/ BLOG
Атака починається не з вразливості. Огляд кіберзагроз за липень 2026
У липні 2026 року російські державні угруповання дедалі менше покладалися на пошук технічних прогалин у периметрі захисту. Натомість хакери змістили фокус на маніпуляції: вони змушують користувачів власноруч виконувати шкідливий код або ж отримують доступ до системи під час звичайного перегляду пошти — без жодних посилань чи вкладень. За такого сценарію класичний патчинг безсилий, а захисні системи не отримують об’єкта для відправлення в карантин.
Нові дані Threat Intelligence від SOC-команди IT Specialist та статистика Держспецзв’язку підтверджують цей зсув у тактиці ворога. Тільки за перше півріччя 2026 року в Держспецзв’язку опрацювали 248 кіберінцидентів і понад 141,5 мільйона подій безпеки. У результаті перевірки 85 організацій було виявлено 1700 вразливостей. Основні чинники їх виникнення — несвоєчасне оновлення ПЗ і помилки конфігурації.
Шлях усередину мережі найчастіше відкриває нехтування базовою безпекою в поєднанні з людським чинником. Розберемо три ключові кампанії звіту Threat Intelligence та з’ясуємо, які заходи справді здатні їм протидіяти.
Зловмисники перестали ламати периметр і почали його обходити
Хоча виконавці та цілі липневих атак відрізнялися, аналітики фіксують спільну тенденцію в їхній тактиці. Зловмисники системно переглядають підходи до компрометації та роблять ставку на методи, проти яких класичні засоби захисту виявляються малоефективними.
Аналіз липневих інцидентів показує чотири ключові зміни в тактиці хакерів:
● Отримання доступу без експлойтів. Користувача переконують виконати команду власноруч або ж шкідливий код спрацьовує автоматично під час перегляду листа.
● Перенесення командних серверів (C2) у неконтрольоване середовище. Адреси C2 розміщують у смартконтрактах Ethereum, які неможливо вилучити, та в легітимних хмарних сервісах, які бізнес не може заблокувати повністю.
● Закріплення присутності поза робочою станцією. Доступ фіксують на поштовому сервері та в сховищах браузера, тому перевстановлення ОС вже не гарантує усунення проблеми.
● Перехід від шпигунства до руйнування. Отриманий доступ дедалі частіше використовують не лише для збору інформації — у липні одна з таких атак на центральний орган виконавчої влади переросла в деструктивну.
Кожен із цих підходів послідовно руйнує звичні сценарії реагування — від оновлення ПЗ і блокування доменів до зміни паролів. Далі розберемо, як саме ці техніки спрацювали в конкретних кампаніях місяця.
ClickFix — атака, у якій шкідливу команду запускає сама жертва
Зміна тактики хакерів найпомітніше проявилася в липневій кампанії угруповання UAC-0145 (підрозділ Sandworm / APT44, пов’язаний із ГРУ). Для отримання початкового доступу зловмисники використали техніку ClickFix, яка взагалі не потребує наявності вразливостей на пристрої користувача.
Схема атаки: як фейкова перевірка змушує запустити код
Сценарій побудований на психологічному маніпулюванні та не викликає підозр:
1. Візит на легітимний ресурс. Користувач заходить на перевірений сайт, де хакери заздалегідь розмістили прихований шкідливий скрипт. Потрапляють вони туди через застарілі системи керування сайтом, викрадені паролі адміністраторів або вразливі плагіни.
2. Фейкова перевірка. Замість контенту з’являється вікно «Я не робот», стилізоване під звичні інтерфейси Google або Cloudflare.
3. Перехоплення буфера обміну. Скрипт непомітно копіює шкідливий рядок у буфер обміну.
4. Самостійне виконання. Інструкція пропонує підтвердити перевірку: відкрити вікно запуску (Win+R) і вставити скопійований код.
Команда виконується з правами користувача, а шкідливе навантаження розгортається в оперативній пам’яті без збереження файлів на диску. Сервіс маскування показує підробку лише цільовим відвідувачам, тож власники сайтів довго не помічають компрометації. За червень–липень 2026 року виявлено понад 10 таких пасток.
Ключове правило безпеки тут просте — жоден легітимний сервіс чи CAPTCHA ніколи не просить відкривати командний рядок і щось туди вставляти.
Що відбувається в системі після виконання шкідливої команди?
Вставлений рядок лише ініціює ланцюг компрометації. Одразу після цього на пристрої послідовно розгортаються розвідувальний скрипт, модулі завантаження (один із яких маскується під утиліту видалення антивірусу) та Python-бекдор для тривалого контролю. Для закріплення в системі шкідливе ПЗ додає себе в теку автозавантаження.
Далі зловмисники просуваються внутрішньою мережею через OpenSSH і Tor, налаштовуючи тунелювання портів для віддаленого доступу та передачі файлів. Окремі модулі автоматично викрадають історію листування з месенджерів Signal і WhatsApp.
Паралельно атака поширюється й на мобільні пристрої. Шкідливий застосунок COWARDDUCK розповсюджується через месенджери під виглядом антивірусу, збираючи контакти, документи та геолокацію в реальному часі. Для військових і держслужбовців таке стеження загрожує не лише витоком даних, а й потенційно кінетичними наслідками.
Технологія EtherHiding: як зловмисники приховують мережевий трафік?
Адреси командного сервера (C2) немає ні в коді вебсторінки, ні у шкідливих файлах. Інжект зчитує актуальні дані безпосередньо зі смартконтракту Ethereum через звичайні публічні запити. Цю технологію називають EtherHiding.
Різниця з класичною інфраструктурою принципова: звичайний домен чи IP-адресу можна заблокувати, тоді як запис у публічному блокчейні вилучити неможливо. Операторам атаки достатньо оновити дані в смартконтракті, щоб усі заражені пристрої підхопили нову адресу C2.
Аналогічно хакери використовують і легітимні хмарні майданчики: викрадені дані вивантажують через Dropbox, а команди зараженим смартфонам надсилають зі спільноти Steam. Серед інших задіяних платформ — Telegram і Cloudflare. Повністю заблокувати ці сервіси бізнес не може, тому єдиний вихід — профілювати мережевий трафік і відстежувати, який саме обмін даними з цими сервісами є типовим для вашої компанії.
LAUNDRY BEAR отримує доступ до пошти в момент, коли ви відкриваєте лист
Якщо техніка ClickFix потребує від людини хоча б однієї дії, то наступна масштабна кампанія липня відбувається взагалі без участі жертви. 23 липня кіберагенції та спецслужби 15 країн, серед них NCSC, CISA, NSA та FBI, випустили спільне застереження щодо угруповання LAUNDRY BEAR (CERT-UA: UAC-0190).
Жертвами шпигунської кампанії вже стали понад 10 організацій урядового, оборонного, енергетичного, освітнього та медійного секторів.
Чотири місяці в статусі zero-day: як Zimbra стала зброєю хакерів
Атака будувалася на вразливості CVE-2025-66376 у класичному вебінтерфейсі Zimbra (Classic UI). Вона дозволяла вбудувати в лист шкідливий код, який виконувався автоматично під час відкриття повідомлення в контексті активної сесії користувача. Для компрометації не потрібно було переходити за посиланнями чи завантажувати файли — це класичний сценарій zero-click (атака без взаємодії).
Звичайний перегляд листа спричиняв витік листування за кілька місяців, адресної книги, збережених у браузері паролів і кодів двофакторної автентифікації.
Головний ризик цієї кампанії — приховане закріплення в системі. Шкідливий скрипт створював застосунковий пароль із назвою ZimbraWeb і вмикав доступ IMAP. Оскільки такий пароль є окремим ключем доступу, його дія зберігається навіть після зміни основного пароля користувача. Тому ні встановлення патча, ні ротація облікових даних не виселяють хакерів — для очищення необхідне повне скасування всіх застосункових паролів і скидання активних сесій.
Хронологія загрози вражає:
● Вразливість експлуатували як zero-day щонайменше з липня 2025 року.
● Розробники випустили виправлення лише 6 листопада 2025 року (ZCS 10.0.18 та 10.1.13).
● До каталогу активно експлуатованих вразливостей CISA KEV її додали лише 18 березня 2026 року.
Чотири місяці захисту від цієї загрози не існувало, а надалі оновлення поштових систем тривалий час залишалося поза увагою багатьох організацій.
Нова загроза для Outlook Web Access — zero-click імплант OWAReaper
Наприкінці липня аналітики Proofpoint виявили розвиток цієї ж кампанії. З 22 липня угруповання змінило фокус на вразливість CVE-2026-42897 (CVSS 8.1) у вебінтерфейсі Microsoft Outlook (OWA). Листи з буденними темами не містили вкладень чи посилань, але код спрацьовував під час відображення повідомлення. Одночасно новий імплант OWAReaper непомітно переписував листи на сервері, ліквідуючи сліди свого проникнення.
У цій хвилі хакери змістили закріплення безпосередньо на серверний бік:
● надавали стандартному обліковому запису Default права власника на всі поштові теки;
● викрадали OAuth-токени надбудов Outlook із дозволами на читання й запис;
● зберігали копію коду в локальних сховищах браузера.
Керували імплантом навіть через легітимний сервіс GitHub — так команди зловмисників маскувалися під звичайний мережевий трафік. Через таке закріплення ані зміна паролів, ані перевстановлення операційної системи на ПК користувача не скасовували доступ хакерів — відновлювати безпеку доводилося виключно на поштовому сервері Exchange. Інфраструктуру під цю хвилю підготували ще в березні 2026 року (за два місяці до публічного розкриття вразливості), а атаки тривали щонайменше з травня.
Від українських установ до країн НАТО: масштаб застосування атак на електронну пошту
Україна стала першою мішенню для відпрацювання цих методів. Ще в січні 2026 року компанія Seqrite задокументувала операцію GhostMail проти української установи морської та гідрометеорологічної сфери, у якій зловмисники використали ту саму вразливість Zimbra. Із середнім рівнем впевненості дослідники пов’язують цю атаку з угрупованням APT28.
У британському NCSC підкреслюють: російські державні угруповання спочатку випробовують zero-click методики на українських організаціях, а вже потім масштабують їх на країни ЄС і НАТО.
Вразливості липня, які потребують уваги вже зараз
Не всі атаки липня вимагали нових експлойтів — ворог активно використовував софт, якому в організаціях довіряють роками.
DLL side-loading: як легітимний Notepad++ виконує чужий код
Яскравий приклад — липнева кампанія UAC-0099 проти оборонно-промислового комплексу, Сил оборони та урядових структур. Вектором атаки слугував стандартний фішинговий лист із картинкою-приманкою. Натиснувши на неї, жертва переходила за скороченим посиланням на файлообмінник і сама завантажувала звідти архів зі шкідливим скриптом, замаскованим під PDF-документ.
Далі зловмисники застосували техніку DLL side-loading (підміна службових бібліотек). На пристрій завантажувалася офіційна версія текстового редактора Notepad++ (8.8.3), але в його папку підкидали модифіковану бібліотеку — дослідники назвали її LUNCHPOKE.
Під час запуску програма спершу розпаковувала захищений паролем архів, вміст якого антивірус не міг перевірити, а потім виконувала шкідливий код — система сприймала це як звичайну роботу довіреного редактора. Закріплення забезпечувало заплановане завдання, яке спрацьовувало кожні три хвилини — такий інтервал майже ніколи не буває легітимним.
Отже, оновлення звичних утиліт (Notepad++, WinRAR, 7-Zip) — питання безпеки периметра, а не лише зручності роботи.
Топ-вразливості місяця, які варто закрити першочергово
Аналітики SOC відзначають, що більшість реальних ризиків створюють вразливості, для яких уже є офіційні виправлення.
Вразливості, які потребують першочергового усунення:
CVE | Продукт | CVSS | Поточний статус | Першочергова дія |
CVE-2025-66376 | Zimbra Collaboration (Classic UI) | 6.1 / 7.2 | У CISA KEV з 18.03.2026, була zero-day з 07.2025 | Оновити до ZCS 10.1.20, анулювати всі застосункові паролі |
CVE-2025-8088 | WinRAR для Windows | 8.8 | У CISA KEV з 12.08.2025, оновлення рекомендує CERT-UA | Оновити до WinRAR 7.13 або новішої версії |
CVE-2026-21509 | Microsoft Office | 7.8 | У CISA KEV з 26.01.2026, активно експлуатує APT28 (UAC-0001) | Встановити патч Microsoft, заблокувати зовнішні звернення WebDAV |
CVE-2026-42897 | Microsoft Exchange та OWA | 8.1 | Активна експлуатація з 22.07.2026, в атаках із травня 2026 | Оновити Exchange, перевірити права Default на теках і надбудови Outlook |
Прогноз розвитку загроз на серпень 2026 року
На основі виявлених трендів аналітики SOC виділяють такі ключові ризики на найближчий місяць:
● Поширення ClickFix на бізнес і медіа. Техніка не потребує точного таргетингу, тому хакерам достатньо наявного трафіку на скомпрометованих сайтах.
● Зростання кількості зламаних українських сайтів як точок доставки. Найбільше ризикують компанії, чиї зовнішні сайти працюють на поширених системах керування контентом.
● Поширення прихованих командних серверів серед інших груп. Цю технологію вже застосовують не лише державні угруповання, а й зловмисники, які атакують заради отримання прибутку.
● Нові знахідки в корпоративній пошті. З огляду на довге вікно експлуатації Zimbra та Outlook без патчів, частина давніх проникнень усе ще залишається незадокументованою.
Шість першочергових кроків для захисту інфраструктури
Нейтралізація липневих загроз вимагає перегляду базових підходів до безпеки. Замість хаотичного закриття всіх вразливостей варто зосередитися на шести напрямах, які перекривають більшість актуальних сценаріїв атак:
● Оновлення ПЗ із зачисткою доступів. Необхідно встановити виправлення для Zimbra (до ZCS 10.1.20), WinRAR (7.13+), MS Office та Exchange. Для пошти самого патча замало — слід обов’язково скасувати застосункові паролі та скинути активні сесії. Варто також регулярно сканувати інфраструктуру на застарілі версії програм і помилки в налаштуваннях — саме вони, а не складні нові атаки, створюють більшість реальних ризиків.
● Обмеження системних команд. Заборонити запуск PowerShell, wscript та mshta для звичайних користувачів — саме ці інструменти хакери використовують у схемах ClickFix. Для виявлення атаки варто відстежувати гілку реєстру RunMRU і запуск powershell.exe з батьківським процесом explorer.exe.
● Контроль вихідного трафіку. Зафіксувати нормальний профіль мережі компанії. Це дозволить вчасно помітити аномальні звернення до блокчейну (Ethereum RPC), Dropbox API, Steam чи Cloudflare.
● Захищена автентифікація. Перейти на стійку до фішингу MFA (FIDO2 або WebAuthn), провести інвентаризацію виданих застосункових паролів і токенів та перевірити, чи не ввімкнено сторонній IMAP/POP3-доступ. Сюди ж належить контроль мобільних пристроїв — заборона встановлення застосунків поза офіційними магазинами.
● Серверна перевірка пошти. У разі підозри на компрометацію недостатньо лише змінити паролі — потрібно звірити права на теки Exchange, перевірити видані застосункам дозволи та локальні дані браузера, які не зникають після звичайного очищення кешу.
● Аудит власних сайтів. Регулярно перевіряти CMS і плагіни. Сайт, помічений у кампанії ClickFix, слід вважати повністю скомпрометованим і ретельно очистити.
Виконання цих кроків дозволяє перекрити ключові шляхи проникнення та відновити контроль над безпекою корпоративної мережі.
IT Specialist — моніторинг, реагування та аналітика загроз
Сучасні кібератаки більше не залишають часу на роздуми, а класичний кіберзахист швидко втрачає дієвість. Для безпеки бізнесу потрібне не лише оновлення софту, а й постійний контроль мережі.
Як системний інтегратор, IT Specialist допомагає проводити аудит захищеності, налаштовувати поведінковий моніторинг трафіку та будувати ефективну систему реагування на загрози. Ми супроводжуємо клієнтів на всіх етапах — від первинної оцінки ризиків і виявлення прихованих компрометацій до розслідування складних інцидентів.
Захистіть свій бізнес від складних загроз уже сьогодні — залишайте заявку фахівцям IT Specialist на консультацію.