В последнее время киберпреступники всё активнее используют виртуальные машины для обхода защитных систем. Новый анализ компании Sophos показывает, что злоумышленники начали применять QEMU — легальный инструмент виртуализации, для скрытого доступа и кражи данных. С начала 2025 года зафиксировано как минимум две значимые кампании с использованием QEMU. В одной из них, STAC4713, преступники развёртывали скрытую виртуальную машину через задачу TPMProfiler, запущенную с правами SYSTEM, и использовали её для установки вредоносного ПО и кражи учётных данных. Вторая кампания, STAC3725, началась в феврале 2026 года и использовала уязвимость CitrixBleed2. В ходе расследования выявлено, что такие схемы обеспечивают злоумышленникам скрытый доступ и упрощают дальнейшие атаки. Sophos рекомендует проверять системы на наличие несанкционированных установок QEMU и подозрительных задач. обход защиты Denuvo новый вирус-вымогатель HybridPetya гипервизора MKDEV для обхода защиты