Чому антивірус може пропустити шкідливий файл: нове попередження про «криптери»

Зелена позначка антивіруса не гарантує, що завантажений файл безпечний. Австралійський Cyber Security Centre опублікував 8 вересня 2026 року пояснення про «криптери» — інструменти, які перетворюють уже відоме шкідливе ПЗ на новий файл, складніший для виявлення. Це не назва конкретного вірусу і не нова магічна атака. Йдеться про послугу, завдяки якій злочинцям не обов’язково самим писати складний код для обходу захисту.

Що саме змінюється у файлі

Звичайний антивірус часто шукає відомі ознаки: фрагменти коду, структуру файлу, репутацію джерела або характерну поведінку. Коли така ознака стає відомою, захисні сервіси швидко діляться нею з іншими. «Криптер» робить інше: шифрує чи заплутує вміст, змінює форму виконуваного файлу, додає невеликі оболонки й іноді намагається помітити, що працює у віртуальній машині дослідника. Усередині небезпечне навантаження може залишитися тим самим, але його «відбиток пальця» для перевірки уже інший.

У схемі ACSC цей процес має дві частини. Builder готує модифікований файл, а невеликий stub запускається першим і відновлює початкове навантаження під час виконання. Тому перевірка файлу до запуску й аналіз того, що він робить після запуску, можуть дати різні результати. Слова «повністю невиявний» часто трапляються в рекламі злочинних сервісів, але це їхнє твердження, а не доказ: поведінковий захист, контроль запуску й ретельне дослідження все одно здатні помічати підозрілі дії.

Чому це стало окремим бізнесом

Після створення нового файлу злочинці можуть перевіряти його через власні «контр-антивірусні» сервіси. Такі майданчики показують, чи реагують популярні засоби захисту, але не розсилають зразок у відкриті бази загроз. Якщо один антивірус спрацював, файл переробляють знову. У звіті ACSC описано абонентську оплату, одноразові замовлення та автоматизовані канали продажу; це зменшує поріг входу для тих, хто купив шкідливе ПЗ, але не вміє маскувати його сам.

Для оборони проблема не лише в одному пропущеному вкладенні. Поки компанія навчила свої системи розпізнавати певний зразок, його можуть перетворити на десятки нових варіантів. Індикатор конкретного файлу швидко старіє. Тому гонитва за контрольними сумами без спостереження за поведінкою процесів може давати хибне відчуття захищеності. Це особливо стосується комп’ютерів, на яких працівники відкривають вкладення, встановлюють застосунки або мають доступ до важливих робочих даних.

Що робити користувачу й організації

Для звичайної людини найкращий захист починається ще до сканування: не запускати вкладення з несподіваних листів, завантажувати програми з офіційних джерел, перевіряти адресу відправника й не довіряти файлу лише через правдоподібну іконку. Оновлення системи та застосунків залишаються важливими, бо шкідливий код нерідко використовує вже виправлені вразливості. Якщо файл справді необхідний для роботи, а походження сумнівне, краще підтвердити запит через окремий канал зв’язку з відправником.

Для компаній ACSC радить багатошаровий підхід: обмежити, які програми можна запускати на робочих станціях і серверах, використовувати EDR або інший поведінковий моніторинг, увімкнути евристичну перевірку та захист від ransomware, регулярно оновлювати сигнатури й перевіряти повні диски. Практичний акцент — спостерігати за підозрілими діями в пам’яті та незвичним запуском дочірніх процесів, а не покладатися виключно на вигляд файлу на диску. Жоден окремий продукт не дає стовідсоткової гарантії; рішення слід перевіряти на власній інфраструктурі.

Це редакційний переклад-переказ попередження ACSC, а не повідомлення про конкретний новий вірус чи атаку в Україні. Оригінальні схеми й текст джерела доступні за CC BY 4.0; схему рекламного оголошення з даркнету не перенесено через невизначені права стороннього вмісту.