У цій статті зібрано найпоширеніші методи, які використовують кіберзлочинці для проникнення шкідливого програмного забезпечення на пристрої користувачів.
Семенюк Валентин25.07.2026Поширити14 хв. читання
Сфера заражень зазнала кардинальних змін: основним інструментом зловмисників стало не вкладення в електронних листах чи загублена флешка, а сам користувач, якого спонукають самостійно запустити шкідливу команду. Ось огляд семи шляхів, якими шкідливе програмне забезпечення потрапляє на комп’ютери та смартфони у 2026 році, та причин їхньої ефективності.
Зміст
- 1. ClickFix: жертву переконують інфікувати пристрій власноруч
- 2. Фішинг та цільова соціальна інженерія в месенджерах
- 3. Шкідлива
- 4. Фальшиві оновлення програм та компрометація ланцюга поставок
- 5. Піратське програмне забезпечення, активатори ліцензій та торренти
- 6. Шкідливі розширення браузера
- 7. USB-накопичувачі та інші фізичні носії
- Якщо пристрій уже заражено
- Часті запитання
Ще два роки тому типовий сценарій зараження описувався просто: підозріле вкладення, клік по посиланню, заражений змінний носій. Сьогодні провідні галузеві звіти фіксують інший розподіл. Microsoft Digital Defense Report 2025 називає найпоширенішим методом первинного доступу не фішинг, а техніку, де жертва самостійно запускає шкідливий код. Водночас CERT-UA фіксує зростання кіберінцидентів в Україні та якісну зміну тактик: від масових розсилок до контекстних звернень, націлених на конкретну особу.
1. ClickFix: жертву переконують інфікувати пристрій власноруч
Вебсторінка демонструє підроблену перевірку CAPTCHA, повідомлення про помилку відображення документа або запит на «завершення оновлення браузера». Інструкція виглядає звичайно: натиснути Win+R, вставити скопійоване та підтвердити. Насправді шкідливий JavaScript уже розмістив у буфері обміну команду PowerShell або mshta — і користувач запускає її самостійно через довірену системну оболонку.
Ключова особливість цього методу полягає в тому, що на першому етапі відсутній як експлойт, так і завантажений файл, який міг би бути перехоплений антивірусом. Поштові шлюзи не виявляють вкладень, браузер не бачить завантаження, а система реєструє легітимний запуск командного інтерпретатора користувачем.
За даними Microsoft, на цю техніку припало 47% інцидентів первинного доступу, зафіксованих командою Defender Experts, тоді як на класичний фішинг — 35%. Телеметрія ESET показала зростання на 517% у першому півріччі 2025 року — близько 8% усіх заблокованих атак. Техніка отримала окремий ідентифікатор у матриці MITRE ATT&CK (T1204.004), а серед типових корисних навантажень — інфостилери Lumma Stealer і Atomic macOS Stealer, а також засоби віддаленого доступу NetSupport RAT і AsyncRAT.
Українських користувачів це безпосередньо стосується. Угруповання Sandworm застосовувало підроблені сторінки CAPTCHA проти українських цілей, а в кампанії PhantomClick фейкова перевірка Cloudflare маскувалася під сайти Zoom та інших сервісів.
Як розпізнати й не запустити
- Жодна легітимна CAPTCHA, оновлення браузера чи перевірка документа ніколи не вимагатимуть відкриття вікна «Виконати», терміналу або PowerShell.
- Комбінації Win+R, Ctrl+V, Enter у покроковій інструкції на сайті — явна ознака атаки, незалежно від того, наскільки переконливо оформлено сторінку.
- Якщо команду вже вставлено у буфер обміну — достатньо скопіювати будь-який нешкідливий текст, щоб перезаписати вміст, і закрити вкладку.
- Корисно вимкнути автоматичне виконання скриптів у налаштуваннях та тримати увімкненим контроль облікових записів (UAC), який покаже запит на підвищення прав.
2. Фішинг та цільова соціальна інженерія в месенджерах
Фішинг не зник — він став точнішим. У 2025 році CERT-UA опрацювала 5927 кіберінцидентів, що на 37,4% більше, ніж роком раніше. Кількість зафіксованих фішингових інцидентів подвоїлася — з 843 до 1727, а найпоширенішим типом атак залишилося поширення шкідливого програмного забезпечення (2058 випадків).
