Ransomware залишається однією з найсерйозніших кіберзагроз для бізнесу. За даними Deceptive Bytes, від початку 2026 року на сайтах витоків ransomware-груп було оприлюднено інформацію про 4 700 жертв — на 16% більше, ніж за аналогічний період 2025 року, та майже на 65% більше, ніж у 2024 році.

Лише у червні 2026 року було зафіксовано 708 нових жертв.

Ці цифри показують: ransomware продовжує розвиватися, а традиційні моделі кіберзахисту не завжди встигають адаптуватися до нових загроз.

Чому реактивного захисту може бути недостатньо

Традиційний підхід до кібербезпеки часто працює за принципом:

виявити загрозу → проаналізувати → заблокувати → усунути наслідки.

Антивірусні та EDR-рішення використовують сигнатури, поведінковий аналіз, репутаційні дані та інші механізми виявлення.

Але у випадку ransomware між початком виконання шкідливого коду та шифруванням даних може пройти дуже мало часу.

Саме тому дедалі більше уваги приділяється pre-execution та pre-emptive prevention — можливості зупинити атаку до того, як ransomware почне шифрувати файли.

Deceptive Bytes: використати поведінку ransomware проти нього

На цьому принципі побудована концепція Active Ransomware Prevention від Deceptive Bytes.

Сучасне ransomware може аналізувати середовище перед атакою: перевіряти, чи працює воно у virtual machine, sandbox або лабораторії з аналізу malware.

Якщо шкідливе ПЗ виявляє ознаки спостереження, воно може припинити виконання, щоб уникнути виявлення.

Deceptive Bytes використовує цей механізм проти самого malware.

Платформа створює на endpoint динамічне оманливе середовище, змушуючи ransomware сприймати систему як небезпечну для виконання атаки. Мета — нейтралізувати загрозу до початку шифрування файлів.

Механізм можна представити трьома етапами:

Create — створення оманливої інформації, яка впливає на сприйняття середовища malware.

Disrupt — перешкоджання спробам атакувальника досліджувати та проникати в систему.

Prevent — маніпулювання сприйняттям середовища для запобігання виконанню шкідливих дій.

А як протестувати такий захист?

Саме це питання викликало цікаву професійну дискусію.

Як об’єктивно протестувати продукт, механізм роботи якого відрізняється від традиційного антивірусу?

Один із запропонованих варіантів — відключити тестові машини від Інтернету на місяць або два, а потім завантажити нові зразки malware та перевірити, як система впорається з ними.

Логіка зрозуміла: захисне рішення не отримувало оновлень і не повинно заздалегідь «знати» про нову загрозу.

Однак виникає інше питання: наскільки такий тест відповідає реальному середовищу?

Сервери та робочі станції компаній зазвичай не залишаються відключеними від Інтернету протягом одного-двох місяців.

Ще одна проблема — де взяти справді новий malware?

Не кожна компанія має можливість отримувати тисячі актуальних malware samples.

Більшість організацій не підписуються на професійні malware feed services. Навіть якщо використовувати такі джерела, виникає парадокс: zero-day, який уже потрапив до відомого malware feed, фактично перестає бути повністю невідомою загрозою.

Теоретично можна використовувати VirusTotal feeds, але це дороге рішення, а отримані зразки вже можуть бути «занадто старими» для перевірки справжньої zero-day ефективності.

Створення власного malware також не є ідеальним варіантом: штучний зразок не обов’язково відтворюватиме поведінку реального ransomware.

Саме тому важливими стають real threats & real-world scenarios — тестування на реальних загрозах у середовищах, максимально наближених до корпоративних.

Signatureless-захист і zero-day

Deceptive Bytes заявляє, що платформа не залежить від постійного оновлення сигнатур.

Основний механізм спрямований не лише на ідентифікацію конкретного коду, а на поведінку malware та його взаємодію із середовищем.

Тому рішення може працювати у standalone, disconnected та VDI-середовищах і потенційно протидіяти раніше невідомим варіантам ransomware.

Окремою функцією є Custom Protection, яка дозволяє security-командам визначати критичні ресурси — наприклад, конкретні файлові шляхи або системні процеси — та створювати для них додаткові точки захисту.

Мінімальне навантаження на систему

За інформацією Deceptive Bytes, рішення використовує:

При оцінці останнього показника особливо важливо враховувати методологію тестування, типи malware та умови, в яких проводилися випробування.

Не заміна EDR, а додатковий рівень захисту

Проактивний ransomware prevention не означає необхідність відмовлятися від EDR, SIEM, firewall або інших security-рішень.

Deceptive Bytes може використовуватися як додатковий рівень існуючого security stack та підтримує інтеграції із SIEM/LOG, email, Threat Intelligence services, cloud storage, Slack, Microsoft Teams, sandbox та ticketing systems.

Management Server може бути розгорнутий on-premises, у cloud або hybrid-середовищі.

Від Detection до Prevention

Deceptive Bytes пропонує використати механізми ухилення самого ransomware проти нього — створити середовище, в якому malware не зможе нормально реалізувати атаку.

Але для таких технологій не менш важливим залишається інше питання — як правильно тестувати їхню ефективність на справді нових загрозах і водночас зберігати умови, максимально наближені до реального світу.

І саме поєднання нових методів prevention та якісного незалежного real-world testing може стати одним із ключових напрямів розвитку захисту від ransomware.

Idealsoft є офіційним дистрибютором Deceptive Bytes в Україні.

Замовлення та консультація:

orders@idealsoft.com.ua
+38 (044) 593-74-76 | +38 067 622-45-42