Антивирусная правДА!TM

5 марта 2026

Стремительное развитие компьютерных технологий уже давно воспринимается как естественный порядок вещей: за десятилетия прогресса мы привыкли к геометрическому росту производительности устройств и функциональности программ, к появлению сервисов на все случаи жизни, приняли цифровой симбиоз, который сделал наш быт удобнее. Но у всего есть обратная сторона, и сфера информационной безопасности ярко демонстрировала, как новые возможности несут в себе и новые угрозы. Так было всегда — от появления глобального интернета до развития виртуальных метавселенных. Сейчас внимание сообщества приковано к нейросетевым алгоритмам и ИИ-моделям, к их глобальному влиянию на индустрию и на принципы защиты информации в частности. СМИ тиражируют «тектонический сдвиг» в технологиях, которые меняют правила игры для всех — разработчиков, корпораций, пользователей и, конечно, злоумышленников. Нейросети обрели двойственную природу: они рассматриваются одновременно и как лекарство от всего, и как цифровое «оружие массового поражения». Часто такой дискурс несет в себе опасный посыл: у простого пользователя может сложиться впечатление, что от него уже ничего не зависит. ИИ защитит. В противном случае от ИИ невозможно защититься. В сегодняшнем выпуске «Антивирусной правды» мы предлагаем обсудить наиболее актуальные угрозы с учетом «новых реалий», а заодно выяснить, действительно ли мы стоим на пороге новой парадигмы, где человек уже не главный.

Старые угрозы и новые векторы

В одном из прошлых выпусков, который был посвящен использованию ПК без антивируса, мы уже рассуждали о типичных рисках, с которыми сталкивается среднестатистический пользователь. Правда в том, что, несмотря на видимый технологический прогресс, эти известные сценарии и методы заражения остаются актуальными и по сей день. Вредоносные программы самых различных видов и модификаций — от скриптов до шифровальщиков — продолжают отлично себя чувствовать в сети, маскируясь под легитимное или полезное ПО. Большинство из них по-прежнему представляют собой троянские программы, которые пользователь по незнанию запускает собственноручно. Этот подход работал 20 лет назад, работает он и сейчас, так как с точки зрения вирусописателей он является наиболее технически оправданным для первичного заражения среды ОС Windows (с поправкой на невнимательность пользователя). Разумеется, за годы совершенствовались встроенные системы защиты. Так, Windows никогда не даст запустить неподписанный файл без вывода соответствующего уведомления или даже попытки блокировки исполнения. Но кого останавливают эти ограничения, если они обходятся в два клика, а пользователю нужен запуск «здесь и сейчас»?

К сожалению, описанный выше «простой» сценарий касается не только случайных домашних устройств. Подобным образом начинались и серьезные атаки на корпоративный сектор. На первом этапе главной целью злоумышленников всегда является именно эксплуатация точки входа — первичное заражение. А дальше запущенный троян уже действует в зависимости от заложенной в нем функциональности. Часто он является лишь загрузчиком для других, более сложных модулей, которые и выполняют основные деструктивные действия: например, сбор, кражу или уничтожение данных.

В наших выпусках мы часто рекомендуем загружать программы только из официальных источников. Это важное правило безопасности призвано минимизировать вышеописанные риски. Однако у вредоносного ПО есть и другие способы попасть на устройство. Иногда злоумышленникам удается скомпрометировать компанию-разработчика ПО и с очередным обновлением внедрить вредоносный код или уязвимость в легитимный и подписанный файл. Этот метод называется атакой на цепочку поставок. Каждый такой случай, если он становится известен, широко освещается в СМИ, а разработчики стараются оперативно исправить ситуацию. Но даже если это относительно редкое событие, само существование такого метода означает ненулевые риски при загрузке официальных программ. Строго говоря, валидная цифровая подпись не гарантирует, что файл абсолютно «белый» и безопасный. Она лишь верифицирует отправителя этого файла.

Но вернемся к сценариям, с которыми пользователь сталкивается ежедневно. Вирусописатели стараются сделать так, чтобы вредоносная программа работала не только эффективно, но и незаметно. Ярким примером являются современные модификации майнеров. Их отличительная черта — это соблюдение режима тишины, что затрудняет их самостоятельное обнаружение. Злоумышленники поняли: чтобы майнить долго, нужно не мешать пользователю жить. Поэтому в процессе майнинга программа использует ресурсы ПК контролируемо и динамически управляет нагрузкой. Сейчас они сосредоточены на добыче Monero и других монет с низким порогом входа, которые могут принести быстрые деньги. Зараженные устройства образуют ботнеты — распределенные вычислительные сети, работающие на прибыль своих создателей. Такие майнеры существуют как в виде классических троянов, так и в виде вредоносных скриптов на сайтах или браузерных расширений.

За последние годы под влиянием массовой цифровизации изменились не столько методы взлома, сколько приоритеты злоумышленников. Сейчас куда большую ценность представляет захват цифровой личности пользователя, а не контроль над отдельно взятым устройством. Яркий пример — широкое распространение троянов-инфостилеров. Эти вредоносные программы нацелены на кражу сессионных куки-файлов и учетных данных, сохраненных в браузере. Получив их, хакер может авторизоваться в чужих аккаунтах на своем устройстве, обходя даже двухфакторную аутентификацию, что ведет к потере доступа к почте, соцсетям и банковским сервисам. Значительную опасность представляет не взлом отдельного взятого сервиса, а большой риск лавинообразного эффекта. Так, один скомпрометированный аккаунт (например, основная почта) по цепочке открывает злоумышленникам доступ ко всей цифровой жизни человека — от Госуслуг до рабочих корпоративных чатов. Кроме того, украденный набор данных пользователя часто становится ходовым товаром в даркнете, где их перепродают для дальнейшего шантажа или подготовки новых атак.

Следует отметить, что киберпреступники — это прагматики, которые всегда стараются быть на гребне волны, поэтому любая свежая технология или новый канал связи мгновенно превращаются в их рабочий инструмент. Сейчас мы находимся в том периоде, когда они активно комбинируют традиционные, проверенные каналы распространения вредоносного ПО с новыми техническими возможностями. Фишинг посредством электронной почты и мессенджеров, поддельные сайты с зараженными программами, сетевые уязвимости и слабая защита устройств — все это будет использоваться до тех пор, пока это приносит результат.

Фишинг 2.0 и нейросети

Фишинг всегда был краеугольным камнем киберпреступности, так как по сути в ее основе лежит банальный обман. Обман заложен в концепцию троянских программ, поддельных сообщений и сайтов, паразитного майнинга и цифрового вымогательства. Зачем писать сложнейший код и использовать многомодульное вредоносное ПО для заражения, если можно заставить пользователя отдать нужную информацию «добровольно»? Современные технологии позволяют злоумышленникам кратно повышать свои шансы на успех. Так, за последние годы качественный скачок получил именно фишинг.

Вместо банального спама, рассылаемого случайным образом, мошенники все чаще действуют таргетированно. В этом им помогают упомянутые выше нейросети, автоматизация и комбинирование методов. Например, если раньше фишинговый сайт или сообщение часто выдавало обилие ошибок и небрежное исполнение, то сейчас ИИ достаточно эффективно исключает этот недостаток. Языковые модели пишут тексты на любом языке с идеальной грамотностью, соблюдают деловой этикет или имитируют стиль конкретного бренда. Ситуацию усугубляют Deepfake-технологии, которые уже на достаточно высоком уровне имитируют голос и создают нужный видеоряд с изображением произвольного человека. Наконец, ключевой особенностью стала омниканальность целевого фишинга: мошенники не ограничиваются почтой, а задействуют сразу несколько каналов связи в несколько этапов. Например, сначала пишут в социальной сети, затем в мессенджер и завершают «официальным» письмом на почту, которое уже и содержит вредоносное вложение или поддельную форму авторизации для кражи данных. В таких условиях, когда ИИ способен быстро «переваривать» огромный объем данных, это значительно упрощает задачи киберпреступников — обман становится более эффективным.

Нейросети в руках злоумышленников — это не только «грамотные тексты». ИИ стал очередным мощным инструментом в вечной борьбе между киберпреступниками и специалистами по компьютерной безопасности. Сейчас публицисты часто пишут об ИИ-полиморфизме — технологии, позволяющей нейросети на лету переписывать вредоносный код программы, что делает традиционный сигнатурный анализ практически бесполезным для обнаружения. Это действительно так, но мы лишь заметим, что сама технология полиморфизма известна уже более тридцати лет. Еще на заре массового вирусописательства люди, стоявшие у истоков антивируса Dr.Web, успешно внедрили алгоритмы расшифровки и эмуляции для борьбы с этой угрозой. Однако сегодня, благодаря нейросетям, полиморфизм переживает своеобразное перерождение. Если классические методы ограничивались простой перетасовкой команд или шифрованием, то современные ИИ-модели способны полностью переписывать логику программы, делая каждый новый экземпляр программы уникальным в контексте анализа.

Таким образом, ИИ используется для количественного улучшения функциональности троянов: от автоматизации поиска уязвимостей до расширения средств заражения и маскировки. Почему именно количественного? Дело в том, что ИИ-модели пока еще не способны изобретать принципиально новые методы атак или принимать решения, которые выходят за рамки данных из обучающей выборки. Они работают как колоссальный справочник, выполняя «грязную» работу невероятно быстро и эффективно. И здесь мы вплотную подходим к главному подвоху тиражируемой повестки, которая наделяет нейросети абсолютным могуществом. На наш взгляд актуальная вирусная обстановка означает ровно противоположное: именно пользователю отводится главная роль в обеспечении безопасности.

В конечном итоге, каким бы «умным» ни казался вирус или троян, ему все равно нужен проводник в вашу систему. ИИ может написать идеальное письмо или до неузнаваемости перетасовать код, но он не может заразить систему по волшебству. Мы не стоим на пороге цифрового апокалипсиса, где человек бессилен перед мощью нейросетей; мы лишь вступили в фазу, когда цена ошибки стала выше, а методы обмана — изощреннее. Информационная безопасность сегодня — это не просто битва программных продуктов с «ИИ на борту», а состязание в бдительности. Впрочем, так было всегда, поменялись лишь средства. Лучшая защита осталась прежней — это симбиоз надежного антивирусного ПО и критического мышления. Помните: самый эффективный «алгоритм обнаружения» по-прежнему находится в вашей голове.