Украина заняла первое место в Европе и третье в мире среди стран, пользователи и организации которых чаще всего подвергались воздействию киберугроз в первой половине 2026 года. На этом фоне CERT-UA сообщила о новой кампании по распространению вредоносного программного обеспечения через взломанные сайты.
По данным Microsoft Digital Defense Report 2026, на Украину пришлось 4,8% зафиксированного в мире воздействия киберугроз. Выше оказались только США и Израиль.
Украина также остается одной из главных целей российских государственных хакерских группировок. На нее пришлось 14% зафиксированной Microsoft активности таких злоумышленников. Больше атак они направляли только против США – 21%.
Более 100 сайтов взломали для распространения вредоносного ПО
Один из актуальных примеров таких угроз зафиксировала украинская команда CERT-UA. Речь идет о кампании группировки, которую отслеживают под идентификатором UAC-0277.
Злоумышленники используют технику ClickFix: заражают легитимные сайты, добавляя на них вредоносный JavaScript-код, а затем пытаются убедить посетителей самостоятельно запустить команду для установки вредоносного ПО.
Только в сентябре 2026 года CERT-UA обнаружила более 100 скомпрометированных веб-ресурсов, которые использовались в этой схеме.
Пользователю показывают страницу, имитирующую проверку безопасности Cloudflare с сообщением «Я не робот». Затем ему предлагают скопировать и выполнить определенную команду. После ее запуска на компьютер загружается вредоносное программное обеспечение.
Атака рассчитана на пользователей Windows. Поддельная проверка появляется у тех, кто перешел на зараженный сайт из поисковых систем, среди которых CERT-UA называет Google, DuckDuckGo, meta.ua и bigmir.net. Чтобы не привлекать лишнего внимания, одному пользователю вредоносную страницу показывают не чаще двух раз в течение 12 часов.
Что происходит после заражения
Схема не ограничивается загрузкой одного вредоносного файла. CERT-UA установила, что злоумышленники используют LUNEXSTEALER, маскируют вредоносные компоненты под легитимные файлы и задействуют уязвимые системные драйверы Windows для обхода защиты.
Для управления частью инфраструктуры атаки используются блокчейн-сети Polygon и Ethereum. Это позволяет злоумышленникам изменять параметры своей инфраструктуры без использования традиционных централизованных механизмов.
После заражения в браузере также может появиться вредоносное расширение под названием «Microsoft Office Word Editor». По данным CERT-UA, оно предназначено для кражи логинов, паролей и истории просмотров, а также может использоваться для удаленного управления компьютером.
ClickFix становится все более распространенным
Кампания, обнаруженная в Украине, вписывается в гораздо более широкую тенденцию.
Microsoft в своем отчете за 2026 год также обращает внимание на стремительное распространение ClickFix. Только с февраля до начала мая Microsoft Defender зафиксировал выполнение команд, предоставленных злоумышленниками в рамках этой схемы, более чем на 1,1 млн уникальных устройств. Это примерно в восемь раз больше, чем ранее.
Растет и роль фишинга. По данным Microsoft, в 2026 году он использовался в качестве первоначального способа проникновения в 23% зафиксированных случаев против 7% годом ранее.
Фактически злоумышленникам все чаще не приходится самостоятельно преодолевать техническую защиту системы. Их задача – убедить пользователя открыть ссылку, передать учетные данные или, как в случае с ClickFix, собственноручно выполнить нужную команду.
Государственный сектор атакуют чаще всего
Больше всего киберугроз в 2026 году Microsoft зафиксировала в отношении государственных учреждений и сервисов. На них пришлось 27% наблюдаемой активности – против 17% в 2025 году.
На втором месте оказался сектор информационных технологий с долей 17%, на третьем – научные и образовательные учреждения с 14%.
Государственные структуры остаются привлекательной целью из-за доступа к конфиденциальной информации и критически важным сервисам. Кроме того, атака на одну организацию может затронуть связанные с ней учреждения, подрядчиков и поставщиков технологий.
Искусственный интеллект ускоряет атаки
Отдельное внимание Microsoft уделяет искусственному интеллекту. Его использование позволяет быстрее находить уязвимости, масштабировать атаки и автоматизировать часть работы, которая раньше требовала значительно больше времени.
По данным компании, промежуток между обнаружением уязвимости и началом ее активного использования злоумышленниками в отдельных случаях уже может составлять значительно меньше 24 часов.
Параллельно быстро увеличивается количество самих уязвимостей. За первое полугодие 2026 года было опубликовано почти 40 тысяч CVE. Microsoft прогнозирует, что по итогам года их количество может достичь рекордных 72 тысяч.
Увеличилась и продолжительность скрытого присутствия злоумышленников в системах. В нескольких секторах в 2026 году вырос промежуток времени между получением доступа и моментом, когда атаку обнаруживают и блокируют. В то же время после обнаружения вторжения организации стали реагировать быстрее.
О масштабе угроз свидетельствует и объем данных, которые обрабатывает сама Microsoft. Компания анализирует более 165 трлн сигналов безопасности в сутки, ежедневно блокирует около 4,7 млн новых вредоносных файлов и проверяет в среднем 5,2 млрд электронных писем на наличие вредоносного контента и фишинга.
Как не стать жертвой поддельной проверки «Я не робот»
CERT-UA подчеркивает: настоящая CAPTCHA или проверка Cloudflare не требует от пользователя нажимать Win+R, открывать командную строку или PowerShell, а также копировать и запускать команды в Windows.
Если сайт просит выполнить такие действия, страницу необходимо закрыть – даже если сам ресурс знаком пользователю. Сайт мог быть взломан без ведома его владельца.
Администраторам CERT-UA рекомендует ограничить для обычных пользователей возможность запускать окно «Выполнить», запретить установку MSI-пакетов без прав администратора, включить Microsoft Vulnerable Driver Blocklist и разрешить установку только проверенных браузерных расширений.
Владельцам сайтов, обнаружившим признаки компрометации, CERT-UA рекомендует обращаться в ее команду реагирования.
