ESET: ClickFix, ИИ-угрозы и более 100 EDR-киллеров меняют ландшафт кибератак

ConsentFix — метод, который вовсе не требует от пользователя копирования команд. Он использует стандартную процедуру авторизации OAuth 2.0 для получения постоянного доступа к облачным учетным записям жертвы (например, Microsoft). Компрометация происходит без вредоносного ПО ^R. Кроме того, в первом квартале 2026 года были зафиксированы атаки AI-fix, нацеленные на процесс регистрации пользователей в различных AI-инструментах ^R.

Анализ примерно 3 000 «живых» полезных нагрузок ClickFix, проведенный Threadlinqs Intelligence, показал, что серверы злоумышленников генерируют свежеобфусцированные команды PowerShell, используя Base64, AES, TripleDES, Rijndael и сжатие Deflate ^I.

Искусственный интеллект на службе у киберпреступников: более 3 000 вредоносных AI-скиллов и PromptSpy

Вредоносные AI-скиллы / Agentic Skills — новый и стремительно растущий класс угроз. Согласно данным ESET, которые приводит газета El País (8 июля 2026 года), всего за два месяца количество уникальных AI-скиллов (плагинов для ИИ-агентов), проанализированных компанией, выросло примерно с 60 000 до 900 000. Из них более 3 000 были признаны вредоносными или подозрительными ^C.

PromptSpy — первое в истории Android-вредоносное ПО, использующее генеративный искусственный интеллект в процессе своей работы ^EW. Оно обращается к модели Gemini от Google, чтобы «понять», что в данный момент отображается на экране зараженного устройства, и решить, куда нажать. Это позволяет вредоносу работать на огромном количестве различных моделей телефонов с разными версиями ОС — ранее это было узким местом для подобных вирусов ^SW. Основная функция PromptSpy — развертывание VNC-модуля для удаленного управления устройством ^TE. Исследователи отмечают, что пока это может быть лишь доказательством концепции, но это знаменует серьезный сдвиг в сторону ИИ-ассистированных мобильных угроз ^AC.

Рекордное количество атак, падение выплат и арсенал EDR-киллеров

Количество атак программ-вымогателей продолжает расти. Comparitech зафиксировала 4 217 атак по всему миру за первое полугодие 2026 года — это рост на 11% по сравнению со вторым полугодием 2025 года (3 809 атак), то есть в среднем 23 атаки в день ^C. ESET прогнозирует 40%-ный годовой рост числа жертв на основе данных сайтов-утечек за 2025 год ^E.

Более 100 EDR-киллеров. В своем отчете за H2 2025 ESET отмечает продолжающееся распространение инструментов для обхода систем защиты (EDR-killertools). Среди активных пользователей — группы Akira, Qilin и Warlock ^W. Глубокий анализ банды Gentlemen, проведенный ESET, показал использование как собственных, так и сторонних утекших EDR-киллеров, включая HexKiller ^D. Отчет ESET MDR Q1 2026 подтверждает, что использование EDR-киллеров стало стандартной практикой в операциях вымогателей ^E. Согласно нескольким источникам, экосистема различных EDR-киллеров уже превысила 100 инструментов, использующих технику BYOVD (Bring Your Own Vulnerable Driver) ^GS.

Уровень выплат выкупа упал до исторического минимума. По данным Coveware, в четвертом квартале 2025 года доля жертв, заплативших выкуп, рухнула до рекордно низких 23%, а затем и до 20% — то есть платить соглашается меньше 1 из 5 пострадавших ^GSS. Chainalysis зафиксировала, что общий объем выплат в криптовалюте в 2025 году составил около 820 миллионов долларов — это самый низкий показатель с 2021 года и на 8% меньше, чем в 2024 году ^S. Несмотря на уменьшение числа плательщиков, медианный размер выкупа резко вырос (на 132% по кварталу, до $325 000), что говорит о переключении внимания злоумышленников на более крупные и ценные цели ^S.