Joker — родина шкідливого ПЗ для Android, яка з 2017 року маскується під легітимні застосунки у Google Play, викрадає SMS-повідомлення та контакти й непомітно підписує жертв на платні послуги. Попри роки боротьби Google, троян нікуди не зник: у серпні 2025 року дослідники виявили його майже у чверті з 77 шкідливих застосунків, які встигли набрати понад 19 мільйонів завантажень з офіційного магазину.

Звідки взявся Joker і чому Google не може його позбутися

Команда безпеки Android почала відстежувати цю родину, яку в Google називають Bread, ще на початку 2017 року — тоді її застосунки спеціалізувалися виключно на SMS-шахрайстві. За даними Google, лише до початку 2020 року Google Play Protect виявив і видалив 1,7 тисячі унікальних застосунків Bread з магазину ще до того, як їх встиг завантажити хоч один користувач. У найактивніші періоди оператори трояна подавали до Google Play до 23 нових застосунків на день.

Коли Google обмежив використання дозволу на надсилання SMS, автори Joker переорієнтувалися на шахрайство з WAP-білінгом — механізмом, який дозволяє оплачувати послуги з рахунку мобільного оператора без банківської картки. Обидві схеми мають спільну ваду: оператор перевіряє, що запит надходить із пристрою абонента, але не те, що його свідомо ініціювала людина. Саме цю прогалину троян автоматизує за допомогою прихованих кліків та перехоплення кодів підтвердження.

Що троян робить на зараженому пристрої

Потрапивши на пристрій, Joker запитує низку дозволів, які відкривають йому доступ до найчутливіших функцій. Як пояснюють у Check Point, шкідливе ПЗ читає та надсилає текстові повідомлення, перехоплює одноразові паролі з SMS та сповіщень (що дозволяє обходити двофакторну автентифікацію), робить знімки екрана, здійснює дзвінки, викрадає списки контактів і дані про пристрій, а також реєструє власника у преміальних сервісах без його згоди. Жертва зазвичай дізнається про зараження лише з рахунку мобільного оператора.

Живучість Joker пояснюється тактикою його операторів. Вони ховають шкідливий код у багатоступеневих зашифрованих компонентах, які завантажуються вже після встановлення, а іноді публікують спершу повністю «чисту» версію застосунку, щоб накопичити завантаження та позитивні відгуки, і лише згодом додають шкідливу функціональність через оновлення. Через це навіть ретельна перевірка на момент публікації не гарантує, що застосунок залишиться безпечним.

Кампанія 2025 року: 19 мільйонів завантажень

У серпні 2025 року команда Zscaler ThreatLabz повідомила про 77 шкідливих застосунків у Google Play із сукупними 19 мільйонами встановлень. Хоча більшість із них містили рекламні компоненти, найпоширенішою родиною шкідливого ПЗ виявився саме Joker — його знайшли майже у 25% проаналізованих застосунків. Понад половину приманок становили застосунки з категорій «інструменти» та «персоналізація»; до груп підвищеного ризику дослідники також віднесли розваги, фотографію та дизайн.

Тоді ж дослідники зафіксували варіант Joker під назвою Harly. Він поширюється як цілком робочий застосунок — гра, збірка шпалер, ліхтарик чи фоторедактор — але шкідливе навантаження заховане глибше в коді, щоб пройти перевірку під час модерації. Google видалив усі виявлені застосунки після звернення дослідників, проте нові варіанти продовжують зʼявлятися: за пізнішими даними Zscaler, восени 2025 року на родину Joker припадало близько 23% виявлень шкідливого ПЗ у Google Play.

Як розпізнати зараження

Joker працює у фоновому режимі й не має власного інтерфейсу, тому виявити його безпосередньо складно. Насторожити мають несподівані списання з рахунку мобільного оператора, підписки на послуги, яких ви не оформлювали, SMS-повідомлення на незнайомі короткі номери у вихідних, а також застосунки, що запитують доступ до SMS чи сповіщень без очевидної потреби. Якщо ліхтарик або збірка шпалер вимагає стати застосунком для повідомлень за замовчуванням — це практично гарантована ознака шахрайства.

Як захиститися

Перша лінія захисту — увімкнений Google Play Protect, який сканує застосунки до та після встановлення й може автоматично видаляти виявлені загрози. Корисно також періодично запускати ручне сканування пристрою.

Перед встановленням застосунку варто перевірити розробника: у операторів Joker акаунти зазвичай містять лише один продукт, не повʼязані з жодною компанією чи сайтом, а політика конфіденційності зводиться до шаблонної сторінки. Читайте відгуки — під шкідливими застосунками часто спершу зʼявляються однотипні пʼятизіркові оцінки, а згодом реальні користувачі скаржаться на обман. Обмежте кількість встановлених застосунків і надавайте лише ті дозволи, що безпосередньо стосуються заявленої функціональності.

Оскільки Joker перехоплює одноразові коди з SMS, для важливих облікових записів варто перейти на двофакторну автентифікацію через застосунок-автентифікатор або апаратний ключ. І регулярно переглядайте рахунок мобільного оператора: саме там сліди трояна зʼявляються найшвидше. Якщо підозрілий застосунок уже встановлено, видаліть його, перевірте активні підписки в особистому кабінеті оператора, змініть паролі до ключових акаунтів і за потреби попередьте банк.

Ця стаття Joker: як працює один із найживучіших Android-троянів і як від нього захиститися раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Шкідливе ПЗ — це будь-яка програма, створена, щоб проникнути на пристрій без вашого відома й завдати шкоди: викрасти дані, зашифрувати файли заради викупу, стежити за вами або перетворити компʼютер на ланку чужої мережі. За цією загальною назвою ховаються десятки різних типів — від класичних вірусів до державної кіберзброї. Розбираємо, як вони працюють, чим відрізняються і що справді захищає.

Що таке шкідливе ПЗ

Шкідливе ПЗ (англ. malware, від malicious software — зловмисне програмне забезпечення) — це код, розроблений для кібератак: щоб отримати несанкціонований доступ до компʼютера чи мережі або завдати їм шкоди. У побуті шкідливе ПЗ часто називають «компʼютерним вірусом», але вірус — лише один із багатьох його типів, і між ними є суттєві відмінності.

Коротка історія: від нешкідливих експериментів до кіберзброї

Першими програмами, які вміли самостійно переходити з компʼютера на компʼютер, були експерименти, а не зброя. Creeper на початку 1970-х просто переміщувався між машинами, не завдаючи шкоди. Червʼяк Морріса 2 листопада 1988 року за добу вразив близько 6 000 із приблизно 60 000 підʼєднаних до інтернету компʼютерів — це була перша масштабна мережева зараза, хоча шкоду вона заподіяла радше випадково, через помилку в коді.

Самі терміни тоді ще тільки усталювалися: компʼютерні віруси формально визначив і продемонстрував дослідник Фред Коен у 1983–1984 роках. Справжнє шкідливе ПЗ — створене навмисне заради шкоди чи наживи — масово зʼявилося пізніше, у 1990-х, коли інтернет став комерційним і виникла спокуса ним зловживати. Детальніше про те, як виникло шкідливе ПЗ, читайте в окремому матеріалі.

Основні типи шкідливого ПЗ

Як і легальні програми, шкідливе ПЗ еволюціонувало й обросло різними функціями. Зловмисники нерідко поєднують можливості кількох типів в одній атаці. Нижче — найпоширеніші категорії.

Віруси та червʼяки

Вірус — це код, який копіює сам себе, вбудовуючись у файли чи програми, і зазвичай потребує «хазяїна», щоб поширюватися; багато вірусів попутно псують або знищують дані. Червʼяк натомість поширюється самостійно, від системи до системи, без жодних дій користувача — найчастіше експлуатуючи вразливості в операційних системах чи програмах. Саме здатність до самопоширення робить червʼяки однією з найживучіших форм загроз.

Трояни

Троян маскується під легітимний інструмент — оновлення, корисний застосунок, завантаження — і починає діяти вже всередині системи. Залежно від можливостей, він здатен перехоплювати логіни й паролі, натискання клавіш, знімки екрана, банківські реквізити та потай надсилати все це зловмисникам, а іноді й вимикати захист. Через цю універсальність трояни використовують усі — від поодиноких хакерів до державних шпигунських операцій.

Програми-вимагачі (ransomware)

Вимагач шифрує файли на зараженій системі й блокує доступ, доки жертва не заплатить викуп у криптовалюті. Найчастіше потрапляє на пристрій через фішинговий лист із вкладенням чи посиланням. Глобальний масштаб уперше яскраво показав WannaCry у травні 2017 року: завдяки можливостям червʼяка та експлойту EternalBlue він за лічені дні вразив понад 200 000 компʼютерів у близько 150 країнах.

Сьогодні це передусім бізнес кіберзлочинців. За оцінкою Chainalysis, протягом 2024 року жертви сплатили вимагачам близько 813,55 млн доларів — на 35% менше, ніж рекордні 1,25 млрд у 2023-му. Тенденція обнадійлива: дедалі більше організацій відмовляються платити, а правоохоронці активніше ліквідовують угруповання.