Змінилася не стільки кількість, скільки якість. Замість масових розсилок з орфографічними помилками зловмисники готують звернення, побудовані на попередньо зібраних персональних даних. Угруповання, яке CERT-UA відстежує за ідентифікатором UAC-0184, виходить на конкретних військовослужбовців через месенджери, вибудовує довіру та надсилає шкідливі файли під виглядом релевантних для цієї людини документів. У кампанії UAC-0190 створювалися фейкові сторінки благодійних фондів, а листи UAC-0255 імітували повідомлення від самої CERT-UA із закликом завантажити «спеціалізований засіб захисту» з файлообмінника.
Окремий канал — зламані акаунти знайомих. Кіберполіція неодноразово попереджала про схему, за якої зі скомпрометованого профілю в месенджері контактам жертви розсилають посилання на «державні виплати» або прохання позичити кошти.
Як зменшити ризик
- Будь-яке звернення з проханням встановити програму, надіслати документи чи пройти «верифікацію» варто перевіряти через інший канал зв’язку — телефонний дзвінок на відомий номер, а не відповідь у тому самому чаті.
- Захищені паролем архіви у вкладеннях — типовий спосіб обійти антивірусну перевірку на поштовому шлюзі, а не ознака конфіденційності.
- Відео- чи аудіодзвінок більше не є доказом особи: інструменти синтезу голосу та зображення доступні й недорогі.
- Перевірити репутацію сайту перед переходом допоможуть спеціалізовані сервіси — про них йдеться в матеріалі «Як перевірити сайт на віруси, небезпечні програми або фішинг».
3. Шкідлива
Звичка шукати програму через пошуковик і завантажувати перший результат перетворилася на самостійний вектор зараження. Зловмисники купують рекламні позиції за брендовими запитами, і оплачений результат опиняється вище за офіційний сайт розробника.
На початку 2026 року Bitdefender Labs зафіксувала понад 200 шкідливих оголошень, які імітували популярне ПЗ для macOS — зокрема 7-Zip, Notepad++ і LibreOffice — і вели на інфостілер. Elastic Security Labs задокументувала кампанію з підробленою сторінкою Node.js, через яку поширювався завантажувач OXLOADER і стілер CASTLESTEALER. Дослідники SANS Internet Storm Center описали точну копію сайту Homebrew, де відрізнялася лише команда встановлення.
Суміжна техніка — SEO-отруєння, коли шкідливі сторінки виводять у топ органічної видачі за запитами про безкоштовні версії платних програм. За щомісячними звітами AhnLab ASEC, саме так у 2026 році поширювалися стілери Remus, ACRStealer, LummaC2 і Vidar.
Як завантажувати безпечно
- Адресу офіційного сайту варто вводити вручну або зберігати в закладках, а не шукати щоразу заново.
- Рекламні позиції у видачі (позначені як «Спонсорований результат») слід пропускати — саме вони є основною поверхнею атаки.
- Блокувальник реклами прибирає не лише банери, а й шкідливі оголошення. Перелік перевірених інструментів наведено в матеріалі «Захист браузера: 6 розширень, які варто встановити».
- Жоден легітимний розробник не публікує інструкцію зі встановлення у вигляді закодованого скрипта, який потрібно вставити в термінал.
4. Фальшиві оновлення програм та компрометація ланцюга поставок
Довіра до оновлень — ресурс, який зловмисники експлуатують системно. З січня 2026 року CERT-UA фіксує розсилки нібито від центральних органів виконавчої влади та обласних адміністрацій із закликом оновити мобільні застосунки широко використовуваних цивільних і військових систем. Активність відстежується за ідентифікатором UAC-0252; серед корисних навантажень — стілери SHADOWSNIFF і SALATSTEALER та бекдор DEAFTICK, розміщені на легітимному сервісі GitHub. У переліку індикаторів компрометації є файл, назва якого імітує офіційне оновлення «Дії».
Про цю кампанію повідомляло й Суспільне: відвідування вразливого сайту призводило до виконання JavaScript-коду й подальшого завантаження виконуваного файлу.
Друга площина цього вектора — компрометація самого ланцюга постачання програмного забезпечення. Червʼяк Shai-Hulud, який самостійно поширювався в екосистемі npm, уразив понад 500 пакетів та збирав облікові дані розробників — про це попереджала CISA. У травні 2026 року Microsoft зафіксувала нову хвилю під назвою Mini Shai-Hulud, яка охопила понад 170 npm-пакетів і 404 шкідливі версії. Для кінцевого користувача це означає, що навіть офіційно завантажений застосунок теоретично може містити сторонній код.
Що з цим робити
- Мобільні застосунки слід оновлювати лише через App Store, Google Play або вбудований механізм оновлення — ніколи за посиланням із листа чи повідомлення.
- Державні органи не розсилають інсталяційні файли електронною поштою і не просять встановити ПЗ із файлообмінників.
- Невідомі виконувані файли безпечніше перевіряти в ізольованому середовищі — наприклад, через Windows Sandbox.
- Розширення .exe у файлі з назвою на кшталт «оновлення» для мобільного застосунку — самодостатня ознака підробки: мобільні програми не оновлюються через виконувані файли Windows.
5. Піратське програмне забезпечення, активатори ліцензій та торренти
Вектор, який не втратив актуальності, але змінив масштаб. Кряки, кейгени й активатори ліцензій залишаються одним із основних каналів доставки інфостілерів: у звітах AhnLab ASEC за травень і червень 2026 року саме ця категорія фігурує як провідний спосіб поширення Remus, ACRStealer, LummaC2 і Vidar.
Аналітики Barracuda у березні 2026 року окремо наголосили на проблемі, специфічній саме для піратського ПЗ: інструкції зі встановлення часто прямо вимагають вимкнути антивірус, а сам факт «злому» ліцензії робить неможливим отримання оновлень безпеки. Пристрій залишається вразливим до відомих експлойтів навіть тоді, коли додаткового шкідливого коду в дистрибутиві не було.
Торренти й файлообмінники самі собою не є шкідливими — вони використовуються для легального розповсюдження ПЗ із відкритим кодом і дистрибутивів Linux. Ризик створює вміст файлу, а не протокол. Показовий приклад — кампанії, приурочені до кінопремʼєр, коли шкідливе ПЗ поширювали під виглядом фільмів, номінованих на «Оскар».
Практичні застереження
- Вимога вимкнути антивірус або додати папку до винятків перед встановленням — універсальний маркер шкідливого дистрибутива.
- Хеш-сума файлу, опублікована на офіційному сайті, дозволяє переконатися, що завантажений дистрибутив не змінено.
- Юридичні та безпекові аспекти детальніше розглянуто в матеріалі «Чи варто використовувати торенти та наскільки вони законні».
6. Шкідливі розширення браузера
Розширення отримують доступ до вмісту сторінок, файлів cookie та активних сесій — тобто до всього, що відбувається у браузері. Це робить їх привабливою мішенню, а офіційні магазини не гарантують безпеки.
У квітні 2026 року дослідники Socket виявили 108 розширень Chrome, які працювали з єдиною інфраструктурою керування та збирали токени Google OAuth і сесії Telegram Web. Загальна кількість встановлень — близько 20 тисяч, а самі розширення видавалися за ігри, перекладачі й утиліти для соцмереж.
Небезпечніший сценарій — так звані «сплячі» розширення. Дослідники Malwarebytes описали набір, який роками поводився бездоганно на понад 4 мільйонах пристроїв, здобув позначки «Рекомендовано» у магазинах Chrome і Edge, а потім отримав шкідливий функціонал через звичайне автоматичне оновлення. Окремою хвилею стали розширення, що імітували ШІ-асистентів і збирали вміст діалогів із чат-ботами.
Гігієна розширень
- Періодичний аудит списку встановлених розширень із видаленням усього, чим не користуються, знижує поверхню атаки більше за будь-який антивірус.
- Дозволи на «читання та зміну даних на всіх сайтах» виправдані для блокувальника реклами, але не для конвертера одиниць чи теми оформлення.
- Перед встановленням репутацію розширення можна перевірити — про відповідні інструменти йдеться в матеріалі «Чи безпечне це розширення для браузера».
- Зайві або підозрілі розширення видаляються за простою інструкцією.
7. USB-накопичувачі та інші фізичні носії
Класичний вектор змістився з масового сегмента у бік цілеспрямованих атак, передусім на промислові та ізольовані від мережі системи. За звітом Honeywell 2025 Cyber Threat Report, кожен четвертий інцидент, який опрацьовувала команда реагування компанії, був повʼязаний із підключенням USB-пристрою.
Сценарій «випадково загубленої флешки» досі працює, але сучасніша загроза — BadUSB: пристрій, що зовні виглядає як накопичувач, а для системи представляється клавіатурою і за секунди «набирає» шкідливі команди. Антивірусна перевірка вмісту тут не допомагає, бо шкідливих файлів на носії немає.
Базові правила
- Знайдений або отриманий у подарунок накопичувач невідомого походження не варто підключати до робочого чи особистого пристрою — жодна перевірка не гарантує безпеки на рівні контролера.
- Для обміну великими файлами безпечніші хмарні сервіси з наскрізним шифруванням.
- Докладніше про цей вектор — у матеріалі «Чим небезпечні невідомі USB-флешки».
Якщо пристрій уже заражено
Більшість сучасних загроз орієнтовані на викрадення облікових даних, тому швидкість реакції важливіша за повноту діагностики.
- Відʼєднати пристрій від мережі — це зупиняє передавання зібраних даних і отримання нових команд.
- Змінити паролі до критичних сервісів з іншого, завідомо чистого пристрою — не з інфікованого.
- Завершити всі активні сесії в облікових записах: викрадені файли cookie дозволяють увійти навіть без пароля та другого фактора.
- Перевірити перелік підключених пристроїв і сеансів у месенджерах та поштових сервісах.
- Виконати повне сканування актуальним антивірусним рішенням. За наявності ознак глибокої компрометації надійнішим варіантом є перевстановлення системи.
Часті запитання
Який спосіб інфікування найпоширеніший у 2026 році?
За даними Microsoft Digital Defense Report 2025, лідирує техніка ClickFix — фейкові CAPTCHA та повідомлення про помилки, які змушують користувача власноруч виконати шкідливу команду. На неї припало 47% зафіксованих випадків первинного доступу проти 35% у класичного фішингу.
Чи захищає антивірус від ClickFix?
Частково. Оскільки команду запускає сам користувач через штатний системний інтерфейс, класична сигнатурна перевірка файлів цей етап не бачить. Спрацювати може поведінковий аналіз на наступних кроках, але основним захистом залишається розпізнавання самої схеми.
Чи безпечно встановлювати розширення з офіційного магазину Chrome?
Присутність у магазині не є гарантією. Розширення можуть роками працювати коректно, а потім отримати шкідливий функціонал через автоматичне оновлення. Значення мають запитувані дозволи, активність розробника та регулярний перегляд списку встановлених доповнень.
Чи є ризик завантажити шкідливе ПЗ через рекламу в пошуку?
Так. Оплачені позиції за брендовими запитами регулярно використовуються для поширення інфостілерів: рекламне оголошення веде на точну копію офіційного сайту. Безпечніше вводити адресу вручну або користуватися збереженою закладкою.
Чи актуальна загроза від USB-накопичувачів?
Для масового користувача вона знизилася, але не зникла. У промислових та ізольованих середовищах USB залишається одним із ключових векторів, а атаки класу BadUSB не виявляються антивірусною перевіркою вмісту носія.
Будь ласка, залиште це поле порожнім
О, привіт
Приємно познайомитися!
Ми не розсилаємо спам! Ознайомтеся з нашою політикою конфіденційності для отримання додаткової інформації.
Перевірте свою поштову скриньку або папку зі спамом, щоб підтвердити підписку.
ТЕГИ:ClickFixUSB-накопичувачсоціальна інженеріяторрентифішингшкідлива рекламашкідливе ПЗПоділитисяFacebookThreadsКопіювати посиланняДрукЩо думаєте?В захваті0Сумно1Смішно0Палає0Овва!0Попередня стаття
Хакери ховають шкідливе ПЗ у плагіні Notepad++: CERT-UA попереджає про нову тактику UAC-0099Наступна стаття
Як вимкнути «Спогади» та сповіщення про них на iPhone
В тренді
Як очистити кеш на компʼютері з Windows 11: усі способи для ПК і ноутбука
19.08.2026
Чи безпечно заряджати смартфон зарядним пристроєм від ноутбука
24.08.2026
GrapheneOS вийде за межі Pixel: смартфони Motorola отримають підтримку з 2027 року
25.08.2026
Як зменшити залежність від Google: що справді працює у 2026 році
25.08.2026
Безпека Telegram-бота: як захистити токен, сервер і дані користувачів
25.08.2026
Новини
Російські хакери зламують акаунти через OAuth і привʼязку пристроїв у WhatsApp
21.08.2026
Кібербезпека
ШІ визначає місце зйомки фото у 9 випадках із 10 — і шахраї вже будують на цьому фішинг
17.08.2026
Кібербезпека
Сотні повідомлень за хвилину: що таке SMS-бомбінг і як від нього захиститися
13.08.2026
Кібербезпека
Microsoft: російські хакери зламують Wi-Fi у готелях, щоб красти корпоративні паролі
04.08.2026