Д ълго време правилата за защита бяха прости. Ако компютърът е заразен, някъде в системата му ще има зловреден файл. Него търсеха антивирусните програми – анализираха съдържанието му, сравняваха го с познати модели на атака и при нужда го изтриваха.

Днес това вече не важи.

Ново поколение злонамерен софтуер се изпълнява изцяло в оперативната памет на устройството. Не оставя инсталирана програма, няма подозрителен файл на диска и в повечето случаи – няма нищо за анализиране. Точно за такъв метод предупреждава Microsoft в доклад от юни 2026 г., посветен на ACR Stealer – зловреден код, използван при стотици корпоративни атаки.

Вирусите не влизат в системата през файлове

За потребителя всичко започва с познат сценарий: видео, което не се зарежда, или браузър, който не работи правилно. Следват инструкции – натисни определена комбинация от клавиши, напиши текст в системен прозорец, потвърди. Изглежда като стандартна процедура. В действителност зарежда злонамерения код директно в паметта на устройството.

Вторият метод е още по-незабележим. Кодът е скрит в обикновено JPEG изображение, без да се промени видимото му съдържание. Снимката се отваря нормално, не буди подозрение, но съдържа скрит код, готов за изпълнение.

В нито един от двата случая на диска не остава зловреден файл. Традиционната антивирусна програма търси именно файлове с познати характеристики. Ако няма файл – няма какво да бъде открито.

Какво се случва след зареждането

След като се изпълни в паметта, ACR Stealer действа на няколко нива едновременно. Чете запазените пароли от браузъра, има достъп до файлове от работния плот и папките за сваляния, стига до корпоративни документи в OneDrive и SharePoint.

Но най-ценното не са паролите. Когато влезеш в онлайн платформа и тя те „запомни“, това се случва чрез сесиен токен – малък запис в браузъра, удостоверяващ самоличността ти. ACR Stealer краде и него. Откраднат токен дава незабавен достъп до акаунта без парола, без второ потвърждение, дори при активна двуфакторна автентикация.

Допълнителна сложност идва от начина, по който кодът комуникира: вместо централен сървър, използва публична блокчейн мрежа. Адресът е публично достъпен, но няма какво да бъде изключено или блокирано по стандартен път.

В България много компании все още разчитат на антивирусните програми като основна – и често единствена – линия на защита. ACR Stealer е пример защо това не е достатъчно: не записва файл, живее в паметта, изпълнява се и изчезва. Срещу такава заплаха традиционната антивирусна програма е безсилна по дефиниция.

Затова организациите започват да търсят решения от следващо поколение като A1 Endpoint Protection със SentinelOne. То използва изкуствен интелект и машинно обучение, за да наблюдава поведението на устройствата в реално време. Процес, изпълняван в паметта без видима причина, или четене на пароли от браузъра без потребителско действие се засича и спира автоматично. Решението е насочено и към ransomware атаки, zero-day и fileless заплахи, като позволява навременна реакция и неутрализиране на атаката.

Другата страна на защитата е по-трудна за автоматизиране. ClickFix атакките – съобщенията, които убеждават потребителя сам да изпълни кода – не разчитат на техническа слабост, а на доверие. Никоя система не може да предпази от действие, което самият потребител е предприел, убеден, че прави нещо легитимно.

В тези случаи обучения като A1 Security Awareness Training помагат на служителите на корпоративните клиенти на телекома да разпознават реални рискови сценарии – от получаване на фишинг съобщения, имитиращи познати марки, до използване на едни и същи пароли.

Дълго време компаниите защитаваха файловете си. Днес трябва да се замислят и за паметта на устройствата, и за вниманието на хората. Защото съвременните вируси вече не търсят място на диска, а момент, в който някой ще пропусне да забележи, че вече са в системата.