Шпигунське ПЗ (spyware)

Шпигунське ПЗ непомітно стежить за діями на пристрої: історією переглядів, запущеними застосунками, повідомленнями. Воно може прийти у складі трояна, разом із сумнівним розширенням для браузера або через шкідливу рекламу. Найвідоміший приклад комерційного шпигунського ПЗ — Pegasus від компанії NSO Group: він використовував «zero-click»-вразливість у iMessage (не потребуючи жодного натискання від жертви) і застосовувався проти журналістів, активістів і високопосадовців. Apple закрила цю діру в iOS 14.8.

Wiper — шкідливе ПЗ для знищення даних

На відміну від вимагачів, wiper не прагне грошей — його єдина мета знищити дані або зробити систему непрацездатною. Однією з перших таких програм був Shamoon, що атакував саудівські енергетичні компанії. Для українського читача ця категорія особливо актуальна: 23 лютого 2022 року, за кілька годин до повномасштабного вторгнення, по українських організаціях ударив HermeticWiper, уразивши сотні машин щонайменше у пʼяти структурах.

Це була частина ширшої хвилі: ще в січні 2022-го по Україні пройшовся WhisperGate, а в березні — CaddyWiper, що поцілив у банк. Деякі з них маскувалися під вимагачів, повторюючи прийом сумнозвісного NotPetya 2017 року. Докладніше про цей вимір протистояння — у нашому матеріалі про кібервійну.

Рекламне ПЗ (adware)

Мета рекламного ПЗ — змусити вас клікати: кожне натискання приносить зловмисникові дохід. Зазвичай воно не краде дані й не ламає пристрій, а просто дратує спливаючими вікнами. Та на смартфонах наплив реклами легко доводить до екстремального розряду батареї або робить пристрій майже непридатним.

Ботнети

Ботнет — це мережа з десятків, тисяч чи навіть мільйонів заражених пристроїв під єдиним керуванням. Зловмисник віддає команди всім «зомбі» одночасно: розсилає спам, краде дані або проводить DDoS-атаки, затоплюючи жертву трафіком. Класичний приклад — ботнет Mirai у жовтні 2016 року, зібраний переважно з IoT-пристроїв (камер, маршрутизаторів, відеореєстраторів) із заводськими паролями. Він обвалив DNS-провайдера Dyn, тимчасово залишивши без доступу Twitter, Netflix, Amazon і десятки інших сервісів.

Криптоджекінг

У майнінгу криптовалют немає нічого незаконного — на відміну від таємного захоплення чужих пристроїв заради нього. Криптоджекінг непомітно вантажить процесор жертви обчисленнями, через що система може сповільнюватися майже до зупинки «без видимої причини». Поряд із ПК і серверами популярною мішенню є слабко захищені IoT-пристрої.

Безфайлове шкідливе ПЗ (fileless)

Що краще антивіруси виявляють традиційні атаки, то частіше зловмисники переходять до безфайлового ПЗ. Воно не лишає файлу на диску, а працює прямо в памʼяті, зловживаючи легітимними системними інструментами та запускаючи сценарії «з нуля». Через це його важко помітити антивірусом — але воно втрачає силу, якщо системи вчасно оновлюють, а користувачам обмежують права адміністратора.

Як шкідливе ПЗ потрапляє на пристрої

Колись віруси доставляли фізично — на дискетах і дисках. Цей вектор не зник: і досі трапляються атаки, коли заражені USB-накопичувачі «випадково» лишають на парковці біля потрібної організації, сподіваючись на цікавість співробітника. Але сьогодні головний канал — фішинг: лист зі шкідливим вкладенням або посиланням.

Працює це на емоціях. Повідомлення лякає чи спокушає — нібито ви виграли приз, пропустили доставку, маєте терміново перевірити банківський рахунок, сплатити податок чи зʼявитися до суду — і людина клікає, не подумавши. Частина атак узагалі не потребує дій користувача: шкідливе ПЗ проникає через вразливості в мережі та програмах.

Загрози для різних платформ

Колись побутував міф, що жертвами стають лише компʼютери на Windows, а Mac «недоторканні». Це не так: уже від середини 2000-х зловмисники створюють ПЗ спеціально під продукти Apple, і трояни для macOS — буденна знахідка дослідників.

Смартфони ж стали окремою цінною мішенню: вони містять величезний обсяг особистих даних і можуть видати ваше місцеперебування. Більшість мобільних загроз припадає на Android — через велику частку ринку, відкритість екосистеми та можливість установлювати застосунки зі сторонніх джерел; шкідливі застосунки часто маскуються під легітимні. Екосистема iPhone захищена краще завдяки закритому підходу Apple, тож зараження там рідкісні, але цілеспрямовані атаки на конкретних осіб (як той-таки Pegasus) усе ж трапляються.

Окрема історія — інтернет речей (IoT). Маршрутизатори, розумні лампи, відеореєстратори й камери спостереження часто мають слабкий захист, тож їх легко заразити й завербувати в ботнет. А підключену камеру зловмисник може перетворити на інструмент стеження — особливо якщо її «встановили й забули».

Шкідливе ПЗ як зброя міжнародної кібервійни

З огляду на свої можливості, шкідливе ПЗ стало звичним інструментом шпигунства та кібервійни — тим паче що, на відміну від звичайної зброї, тут досі немає чітких міжнародних правил, на кого можна, а на кого не можна спрямовувати атаку.

Stuxnet у 2010 році вважають першою кіберзброєю, що фізично зруйнувала промислову інфраструктуру: проникнувши в ядерну програму Ірану, він вивів з ладу близько 1 000 центрифуг на заводі в Натанзі й відкинув іранські плани на роки. Атаку широко приписують спецслужбам США та Ізраїлю.

Інший знаковий випадок — атака на ланцюг постачання SolarWinds у 2020 році. Зловмисники вбудували шкідливий код у легітимне оновлення програми Orion, яке завантажили близько 18 000 клієнтів компанії; щоправда, цілеспрямовано атакували лише невелику їх частину. Американська розвідка з високою впевненістю приписала операцію російській зовнішній розвідці (угруповання APT29, відоме також як Cozy Bear). Президент Microsoft Бред Сміт назвав інцидент однією з найбільших атак, які бачив світ.

Як захиститися від шкідливого ПЗ

Базова кібергігієна закриває більшість ризиків. Ось що справді працює:

• Своєчасно оновлюйте все. Установлюйте патчі та оновлення ОС одразу після виходу. WannaCry був би безсилим проти систем, на які вчасно поставили доступне оновлення безпеки.
• Робіть резервні копії. Регулярний бекап важливих даних (бажано офлайн) знецінює атаку вимагача: вам просто не буде за що платити.
• Увімкніть багатофакторну автентифікацію. Навіть якщо пароль украдуть, додатковий фактор стане барʼєром. Використовуйте довгі унікальні паролі для кожного сервісу.
• Користуйтеся надійним захисним ПЗ. Антивірусне рішення від перевіреного розробника, яке щодня оновлює бази загроз, перехопить більшість відомих атак.
• Будьте насторожі з фішингом. Не відкривайте несподівані вкладення й не переходьте за підозрілими посиланнями, навіть якщо лист тисне на емоції чи терміновість.
• Обмежуйте права. Не працюйте щодня з-під адміністратора — це звужує можливості шкідливого коду, який таки прорвався.
• Змінюйте заводські паролі на IoT-пристроях. Саме типові логіни й паролі камер і маршрутизаторів живлять ботнети на кшталт Mirai.

І нарешті — навчання. Людина часто стає найслабшою ланкою, але обізнаний користувач, який розпізнає фішинг і думає, перш ніж клікнути, перетворюється на першу лінію оборони. Якщо хочете перевірити стійкість власної інфраструктури на практиці, почитайте, що таке тест на проникнення.

Ця стаття Що таке шкідливе ПЗ: види загроз, як вони працюють і як захиститися раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Команда реагування на комп’ютерні надзвичайні ситуації України (CERT-UA) розкрила деталі нової фішингової кампанії, під час якої зловмисники видавали себе за саме агентство, щоб розповсюдити троян віддаленого доступу AGEWHEEZE. Атаки були приписані угрупованню, яке відстежується під назвою UAC-0255.

Як відбувалася атака

26 і 27 березня 2026 року зловмисники надсилали електронні листи від імені CERT-UA, в яких пропонували встановити «спеціалізоване програмне забезпечення» для захисту. До листів додавалось посилання на захищений паролем ZIP-архів, розміщений на платформі Files.fm. Частина листів надходила з адреси incidents@cert-ua[.]tech.

Серед цілей кампанії — державні установи, медичні центри, компанії у сфері безпеки, навчальні заклади, фінансові організації та компанії з розробки програмного забезпечення.

ZIP-файл з назвою CERT_UA_protection_tool.zip завантажував шкідливе ПЗ, замасковане під захисний інструмент агентства. Цим ПЗ виявився троян віддаленого доступу AGEWHEEZE.

Можливості трояна AGEWHEEZE

AGEWHEEZE написаний мовою програмування Go і зв’язується із зовнішнім сервером (54.36.237[.]92) через протокол WebSockets. Троян підтримує широкий набір функцій: виконання команд, операції з файлами, зміну вмісту буфера обміну, емуляцію дій миші та клавіатури, створення знімків екрана, а також керування процесами та службами.

Для закріплення в системі шкідливе ПЗ використовує кілька методів: створення запланованого завдання, зміну реєстру Windows або додавання себе до папки автозавантаження.

Результати кампанії та її виконавці

За оцінкою CERT-UA, атака виявилася значною мірою невдалою. «Не більше кількох заражених особистих пристроїв, які належать співробітникам навчальних закладів різних форм власності», — зазначило агентство. Фахівці надали необхідну методологічну та практичну допомогу постраждалим.

Аналіз підробленого сайту cert-ua[.]tech показав, що він, імовірно, згенерований за допомогою інструментів штучного інтелекту. В HTML-коді сторінки також виявлено коментар: «С Любовью, КИБЕР СЕРП».

У своєму Telegram-каналі, створеному в листопаді 2025 року та з понад 700 підписниками, угруповання Cyber Serp позиціонує себе як «кіберпідпільні оперативники з України». Зловмисники стверджують, що фішингові листи були надіслані на 1 мільйон поштових скриньок ukr.net, а понад 200 000 пристроїв нібито було скомпрометовано. «Ми не бандити — пересічний українець ніколи не постраждає від наших дій», — йдеться в одній з публікацій.

Зв’язок із зломом компанії Cipher

Раніше Cyber Serp взяло на себе відповідальність за злом української компанії з кібербезпеки Cipher, заявивши про отримання повного дампу серверів, включно з клієнтською базою даних і вихідним кодом лінійки продуктів CIPS.

У своїй заяві Cipher підтвердила, що зловмисники скомпрометували облікові дані співробітника однієї з її технологічних компаній, однак зазначила, що інфраструктура працює в штатному режимі. Заражений обліковий запис мав доступ лише до одного проєкту, який не містив чутливих даних.

Як розпізнати підробку

• Офіційний домен CERT-UA — cert.gov.ua. Будь-які листи з інших адрес, що містять слова «cert-ua», але з іншими доменами — потенційно підроблені.
• Посилання на сторонні файлообмінники (Files.fm та подібні) у листах від держустанов мають викликати підозру.
• Пропозиції встановити «спеціалізоване ПЗ» через архів із паролем — характерна ознака фішингу.
• У разі сумнівів щодо справжності листа від CERT-UA варто звернутися до агентства через офіційні канали зв’язку.

Ця стаття Хакери видавали себе за CERT-UA, щоб розповсюджувати троян AGEWHEEZE раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Трояни залишаються найпоширенішою категорією шкідливого програмного забезпечення вже кілька десятиліть поспіль. На відміну від класичних вірусів, вони не розповсюджуються самостійно, а ховаються під виглядом корисних програм — і саме в цьому полягає їхня головна небезпека. Сучасні трояни здатні красти банківські дані, встановлювати бекдори, шифрувати файли та перетворювати пристрій жертви на частину ботнету — часто непомітно для самого власника.

Звідки назва і як це працює

Термін «троян» походить від давньогрецького міфу про дерев’яного коня, якого воїни заховалися всередині та потрапили до Трої. Принцип роботи шкідливого ПЗ такий самий: програма виглядає як щось корисне — безплатна утиліта, зламана версія популярного застосунку, оновлення системи або навіть антивірус. Після встановлення вона виконує приховані шкідливі функції паралельно з тим, що демонструє користувачу.

Ключова відмінність троянів від вірусів полягає в тому, що для їхнього поширення необхідна участь людини: жертва сама завантажує та запускає заражений файл. Саме тому соціальна інженерія — маніпулювання довірою користувача — є основним інструментом розповсюдження троянів.

Перші трояни та еволюція загрози

Одним із перших задокументованих троянів в історії була програма AIDS Trojan 1989 року — один із перших відомих прикладів шкідливого ПЗ-вимагача. Тоді зловмисник розповсюдив через поштову розсилку близько 20 000 дискет з нібито інтерактивною базою даних про ВІЛ/СНІД. Після 90 завантажень програма шифрувала імена файлів і вимагала надіслати від $189 до $378 на поштову скриньку в Панамі.

З того часу трояни еволюціонували разом з технологіями. Якщо на початку 2000-х вони переважно збирали паролі через прості кейлогери, то сьогодні мова йде про складні багатокомпонентні інструменти, здатні обходити антивіруси, шифрувати трафік і самостійно оновлюватися.

Основні типи троянів у 2025–2026 роках

Банківські трояни залишаються одними з найнебезпечніших. Вони перехоплюють облікові дані для інтернет-банкінгу, підміняють реквізити платежів або здійснюють несанкціоновані транзакції. Серед найактивніших зразків останніх років — сімейства TrickBot, Emotet (неодноразово ліквідований, але знову відновлений) та SpyNote для Android.

Трояни-завантажувачі (Downloader/Dropper) самостійно майже не шкодять, але після потрапляння на пристрій завантажують додаткові шкідливі компоненти — шифрувальники, стілери або засоби віддаленого управління. Саме цей тип часто використовується як перший етап цільових атак.

RAT (Remote Access Trojan) — трояни для віддаленого доступу — надають зловмисникам повний контроль над пристроєм: перегляд екрана, увімкнення веб-камери та мікрофона, доступ до файлів, виконання команд. Популярні інструменти цього класу — AsyncRAT, Remcos, njRAT — активно використовуються як у кіберзлочинності, так і в цілеспрямованому шпигунстві.

Трояни-стілери (Infostealer) націлені на крадіжку конкретних даних: збережених паролів із браузерів, файлів cookies, даних криптогаманців, скріншотів та документів. RedLine Stealer, Vidar, Lumma — лише деякі з активних родин цього класу. Вкрадені дані продаються на хакерських форумах або використовуються безпосередньо.

Трояни-шифрувальники (Ransomware-Trojan) після проникнення шифрують файли на пристрої або в мережі та вимагають викуп. Технічно вони часто розповсюджуються через дропери або як самостійний файл, замаскований під документ чи оновлення.

Мобільні трояни сьогодні становлять окрему потужну категорію загроз. Android-пристрої атакують трояни, що імітують легітимні застосунки: банківські додатки, месенджери, ігри, утиліти. Типовий приклад — SMS-трояни, які підписують жертву на платні послуги, або FluBot, що поширювався через SMS і перехоплював банківські дані. iOS вважається більш захищеною платформою, однак джейлбрейкнуті пристрої або корпоративні профілі можуть стати вхідними точками й туди.

Трояни-бекдори створюють приховані канали доступу до системи, якими зловмисники можуть скористатися в будь-який момент — навіть через місяці після первинного зараження. Саме вони часто є частиною тривалих кібершпигунських кампаній.

Як трояни потрапляють на пристрої

Найпоширеніші шляхи зараження сьогодні такі. Фішингові листи із вкладеними документами або посиланнями на заражені сайти — класика, що не здає позицій. Завантаження зламаного програмного забезпечення, ігор і медіаконтенту з неофіційних джерел — один із найчастіших сценаріїв для домашніх користувачів. Підроблені оновлення браузерів, Flash Player або системних компонентів і досі залишаються ефективними пастками. Шкідлива реклама (malvertising) на легітимних сайтах може непомітно перенаправити на сторінку із завантажувачем. Вразливості в програмному забезпеченні дозволяють троянам встановлюватися без будь-якої дії з боку користувача — так звані drive-by attacks.

Практичні кроки для захисту

Своєчасне оновлення програмного забезпечення закриває переважну більшість вразливостей, якими користуються зловмисники. Оновлення стосується не лише операційної системи, а й браузерів, офісних пакетів, PDF-рідерів та будь-якого іншого встановленого ПЗ.

Завантаження програм виключно з офіційних джерел — магазинів App Store, Google Play або сайтів розробників — значно знижує ризик встановлення зараженого файлу. Зламані версії платних програм майже завжди містять шкідливе ПЗ.

Використання надійного антивірусного рішення з функціями поведінкового аналізу дозволяє виявляти нові загрози, навіть якщо ті ще не потрапили до баз сигнатур. Сучасні засоби захисту також використовують технологію пісочниці — ізольоване середовище для запуску підозрілих файлів.

Двофакторна автентифікація на всіх важливих акаунтах значно ускладнює використання вкрадених облікових даних, навіть якщо троян-стілер і скомпрометував паролі.

Резервне копіювання важливих даних на зовнішній носій або хмарне сховище, відключене від основної системи, залишається єдиною надійною страховкою від троянів-шифрувальників.

Обережність у роботі з електронною поштою — перевірка відправника, небажання відкривати вкладення від невідомих осіб та скептицизм щодо будь-яких «термінових» повідомлень — зберігає актуальність незалежно від технологій.

Обмеження привілеїв: використання облікового запису без прав адміністратора для повсякденної роботи зменшує шкоду, яку може заподіяти троян у разі зараження.

Якщо зараження вже сталося

Перші ознаки присутності трояна — незвичне навантаження на процесор або мережу, поява невідомих процесів, сповільнення роботи, несподівані зміни в браузері, заблоковані файли або підозрілі мережеві з’єднання. За наявності цих симптомів пристрій слід якомога швидше відключити від мережі, виконати повну перевірку антивірусом у безпечному режимі та за необхідності — відновити систему з резервної копії.

Сплата викупу в разі атаки шифрувальника не гарантує повернення даних і фінансує подальшу злочинну діяльність. Рекомендується звертатися до спеціалістів з кіберзахисту та перевіряти наявність безплатних дешифраторів на ресурсі No More Ransom (nomoreransom.org).

Підсумок

Трояни — це не реліктова загроза з 1990-х, а повноцінний і постійно вдосконалюваний інструмент кіберзлочинців. Їхній успіх ґрунтується не лише на технічних вразливостях, а й на людських факторах — довірливості, поспіху, бажанні отримати безплатне. Розуміння принципів роботи та шляхів поширення троянів у поєднанні з базовою цифровою гігієною дозволяє суттєво знизити ризики й захистити як особисті дані, так і корпоративну інфраструктуру.

Ця стаття Трояни: що це таке, якими бувають та як від них захиститися раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Trojan.Injector — один із найпоширеніших типів шкідливого програмного забезпечення, який використовують кіберзлочинці для впровадження додаткових загроз у систему користувача. Розуміння принципів роботи цього трояна та методів захисту критично важливе для забезпечення цифрової безпеки.

Природа загрози: як працює Trojan.Injector

Trojan.Injector належить до категорії троянських програм-завантажувачів, основне призначення яких — доставка та встановлення іншого шкідливого ПЗ на заражений комп’ютер. На відміну від вірусів, які самостійно поширюються, троянські програми маскуються під легітимне програмне забезпечення, обманюючи користувачів і змушуючи їх самостійно запустити шкідливий код.

Трояни-інжектори можуть:

• Завантажувати додаткове шкідливе ПЗ з інтернету
• Красти конфіденційну інформацію користувачів
• Надавати зловмисникам віддалений доступ до системи
• Модифікувати поведінку легітимних програм
• Обходити механізми захисту Windows

Після потрапляння в систему Trojan.Injector використовує технологію ін’єкції коду — впровадження шкідливих інструкцій у легітимні системні процеси. Це дозволяє зловмисному ПЗ приховати свою присутність від антивірусного програмного забезпечення та ускладнити його виявлення.

Методи поширення та механізми зараження

Кіберзлочинці використовують декілька перевірених методів розповсюдження Trojan.Injector. Найпоширенішим залишається фішинг — шахрайські електронні листи, що містять заражені вкладення або посилання на шкідливі веб-сайти. Користувачі отримують повідомлення, які видають себе за листи від банків, служб доставки або державних установ.

Інший популярний вектор атаки — завантаження піратського програмного забезпечення. Зломані версії популярних додатків, ігор або утиліт часто містять прихований шкідливий код. Експлойт-кіти на скомпрометованих веб-сайтах також становлять серйозну загрозу, використовуючи вразливості в браузерах та плагінах для автоматичного встановлення трояна.

Потенційні наслідки зараження системи

Trojan.Injector рідко діє самостійно — його основна мета полягає у встановленні додаткового шкідливого ПЗ. Серед найнебезпечніших наслідків зараження — встановлення програм-вимагачів (ransomware), які шифрують файли користувача та вимагають викуп за їх розблокування.

Троян може завантажити банківські трояни, призначені для крадіжки фінансових даних, облікових записів онлайн-банкінгу та платіжної інформації. Нерідко Trojan.Injector використовується для розгортання шпигунського ПЗ (spyware), що відстежує дії користувача, збирає паролі та конфіденційну інформацію.

У деяких випадках заражені комп’ютери стають частиною ботнету — мережі пристроїв, які зловмисники використовують для DDoS-атак або розсилки спаму без відома власників.

Ознаки присутності трояна в системі

Незважаючи на можливості Trojan.Injector до маскування, існують певні симптоми, які можуть вказувати на зараження. Різке зниження продуктивності комп’ютера, особливо якщо воно відбулося раптово без очевидних причин, може свідчити про роботу шкідливих процесів у фоновому режимі.

Підозру повинні викликати незрозумілі з’єднання з інтернетом, особливо коли комп’ютер нібито не використовується. Несподівана поява нових програм або розширень браузера, які користувач не встановлював, також є тривожним сигналом.

Антивірусне програмне забезпечення може почати видавати попередження або взагалі перестати оновлюватися — це типова поведінка шкідливого ПЗ, яке намагається вимкнути захисні механізми системи.

Комплексний підхід до захисту від загрози

Ефективний захист від Trojan.Injector вимагає багаторівневого підходу до кібербезпеки. Встановлення надійного антивірусного рішення від перевірених розробників — перша лінія оборони. Програмне забезпечення повинно включати захист у реальному часі, регулярні оновлення вірусних баз та функції поведінкового аналізу для виявлення нових загроз.

Регулярне оновлення операційної системи та всього встановленого програмного забезпечення критично важливе, оскільки більшість експлойтів використовують відомі вразливості в застарілих версіях програм. Увімкнення автоматичних оновлень допоможе закрити потенційні лазівки для зловмисників.

Використання брандмауера (firewall) додає додатковий рівень захисту, контролюючи вхідний та вихідний мережевий трафік. Сучасні операційні системи мають вбудовані брандмауери, які слід обов’язково активувати.

Практичні рекомендації щодо безпечної поведінки

Ви можете значно знизити ризик зараження, дотримуючись базових правил цифрової гігієни. Критичний підхід до електронної пошти — не відкривати вкладення від невідомих відправників, не переходити за підозрілими посиланнями навіть у листах від нібито знайомих організацій.

Завантаження програмного забезпечення виключно з офіційних джерел мінімізує ризик потрапляння шкідливого коду в систему. Піратські версії програм часто містять приховані загрози, тому їх використання неприйнятне з точки зору безпеки.

Регулярне створення резервних копій важливих даних на зовнішніх носіях або в хмарних сховищах забезпечує можливість відновлення інформації у разі зараження програмами-вимагачами.

Рекомендації при виявленні трояна

Якщо антивірус виявив Trojan.Injector або користувач помітив підозрілу активність, необхідно діяти швидко та рішуче. Перший крок — відключення комп’ютера від інтернету для запобігання подальшій комунікації зловмисного ПЗ з командними серверами та розповсюдження загрози іншим пристроям у мережі.

Якщо антивірусне рішення виявило Trojan.Injector або інше шкідливе ПЗ на вашому комп’ютері, рекомендується:

1. Відключити комп’ютер від інтернету — для запобігання подальшій комунікації зловмисного ПЗ з командними серверами та розповсюдження загрози іншим пристроям у мережі.
2. Не ігнорувати попередження антивіруса — дозвольте програмі видалити або поміститити загрозу в карантин.
3. Виконати повне сканування системи після початкового виявлення.
4. Змінити паролі до важливих облікових записів, особливо якщо троян міг бути активним тривалий час.
5. Звернутися до спеціалізованих форумів для отримання кваліфікованої допомоги.
6. Розглянути можливість використання додаткових інструментів сканування для перевірки системи.

Виявлення трояна-інжектора — це серйозний сигнал про компрометацію безпеки системи, тому важливо не обмежуватися лише видаленням виявленої загрози, а провести комплексну перевірку комп’ютера.

Використання FRST для діагностики

Farbar Recovery Scan Tool (FRST) — це спеціалізований інструмент діагностики, який використовується фахівцями з кібербезпеки та досвідченими користувачами для виявлення проблем у системі. Програма створює детальний звіт про запущені процеси, встановлене програмне забезпечення, записи реєстру та інші критичні компоненти Windows.

Запуск FRST після виявлення трояна є правильним кроком, оскільки це дозволяє:

• Виявити залишкові компоненти шкідливого ПЗ
• Проаналізувати підозрілі процеси та служби
• Ідентифікувати несанкціоновані зміни в системі
• Отримати дані для консультації з експертами на форумах

Перспективи розвитку загрози та захисту

Trojan.Injector продовжує еволюціонувати, використовуючи все складніші методи обходу систем захисту. Сучасні варіанти цього трояна застосовують техніки машинного навчання для аналізу оточення та прийняття рішень про активацію шкідливого коду.

Розробники антивірусного програмного забезпечення відповідають впровадженням технологій штучного інтелекту для виявлення аномальної поведінки та проактивного блокування загроз. Важливість комплексного підходу до кібербезпеки зростає, оскільки жоден окремий інструмент не може гарантувати стовідсотковий захист.

Усвідомлення користувачами потенційних загроз та дотримання правил цифрової безпеки залишається найефективнішим методом протидії Trojan.Injector та іншим видам шкідливого програмного забезпечення. Регулярне навчання та оновлення знань про актуальні кіберзагрози допомагає підтримувати високий рівень захисту особистих даних та систем.

Ця стаття Що таке Trojan.Injector і як захиститися від цієї загрози раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

За даними AV-TEST Institute, станом на початок 2025 року загальна кількість відомих зразків шкідливого програмного забезпечення перевищила 1,56 мільярда — і щодня фіксується ще близько 450–560 тисяч нових загроз. Розробка шкідливого ПЗ перетворилася на прибутковий кримінальний бізнес: у 2024 році середня сума викупу за ransomware-атаку досягла 2 мільйонів доларів, а збитки від кіберзлочинності у світі перевищили 10 трильйонів доларів на рік. Розуміти типи загроз і знати базові правила цифрової гігієни — перший і найважливіший крок до захисту.

Класифікація шкідливого програмного забезпечення

Традиційні (файлові) віруси

Найстаріший і найпростіший різновид шкідливого ПЗ — програми, що заражають виконувані файли або видаляють дані з комп’ютера. Прямої фінансової вигоди своїм авторам не приносять, якщо не розроблялися як кіберзброя. Переважна більшість сучасних антивірусів виявляє та нейтралізує файлові віруси автоматично.

Троянські програми (трояни)

Шкідливе ПЗ, що маскується під корисні або безпечні програми — ігри, утиліти, плагіни, оновлення. Функціонал варіюється від прихованого стеження за системою до знищення файлів за командою з віддаленого сервера. Окремий підвид — банківські трояни, що перехоплюють облікові дані для доступу до фінансових рахунків. В Україні найбільш активними традиційно є трояни сімейства Trojan.Agent.Win32, націлені на паролі та дані платіжних карток.

Програми-вимагачі (ransomware)

Найнебезпечніша і найприбутковіша категорія сучасних загроз. Шифрує файли на комп’ютері жертви та вимагає викуп за ключ розшифрування. У 2024 році 59% організацій у світі зазнали ransomware-атаки, а середня вартість відновлення після неї склала 2,73 мільйона доларів. В Україні добре відомий вірус-шифрувальник Petya (NotPetya), який у червні 2017 року паралізував роботу сотень підприємств. Сучасні вимагачі, зокрема STOP/Djvu, активно поширюються через «зламані» ігри та піратське ПЗ на торент-трекерах. Єдиний надійний захист від повної втрати даних — регулярне резервне копіювання на ізольований носій.

Мережеві черв’яки

Шкідливе ПЗ, що самостійно поширюється мережею, не потребуючи участі користувача. Використовується для розсилання спаму, формування ботнетів (мереж із заражених комп’ютерів, керованих зловмисниками) та проведення DDoS-атак. Можуть проникати в систему через вразливості операційної системи або застарілого програмного забезпечення. Приклад: ботнет Kimwolf, що у 2025 році атакував пристрої на Android, зокрема смарт-телевізори.

Сніфери та руткіти

Сніфери фіксують усі дії на комп’ютері — введення паролів, листування, відвідані сайти — і передають зібрані дані зловмисникам. Руткіти надають зловмисникам повний прихований доступ до системи: вони не лише стежать, а й дозволяють дистанційно керувати комп’ютером. Обидва типи відносяться до категорії шпигунського ПЗ (spyware) і є складними програмами, що зазвичай потрапляють у систему через фішингові посилання в електронних листах та месенджерах.

Безфайлове шкідливе ПЗ (fileless malware)

Відносно новий і надзвичайно небезпечний тип загроз, що не залишає файлів на диску — шкідливий код виконується безпосередньо в оперативній пам’яті, використовуючи легітимні системні інструменти (наприклад, PowerShell у Windows). Через відсутність фізичних файлів традиційні антивіруси часто не виявляють таке ПЗ. Захист потребує сучасних рішень з поведінковим аналізом.

Крипто-майнери

Програми або скрипти, що використовують обчислювальні ресурси комп’ютера для видобутку криптовалюти без відома користувача. Бувають двох видів: ті, що заражають систему (діючи як черв’яки), і браузерні, що активуються лише під час перегляду певних сайтів. Не завжди руйнівні, але суттєво уповільнюють роботу системи та скорочують ресурс обладнання через постійне перевантаження. На ноутбуках зі слабким охолодженням можуть призводити до перегрівання та виходу з ладу.

Макровіруси

Шкідливий код, вбудований у документи Microsoft Office (Word, Excel) у вигляді макросів. Активується при відкритті документа з «сюрпризом» і заражає всі подальші документи, що відкриваються в цій програмі. Поширюється переважно через вкладення в електронній пошті та корпоративні файлообмінники. Захист: вимкнути автозапуск макросів у параметрах Office.

Бекдори

Приховані «входи» в операційну систему або програму, що дозволяють стороннім особам отримати доступ до комп’ютера в обхід стандартних механізмів захисту. На відміну від руткіта, бекдор може бути закладений ще на етапі розробки програмного забезпечення. Особливу небезпеку становлять бекдори в ПЗ від виробників із зв’язками з ворожими державними структурами.

Псевдоантивіруси та scareware

Програми, що видають себе за антивіруси або системні утиліти, але насправді засмічують комп’ютер рекламою, вимагають гроші за «лікування» або приховують справжнє шкідливе ПЗ. Часто поширюються через спливаючі банери на сайтах з піратським контентом та неліцензійним ПЗ. Практичне правило: легітимний антивірус не вимагає оплати безпосередньо у спливаючому вікні.

Мобільне шкідливе ПЗ

Загрози для смартфонів і планшетів зростають стрімко. У 2024 році зафіксовано 45-відсоткове збільшення кількості пристроїв, що підключаються до небезпечних мереж. Найпоширеніші типи мобільних загроз — банківські трояни та рекламне ПЗ (adware). Шкідливі застосунки проникають на пристрої переважно через неофіційні магазини APK-файлів, а також через підроблені версії популярних застосунків.

Як захистити себе: практичні поради

Встановіть надійний антивірус. Сучасні версії Windows 10/11 мають вбудований Microsoft Defender — повноцінний антивірусний захист, який у тестах AV-Comparatives та AV-TEST стабільно показує рівень виявлення загроз понад 99%. Для додаткового захисту варто розглянути Bitdefender, ESET, Malwarebytes або інші продукти з топ-рейтингів AV-TEST та AV-Comparatives. Kaspersky та інші продукти виробників із задокументованими зв’язками з російськими спецслужбами використовувати категорично не рекомендується — відповідне попередження діє як в Україні, так і в більшості країн ЄС та США, де у 2024 році продаж Kaspersky офіційно заборонено.

Регулярно оновлюйте систему та програми. Більшість успішних атак — зокрема сумнозвісний NotPetya — стали можливими через вразливості в застарілому ПЗ. Увімкніть автоматичне оновлення Windows та інших програм. Одразу встановлюйте оновлення безпеки.

Робіть резервні копії за правилом 3-2-1. Зберігайте три копії важливих даних на двох різних носіях, одна з яких знаходиться офлайн або в іншому місці. Хмарні сервіси (Google Drive, Microsoft OneDrive) зручні, але не замінюють автономного резервного носія — у разі ransomware-атаки синхронізовані хмарні файли також можуть бути зашифровані.

Перевіряйте посилання та вкладення в листах і месенджерах. Майже 90% кіберзагроз розповсюджується через фішинг та методи соціальної інженерії. Не відкривайте вкладення та не переходьте за посиланнями з незнайомих адрес. Навіть якщо повідомлення надійшло від знайомої людини, але виглядає незвично — зв’яжіться з відправником іншим каналом перед тим, як відкривати файл. Уважно перевіряйте адресний рядок браузера: фішинговий сайт може виглядати точно як сторінка банку чи соціальної мережі.

Увімкніть двофакторну автентифікацію (2FA). Навіть якщо зловмисники отримали ваш пароль, другий фактор (код з SMS або застосунку-автентифікатора) не дасть їм увійти до облікових записів. Особливо важливо захистити так електронну пошту, банківські додатки та месенджери.

Використовуйте тільки ліцензійне програмне забезпечення. «Кряки», генератори серійних номерів і піратські дистрибутиви — одне з найпоширеніших джерел зараження. Зловмисники навмисно вбудовують шкідливе ПЗ у такі файли, розраховуючи на те, що жертва сама запустить їх із правами адміністратора.

Перевіряйте флеш-носії перед відкриттям. Сканируйте антивірусом будь-який зовнішній носій перед використанням. Вимкніть автозапуск для портативних носіїв у налаштуваннях Windows.

Не працюйте з правами адміністратора постійно. Для виконання більшості повсякденних завдань достатньо прав звичайного користувача. Це суттєво обмежує можливості шкідливого ПЗ у разі зараження.

Для смартфонів: встановлюйте застосунки тільки з офіційних магазинів (Google Play, Apple App Store). Уникайте APK-файлів з неофіційних джерел. Регулярно оновлюйте операційну систему та застосунки.

Ця стаття Які бувають типи шкідливого ПЗ і як від них захиститися раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

• Виявлено нове шкідливе програмне забезпечення, яке проникає на пристрої Android через скомпрометовані рекламні SDK.
• Троян Necro був знайдений у двох додатках Play Store, а саме Wuta Camera та Max Browser. Він також був виявлений у модифікованих версіях таких популярних додатків, як WhatsApp, Minecraft та Spotify.
• Лише ці два додатки з Play Store мають понад 11 мільйонів завантажень. Користувачам заражених додатків рекомендується видалити їх і перевірити безпеку.

Здається, це вже стало звичною практикою – писати про шкідливе програмне забезпечення для Android. Android під атакою: шкідливе ПЗ викрадає текстові повідомлення, Будьте обережні: Ці програми для Android встановлюють шкідливе програмне забезпечення та крадуть ваші дані, Новий троян для Android атакує банківські рахунки за допомогою фальшивих оновлень Chrome – це лише деякі з історій про шкідливе програмне забезпечення, про які ми писали цього року, і зараз з’являється нова хвиля заражень.

Розповсюджується через звичайні текстові повідомлення

У звіті SecureList, опублікованому на BleepingComputer, було висвітлено новий троян Necro, який непомітно проник на мільйони пристроїв Android за допомогою атак на ланцюжок постачання шкідливого SDK, використовуючи скомпрометовані рекламні SDK.

Присутність шкідливого програмного забезпечення було виявлено у двох додатках Play Store, а саме: Benqu’s Wuta Camera та вже видаленому Max Browser. Перший може похвалитися понад 10 мільйонами завантажень і містив троян Necro від версії 6.3.2.148 (18 липня) до версії 6.3.6.148 (20 серпня).

Останній, Max Browser, був завантажений понад 1 мільйон разів, перш ніж його видалили з Play Store, як зазначає BleepingComputer, і його остання версія 1.2.0 все ще містить шкідливе програмне забезпечення.

Також було виявлено, що Necro поширюється на модифіковані версії таких популярних додатків, як WhatsApp, Spotify і Minecraft, які зазвичай поширюються через неофіційні веб-сайти і магазини додатків, а отже, їхнє охоплення не піддається кількісній оцінці.

Що робить троян Necro?

Троянський вірус насамперед впливає на пристрій, встановлюючи на нього рекламне ПЗ, яке завантажує веб-сайти через невидимі вікна WebView, по суті, приносячи зловмиснику дохід від реклами за ваш рахунок.

Троян також може завантажувати і виконувати довільний код на зараженому пристрої, сприяти шахрайству з підпискою і маршрутизувати шкідливий трафік, що може ускладнити відстеження його джерела.

BleepingComputer припускає, що Google знає про трояна і додатки, які його містять, і наразі розслідує цю проблему. Для користувачів це означає, що вони повинні бути ще більш уважними до програм, які вони завантажують. Якщо ви завантажили один із заражених додатків, було б розумно швидко видалити його і перевірити свій пристрій за допомогою надійного антивірусу. Також варто змінити важливі паролі, навіть якщо не схоже, що троянець компрометував облікові записи користувачів.

Функція Play protect в Play Store, яка, по суті, перевіряє безпеку додатків в Play Store перед тим, як ви їх встановлюєте, є рятівною в таких ситуаціях, і її слід залишати ввімкненою. Інструмент також може сканувати ваш пристрій на наявність шкідливих програм після їхнього завантаження та встановлення, а також надсилати вам сповіщення про програми, які можуть отримати доступ до вашої особистої інформації.

За замовчуванням Play Protect увімкнено, але якщо ви з якихось причин вимкнули його раніше, ось як його знову увімкнути.

Щоб увімкнути або перевірити статус Play Protect у Play Store на вашому Android-пристрої:

1. Відкрийте Google Play Store.
2. Натисніть на ваш аватар профілю у верхньому правому куті екрана.
3. Виберіть пункт Play Protect із випадаючого меню.
4. На сторінці Play Protect ви побачите інформацію про стан сканування додатків і повідомлення про будь-які виявлені загрози.
5. Якщо функція Play Protect вимкнена, натисніть налаштування (значок шестерні) у верхньому правому куті екрана.
6. Увімкніть перемикачі Сканувати додатки з Google Play Protect та Покращити виявлення шкідливих програм (цей параметр дозволяє надсилати додаткові дані в Google для кращого захисту).

Після цього Google Play Protect буде автоматично сканувати встановлені додатки на наявність загроз і попереджати вас, якщо знайде шкідливе ПЗ.

Ця стаття Троян Necro заражає мільйони пристроїв Android через 2 додатки Google Play раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Банківський троян під назвою SpyNote знову “прокладає” собі шлях до вашої фінансової інформації. Як захиститися?

Жоден мобільний пристрій не захищений на 100% від шкідливих атак. Сторонні додатки, різноманітні фішингові кампанії та шкідливі посилання підстерігають вас, тому єдиний спосіб убезпечити себе – це завжди бути напоготові та стежити за новими типами атак.

Банківський троян під назвою SpyNote повернувся зі своєї могили 2022 року, щоб знову “прокласти” собі шлях до захоплення вашої фінансової інформації. Хоча Google вже вжив заходів для захисту від цієї загрози, повторне виявлення трояна в природі слугує хорошим нагадуванням кожному користувачеві мобільних пристроїв про необхідність бути обережним у використанні своїх телефонів.

Чому SpyNote не схожий на інші загрози?

Складність боротьби з такою загрозою полягає в тому, що SpyNote не можна знайти захованим в іншому додатку. У цьому сенсі він не є традиційним трояном. Замість цього SpyNote використовує SMS-фішинг (також відомий як “смішинг”) для надсилання шкідливих SMS-повідомлень користувачам. Ці повідомлення спонукають користувачів завантажити файл .apk не з Google Play Store, який потім заражає пристрій.

Після зараження SpyNote обманом змушує користувачів надати підвищені дозволи, а потім ховається, щоб його не помітили. Озброєний цими дозволами, SpyNote може записувати аудіо (включаючи телефонні дзвінки), відео, реєструвати кожен дотик до пристрою, викрадати імена користувачів і паролі, а також відстежувати ваше місцезнаходження.

По суті, ви дали SpyNote ключі від свого королівства, і він буде записувати вашу інформацію (наприклад, дані банківського рахунку) і відправляти їх зловмисникам, щоб ті могли використати їх проти вас.

Аміт Тамбе (Amit Tambe) з F-Secure, який написав глибокий аналіз SpyNote, ось що сказав про те, що робить троянця таким підступним:

“Зразок SpyNote – це шпигунське програмне забезпечення, яке реєструє та викрадає різноманітну інформацію, включаючи натискання клавіш, журнали дзвінків, інформацію про встановлені програми тощо. Він залишається прихованим на пристрої жертви, тому його важко помітити. Це також робить видалення надзвичайно складним. Єдиний варіант, який залишається жертві – це скидання до заводських налаштувань, щоб видалити шкідливе програмне забезпечення”.

Читайте також

Як підключити флешку до телефона на Android і що робити, якщо вона не працює

Як знайти iPhone, якщо він вимкнений або розряджений: 24 години на пошук

Як перенести Telegram на новий телефон: інструкція і що зникає назавжди

Безпека смартфона дитини: як налаштувати перший телефон на Android та iPhone

Мобільні програми для навчання: топ-10 застосунків для студентів у 2026 році

Що ви можете зробити?

Найкращий захист від SpyNote – не переходити за будь-яким посиланням, надісланим у SMS-повідомленні, якщо ви не знаєте (і не довіряєте) відправника. Навіть у цьому випадку будьте обережні і перевіряйте посилання, перш ніж навіть думати про перехід. Водночас, не встановлюйте додатки не з магазину Google Play і, якщо щось випадково запитує підвищені дозволи, будьте обережні, не дозволяйте цього.

Читайте також: Як надавати дозволи, зокрема, тимчасові для програм на Android? – ІНСТРУКЦІЯ

Якщо ви не будете обережними, у найгіршому випадку хтось отримає вашу конфіденційну інформацію і скористається нею. У кращому випадку вам доведеться зробити скидання до заводських налаштувань, щоб позбутися цього шкідливого додатка.

Я живу за простим правилом щодо SMS-повідомлень: Якщо вас немає в моїх контактах, я не буду читати ваші повідомлення. Я йду ще далі і блокую/повідомляю про будь-яке SMS-повідомлення, яке отримую, якщо воно не від того, хто є в моєму списку контактів. Так, бувають винятки, наприклад, коли я чекаю на певне SMS-повідомлення – але навіть тоді я надто обережно ставлюся до того, що читатиму.

Смішинг може бути смішною назвою, але до нього слід ставитися дуже серйозно.

Джерело: ZDNET

Ця стаття Виявлений троян для Android може записувати аудіо та телефонні дзвінки раніше була опублікована на сайті CyberCalm, її автор — Наталя Зарудня

Розробник шкідливих програм розпочав їх тестування у своїй системі, щоб випробувати нові функції, і дані потрапили на розвідувальну платформу з кіберзлочинності, чим  розкрили інформацію про автора.  Ситуація схожа на якийсь анекдот, але тим не менше, це правда.

За даними BleepingComputer, мова йде про розробника Raccoon – трояна-викрадача інформації, який може збирати дані з десятків програм і збільшує свою популярність протягом останніх двох років.

Під час тестування одного з варіантів викрадача, розробник Raccoon заразив власну систему, що негайно викликало надходження даних на сервер команд та контролю (С2) і далі на форуми з кіберзлочинності. Заражену тестову систему розробника Raccoon було знайдено на платформі Hudson Rock Cavalier – базі даних розвідувальної інформації про кіберзлочинність, яка відстежує зламані машини. Алон Гал, співзасновник і головний директор з технологій Hudson Rock, каже, що кількість жертв Raccoon налічує більше одного мільйона скомпрометованих систем, які відстежуються через Cavalier.

Дослідник розповів, що розробник Raccoon infostealer заразив їх машину у лютому, але залишився непоміченим, оскільки це не викликало інтересу, оскільки це не машина, що належить клієнтам компанії. Він привернув увагу своєю IP -адресою 1.1.1.1, спеціально зміненою на сервері команд та контролю, щоб справжня адреса не була розкрита, каже Гал. Як не дивно, але IP -адреса використовується розпізнавачем Cloudflare Public Domain Name System (DNS).

Дані, зібрані з самозараженої системи, показують, що розробник перевірив здатність шкідливого програмного забезпечення вилучати паролі з Google Chrome, що є важливим атрибутом будь-якого викрадача інформації. Додаткова інформація, вилучена з тестового комп’ютера Raccoon, виявила ім’я та кілька електронних адрес, пов’язаних із шкідливим програмним забезпеченням.

На жаль, деталей недостатньо, щоб визначити особу розробника Raccoon. Гал каже, що творець шкідливого програмного забезпечення “ймовірно заразив [машину] навмисно” і був достатньо обережний, щоб видалити деталі, які могли б розкрити, хто він, перш ніж випустити шкідливе програмне забезпечення. Наприклад, адреси електронної пошти, що використовуються для різних послуг, містять  слова “raccoon” чи “raccoonstealer”, що вказує на те, що вони використовуються для спілкування з клієнтами.

Дослідник також знайшов ім’я Бенджаміна Енгеля, хакера з Берліна та головного героя німецького хакерського фільму 2014 року “Хто я”.

Інші деталі, вибрані з тестової системи, показали, що в тестовому наборі інструментів розробника є файли cookie, які вказують на вхід на російськомовний форум, популярний серед відомих кіберзлочинців.

Гал зміг порівняти ідентифікатор у файлі cookie, створеному під час входу на форум, з ідентифікатором, прикріпленим до облікового запису викрадача Raccoon у спільноті.

Хоча інформація, зібрана таким чином, не містить натяків, необхідних для того, щоб назвати справжнє ім’я розробника Raccoon, це свідчить про те, що кіберзлочинці також можуть припуститися помилок, і все ще інколи з’являються шанси впіймати їх зненацька.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Телефонне шахрайство: як розпізнати обман та викрити зловмисника?

Платіжна безпека: як вберегтися від шахраїв під час користування онлайн-банкінгом?

Як автоматично пересилати певні електронні листи в Gmail? – ІНСТРУКЦІЯ

Що таке Google Tensor і як він покращить майбутні смартфони? ОГЛЯД

Як заблокувати спам на Google Диску? ІНСТРУКЦІЯ

До речі, Apple скануватиме фото в iPhone користувачів, щоб захистити дітей від насильства. Про це заявив сам американський технологічний гігант.

Виявлено спосіб, що дозволяє користувачам Telegram для Mac назавжди зберігати повідомлення, які повинні самі знищуватися і переглядати їх без відома відправника. Уразливість виправити неможливо.

Зверніть увагу, шахрайську схему з виманювання даних платіжних карт українців вигадали зловмисники, створивши фейкову сторінку у Facebook та фейковий сайт ТСН. Довірливих користувачів змушували вказувати дані своїх платіжних карток.

Окрім цього, Windows 11 може вийти раніше, ніж Ви думали. Майкрософт була щедрою з інформацією про Windows 11, за значним винятком є ​​дата виходу. Однак компанія могла ненароком відкрити вікно випуску за жовтень, завдяки деяким документам підтримки Intel та Microsoft, виявленим BleepingComputer.

Також якщо Ви регулярно пересилаєте повідомлення на інший обліковий запис електронної пошти, чому б не автоматизувати це завдання? Використовуючи зручну функцію фільтрування в Gmail, Ви можете автоматично пересилати певні електронні листи, коли вони потраплять у Вашу поштову скриньку.

Ця стаття Розробник шкідника Raccoon заразив та скомпрометував власний комп’ютер раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Оператори нового трояна для віддаленого доступу (RAT), що отримав назву Vultur, використовують функції запису екрану для крадіжки конфіденційної інформації з Android-пристроїв, включаючи банківські облікові дані.

Шкідник використовує технологію віддаленого доступу до екрану Virtual Network Computing (VNC) для забезпечення стеження за користувачами. Шкідливе ПЗ поширювалося через офіційний магазин Google Play Store і маскувалося під додаток Protection Guard з більш ніж 5 тисяч установок.

“Вперше ми бачимо банківський троян для Android-пристроїв, який використовує запис екрану і кейлогери в якості основної стратегії для автоматичного і масштабованого збору облікових даних для входу в систему. Зловмисники вважали за краще відмовитися від спільної розробки HTML-оверлеїв, які ми зазвичай спостерігаємо в інших банківських троянах для Android. Цей підхід зазвичай вимагає від хакерів великих витрат часу і зусиль для створення декількох оверлеїв, здатних обдурити користувача. Замість цього вони вирішили просто записувати те, що відображається на екрані і отримувати той же кінцевий результат”, – відзначили дослідники з компанії ThreatFabric.

За словами фахівців, останнім часом оператори банківських троянів все частіше відмовляються від тактики з використанням оверлейних атак. Наприклад, оператори UBEL, що представляє собою оновлений варіант шкідника Oscorp, використовували протокол WebRTC для взаємодії зі скомпрометованим телефоном під управлінням Android в режимі реального часу. Vultur застосовує аналогічну тактику – він використовує переваги дозволів доступу для захоплення натискань клавіш і використовує функцію запису екрану VNC для непомітною стеження за всіма діями користувача.

Більш того, шкідлива програма використовує утиліту ngrok для підключення локальних серверів, захищених Network Address Translation (NAT), і міжмережевих екранів до інтернету через захищені тунелі з метою забезпечення віддаленого доступу до сервера VNC, що працює локально на телефоні. Крім того, шкідник встановлює з’єднання з C&C-сервером для отримання команд через Firebase Cloud Messaging (FCM) і передачі вкрадених даних назад на сервер.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

В Україні користувачів Android та iOS атакує небезпечне шкідливе ПЗ

Як перевірити шкідливий чи безпечний сайт? – ПОРАДИ

Як змусити AirPods повідомляти про дзвінки та сповіщення на iPhone? – ІНСТРУКЦІЯ

Як перевірити, які програми на iPhone Ви використовуєте найчастіше? – ІНСТРУКЦІЯ

До речі, користувачі ніколи не зможуть встановити Windows 11 на несумісні пристрої. Групова політика не дозволить Вам обійти обмеження апаратного забезпечення для установки Windows 11.

Apple має намір додати підтримку системи розпізнавання осіб Face ID на комп’ютери Mac протягом наступних двох років. Про це повідомив оглядач Bloomberg.

Зловмисники все частіше використовують безкоштовний месенджер Discord як канал для поширення шкідливих програм.

Окрім цього, стало відомо про великий витік даних учасників Clubhouse. Провідний експерт з кібербезпеки Джіт Джайн повідомив, що повна база телефонних номерів Clubhouse виставлена ​​на продаж в Darknet.

Також стало відомо, що операційна система Windows 11, яка ще офіційно не вийшла, але вже доступна для скачування і попереднього знайомства, використовується зловмисниками, які намагаються підсунути користувачеві шкідливе ПЗ під виглядом нової ОС.

Ця стаття Новий троян використовує запис екрану для крадіжки паролів Android-пристроїв раніше була опублікована на сайті CyberCalm, її автор — Семенюк Валентин

Хакери створили новий троян з віддаленим доступом (RAT) під назвою BIOPASS, який дозволяє спостерігати за екраном комп’ютера жертви в режимі реального часу, і таким чином скомпрометували сайти для азартних ігор.

При цьому, було використано популярне програмне забезпечення для прямої трансляції. Окрім незвичайної нової функції, шкідливе програмне забезпечення може також викрадати приватні дані з веб-браузерів та програм обміну миттєвими повідомленнями, пише Bleeping Computer.

Оператори BIOPASS на базі Python, схоже, націлені на відвідувачів сайтів азартних онлайн-ігор в Китаї. Вони внесли на сайти код JavaScript, який обслуговує шкідливе програмне забезпечення під виглядом установників програм Adobe Flash Player або Microsoft Silverlight.

Варто зазначити, що наприкінці 2020 року Adobe відмовилася від Flash Player і з 12 січня блокує Flash-вміст, закликаючи користувачів видалити програму через ризики високого рівня небезпеки.

Silverlight йде тим самим шляхом, Microsoft закінчує підтримку 12 жовтня цього року. Даний фреймворк наразі підтримується лише на Internet Explorer 11, і не планується продовжувати його подальше використання.

Дослідники безпеки Trend Micro виявили, що скрипт, який отримує BIOPASS, перевіряє, чи був відвідувач інфікований, і він зазвичай вводиться на сторінку чату веб-підтримки цільового сайту.

“Якщо сценарій підтвердить, що відвідувач ще не заражений, він замінить оригінальний вміст сторінки власним вмістом зловмисників. На новій сторінці з’явиться повідомлення про помилку з супровідною вказівкою, що повідомляє відвідувачам веб-сайту завантажити програму Flash або Silverlight, обидва завантажувачі у свою чергу є зловмисними” – повідомляє Trend Micro.

Програми, які завантажуються з офіційних веб-сайтів та зберігаються у хмарному сховищі зловмисника, – Alibaba. Троян віддаленого доступу BIOASS зберігається там же, разом з DLL та бібліотеками, необхідними для запуску сценаріїв у системах, де мова Python відсутня.

Дослідники зазначають, що зловмисне програмне забезпечення активно розробляється: BIOPASS має всі можливості, які зазвичай спостерігаються в троянах віддаленого доступу, такі як оцінка файлової системи, доступ до віддаленого робочого столу, вилучення файлів, створення знімків екрану та виконання команд оболонки.

Однак він також завантажує FFmpeg, який необхідний для запису, конвертації та передачі аудіо та відео, а також програмне забезпечення Open Broadcaster з відкритим вихідним кодом для відеозапису та трансляції в прямому ефірі.

Зловмисник може використовувати будь-який із двох фреймворків для моніторингу робочого столу зараженої системи та потокового передавання відео в хмару, дозволяючи їм переглядати стрічку в режимі реального часу, увійшовши на панель керування BIOPASS.

BIOPASS також витягує конфіденційні дані – файли cookie та логіни – з кількох веб-браузерів (Google Chrome, Microsoft Edge Beta, 360 Chrome, QQ Browser, 2345 Explorer, Sogou Explorer та 360 Safe Browser).

На сьогодні немає чіткого розуміння того, хто стоїть за BIOPASS, але Trend Micro знайшов посилання, що вказують на китайську хакерську групу Winnti, також відому як APT41.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

FaceTime для Windows: як користуватися – ІНСТРУКЦІЯ

Чому перевірка готовності Вашого ПК до Windows 11 видає неможливість встановлення?

Як безпечно користування соціальними мережами? ПОРАДИ

В Україні поширюється онлайн-грумінг: як захистити Ваших дітей? ПОРАДИ

Що можуть Google та Apple віддалено зробити з Вашим смартфоном?

Як “скинути” рекламний ідентифікатор на Android? ІНСТРУКЦІЯ

До речі, Google видалила з Play Store дев’ять Android-додатків, в цілому завантажених 5,8 млн разів, що, як виявилося, викрадали облікові дані користувачів для авторизації в Facebook.

Щоб виявити, які пристрої “розумного” будинку атакують найбільше, експерти налаштували і підключили до Інтернету уявний “розумний” будинок, що містив різні пристрої – від смарт-телевізорів і термостатів до камер відеоспостереження, принтерів і “розумних” чайників.

Винахідник інтернету сер Тім Бернерс-Лі продав на аукціоні Sotheby’s оригінальний код, за допомогою якого він колись створив Інтернет.

Окрім цього, компанія Apple 30 червня відкрила офіційний офіс в Україні – компанія планує самостійно ввозити техніку в Україну та контролювати магазини офіційних дилерів, які надають послуги компанії в Україні.

Ця стаття Нове шкідливе програмне забезпечення BIOPASS транслює екран комп’ютера жертви раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Apple виправила уразливість нульового дня в macOS, що використовувалася для зараження шкідливим програмним забезпеченням Shlayer. Завдяки їй шкідник міг обійти перевірку безпеки File Quarantine, Gatekeeper та Notarization та завантажити шкідливі корисні навантаження другого ступеня.

Автори Shlayer раніше встигали завантажити свої зловмисні навантаження за допомогою автоматизованого процесу нотаріального засвідчення від Apple. Якщо вони проходять цю автоматизовану перевірку безпеки, запуск додатків macOS дозволяються Gatekeeper – функцією захисту macOS, яка перевіряє, чи завантажувані програми перевірялись на наявність відомого шкідливого вмісту – для запуску в системі. У минулому Shlayer також використовував прийоми дворічної давнини для ескалації привілеїв та відключення Gatekeeper в macOS для запуску непідписаних корисних навантажень другого ступеня в кампанії. Про це повідомив Bleeping Computer.

Ця уразливість експлуатується в реальності для розгортання різних шкідливих програм на MacOS. Команда виявлення Jamf Protect виявила, що починаючи з січня 2021 р. автори загрози Shlayer, створені непідписаними та ненотаріально завіреними зразками Shlayer, почали використовувати уразливість нульового дня (відстежується як CVE-2021-30657), виявлену та повідомлену Apple інженером з безпеки Седріком Оуенсом.

Як виявив дослідник безпеки Патрік Уордл, ця ​​помилка використовує логічний недолік у тому, як Gatekeeper перевіряв, чи були пакети додатків нотаріально завірені для роботи на повністю виправлених системах macOS.

Уордл додав, що “ця вада може призвести до неправильної класифікації певних програм і, отже, призведе до того, що механізм політики пропустить важливу логіку безпеки, таку як попередження користувача та блокування ненадійної програми”.

На відміну від попередніх варіантів, які вимагали, щоб жертви натискали правою кнопкою миші, а потім відкривали сценарій програми встановлення, останні варіанти шкідливого програмного забезпечення, що зловживають цим нульовим днем ​​і розповсюджуються за допомогою підроблених результатів пошукової системи та скомпрометованих веб-сайтів, можна запускати подвійним клацанням – як звичайний файл або додаток.

Apple випустила оновлення безпеки, щоб виправити цю уразливість у macOS Big Sur 11.3 та заблокувати зловмисні кампанії, які активно зловживають нею. Тепер користувачі отримують попередження про те, що шкідливі програми “не можна відкривати, оскільки розробника неможливо ідентифікувати”, і рекомендують вийняти змонтований образ диска, оскільки він може містити шкідливе програмне забезпечення.

Shlayer – це багатоступеневий троян, який атакував понад 10% усіх комп’ютерів Mac. Дослідницька група Intego вперше помітила Shlayer у лютому 2018 року у зловмисній програмі, яка імітувала інсталятор Adobe Flash Player, так само, як багато інших шкідливих програм, націлених на користувачів macOS. На відміну від оригінальних варіантів, які просувались через торент-сайти, нові зразки Shlayer тепер розповсюджуються за допомогою підроблених спливаючих вікон, що відображаються у захоплених доменах або клонах сайтів, або в масштабних кампаніях з рекламою, яка захаращує нормальні веб-сайти.

Після зараження Mac, Shlayer встановлює проксі-програму mitmdump і надійний сертифікат для аналізу та модифікації трафіку HTTPS, дозволяючи йому контролювати трафік браузера жертв або вводити рекламу та шкідливі сценарії на відвідувані сайти. Навіть гірше, цей метод дозволяє зловмисному програмному забезпеченню змінювати зашифрований трафік, наприклад, Інтернет-банкінг та безпечну електронну пошту.

Хоча автори Shlayer в цей час розгортають лише рекламне програмне забезпечення як вторинне корисне навантаження, вони можуть швидко перейти на більш небезпечні корисні навантаження, такі як програми-вимагачі, у будь-який час. Зокрема, ще одна чергова помилка нульового дня WebKit Storage, яка експлуатується в реальності, відслідковується як CVE-2021-30661, і впливає на пристрої iOS і watchOS,  втручаючись в управління пам’яттю. Уразливість дозволяє зловмисникам виконувати довільний код після відкриття заражених сайтів на пристроях користувачів .

Список уражених пристроїв включає:

• Apple Watch Series 3 та новіших версій;
• iPhone 6s та новіші версії;
• iPad Pro (усі моделі);
• iPad Air 2 та новіші версії;
• iPad 5-го та новішого покоління;
• iPad mini 4 та новіші версії;
• iPod touch (7-го покоління).

Загалом, завдяки сьогоднішнім оновленням безпеки для помилок macOS та iOS, які використовуються в природі, Apple вирішила дев’ять нульових днів з листопада.

Компанія виправила ще три нульові дні iOS – помилку віддаленого виконання коду (CVE-2020-27930), витік пам’яті ядра (CVE-2020-27950) та недолік ескалації привілеїв ядра (CVE-2020-27932) – впливає пристрої iPhone, iPad та iPod (виправлено у листопаді минулого року). У січні Apple виправила помилку в ядрі iOS (відстежується як CVE-2021-1782) та два недоліки безпеки WebKit (відслідковується як CVE-2021-1870 та CVE-2021-1871).

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як увімкнути записування відео HDR на iPhone? ІНСТРУКЦІЯ

Онлайн-шопінг у соцмережах: як не бути ошуканим?

Як правильно вибрати ноутбук? ПОРАДИ

Як безкоштовно надсилати захищені паролем електронні листи? ПОРАДИ

Нагадаємо, дослідники безпеки опублікували в Мережі PoC-експлойт для запуску шкідливого коду в Chrome, Edge, Vivaldi, Opera і інших браузерах на базі Chromium. Уразливість зачіпає JavaScript-движок V8 і вже виправлена в його вихідному коді, але виправлення поки ще не інтегровано ні з кодовою базою Chromium, ні з заснованими на ньому проектами.

Також дослідники виявили безліч уразливостей в популярних додатках, що допускають виконання довільного коду в системах користувачів всього лише за допомогою одного кліка. Саме тому такі баги отримали неформальне ім’я “уразливості одного кліка” (one-click vulnerabilities).

Розробники WhatsApp усунули дві небезпечні уразливості в Android-версії месенджера. Якщо зловмисник задіє ці дві уразливості в атаці, у нього з’явиться можливість виконати шкідливий код і віддалено зламати мобільний пристрій жертви.

Окрім цього, кіберзлочинці атакують уразливі сервери Microsoft Exchange з метою встановлення програмного забезпечення для майнінгу криптовалют у рамках шкідливої ​​кампанії, спрямованої на використання обчислювальних потужностей скомпрометованих систем для заробітку.

Ця стаття Apple виправила уразливість, яку використовував шкідник Shlayer раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим