023 року, задокументувавши атаки на державні структури та медіа з метою кібершпигунства; кластер діє щонайменше із середини 2022 року. Раніше угруповання експлуатувало уразливість CVE-2023-38831 у WinRAR для доставки шкідливої програми LONEPAGE, а влітку 2025 року перейшло на набір MATCHBOIL, MATCHWOK і DRAGSTARE, яким атакувало державні органи, Сили оборони та підприємства оборонно-промислового комплексу.

За даними BleepingComputer, UAC-0099 також повʼязують із наданням початкового доступу для атак, які здійснює APT44 — угруповання, відоме як Sandworm і асоційоване з ГРУ росії. У самому повідомленні CERT-UA цей звʼязок не декларується.

Що робити системним адміністраторам

CERT-UA наголошує на потребі своєчасно оновлювати поширені програмні продукти, бо окремі кластери кіберзагроз активно експлуатують їхні уразливості на етапі первинної компрометації. Станом на 21 липня 2026 року актуальні версії: Notepad++ 8.9.7, 7-Zip 26.02 та WinRAR 7.23. Реліз Notepad++ 8.9.7, що вийшов 14 липня 2026 року під назвою «Slava Ukraini», закриває одразу кілька уразливостей.

Ознаки цієї конкретної кампанії, на які варто налаштувати моніторинг:

• запуск notepad++.exe із загальнодоступних каталогів, зокрема з підкаталогів %PUBLIC%;
• поява невідомих DLL-бібліотек у теках плагінів встановлених застосунків;
• копії schtasks.exe під сторонніми назвами, зокрема Background.exe у %PUBLIC%\Wallpapers\;
• заплановані завдання з випадковими або нетиповими назвами та коротким інтервалом запуску;
• активність процесів RemoteLibUpdater.exe, RemoteFileViewer.exe і SMTPClientApplication.exe;
• файли з подвійним розширенням і низкою пробілів у назві всередині отриманих архівів.

Оскільки атака починається зі звичайного електронного листа, розпізнавання фішингу залишається базовим рівнем захисту. Схожий сценарій CERT-UA фіксувала й у кампанії угруповання UAC-0247 із бекдором AgingFly. Про основні категорії шкідливих програм і механізми їхнього поширення — в окремому матеріалі.

Часті запитання

Чи означає це, що Notepad++ став небезпечним?

Ні. Зловмисники не експлуатують уразливість редактора — вони приносять власну копію Notepad++ 8.8.3 разом зі шкідливою бібліотекою й запускають її з тимчасового каталогу. Копія редактора, встановлена з офіційного сайту, за цією схемою не уражається.

Як зрозуміти, що компʼютер уражений?

Основні ознаки: запуск notepad++.exe із підкаталогів %PUBLIC%, невідома DLL-бібліотека в теці плагінів, заплановане завдання з випадковою назвою та інтервалом три хвилини, а також активність процесу RemoteLibUpdater.exe. Повний перелік індикаторів опубліковано в повідомленні CERT-UA.

Чи захистить оновлення Notepad++ від цієї атаки?

Безпосередньо від цього ланцюжка — ні, бо зловмисники не використовують уразливість і приносять власну копію програми. Оновлення поширеного ПЗ CERT-UA рекомендує окремо, щоб закрити інші шляхи первинної компрометації.

Що таке CVE-2025-56383 і чи варто про нього турбуватися?

Це запис у базі NIST NVD про підміну DLL у Notepad++ 8.8.3, статус якого оскаржують кілька сторін. Розробники вважають завантаження плагінів архітектурною особливістю редактора, а CERT-UA свідомо не посилається на цей ідентифікатор.

Кого атакує угруповання UAC-0099?

Кластер діє щонайменше із середини 2022 року й атакує українські державні органи, Сили оборони та підприємства оборонно-промислового комплексу. Мети поточної кампанії та переліку уражених організацій CERT-UA не розкриває.

Ця стаття Хакери ховають шкідливе ПЗ у плагіні Notepad++: CERT-UA попереджає про нову тактику UAC-0099 раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Дослідники з Google, iVerify та Lookout виявили новий інструмент злому iPhone під назвою DarkSword, який уразив заражені веб-сайти та здатний миттєво і непомітно скомпрометувати пристрої під керуванням iOS 18. Код зловмисного ПЗ опинився у відкритому доступі — разом із коментарями та назвою, що практично запрошує інших хакерів використати його проти необмеженого кола жертв, — про це повідомляє WIRED.

Що таке DarkSword і кого він уражає

DarkSword — це складна техніка злому iPhone, виявлена в інфікованих веб-сайтах: достатньо відвідати такий ресурс, щоб пристрій було скомпрометовано. Інструмент не зачіпає iPhone з найновішими оновленнями iOS, однак ефективно працює проти пристроїв на iOS 18 — попередній основній версії операційної системи Apple. За даними самої компанії, станом на минулий місяць майже чверть усіх iPhone у світі ще працювала на iOS 18.

«Колосальна кількість користувачів iOS могла позбутися всіх своїх персональних даних просто через відвідування популярного сайту», — заявив Роккі Коул, співзасновник і генеральний директор iVerify. «Сотні мільйонів людей, які досі використовують старіші пристрої Apple або старіші версії операційної системи, залишаються вразливими».

DarkSword містить два окремі ланцюжки експлойтів, орієнтовані на різні вразливості в залежності від того, яка саме версія iOS 18 встановлена на цільовому пристрої. Для порівняння: раніше виявлений набір Coruna атакував iOS 13–17, тоді як DarkSword охоплює iOS 18 — тобто потенційне коло жертв є значно ширшим.

Що краде шкідливе ПЗ та як воно діє

За даними Lookout, DarkSword здатне викрадати паролі та фотографії, журнали переписки з iMessage, WhatsApp і Telegram, історію браузера, дані Календаря та Нотатки, а також інформацію з програми Apple Health. Крім того, шкідливе ПЗ зчитує облікові дані криптовалютних гаманців — що натякає на можливий паралельний фінансовий мотив поряд зі шпигунською місією.

На відміну від традиційного шпигунського ПЗ, DarkSword не закріплюється в системі. Інструмент використовує так звані «безфайлові» методи — підходи, більш характерні для атак на Windows-пристрої. Замість встановлення окремого шкідливого застосунку він перехоплює легітимні системні процеси iPhone. «Замість того щоб грубою силою проламувати файлову систему — що залишає безліч слідів, — цей інструмент просто використовує системні процеси так, як вони й мали використовуватися», — пояснив Коул. «І залишає значно менше артефактів».

Відсутність персистентності має й практичний наслідок: після перезавантаження пристрою інфекція зникає. Натомість DarkSword діє за принципом «вдарив і втік» — викрадає дані протягом кількох хвилин після проникнення в систему.

Зв’язок з російськими кібершпигунами та атаками на українські сайти

Виявлення DarkSword відбулося всього за два тижні після того, як стало відомо про інший набір інструментів злому — Coruna, який Google пов’язує з угрупованням, що фінансується російською державою. Хоча DarkSword, очевидно, розроблений іншими авторами, ті самі російські хакери використовували обидва інструменти. Як і Coruna, DarkSword було вбудовано в компоненти легітимних українських веб-сайтів — зокрема онлайн-видань та сайту державної установи — для збору даних із пристроїв відвідувачів.

Особливу стурбованість дослідників викликало те, що хакери залишили повний, нічим не захищений код DarkSword у відкритому доступі — разом із пояснювальними коментарями англійською мовою та самою назвою «DarkSword». «Будь-хто, хто вручну зібрав усі різні частини експлойта, може розмістити їх на власному веб-сервері та почати інфікувати телефони. Усе так само задокументовано. Це справді занадто просто», — заявив співзасновник iVerify Маттіас Фрілінгсдорф.

Хто стоїть за DarkSword і звідки він узявся

Автори DarkSword залишаються невідомими, однак дослідники впевнені: інструмент майже напевно створено не самими хакерами, що його застосували. Ймовірніше за все, його придбала брокерська компанія, що торгує хакерськими техніками. Показовою підказкою є зв’язок DarkSword із набором Coruna: видання TechCrunch повідомляло, що Coruna створено компанією Trenchant — дочірньою структурою американського державного підрядника L3Harris. Колишній співробітник Trenchant Пітер Вільямс минулого року визнав провину у продажі інструментів компанії російській брокерській фірмі Operation Zero, яку згодом внесли до санкційних списків США.

Хоча прямих доказів того, що DarkSword також пов’язаний із Trenchant або розроблявся для американського уряду, немає, його використання тими самими російськими хакерами, які предовірно придбали Coruna, вказує на можливий спільний канал збуту. Пізніше Coruna використали і кіберзлочинці — для крадіжки криптовалюти у жертв, що спілкуються китайською мовою, — що свідчить про готовність Operation Zero перепродавати свої продукти будь-якому покупцю.

Ринок хакерських інструментів: нова реальність загроз

Поява двох потужних інструментів злому iPhone майже одночасно сигналізує про зростання чорного ринку повторного продажу експлойтів, які раніше вважалися надзвичайно рідкісними. «Люди вважали, що це стосується лише журналістів, активістів або опозиційних політиків — і не загрожує звичайному громадянину. Тепер, коли iOS-експлойти розповсюджуються через безвідповідального брокера, весь цей ринок відкритий для кіберзлочинців», — зазначив Джастін Альбрехт, керівник напряму мобільної розвідки загроз у Lookout.

Роккі Коул з iVerify вказує на ще один тривожний сигнал: хакери використовували DarkSword відкрито, не намагаючись приховати інструмент на заражених сайтах. «Якщо цей згорить — просто піду й візьму інший. Вони знають, що є ще», — так Коул описує логіку зловмисників. Це свідчить про те, що інструменти злому iOS стали настільки доступними, що хакери готові витрачати їх безоглядно — навіть якщо це призведе до їхнього викриття.

Як захиститися

Найнадійніший захист — оновлення операційної системи до останньої версії iOS. Для цього перейдіть у «Налаштування» → «Основні» → «Оновлення ПЗ». DarkSword не зачіпає пристрої з актуальною версією iOS.

Додатки iVerify та Lookout здатні виявляти компрометацію пристрою через DarkSword у тій формі, в якій його було зафіксовано дослідниками. Apple та Google не надали коментарів щодо знахідки дослідників, окрім публікації у блозі Google.

Ця стаття DarkSword: російські хакери зламують iPhone на iOS 18 через звичайний перехід на сайт раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Інструментарій для злому iPhone, який, за даними дослідників, міг бути розроблений на замовлення уряду США, опинився в руках іноземних спецслужб і кіберзлочинців. Про це повідомляє видання WIRED з посиланням на результати незалежних розслідувань компаній Google та iVerify.

Набір інструментів, відомий під назвою Coruna, вже міг бути використаний для зламу щонайменше 42 000 пристроїв у рамках однієї лише комерційної злочинної кампанії, а також, можливо, проти українських користувачів у межах операції, повʼязаної з російським шпигунством.

Обмежений, але масштабний

Згідно зі звітом Google, Apple усунула вразливості, якими користується інструментарій Coruna, у найновіших версіях мобільної операційної системи — iOS 26. Підтверджено, що методи злому працюють лише проти iOS версій від 13 до 17.2.1. Coruna атакує вразливості у фреймворку Apple WebKit, який використовується в браузерах, тому користувачі Safari на застарілих версіях iOS залишаються вразливими. Підтверджених технік для атаки на користувачів Chrome у наборі немає. Крім того, Coruna перевіряє, чи увімкнено на пристрої найсуворіший режим безпеки Apple — Режим карантину, — і не намагається зламати пристрій, якщо він активований.

Попри ці обмеження, компанія iVerify стверджує, що Coruna, ймовірно, вже заразив десятки тисяч смартфонів. За даними партнера iVerify, який має доступ до мережевого трафіку, аналіз звернень до командно-контрольного сервера кіберзлочинної версії Coruna — тієї, що поширювалася через китайськомовні вебсайти, — дав змогу підрахувати, що лише в межах комерційної кампанії вже могло бути зламано близько 42 000 пристроїв.

Скільки ще жертв могло постраждати від Coruna — зокрема українці, які відвідували сайти, заражені в рамках можливої російської шпигунської операції, — наразі невідомо. Google відмовилася коментувати ситуацію понад те, що вже викладено у її звіті. Apple також не надала коментаря щодо висновків Google та iVerify.

Єдиний і дуже професійний автор

Аналізуючи кіберзлочинну версію Coruna (доступу до більш ранніх версій в iVerify не було), дослідники компанії встановили, що код було модифіковано з метою встановлення на цільових пристроях шкідливого ПЗ — для виведення криптовалюти з криптогаманців, а також викрадення фотографій і, в окремих випадках, електронної пошти. Однак ці доповнення були «погано написані» порівняно з основним інструментарієм Coruna, зазначив головний директор з продуктів iVerify Спенсер Паркер, назвавши сам інструментарій вражаючим за своєю відшліфованістю та модульністю.

«Боже мій, ці речі написані дуже професійно», — сказав Паркер про експлойти, що входять до Coruna, припустивши, що грубіший шкідливий код додали кіберзлочинці, які пізніше отримали доступ до цього інструментарію.

Щодо фрагментів коду, які вказують на походження Coruna як урядового інструменту США, аналітик iVerify Коул навів одне з можливих альтернативних пояснень: збіги між кодом Coruna та шкідливим ПЗ операції Triangulation — яку росія приписала американським хакерам — могли виникнути через те, що компоненти Triangulation були підхоплені та перероблені після їх виявлення. Проте сам Коул вважає таку версію малоймовірною: чимало компонентів Coruna раніше ніде не зустрічалися, а весь інструментарій, схоже, створив «один автор».

«Фреймворк дуже добре скомпонований», — каже Коул, який у минулому працював в АНБ, але наголошує, що залишив відомство більш як десять років тому і не спирається у своїх висновках на застарілі знання про американські хакерські засоби. — «Схоже, що це написано як єдине ціле, а не зібрано з фрагментів».

Як інструмент міг потрапити до чужих рук

Якщо Coruna справді є американським хакерським інструментарієм, що вийшов з-під контролю, то питання про те, як він опинився в руках іноземних держав і злочинців, досі залишається без відповіді. Коул вказує на ринок брокерів уразливостей, які можуть платити десятки мільйонів доларів за техніки злому нульового дня, щоб потім перепродавати їх для шпигунства, кіберзлочинів або кібервійни.

Показовим у цьому контексті є нещодавній вирок Пітеру Вільямсу — топменеджеру американського підрядника Trenchant, — засудженому цього місяця до семи років увʼязнення за продаж хакерських інструментів російському брокеру вразливостей нульового дня Operation Zero з 2022 по 2025 рік. Зі змісту обвинувального вироку випливає, що Trenchant продавала хакерські засоби американській розвідувальній спільноті, а також іншим представникам альянсу «Пʼять очей» — США, Великій Британії, Австралії, Канаді та Новій Зеландії. Яке саме ПЗ продавалося і проти яких пристроїв воно було спрямовано — не уточнюється.

«Брокери вразливостей і експлойтів, як правило, безпринципні, — зазначає Коул. — Вони продають тому, хто більше платить, і не гребують подвійними продажами. Більшість із них не мають угод про ексклюзивність. Саме це, швидше за все, тут і сталося».

«Один із цих інструментів опинився в руках незахідного брокера, який продав його тому, хто був готовий платити, — підсумовує дослідник. — Джин вийшов із пляшки».

Ця стаття Урядовий інструментарій США для злому iPhone опинився в руках іноземних шпигунів і злочинців раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Протягом останнього десятиліття десятки журналістів та правозахисників у всьому світі стали жертвами урядового кібершпигунства. Спецслужби Ефіопії, Греції, Угорщини, Індії, Мексики, Польщі, Саудівської Аравії та ОАЕ використовували шпигунське програмне забезпечення для компрометації телефонів активістів, деякі з яких згодом зазнали насильства, залякування, а в екстремальних випадках навіть вбивства.

Технологічні компанії дедалі активніше попереджають користувачів про те, що вони стали мішенями державних хакерів, особливо тих, хто використовує spyware від компаній Intellexa, NSO Group та Paragon Solutions. Але після відправки сповіщення ці компанії усувають руки, лише направляючи користувачів до тих, хто може допомогти.

Сприймайте попередження серйозно

Якщо ви отримали сповіщення про те, що стали мішенню державних хакерів, не ігноруйте його. Apple, Google та WhatsApp мають величезні обсяги телеметричних даних про своїх користувачів, їхні пристрої та онлайн-акаунти. Команди безпеки цих компаній роками полюють, вивчають та аналізують подібні зловмисні дії.

Важливо розуміти: у випадку Apple та WhatsApp отримання сповіщення не обов’язково означає успішний злом. Можливо, спроба провалилася, але компанії все одно повідомляють про неї. У випадку Google найімовірніше компанія заблокувала атаку і рекомендує увімкнути багатофакторну автентифікацію, в ідеалі фізичний ключ безпеки або passkey, а також активувати Advanced Protection Program для додаткових рівнів захисту облікового запису.

Для користувачів Apple критично важливо увімкнути Режим карантину, який активує низку функцій безпеки, що значно ускладнюють атаки. Apple стверджує, що жодного разу не зафіксувала успішного злому користувача з увімкненим Режимом карантину, хоча жодна система не є ідеальною.

П’ять базових правил захисту

Мохаммед Аль-Маскаті, директор Digital Security Helpline від Access Now, глобальної команди експертів безпеки, що працює цілодобово та розслідує випадки використання шпигунського ПЗ проти представників громадянського суспільства, рекомендує:

Тримати операційні системи та додатки на пристроях постійно оновленими. Увімкнути Режим карантину від Apple та Advanced Protection для облікових записів Google і пристроїв Android. Бути обережними з підозрілими посиланнями та вкладеннями. Регулярно перезавантажувати телефон. Звертати увагу на зміни в роботі пристрою.

Цілодобова служба допомоги для жертв кібершпигунства

У боротьбі за захист високоризикових спільнот ключову роль відіграє команда з дюжини експертів із цифрової безпеки. Вони працюють у Digital Security Helpline, підрозділі некомерційної організації Access Now, розташованої в Нью-Йорку. Їхня місія полягає в тому, щоб бути командою, до якої можуть звернутися журналісти, правозахисники та дисиденти, якщо підозрюють компрометацію за допомогою комерційного spyware.

За словами Білла Марчака, старшого дослідника Citizen Lab Університету Торонто, який досліджує шпигунське ПЗ протягом майже 15 років, Digital Security Helpline від Access Now є ресурсом першої лінії для журналістів та інших осіб, які могли стати мішенню або жертвою такого програмного забезпечення.

Коли Apple надсилає користувачам сповіщення про загрозу, попереджаючи про атаку комерційного spyware, технологічний гігант направляє жертв саме до слідчих Access Now.

Тисяча випадків на рік

Хассен Сельмі, керівник команди реагування на інциденти в Helpline, та його колеги зараз розглядають близько тисячі випадків підозрюваних урядових атак spyware на рік. Приблизно половина з них переростає в справжні розслідування, і лише близько 5 відсотків, приблизно 25 випадків, завершуються підтвердженням зараження шпигунським ПЗ.

Коли Сельмі почав цю роботу в 2014 році, Access Now розслідувала лише близько 20 випадків підозрюваних атак на місяць. Тоді в кожному часовому поясі працювало три-чотири людини в Коста-Ріці, Манілі та Тунісі, локаціях, які дозволяли мати когось онлайн протягом усього дня. Команда не набагато більша зараз: у Helpline працює менше 15 людей.

Зростання кількості випадків пов’язане з кількома обставинами. По-перше, Helpline стала більш відомою. По-друге, урядове шпигунське ПЗ стало глобальним і доступнішим, що потенційно призводить до більшої кількості випадків зловживань. Нарешті, команда провела більше інформаційної роботи серед потенційних цільових груп.

Як працює розслідування

Коли хтось зв’язується з Helpline, слідчі спочатку підтверджують отримання звернення, потім перевіряють, чи відповідає особа мандату організації, тобто чи є вона частиною громадянського суспільства, а не, наприклад, бізнес-керівником чи законодавцем.

Після початкової оцінки слідчі ставлять запитання: чому людина вважає, що стала мішенню, який пристрій вона використовує. Зазвичай спочатку проводиться первинна перевірка через діагностичний звіт, який можна створити на пристрої та надіслати розслідувачам віддалено. На цьому етапі не потрібно передавати пристрій комусь. Ця перевірка може виявити ознаки атаки або навіть зараження, але може й нічого не показати.

Після обмеженої віддаленої перевірки пристрою через інтернет слідчі можуть попросити надіслати більше даних, наприклад, повну резервну копію пристрою або навіть сам пристрій для ретельнішого аналізу.

Для кожного відомого типу експлойту, який використовувався протягом останніх п’яти років, у команди є процес перевірки. Фахівці Helpline, які управляють комунікацією і часто розмовляють мовою жертви, також дають поради щодо дій: чи варто отримати інший пристрій або вжити інших запобіжних заходів.

Розслідування може зайняти час, оскільки сучасне державне шпигунське ПЗ намагається приховати та видалити свої сліди. Сельмі пояснює: сучасна стратегія spyware полягає в тому, щоб швидко вкрасти дані і зникнути. Після зараження пристрою програмне забезпечення краде якомога більше інформації, після чого намагається видалити всі сліди та деінсталюватися. На жаль, це означає, що сучасне шпигунське ПЗ може не залишити жодних слідів.

Інструменти для самостійної перевірки

Існують opensource інструменти, які будь-хто може використовувати для виявлення підозрілих атак spyware на своїх пристроях, хоча це вимагає певних технічних знань. Наприклад, Mobile Verification Toolkit (MVT) дозволяє шукати forensic сліди атаки самостійно.

Куди ще можна звернутися по допомогу

Якщо ви журналіст, дисидент, науковець або правозахисник, є організації, які можуть допомогти. Крім Digital Security Helpline від Access Now, можна звернутися до Amnesty International, яка має власну команду розслідувачів, або до The Citizen Lab, групи цифрових прав при Університеті Торонто, що розслідує зловживання spyware майже 15 років. Для журналістів також доступна допомога від Reporters Without Borders, яка має власну лабораторію цифрової безпеки.

Політики та бізнес-керівники, які не входять до цих категорій, матимуть звернутися до приватних компаній, що спеціалізуються на розслідуванні таких випадків: iVerify створює додаток для Android та iOS з опцією глибокого forensic розслідування; Safety Sync Group, стартап відомого експерта з безпеки Метта Мітчелла, допомагає вразливим групам захищатися від спостереження; Hexordia, стартап forensic дослідниці Джессіки Гайд; Lookout, компанія з мобільної кібербезпеки з досвідом аналізу державного spyware з усього світу.

Глобальна мережа підтримки CiviCERT

Кожен випадок, який розглядає організація, унікальний. Helpline також підтримує подібні команди розслідувачів у деяких регіонах світу, ділячись документацією, знаннями та інструментами в рамках коаліції CiviCERT, глобальної мережі організацій, які можуть допомогти членам громадянського суспільства, що підозрюють атаку шпигунського ПЗ.

Незалежно від того, де знаходяться жертви, вони мають людей, з якими можуть поговорити та до яких можуть звертатися. Те, що ці люди розмовляють їхньою мовою та знають їхній контекст, дуже допомагає.

Ця стаття Що робити, якщо вас атакували державні хакери: повний гайд із захисту від урядового кібершпигунства раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Нова небезпечна тенденція у кібербезпеці зміщує фокус з зовнішніх атак на внутрішню інфільтрацію. Хакери почали видавати себе за досвідчених фахівців з кібербезпеки та IT, щоб отримати привілейований доступ до систем організацій. Це не просто спроби фішингу — це ретельно сплановані схеми, коли зловмисники маніпулюють процесом найму, щоб стати “довіреними” співробітниками з метою викрадення конфіденційної інформації.

Як працює схема проникнення

Ця афера базується на обмані. Кіберзлочинці створюють детальні фальшиві особистості з підробленими резюме, переконливою присутністю в інтернеті та навіть використовують технологію deepfake для проходження віртуальних співбесід. По суті, вони стають “фейковими працівниками”, яких приймають на справжні посади.

Процес найму, особливо для віддалених посад, став основною мішенню. Кіберзлочинці використовують викрадені або підроблені особи, часто вдаючись до персональних даних реальних громадян США для створення начебто легітимних кандидатів. Вони можуть використовувати “ферми ноутбуків” в інших країнах, де базується їхня незаконна діяльність, застосовуючи проксі-сервери та VPN для маскування справжнього місцезнаходження.

Зростання віддаленої роботи, хоча й пропонує гнучкість, ненавмисно створило нові вразливості у перевірці кандидатів. Відсутність особистої взаємодії ускладнює підтвердження особистості та виявлення підозрілих ознак.

Техніки обману роботодавців

Для здійснення правдоподібної імітації зловмисники використовують низку витончених технік:

AI-технології для співбесід. Використання штучного інтелекту для генерації відео та голосу створює гіперреалістичні образи для відеоінтерв’ю, імітуючи міміку обличчя, голосові патерни та навіть онлайн-фони.

Підроблені документи. Резюме ретельно створюються з фальшивим досвідом роботи, дипломами та сертифікатами, часто супроводжуються фейковими профілями LinkedIn з AI-згенерованими фотографіями та обмеженою кількістю контактів для видимості легітимності без можливості відстеження.

Соціальна інженерія. Зловмисники вправно експлуатують людську довіру, виглядаючи обізнаними, професійними та зацікавленими у приєднанні до команди, часто з відрепетированими відповідями на технічні питання для створення ілюзії експертності.

“Відмивання особистості”. Використання свідомих або несвідомих осіб для оренди їхньої персональної інформації або проходження перевірки особи від їхнього імені, перенаправлення зарплати через треті рахунки для приховування справжньої ідентичності.

Небезпека “кандидатського” фішингу

Команди з найму повинні залишатися пильними щодо загроз на кшталт фішингу від “кандидатів”. Ці атаки маскуються під пропозиції від потенційних претендентів на роботу, часто містячи переконливий супровідний лист або портфоліо. Однак у цих здавалося б нешкідливих повідомленнях приховані шкідливі посилання або вкладення, які можуть скомпрометувати мережу компанії.

Справжня ціна загрози

Небезпека фейкового працівника полягає не просто у поганому найманні — йдеться про високо вмотивованого зловмисника, який отримує ключі до найважливіших систем компанії.

Крадіжка даних. Викрадення даних клієнтів, фінансових записів, інтелектуальної власності, комерційних таємниць та власного програмного коду.

Фінансове шахрайство. Хоча це менш поширена безпосередня мета схеми “фейкового працівника”, отриманий доступ може сприяти фінансовому шахрайству через маніпуляції системами або прямий вимагання.

Кібершпигунство. Групи, що спонсоруються державами, зокрема пов’язані з Північною Кореєю, відомі тим, що використовують фейкових працівників для збору розвідувальних даних та незаконних доходів для своїх режимів.

Вимагання. В останніх тривожних випадках деякі шахрайські працівники навіть шантажували своїх роботодавців, загрожуючи оприлюднити викрадені дані після звільнення або викриття.

Наслідки такої внутрішньої загрози є катастрофічними: вплив на репутацію бренду компанії, регуляторну відповідність (GDPR, HIPAA тощо) та, що найважливіше, довіру клієнтів. Витоки даних можуть призвести до значних фінансових штрафів, юридичних наслідків та тривалої втрати лояльності клієнтів. Вартість відновлення після такої атаки може легко сягати сотень тисяч, якщо не мільйонів доларів.

Реальні випадки проникнень

Загроза фейкових працівників не є теоретичною — це реальність, яку викривають розвідувальні агентства та правоохоронні органи.

Схеми північнокорейських IT-працівників. Міністерство фінансів та Міністерство юстиції США неодноразово видавали попередження та вживали заходів проти витончених схем північнокорейських IT-працівників. Ці оперативники, які часто працюють з таких країн, як Китай та росія, використовують викрадені або підроблені особи громадян США для отримання віддаленої роботи у технологічних компаніях, часто у сферах Web3, розробки програмного забезпечення або блокчейн-інфраструктури. Їхня мета — генерувати незаконні доходи для диктаторських режимів Кім Чен Ина та путіна. У деяких випадках ці працівники були серед найбільш “талановитих” співробітників, водночас непомітно викрадаючи дані та навіть вимагаючи викуп після звільнення.

Інциденти з deepfake-співбесідами. ФБР повідомило про випадки, коли шахраї успішно використовували deepfake-відео та технологію зміни голосу для отримання віддалених IT та фінансових посад, отримуючи доступ до корпоративних баз даних. Компанії виявили кандидатів, які використовували AI-згенеровані резюме та покращені deepfake співбесіди для обходу традиційних протоколів найму.

Захист від цифрових підробок

Зменшення ризику фейкових працівників вимагає багаторівневого підходу, який включає надійні HR-практики, передові технічні засоби контролю та постійне навчання з питань безпеки.

Посилена перевірка співробітників. Впровадження багатофакторної валідації особи, включаючи живі відеоінтерв’ю, перевірку документів у реальному часі за урядовими базами даних та біометричну автентифікацію для виявлення фальшивих посвідчень.

Ретельні перевірки біографії. Всебічна та безперервна перевірка трудової історії безпосередньо з попередніми роботодавцями (не лише за рекомендаціями, наданими кандидатом), пильна увага до невідповідностей в іменах, адресах та датах.

Аналіз цифрової присутності. Підтвердження цифрового сліду та пошук ознак автентичності, підозра до нових або слабко заповнених профілів у соціальних мережах.

Безпечні протоколи адаптації. Тісна співпраця з IT для обмеження доступу для нових співробітників, поступове надання привілеїв на основі довіри та необхідності.

Технічні засоби контролю

Багатофакторна автентифікація (MFA). Застосування MFA для всіх систем, особливо з привілейованим доступом, що забезпечує критично важливий рівень захисту навіть у разі викрадення облікових даних.

Принцип найменших привілеїв. Надання користувачам (включаючи IT-персонал) лише мінімального необхідного доступу для виконання їхніх робочих функцій.

Сегментація мережі. Ізоляція критичних систем для запобігання латеральному переміщенню у разі порушення безпеки.

Поведінковий аналіз та моніторинг активності користувачів. Впровадження інструментів, які відстежують поведінку користувачів на предмет аномалій — незвичайні патерни доступу (наприклад, доступ до конфіденційних даних поза робочим часом, з незвичайних місць), надмірні завантаження даних або часті спроби несанкціонованого доступу до систем.

Моніторинг інструментів віддаленого адміністрування. Обережність щодо використання несхвалених інструментів віддаленого адміністрування або встановлення кількох таких інструментів на одному пристрої.

Геолокація пристроїв. Під час адаптації перевірка, що корпоративні ноутбуки геолокуються до заявленого місця проживання співробітника. Підозра, якщо працівник просить іншу адресу доставки для обладнання компанії.

MFA на основі апаратного забезпечення. Найбезпечніша форма MFA, що вимагає використання фізичних пристроїв, таких як апаратні ключі безпеки, для отримання фізичного доступу до корпоративних пристроїв.

Тривожні сигнали внутрішньої загрози

Співробітники, особливо ті, хто взаємодіє з новими працівниками, повинні бути пильними щодо певних попереджувальних знаків:

• Небажання з’являтися на камері або брати участь у відеодзвінках, що може вказувати на використання технології deepfake або підставної особи
• Невідповідності або ухиляння, такі як розбіжності між онлайн-профілями та робочими портфоліо, або повна відсутність присутності в інтернеті
• Підозріла поведінка під час тестів або співбесід — надмірні паузи, рухи очей, що вказують на читання зі сценарію, або труднощі з імпровізованим вирішенням проблем
• Незвичайні запити, такі як повторні прохання про передоплату або наполягання на використанні особистих ноутбуків для роботи
• Неправильна або мінлива контактна інформація, зокрема телефонні номери та електронні адреси
• Запити на відправлення обладнання компанії на невідому адресу
• Використання програмного забезпечення для “рухання мишкою”, що може вказувати на одночасне керування кількома віддаленими профілями

Особлива загроза для MSP

Постачальники керованих послуг (MSP) стикаються з унікально підвищеним ризиком від цього типу загроз. Оскільки MSP зазвичай керують IT-інфраструктурою та безпекою для кількох клієнтських організацій, одне успішне проникнення в MSP може забезпечити доступ до величезної мережі конфіденційних даних та критичних систем у багатьох компаніях. Для MSP наявність найсуворіших заходів безпеки є абсолютно критичною, включаючи суворі процеси перевірки власних співробітників, впровадження передових засобів контролю доступу та підтримку надійних планів реагування на інциденти.

Проактивний підхід до безпеки

Загроза фейкових працівників є тверезим нагадуванням, що кіберзлочинці постійно вдосконалюють свої методи. Видаючи себе за довірених професіоналів, вони прагнуть обійти периметральний захист та експлуатувати людський фактор довіри. Розуміння принципів роботи цих загроз, впровадження суворих процесів найму та перевірки, розгортання передових технічних засобів контролю, формування культури обізнаності про безпеку та пильність щодо попереджувальних знаків дозволяють організаціям значно знизити ризики.

Безпека організації настільки сильна, наскільки сильна її найслабша ланка, і у випадку фейкових працівників цією ланкою можуть стати саме ті люди, яким довіряють найкритичніші активи компанії.

Ця стаття Хакери у костюмах: як фейкові IT-працівники крадуть дані компаній раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Компанія Anthropic повідомила про тривожний випадок використання її штучного інтелекту китайськими державними хакерами для проведення кібератак. За даними компанії, зловмисники змогли автоматизувати щонайменше 80% своєї хакерської кампанії, спрямованої проти приблизно 30 глобальних цілей.

Це перша документована кампанія кібершпигунства, в якій штучний інтелект виконував операції практично автономно. Атака, здійснена в середині вересня 2025 року, продемонструвала якісно новий рівень загрози в галузі кібербезпеки.

Масштаби операції

За висновками розслідування Anthropic, зловмисники — ймовірно, китайська державна хакерська група — маніпулювали інструментом Claude Code для проникнення приблизно в 30 організацій по всьому світу. Серед цілей були великі технологічні компанії, фінансові установи, підприємства хімічної промисловості та урядові агенції. Атакувальникам вдалося успішно зламати кілька з них.

Виявивши підозрілу активність, Anthropic негайно розпочала розслідування. Протягом наступних десяти днів компанія встановила повний масштаб операції, заблокувала виявлені облікові записи, повідомила постраждалі організації та координувала дії з правоохоронними органами.

Принципи роботи ШІ-атаки

Кібератака використовувала три ключові можливості сучасних ШІ-моделей, які стали доступними лише протягом останнього року:

Висока продуктивність. Моделі досягли рівня розвитку, коли можуть виконувати складні інструкції та розуміти контекст для виконання надзвичайно складних завдань. Зокрема, їхні навички програмування роблять їх ефективним інструментом для кібератак.

Автономність. ШІ-моделі можуть працювати як агенти — тобто виконувати дії у циклі, поєднувати завдання та приймати рішення з мінімальним втручанням людини.

Інструментарій. Моделі мають доступ до широкого спектру програмних інструментів, включно з пошуком в інтернеті, отриманням даних та спеціалізованим програмним забезпеченням для злому паролів і сканування мереж.

Етапи атаки

На першому етапі оператори-люди обрали цілі та розробили систему автоматизованого проникнення, яка використовувала Claude Code для виконання операцій. Щоб обійти вбудовані в Claude засоби безпеки, зловмисники розбивали атаки на дрібні, нешкідливі на вигляд завдання, які ШІ виконував без розуміння їх справжньої мети. Крім того, вони повідомляли Claude, що він використовується легітимною компанією кібербезпеки для оборонного тестування.

На наступних етапах Claude Code аналізував системи організацій-цілей, виявляв найцінніші бази даних, шукав уразливості в системах безпеки та самостійно писав експлойт-код. ШІ збирав облікові дані для отримання доступу, викрадав великі обсяги конфіденційних даних, класифікував їх за розвідувальною цінністю, створював бекдори та готував детальну документацію атаки для операторів.

В цілому, штучний інтелект виконував 80-90% роботи кампанії, а втручання людини потрібне було лише у 4-6 критичних точках прийняття рішень. На піку атаки ШІ робив тисячі запитів, часто кілька за секунду — швидкість, яку жодна команда хакерів-людей не змогла б досягти.

За інформацією Anthropic, китайські хакери цілеспрямовано використовували можливості штучного інтелекту для:

• Автоматизації процесу написання шкідливого коду
• Прискорення аналізу вразливостей у цільових системах
• Оптимізації методів проникнення в захищені мережі
• Покращення техніки приховування слідів атак

Наслідки для кібербезпеки

Виявлена атака підтверджує різке зниження порогу входу для проведення складних кібероперацій. З правильними налаштуваннями навіть менш досвідчені та ресурсні групи тепер можуть виконувати масштабні атаки, які раніше вимагали цілих команд кваліфікованих спеціалістів.

Це якісна зміна порівняно з попередніми випадками зловживань ШІ, про які Anthropic повідомляла влітку 2025 року: тоді люди активно керували операціями, тоді як у новій кампанії участь людини була мінімальною, незважаючи на значно більший масштаб.

Anthropic наголошує, що ті самі можливості Claude, які використовуються для атак, є критично важливими для захисту від них. Компанія застосовувала власну ШІ-модель для аналізу величезних обсягів даних під час розслідування цієї атаки.

Фахівці з кібербезпеки рекомендують організаціям терміново впроваджувати ШІ для оборони — зокрема для автоматизації центрів операцій безпеки, виявлення загроз, оцінки вразливостей та реагування на інциденти. Розробникам слід посилювати засоби захисту у своїх ШІ-платформах для запобігання зловживанням.

Повний звіт про розслідування доступний на сайті Anthropic.

Ця стаття Китайські хакери використали ШІ Anthropic для кібершпигунства проти 30 цілей раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Компанія ESET повідомляє про виявлення нових кібератак групи Lazarus, пов’язаної з Північною Кореєю, на європейські компанії в оборонній промисловості, зокрема у секторі безпілотних літальних апаратів (БПЛА/дронів). Основною метою зловмисників, ймовірно, є викрадення конфіденційної інформації та виробничих ноу-хау.

Атаки були спрямовані на три компанії, що працюють в оборонному секторі Центральної та Південно-Східної Європи. Вони виробляють різні види військової техніки (або її частини), багато з яких наразі використовуються в Україні завдяки військовій допомозі європейських країн. Зловмисники отримали початковий доступ за допомогою соціальної інженерії, а троян віддаленого доступу (RAT) дозволив надати повний контроль над скомпрометованою машиною.

Які методи під час атак використовували кіберзлочинці?

У ході операції під назвою DreamJob кіберзлочинці використовували фальшиву пропозицію роботи для поширення шкідливого програмного забезпечення. Жертва зазвичай отримує документ-приманку з описом вакансії та троян, замаскований під програму для читання PDF-файлів для його відкриття. Дослідники ESET вважають відповідальними за цю діяльність групу кіберзлочинців Lazarus, зокрема через її дії, пов’язані з операцією DreamJob, а також через вибір цілей в Європі, які збігаються з цілями попередніх випадків (аерокосмічна та оборонна галузь, машинобудування).

Ймовірно, зловмисники були зацікавлені ​​в зборі конфіденційної інформації про деякі системи озброєння західного виробництва, які наразі використовуються у російсько-українській війні. Загалом, ці організації беруть участь у виробництві матеріалів, які також виробляє Північна Корея, та, можливо, сподівається їх вдосконалити завдяки крадіжці інтелектуальної власності. Про це свідчать також повідомлення ЗМІ щодо інвестицій Північної Кореї у власні виробничі потужності БПЛА.

«Ми вважаємо, що операція DreamJob, ймовірно, була спрямована – принаймні частково – на крадіжку конфіденційної інформації та виробничих ноу-хау щодо БПЛА. Ми знайшли докази того, що одна з атакованих організацій бере участь у виробництві щонайменше двох моделей БПЛА, які зараз використовуються в Україні, і з якими Північна Корея, можливо, зіткнулася на лінії фронту. Ця організація також бере участь у ланцюжку поставок сучасних дронів, типу літальних апаратів, які Пхеньян активно розробляє», – коментує Пітер Калнаї, дослідник ESET.

Основний компонент ScoringMathTea – це складний троян віддаленого доступу (RAT), який підтримує близько 40 команд. За даними VirusTotal, його перше виявлення можна простежити з Португалії та Німеччини в жовтні 2022 року, де його завантажувач був приманкою для пропозицій роботи на тему Airbus. Відповідно до телеметрії ESET, ScoringMathTea був зафіксований в атаках на індійську технологічну компанію в січні 2023 року, на польську оборонну компанію в березні 2023 року, на британську компанію з промислової автоматизації в жовтні 2023 року та італійську аерокосмічну компанію у вересні 2025 року.

Варто зазначити, що Lazarus (також відома як HIDDEN COBRA) – це APT-група, пов’язана з Північною Кореєю, яка діє щонайменше з 2009 року. Вона відповідальна за гучні інциденти, а її основною кіберзлочинною діяльністю є кібершпигунство, кіберсаботаж та фінансова вигода. Операція «DreamJob» – це кодова назва кампаній Lazarus, які вкористовують переважно соціальну інженерію, зокрема фальшиві пропозиції роботи на престижні або високопосадові посади. Цілями переважно є представники аерокосмічного та оборонного секторів, інженерні та технологічні компанії, а також медіа та розважальний сектор.

Щоб захистити свої пристрої, спеціалісти ESET рекомендують не переходити за невідомими посиланнями та не відкривати підозрілі файли та заманливі електронні листи, завантажувати лише перевірені програми з офіційних магазинів. Крім цього,  на додаток до паролів варто застосовувати багатофакторну автентифікацію для входу в облікові записи та використовувати рішення для захисту корпоративної мережі від різних кіберзагроз.

У разі виявлення шкідливої діяльності у власних IT-системах українські користувачі продуктів ESET можуть звернутися за допомогою до цілодобової служби технічної підтримки за телефоном +380 44 545 77 26 або електронною адресою support@eset.ua.

Ця стаття Кібершпигуни атакують європейські компанії у секторі БПЛА раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

ESET  повідомляє про виявлення раніше невідомої уразливості в архіваторі WinRAR, яку використовувала пов’язана з росією група кіберзлочниців RomCom. Відповідно до даних телеметрії ESET, шкідливі архіви поширювалися через фішингові повідомлення, спрямовані на фінансові, виробничі, оборонні та логістичні компанії в Європі та Канаді. Метою цих атак було кібершпигунство.

«18 липня було виявлено шкідливу DLL-бібліотеку під назвою msedge.dll в архіві RAR, що містив незвичайні шляхи, які привернули увагу. Подальший аналіз показав використання зловмисниками раніше невідомої уразливості у WinRAR, включно з поточною на той час версією 7.12. Вже 24 липня ми зв’язалися з компанією-розробником WinRAR; того ж дня уразливість була виправлена в бета-версії, а повна версія була випущена через кілька днів. Ми радимо користувачам WinRAR якомога швидше встановити актуальну версію, щоб зменшити ризики», — попереджають спеціалісти ESET.

Уразливість дозволяла приховувати шкідливі файли в архіві, які непомітно розгортаються під час розпакування. Шкідливі файли поширювалися через цілеспрямовані електронні листи, а у разі успішної спроби компрометації на пристрій жертви завантажувалися різні бекдори, зокрема, SnipBot, RustyClaw та агент Mythic.

Спеціалісти ESET з високою впевненістю приписують виявлену діяльність групі RomCom на основі регіону поширення, тактик, методів та процедур, а також використаного шкідливого програмного забезпечення. RomCom є пов’язаною з росією групою, яка проводить шпигунські операції паралельно з традиційними кібератаками. Бекдор, який використовує група, здатний виконувати команди та завантажувати додаткові модулі на пристрій жертви.

Це не перший випадок, коли RomCom використовує експлойти для компрометації своїх жертв. У червні 2023 року група поширювала фішингові повідомлення, спрямовані на оборонні та урядові установи в Європі, з приманками, пов’язаними з темою Світового конгресу українців.

У зв’язку з небезпекою спеціалісти ESET рекомендують завжди використовувати актуальні версії програмного забезпечення та операційної системи, а також забезпечити багаторівневий захист корпоративної мережі з можливостями запобігання, виявлення та реагування на актуальні загрози.

Детальнішу інформацію про загрозу можна знайти за посиланням.

Ця стаття Російські хакери RomCom використали уразливість WinRAR для шпигунства раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Давно відомо, що однією з головних загроз кібербезпеки підприємства є його ж співробітники. Проте далеко не всі керівники підприємств усвідомлюють, що ці співробітники можуть бути маріонетками в руках іноземних держав та організацій.

Невидима загроза зсередини

За даними останніх досліджень у галузі кібербезпеки за 2024-2025 роки, державне кіберрозвідувальне шпигунство стало більш витонченим та поширеним. Згідно з аналітичним звітом Сенату США, іноземні держави регулярно впроваджують в організації “кротів”, метою яких є викрадення інформації та досліджень, які можна використати для отримання економічних, наукових чи військових переваг.

Організовані програми вербування

Китай залишається одним із найактивніших гравців у цій сфері, з понад двомастами різними рекрутинговими програмами. “План тисячі талантів” (Thousand Talents Plan) — лише одна з них, в рамках якої було залучено близько 7 тисяч оперативників. За даними дослідження CrowdStrike за 2024 рік, ця цифра зросла майже до 10 тисяч осіб.

Безумовно, Китай — не єдина країна, що розгорнула подібні програми. Росія, Іран, Північна Корея та інші держави активно інвестують у промислове шпигунство та кібероперації, націлені на західні компанії та дослідницькі центри.

Експертна оцінка загроз

За словами фахівців компанії Mandiant (підрозділ Google Cloud), компаніям слід серйозніше ставитися до шпигунства, розглядати його нарівні з іншими кіберзагрозами і навчитися виявляти на ранніх етапах.

“Доступ керує ландшафтом загроз. У кожного інсайдера він є, і кожен атакуючий прагне його отримати. За багато років роботи я співпрацював з усілякими організаціями, які тільки можна уявити, починаючи від казино і закінчуючи урядовими структурами. Шпигунська активність присутня завжди. Навіть якщо ви її не бачите, вона існує”, — зазначає Джонні Колінз (Johnny Collins), керівник підрозділу боротьби з інсайдерськими загрозами Mandiant.

За даними звіту Microsoft Digital Defense Report 2024, випадки цільового шпигунства з боку державних акторів зросли на 43% порівняно з попереднім роком.

Як працює кібершпигунство в реальності

Світ промислового шпигунства далеко не такий романтичний, як показують у кіно. Противники займаються шпигунством для забезпечення собі конкурентних переваг — викрасти чужі дослідження та інтелектуальну власність набагато простіше й дешевше, ніж розробляти власні.

Методи викрадення інформації різноманітні, але у багатьох випадках завербований співробітник навіть не усвідомлює, що став інструментом шпигунства.

Типові стратегії вербування:

1. Особисті зустрічі на професійних заходах

Найпоширеніша стратегія рекрутерів — запрошення потенційної цілі на конференцію чи інший захід, де до неї підходять із пропозицією попрацювати позаштатним викладачем, консультантом або підтримати певну ініціативу. “Перевага” таких зустрічей віч-на-віч полягає в тому, що після них не залишається документальних доказів.

2. Цифрові канали комунікації

Рекрутери активно використовують корпоративну електронну пошту, соціальні мережі, месенджери та телефонні дзвінки. До моменту, коли компанія помітить підозрілу активність, цільовий співробітник може обмінятися з вербувальником десятками чи навіть сотнями повідомлень.

3. Одночасна робота з кількома співробітниками

Сучасні кібершпигуни одночасно “обробляють” кількох співробітників однієї й тієї ж організації, використовуючи різноманітні техніки (включно з цільовим фішингом) для підвищення ймовірності успіху.

Хто стає мішенню?

Найчастіше цілями стають:

• Науковці та дослідники з доступом до інтелектуальної власності
• ІТ-адміністратори з привілейованим доступом до систем
• Керівники з доступом до стратегічної інформації
• Співробітники відділів розробки продуктів

Проте, як показує статистика за 2024 рік від компанії Proofpoint, навіть рядові співробітники не застраховані від вербування — все залежить від інформації, яку прагнуть отримати зловмисники.

“Прикріплені” агенти: новий рівень загрози

У рідкісних, але особливо небезпечних випадках, коли рекрутери не можуть отримати доступ до потрібного співробітника, вони навчають людину спеціально для впровадження в організацію. Ці самозванці, відомі як “прикріплені” (planted agents), повністю усвідомлюють наміри своїх кураторів і ближчі до класичного розуміння шпигуна.

За даними звіту ENISA (Європейського агентства з кібербезпеки) за 2024 рік, такі агенти можуть не розпочинати шкідливу діяльність протягом кількох років, терпляче будуючи репутацію та здобуваючи довіру. Коли момент настає, вони викрадають потрібну інформацію і часто “розчиняються”, залишаючи компанію без пояснень.

Заходи захисту для сучасних підприємств

Експерти з кібербезпеки рекомендують компаніям запровадити такі захисні механізми:

• Програми моніторингу інсайдерських загроз з використанням сучасних аналітичних інструментів
• Посилений контроль доступу та застосування принципу найменших привілеїв
• Регулярні тренінги з питань кібербезпеки для всіх співробітників
• Ретельні перевірки кандидатів під час найму та періодичні перевірки поточних співробітників
• Впровадження систем виявлення аномалій у поведінці користувачів (UEBA)

У 2025 році загроза корпоративного шпигунства залишається як ніколи актуальною. Компаніям необхідно усвідомлювати, що їхні співробітники можуть стати мішенню для іноземних розвідувальних служб та конкурентів, і вживати відповідних заходів захисту. Кібершпигуни стають дедалі витонченішими, і лише комплексний підхід до безпеки дозволить ефективно протистояти цій загрозі.

Ця стаття В кожній великій компанії присутні кібершпигуни: актуальна загроза 2025 року раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Експерти у галузі інформаційної безпеки компанії ESET представили прогнози щодо тенденцій розвитку кіберзагроз у 2025 році. Зокрема цього року, ймовірно, збільшиться кількість шахрайських схем з використанням штучного інтелекту, а також підроблених додатків для мобільних пристроїв. Крім того, очікується поява нових програм для викрадення даних та висока активність російських кібершпигунів в Україні.

Штучний інтелект як інструмент в руках хакерів

Кількість спаму та шахрайства, створених штучним інтелектом, зростатиме. Зловмисники можуть використовувати GPT для більшої переконливості під час спілкування з жертвами, наприклад, видаючи себе за знайомих жертви у різних аферах. Також очікується зростання кількості підроблених акаунтів публічних осіб із використанням діпфейк-технологій.

«Контент, створений штучним інтелектом, також може бути приманкою для користувачів соцмереж в рамках дезінформаційних кампаній. У 2025 році також прогнозується збільшення кількості підроблених облікових записів знаменитостей та інших публічних осіб у соцмережах з використанням діпфейк-відео та іншого контенту, створеного штучним інтелектом, для збільшення рівня довіри користувачів», — коментує Юрай Яношик, керівник відділу ESET з автоматизованих систем та інтелектуальних рішень.

Мобільні пристрої під прицілом

Очікується збільшення шкідливих підроблених додатків із використанням технологій PWA (гібрид звичайної сторінки та мобільного додатку) та WebAPK. Саме за допомогою цих технологій зловмисники можуть обходити традиційні заходи безпеки та встановлювати загрози для викрадення банківських облікових даних на пристрої жертв. Крім цього, збільшиться кількість загроз для iOS та активність шкідливих програм, які використовують пакет розробки програмного забезпечення Flutter із відкритим кодом (SDK).

«У 2025 році очікується збільшення загроз для пристроїв iOS. Незважаючи на сувору політику Apple App Store, яка ускладнює розповсюдження шкідливих програм, загрози також поширюються через шкідливі вебсайти, фішинг, скомпрометовані вкладення електронної пошти, шкідливі оголошення в пошукових системах, соцмережах та на сайтах. З іншого боку, компанія Apple зазвичай реагує на нові загрози та оновлює механізми безпеки», — вважає Лукаш Штефанко, старший дослідник ESET зі шкідливого програмного забезпечення.

Кібершпигунство та нові загрози для викрадення даних

Шпигунська діяльність російських груп кіберзлочинців в Україні та країнах-партнерах зростатиме. Також очікується використання VPN для проведення атак та подальше націлювання груп зловмисників, пов’язаних з Китаєм, на телекомунікаційні компанії.

«У 2025 році кібератаки залишаться одним із аспектів збройних конфліктів та воєн у всьому світі. У російсько-українській війні спостерігається зниження диверсійних операцій у кіберпросторі та зростання шпигунської діяльності. Очікується, що кібершпигунська активність триватиме як в Україні, так і в країнах, які її підтримують, тоді як диверсійні кібероперації можуть бути менш поширеними в найближчі місяці», — коментує Жан-Ян Бутін, директор ESET із дослідження загроз.

Крім цього, після ліквідації небезпечної програми RedLine Stealer у 2025 році буде зростати активність інших загроз, які поширюються в рамках моделі продажу шкідливих інструментів одних зловмисників іншим.

Вдосконалення програм-вимагачів

Цього року очікується вдосконалення шкідливих програм для припинення роботи інструментів для виявлення та реагування (EDR) із розширенням платформ для атак. RansomHub буде найактивнішою загрозою, замінивши LockBit.

«У 2025 році кіберзлочинці можуть вдосконалити цей тип інструментів, зробивши його дедалі складнішим для виявлення. Це свідчить про те, що інструменти безпеки, такі як EDR, є перешкодою для зловмисників, і вони намагатимуться видалити їх або принаймні знешкодити», — вважає Якуб Соучек, старший дослідник ESET зі шкідливого програмного забезпечення.

Пам’ятайте, щоб не стати жертвою підступних кіберзлочинних схем, варто дотримуватись базових правил, зокрема використовувати надійні паролі та багатофакторну автентифікацію, подбати про безпеку Інтернет-банкінгу, не переходити за посиланнями від невідомих відправників та не відкривати підозрілі файли, а також забезпечити надійний захист пристроїв домашньої мережі.

Ця стаття Прогнози кібербезпеки: яких загроз очікувати у 2025 році раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня