Вірус-вимагач (ransomware) — шкідливе ПЗ, яке шифрує файли на пристрої або блокує доступ до нього, а потім вимагає гроші за відновлення. Те, що ще пʼять років тому здавалося поодинокими випадками, перетворилося на індустрію з мільярдними оборотами: у 2025 році вимагачі фігурували у 44% усіх витоків даних у світі, а сукупні збитки від них оцінюють у 57 мільярдів доларів щороку. Пояснюємо, як влаштована сучасна атака, хто атакує саме зараз (зокрема в Україні) і що реально допомагає не стати жертвою.

Як працює сучасний вірус-вимагач

Класична схема не змінилась: шкідливе ПЗ шифрує файли на диску або блокує екран пристрою, а на екрані чи в текстовому файлі в кожній папці зʼявляється вимога про викуп. Часто змінюється й розширення зашифрованих файлів — це один із перших сигналів зараження.

Але шлях до цього моменту суттєво ускладнився. За даними Sophos, третій рік поспіль найпоширенішою першопричиною атак залишаються експлуатовані вразливості в застосунках і мережевому обладнанні — на них припадає 32% випадків. Ще 23% атак починаються зі скомпрометованих облікових даних, а 18–19% — із фішингових листів.

Головна зміна останніх років — це подвійне вимагання (double extortion): перед шифруванням ініціатори загроз спершу викрадають дані компанії, а тоді погрожують опублікувати їх, навіть якщо жертва відновить файли з резервної копії. За оцінкою Travelers Insurance, така схема присутня у 87,6% сучасних атак — тобто оплата викупу вже давно не гарантує, що вкрадені дані не опиняться у відкритому доступі.

Хто стоїть за атаками просто зараз

Екосистема вимагачів постійно перебудовується: правоохоронці ліквідовують інфраструктуру одних груп — на їхнє місце приходять інші. За даними Check Point Research, лише в першому кварталі 2026 року команда дослідників відстежила понад 70 активних сайтів-«зливів» даних і 2 122 нові жертви. Групи Qilin, DragonForce, The Gentlemen та LockBit (яка повернулася після падіння 2024 року з версією LockBit 5.0) разом узяли на себе 41% усіх атак за квартал.

Для звичайного користувача важливий не так рейтинг конкретних груп, як логіка: це вже не поодинокі хакери, а модель Ransomware-as-a-Service — «оператори» розробляють шкідливе ПЗ й інфраструктуру, а «партнери» купують доступ і проводять самі атаки, ділячись викупом. Це і пояснює масштаб: жертв тисячі щомісяця, і серед них — компанії будь-якого розміру.

Україна — постійна ціль

Українські організації стикаються з вимагачами по-особливому: частина атак — це справді кримінальний бізнес заради грошей, але частина маскується під вимагачів, хоча насправді має на меті знищення даних. Класичний приклад — RansomBoggs, шкідливе ПЗ на платформі .NET, яке у листопаді 2022 року атакувало кілька українських організацій. За спостереженнями ESET, інструментарій для його поширення був майже ідентичним тому, що використовувало угруповання Sandworm під час руйнівних атак на енергетичний сектор — тобто вимога про викуп у цьому випадку, найімовірніше, була прикриттям для деструктивної операції, а не спробою реального заробітку.

Українцям варто стежити за бюлетенями CERT-UA — команда регулярно публікує деталі нових фішингових і шкідливих кампаній проти державних установ та бізнесу, включно з техніками доставки шкідливого ПЗ, які згодом можуть використовуватися і для розгортання вимагачів.

У що це виливається: гроші та час

Хороша новина — компанії стали відновлюватися швидше й дешевше. За даними Sophos, середня вартість відновлення після атаки (без урахування самого викупу) у 2025 році впала на 44% і становила 1,53 мільйона доларів проти 2,73 мільйона роком раніше. Понад половина постраждалих організацій (53%) відновилися протягом тижня — порівняно з 35% у 2024-му.

Водночас дедалі більше жертв відмовляються платити: 64% організацій не заплатили викуп у 2025 році — порівняно з 59% роком раніше. Це не завжди рішення з позиції сили: часто організації просто не мають грошей, або ж керуються порадами правоохоронців і страховиків.

Платити чи ні

Короткий висновок правоохоронних органів і дослідників незмінний роками: платити не варто. По-перше, це не гарантує відновлення даних — за оцінкою Halcyon, 84% організацій, які заплатили викуп, все одно не змогли повністю відновити свої дані. По-друге, у моделі подвійного вимагання оплата не зупиняє публікацію вже вкрадених файлів. По-третє, кожен заплачений викуп — це фінансування наступних атак, зокрема на інші українські організації.

Є й практична причина звертатися по допомогу, а не мовчки шукати вихід самотужки: за розрахунками IBM, залучення правоохоронних органів до розслідування інциденту в середньому economить компаніям близько 990 тисяч доларів порівняно з тими, хто цього не робить — і не вимагає жодних додаткових витрат.

Що робити, якщо атака вже сталася

Якщо файли вже зашифровані або на екрані зʼявилася вимога про викуп, послідовність дій має бути такою:

• Ізолюйте пристрій. Відключіть компʼютер від мережі — вимкніть Wi-Fi і відʼєднайте кабель, щоб зупинити поширення шкідливого ПЗ на інші пристрої в мережі.
• Не платіть одразу й не панікуйте. Навіть якщо термін у повідомленні про викуп здається жорстким — це елемент психологічного тиску.
• Визначте тип вимагача. Сервіс ID Ransomware від дослідників MalwareHunterTeam за зразком зашифрованого файлу й текстом вимоги допоможе встановити конкретне сімейство шкідливого ПЗ.
• Перевірте наявність безкоштовного декриптора. Проєкт No More Ransom, який координує Europol спільно з десятками партнерів у сфері кібербезпеки, надає безплатні інструменти для розшифрування — але вони специфічні для кожного сімейства й спрацьовують не завжди.
• Повідомте CERT-UA та кіберполіцію. Зверніться на cert.gov.ua і подайте заяву через форму звернень кіберполіції — це не лише допоможе вам, а й дасть іншим українським організаціям попередження про нову хвилю атак.
• Відновіть дані з резервної копії. Якщо копія є і вона не була підключена до зараженої мережі в момент атаки — це найнадійніший спосіб повернути файли без жодних гарантій від зловмисників.

Як захиститися від здирницького ПЗ: 10 правил

Більшість атак вимагачів можна відвернути на етапі базової гігієни, а не героїчними заходами постфактум:

• Резервні копії за правилом 3-2-1. три копії даних, на двох різних типах носіїв, одна — поза основною мережею й бажано офлайн або незмінна (immutable).
• Оновлюйте ПЗ і операційну систему. оскільки саме невиправлені вразливості — головна причина атак, регулярні оновлення закривають більшість очевидних шляхів проникнення.
• Увімкніть багатофакторну автентифікацію. для пошти, VPN, віддаленого доступу та хмарних сервісів — вона суттєво ускладнює використання вкрадених паролів.
• Обмежте протокол віддаленого робочого столу (RDP). закрийте прямий доступ ззовні мережі, використовуйте VPN і автентифікацію на рівні мережі.
• Сегментуйте мережу. щоб зараження одного пристрою чи відділу не поширювалося миттєво на всю організацію.
• Використовуйте рішення з поведінковим аналізом (EDR/антивірус). вони помічають підозрілу активність до того, як почнеться масове шифрування файлів.
• Регулярно навчайте співробітників. розпізнавання фішингових листів і підозрілих вкладень залишається одним із найдешевших і найефективніших видів захисту.
• Не встановлюйте зламане чи піратське ПЗ. сімейство STOP/Djvu — одне з наймасовіших серед вимагачів для приватних користувачів — досі найактивніше поширюється саме через кряки й кейгени.
• Використовуйте менеджер паролів. унікальний пароль для кожного сервісу зменшує ризик, що витік одних облікових даних відкриє доступ до інших систем.
• Підготуйте план реагування заздалегідь. запишіть контакти CERT-UA й кіберполіції, визначте, хто в компанії ухвалює рішення під час інциденту, ще до того, як він станеться.

Головне

Вірус-вимагач сьогодні — це не одинокий зловмисник, а індустрія з розподіленими ролями, готовими сценаріями подвійного вимагання і десятками активних угруповань. Але базові звички — резервні копії, оновлення, багатофакторна автентифікація і обережність із листами та піратським ПЗ — і сьогодні закривають переважну більшість шляхів, якими вимагачі потрапляють у системи. А якщо атака все ж сталася — головне не платити одразу, а звернутися до CERT-UA, кіберполіції та перевірити No More Ransom — шанс повернути дані безкоштовно є частіше, ніж здається.

Ця стаття Вірус-вимагач: як працює здирницьке ПЗ і як захистити свої дані раніше була опублікована на сайті CyberCalm, її автор — Олена Кожухар

Дослідники запропонували спосіб як запобігти атакам вимагачів за допомогою прошивки, яка може блокувати доступ до запису на твердотільні диски (SSD), як тільки вона виявить шаблони поведінки накопичувача, що відповідають такій атаці. Про це пише Techradar.

Ідея про інтелектуальну прошивку, що сама стежить за накопичувачем, яка отримала назву SSD-Insider++, була запропонована групою дослідників, до складу якої входять інженери з Корейського університету Інха, Інституту науки і техніки Тегу та відділу кібербезпеки в Університеті жінок Ева (EWU), а також дослідник з Університету Центральної Флориди в США.

“Я думав, що було б добре, якби ми могли захистити людей, на комп’ютерах яких не встановлено програмне забезпечення для захисту від вимагачів, надавши їм власний твердотільний накопичувач, що захищає від вимагачів”, – сказав доктор Де Хун Ньянг.

Один із колег Ньянга, який працював над флеш-пам’яттю NAND, підтримав цю ідею через атрибут затримки видалення пам’яті.

Дослідники запропонували свою ідею в документі під  назвою “SSD-Insider++, Методи виявлення вимагачів та їх відновлення за допомогою SSD”.  Прошивка SSD-Insider++, яка працює на контролері SSD, стежить за підозрілими моделями активності накопичувача, що відповідають атакам-вимагачам.

Як тільки вона виявляє шкідливу активність, механізм вимикає введення/виведення даних на запам’ятовуючий пристрій, надаючи користувачам можливість видалити порушуючий процес, який ініціював шифрування. Крім того, як відомо з доповіді, SSD-Insider++ може також усунути будь-які пошкодження даних за лічені секунди, використовуючи експлуатаційні характеристики SSD, щоб миттєво відкочувати всі заражені файли.

За словами дослідників, SSD-Insider++ мала 100-відсотковий успіх як у реальних випадках кібератак, так і в їхній імітації за допомогою лабораторного шкідливого програмного забезпеченні, і навіть вдалося усунути пошкодження протягом десяти секунд.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як стерти свій пристрій Android і скинути його до заводських налаштувань. ІНСТРУКЦІЯ

Як встановити Windows 10 з USB-накопичувача? ІНСТРУКЦІЯ

Топ найкращих хаків реєстру для Windows 10. ПОРАДИ

Як подбати про безпеку смартфона Вашої дитини? ІНСТРУКЦІЯ

Небезпечний WhatsApp: шахрайства, загрози і ризики безпеки в месенджері

PDF-файли зручні для розповсюдження документів, тому що вони однаково виглядають у всіх операційних системах та текстових редакторах, а також – коли документ треба роздрукувати. Як правило, Ви створюєте документи за допомогою іншого додатка, а потім конвертуєте їх у PDF.  Як конвертувати документ Microsoft Word у формат PDF? Про це читайте у статті.

До речі, ви вже можете дізнатись, як заархівувати та розпакувати файли у Windows 11. У новій ОС формат ZIP-файлу стискає дані та зменшує їх кількість, що прискорює передачу файлів та економить місце на диску. Ви також можете використовувати стиснення ZIP для об’єднання декількох файлів в один компактний пакет. Ось як заархівувати та розпакувати файли у Windows 11.

Зверніть увагу, під час пандемії більшість заходів була скасована або перенесена на онлайн-платформи. Через це досить популярними стали трансляції в Інтернеті, а разом з ними з’явились й нові ризики для безпеки особистих даних. У зв’язку з цим спеціалісти підготували поради, які допоможуть захистити Вас та Ваші пристрої під час відвідування стрімінгових сервісів.

Деякі смартфони відходять від відбитків пальців і використовують розпізнавання обличчя як  більш надійний засіб забезпечення біометричної безпеки. Якщо у Вас є телефон Samsung Galaxy, Ви, ймовірно, можете використовувати як відбитки пальців, так і розпізнавання обличчя, щоб увійти у телефон.

Ця стаття Ваш SSD зможе сам визначати та зупиняти деякі кібератаки раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим

Минулого року кількість атак шкідників-вимагачів значно зросла через збільшення кібератак за допомогою таких програм, як Sodinokibi (REvil), Ryuk, Nefilim та LockBit. Про це йдеться у звіті компанії Trend Micro, де описуються загрози, що впливають на кінцеві точки промислових систем управління (ICS) у 2020 році.

Звіт базується на даних, зібраних з кінцевих точок ICS, що використовуються для проектування, моніторингу та контролю промислових процесів. У цих системах працюють комплекти промислової автоматизації або інженерні робочі станції, пише SecurityWeek.

“Шкідники-вимагачі в комп’ютерах ICS можуть призвести до втрати контролю фізичних процесів на підприєстві, – пояснює Trend Micro у своєму звіті. – Інтерфейси моніторингу та управління, такі як HMI та EWS, залежать від файлів зображень (.jpg, .bmp, .png) та конфігураційних файлів для відображення інтерфейсу. Однак під час атак шкідників-вимагачів дані, включаючи файли конфігурації та зображення, в кінцевому підсумку зашифровуються і, отже, не використовуються програмним забезпеченням ICS. Тому програми-вимагачі ефективно знищують системи на HMI та EWS. Це, в свою чергу, призводить до втрати продуктивності та доходів для об’єкта атаки”.

Щодо шкідливих програм загалом, то найвищий відсоток виявлення шкідливого програмного забезпечення та  “сірого” програмного забезпечення спостерігався у Китаї, Індії, Тайвані, Бразилії, Таїланді, Італії, Франції, США, Німеччині та Японії.

Звіт також описує зараження майнерами криптовалют, виявлені на комп’ютерах, що входять до ICS. Зловмисне програмне забезпечення з назвою MALXMR було найпоширенішим, і найбільший відсоток виявлення було в Індії, яка також очолила графік зараження WannaCry.

Trend Micro також повідомила про знаходження застарілих зловмисних програм на промислових комп’ютерах у невеликому відсотку організацій, зокрема, такі віруси, як Sality, Ramnit, Autorun, Gamarue, Virux тощо.  Наприклад, Conficker (Downad) – “хробак”, який існує з 2008 року, також досі заражає сотні і тисячі машин на об’єктах промисловості.

Радимо звернути увагу на поради, про які писав Cybercalm, а саме:

Як віддалено вийти з Gmail на загубленому пристрої? ІНСТРУКЦІЯ

Майнінг криптовалют: що таке Taproot та який захист у Bitcoin

До речі, Wi-Fi зі специфічною назвою мережі виводить з ладу iPhone. Як виявилося, якщо підключитися до бездротової мережі з символьною назвою, то модуль зависає, при цьому потім його можна включити. Проблема стосується всіх моделей iPhone, в тому числі найновіших. Збій можна перемогти тільки за допомогою повного скидання налаштувань.

Також у продуктах Microsoft в 2020 році виявлено 1268 уразливостей, що є рекордним числом. У період з 2016 по 2020 рік кількість уразливостей в рішеннях американської компанії збільшилася на 181%.

Microsoft оновлює OneDrive в Інтернеті та Android основними функціями редагування фотографій. Серед функцій редагування, які зараз підтримує OneDrive, Ви можете обрізати, обертати та вносити коригування світла та кольору у фотографії. Microsoft також пропонує кілька інших функцій для версії програми OneDrive для Android. Тепер Ви можете передавати фотографії на пристрій із підтримкою Chromecast і дозволяти іншим спостерігати, як Ви гортаєте їх у прямому ефірі.

Окрім цього, в Україні заблокували мережу сall-центрів РФ, які збирали особисті дані українців. Організатори залучали до роботи до 150 операторів, які працювали у дві зміни.

Ця стаття Об’єкти промислової інфраструктури потерпають від атак шкідників-вимагачів раніше була опублікована на сайті CyberCalm, її автор — Побокін Максим