Дослідники Cybernews виявили шкідливу кампанію під назвою Efimer, яка цілеспрямовано атакує шанувальників кіно напередодні 97-ї церемонії вручення премії «Оскар». Зловмисники експлуатують популярність номінантів на «Найкращий фільм» — зокрема «Марті Супрім» і «Бугонія» — щоб заманити користувачів Windows на скомпрометовані вебсайти та викрасти криптовалюту з їхніх гаманців.

Класична пастка через пошук Google

Схема атаки побудована за принципом «медової пастки»: коли користувачі шукають в Google піратські копії номінантів — наприклад, «Одна битва за іншою» Пола Томаса Андерсона або «Франкенштейна» Гільєрмо дель Торо, — замість відеофайлу вони завантажують скрипт, що спустошує їхні цифрові гаманці.

Найбільш показовим результатом дослідження виявилося те, що головна небезпека виходить не з програм для завантаження торентів, а безпосередньо з Google-пошуку. Дослідники просканували розподілену хеш-таблицю (DHT) та перевірили популярні торент-трекери — і не виявили жодного шкідливого ПЗ, вбудованого безпосередньо у торент-файли.

Натомість при введенні запитів виду «[Назва фільму] [рік виходу] torrent download» 12,11% результатів Google виявилися шкідливими. Ініціатори загрози маніпулювали SEO-просуванням, зламуючи вразливі WordPress-сайти методом перебору паролів і розміщуючи на них фальшиві сторінки для завантаження торентів.

Кампанія Efimer активна з 2024 року і не обмежується виключно оскарівськими стрічками, однак дослідники підтвердили, що кожен фільм із цьогорічного списку номінантів на «Найкращий фільм» потрапив у зону дії кампанії.

Найнебезпечніші номінанти

Аналіз показав, що найбільше шкідливих посилань пов’язано з фільмом «Марті Супрім» — 16 посилань, далі йдуть «Бугонія» (15) та «Грішники» (12). Серед інших стрічок: «Таємний агент» (11), «Потягові мрії» (10), «Сентиментальна цінність» (9). Навіть фільми з меншою кількістю шкідливих результатів — «F1» і «Одна битва за іншою» (по 5), «Гамнет» (4) та «Франкенштейн» (3) — становлять реальну загрозу.

Як відбувається зараження

Дослідники Cybernews детально відтворили весь ланцюжок зараження. Користувач знаходить через Google скомпрометований WordPress-сайт і завантажує файл movie_33463_data.torrent. Усередині архіву — захищений паролем ZIP-файл для приховування вмісту від антивірусів та скрипт під назвою «1. Disable Defender.bat».

Далі — підроблена легенда про кодек: нібито для відтворення відео потрібен спеціальний плеєр. До архіву додано фальшивий «відеофайл» та інсталятор програми Xmpeg. Xmpeg є легітимним інструментом з відкритим кодом для конвертації відео, однак у цьому конкретному випадку інсталятор містить шкідливе ПЗ. Після встановлення Efimer починає стежити за буфером обміну: щойно він виявляє криптовалютну транзакцію, то автоматично підмінює адресу одержувача на адресу зловмисника. Крім того, шкідливе ПЗ збирає сід-фрази криптогаманців. Кампанія спрямована виключно проти користувачів Windows.

Як розпізнати шкідливі сторінки: 5 ознак

Найнадійніший спосіб уникнути зараження — завжди користуватися легальними стримінговими платформами або авторизованими дистриб’юторами. Проте навіть обережні користувачі можуть випадково натиснути на шкідливе посилання. Дослідники виділили п’ять характерних ознак сторінок кампанії Efimer.

1. Підозрілий шрифт у тексті. Якщо на сайті напис «Torrent Download» відображається незвичними математичними символами — наприклад, «orrent ownload», — це ознака того, що ініціатори загрози свідомо підмінюють символи, щоб обійти автоматичні фільтри Google.
2. Розбіжність між URL та вмістом. Якщо пошук фільму привів на сторінку кшталту lucys-flower-shop.com/blog/marty-supreme-free-torrent — це скомпрометований сайт, не пов’язаний з кіноіндустрією.
3. Скрипт «Disable Defender». Якщо у завантаженому архіві є файл «Disable Defender.bat» або будь-який інший файл із проханням вимкнути антивірус — це беззаперечний сигнал небезпеки. Відеофайл не може потребувати відключення захисту.
4. Інсталятор кодека. Якщо торент містить .exe-файл на кшталт xmpeg_setup.exe, що нібито потрібний для відтворення відео, — це шкідливе ПЗ. Сучасні плеєри на зразок VLC відтворюють майже будь-який формат без додаткових інсталяцій.
5. Архів із паролем. Якщо фільм поставляється у ZIP- або RAR-файлі, пароль до якого міститься в окремому .txt-файлі, — це спроба приховати вміст від антивірусного сканування до розпакування архіву.

Чому схема досі працює

«Виявлена кампанія легко ідентифікується як шкідлива будь-якою комп’ютерно грамотною людиною. Це стара тактика, яка застосовується вже понад 10 років», — зазначають дослідники Cybernews. Попри це, схема залишається ефективною в 2026 році, оскільки зростання популярності криптовалют привернуло до крипторинку мільйони технічно непідготовлених користувачів, які мають гаманці та кошти, але не завжди здатні розпізнати загрозу.

Що робити у разі зараження

Якщо шкідливий файл уже виконано, систему слід вважати скомпрометованою. Дослідники Cybernews рекомендують такі кроки:

• запустити повне антивірусне сканування для виявлення та видалення шкідливого ПЗ;
• за необхідності перевстановити Windows з нуля;
• не звертатися до криптогаманців із зараженого пристрою.

На іншому пристрої слід згенерувати новий гаманець і негайно перевести туди залишок коштів — старий гаманець вважається скомпрометованим.

Адміністраторам WordPress, чиї сайти можуть бути задіяні в кампанії, рекомендують перевірити бекенд на наявність несанкціонованих публікацій, коментарів або сторінок невідомого походження. У разі їх виявлення — видалити всі несанкціоновані записи та плагіни, оновити WordPress і всі плагіни до актуальних версій, а також змінити паролі адміністратора та бази даних.

Методологія дослідження

Для відстеження кампанії Efimer дослідники Cybernews проаналізували публічно доступні результати пошуку за назвами цьогорічних номінантів, використовуючи автоматизовані інструменти. Після фільтрації шуму — виключення соціальних мереж, відомих торент-трекерів та неактивних скомпрометованих сайтів — було сформовано верифікований список активних шкідливих дзеркал.

Оскільки алгоритм Google показує різні результати різним користувачам, виявлена картина, імовірно, є лише верхівкою айсберга. «Ми не можемо бути впевнені, що Google не проіндексував шкідливі сторінки для завантаження торентів, які не потрапили в поле зору цього дослідження», — зазначають дослідники. Зразки шкідливого ПЗ не піддавалися ручному реверс-інжинірингу — їх перехресно звірили з наявними антивірусними метаданими та відомими базами даних кіберзагроз.

Як захиститися

Ця кампанія націлена лише на користувачів Windows. Експерти радять:

• Бути обережними при переході за незвичними посиланнями
• Використовувати надійне антивірусне ПЗ та фаєрвол
• Регулярно оновлювати захисне програмне забезпечення
• Уникати завантаження фільмів з непевних джерел

Важливо пам’ятати: якщо сайт просить встановити “спеціальний плеєр” для перегляду відео — це майже завжди ознака шахрайства.

Ця стаття Шанувальники кіно стають мішенню шкідливого ПЗ перед Оскаром-2026 раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Зі шкідливим програмним забезпеченням користувачі Інтернету стикаються майже щодня. І хоча про різні типи кіберзагроз чули майже всі, про популярні способи інфікування пристроїв – комп’ютерів, смартфонів та планшетів знають небагато.

Найпоширеніші способи інфікування пристроїв

Фішингові повідомлення

Зазвичай основною ціллю фішингових електронних листів є виманювання такої конфіденційної інформації, як дані для доступу до різних служб, код підтвердження (останні три цифри на звороті платіжної картки), PIN-код тощо. Маскуючись під повідомлення від відомих організацій, такі листи містять вкладення або посилання, натискання на які призведе до інфікування пристрою шкідливим програмним забезпеченням.

Читайте також: Фішингові листи: розпізнаємо шахрайство на реальному прикладі

Тому завжди доцільно не просто проглядати отриману пошту, а й звертати увагу на наявність таких ознак шахрайства, як підозрілі домени, орфографічні помилки, заклик до термінових дій або прохання надати особисту інформацію.

Шахрайські веб-сайти

Популярним способом поширення шкідливих програм є створення кіберзлочинцями підробних веб-сайтів відомих брендів або організацій. Зловмисники реєструють шахрайські веб-сторінки, доменне ім’я яких подібне до домену організації з деякими незначними відмінностями, наприклад, додаванням літери, символу або навіть цілого слова. Ціль таких сайтів – змусити жертв натиснути на посилання, після чого на пристрої завантажиться шкідливе програмне забезпечення.

Читайте також: Як перевірити, чи містить сайт небезпечні програми або фішинг?

Щоб запобігти інфікуванню такими загрозами, завжди шукайте офіційний домен, ввівши його назву в пошуковій системі або вручну в адресний рядок. Крім цього, від подібних загроз захистить надійне антивірусне рішення, яке заблокує доступ до відомих шкідливих веб-сайтів.

USB-накопичувачі

Зовнішні накопичувачі є поширеною формою зберігання та обміну файлами, тому часто використовуються як вектор поширення шкідливих програм. Наприклад, зловмисники можуть використовувати метод «випадково загубленого накопичувача», який розраховує на підключення користувачем знайденої флешки до комп’ютера. При цьому, на такому змінному носії можуть бути програми для зчитування натиснень клавіатури або програми-вимагачі, які після підключення USB-накопичувача інфікують пристрій.

Читайте також: Чим Вам загрожує підключення невідомих USB? Поради із захисту

Щоб мінімізувати цей ризик, слід використовувати надійне та сучасне рішення для захисту, яке скануватиме будь-який зовнішній носій, підключений до пристрою, та попереджатиме про підозрілі об’єкти.

Обмін файлами та торенти

Незважаючи на те, що протягом багатьох років торенти здобули репутацію ресурсів для незаконного завантаження додатків та ігор, їх використовують і розробники для розповсюдження програмного забезпечення з відкритим кодом, і музиканти для поширення своїх пісень. Крім цього, торенти є також інструментом у руках кіберзлочинців, які можуть розміщувати на цих ресурсах файли зі шкідливим кодом.

Читайте також: Чи варто використовувати торенти та наскільки вони законні?

Нещодавно дослідники виявили активність кіберзлочинців, які використовували протокол BitTorrent і мережу Tor для розповсюдження KryptoCibule, програми для викрадення криптовалюти.

Щоб мінімізувати ймовірність інфікування, слід використовувати надійну віртуальну приватну мережу (VPN) для шифрування свого трафіку. Тоді як від поширених загроз, включаючи віруси або інше шкідливе програмне забезпечення, захистить сучасне рішення з безпеки.

Компрометація безпечних програм

Компрометація легітимних програм кіберзлочинцями трапляється нерідко. Під час цих атак зловмисники додають шкідливе програмне забезпечення безпосередньо в безпечний додаток.

Одним з таких прикладів є інцидент з інструментом CCleaner, призначеним для очистки комп’ютера від небажаних файлів. Кіберзлочинці додали у цю безпечну програму шкідливий код для крадіжки даних користувачів. Враховуючи надійність додатку, жертви не підозрювали про загрозу та додатково не перевіряли програму.

Тому слід бути обережним під час завантаження будь-яких програм, навіть тих, яким ви довіряєте. Для додаткового захисту від таких загроз використовуйте надійне антивірусне рішення та регулярно оновлюйте свої програми. Виправлення зазвичай усувають будь-які уразливості, знайдені в додатках.

Читайте також

Шанувальники кіно стають мішенню шкідливого ПЗ перед Оскаром-2026

Якщо ви побачили USB-накопичувач із таким логотипом — не підключайте його до комп’ютера

Що таке атака холодного завантаження і чи можна від неї захиститися?

Чим небезпечні невідомі USB-флешки: захист від вірусів та крадіжки даних

Як очистити HDD, SSD та інші носії інформації?

Рекламне програмне забезпечення

Незважаючи на те, що оголошення є головним джерелом доходу для багатьох ресурсів, іноді така реклама може містити різні типи шкідливого програмного забезпечення. У такому разі натискання на ці оголошення призведе до завантаження загрози на свій пристрій. Деякі рекламні повідомлення навіть використовують тактику залякування, повідомляючи користувачам про інфікування комп’ютера та пропонуючи рішення для його очищення.

Читайте також: Як приховати рекламу алкоголю та азартних ігор на YouTube

Обмежити показ оголошень на відвіданих веб-сайтах можна за допомогою використання інструментів для блокування реклами у браузері.

Фальшиві програми

Ці програми зазвичай намагаються обманом змусити жертву завантажити їх на пристрої. Вони можуть маскуватися під інструменти для контролю фізичної активності, додатки для криптовалют або навіть програми для відстеження поширення COVID-19. Однак замість обіцяних послуг фальшиві програми інфікують пристрої різними видами шкідливого програмного забезпечення, такими як програми-вимагачі, загрози для шпигування або зчитування натиснень клавіатури.

Щоб уникнути завантаження таких загроз, слід обирати додатки тільки від надійних розробників із перевіреним функціоналом та хорошими відгуками. Також своєчасне оновлення програм захистить від шкідливого коду, який використовує уразливості в неактуальних версіях встановлених додатків та операційних систем.

Незважаючи на те, що перелік стратегій, які використовують кіберзлочинці для інфікування пристроїв користувачів, значно довший, для захисту від цих загроз дотримуйтеся рекомендацій з безпеки, основою яких є використання надійних антивірусних рішень та регулярне застосування актуальних виправлень для всіх програм.

Джерело: ESET

Ця стаття Інфікування пристроїв: ТОП – 7 найпоширеніших способів раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин