Во II квартале 2026 г. выявлено 839 уникальных образцов вредоносного ПО, связанных с активностью 17 хакерских группировок. Это на 88% больше, чем за аналогичный период прошлого года, когда было зафиксировано 447 образцов, согласно исследованию PT ESC (экспертный центр безопасности Positive Technologies). Об этом CNews сообщили представители Positive Technologies.

Основной вклад в статистику внесли пять наиболее активных группировок. На них пришлось около 60% всех выявленных образцов. Первое место заняла Rare Werewolf — с ее активностью связаны 224 образца. Главным способом проникновения в организации оставались фишинговые письма. Злоумышленники маскировали вредоносные файлы под счета, договоры, служебные документы и другую деловую переписку. В отдельных случаях они рассылали письма с ранее взломанных корпоративных адресов. Такие сообщения могли выглядеть как обычная переписка с руководителем или контрагентом и проходить проверку почтовых систем.

Одновременно хакерские группировки усложняли способы доставки вредоносного ПО и скрывали используемую инфраструктуру за легитимными интернет-сервисами. Некоторые злоумышленники также проверяли устройство пользователя перед загрузкой вредоносного файла, чтобы не выдавать вредоносную нагрузку автоматизированным системам анализа. Одним из наиболее заметных приемов стало использование блокчейна Bitcoin для получения адреса управляющего сервера. Это позволяло злоумышленникам менять адрес сервера с помощью новой транзакции, не сохраняя его непосредственно во вредоносной программе.

Чаще всего атаки группировок были направлены на финансовые организации — на них пришлось 14,8% зафиксированных случаев. Далее следовали государственные структуры (13,3%) и технологические компании (13,1%). Совокупно на эти три сектора пришлось более 41% атак. Данные об активности хакерских группировок, используемом ими вредоносном ПО и инфраструктуре специалисты Positive Technologies систематизируют в PT Fusion — облачном портале для работы с данными киберразведки. Портал также содержит актуальные индикаторы компрометации, которые специалисты по информационной безопасности могут использовать для выявления угроз в инфраструктуре.

«Рост числа выявленных образцов вредоносного ПО показывает, насколько быстро меняется инструментарий хакерских группировок. Злоумышленники все чаще комбинируют несколько техник в рамках одной атаки: используют скомпрометированные почтовые ящики, легитимные веб-сервисы и штатные средства операционной системы, чтобы усложнить обнаружение. В таких условиях компаниям важно опираться не только на известные индикаторы компрометации, но и на поведенческий анализ — отслеживать нетипичные запуски, изменения механизмов автозагрузки и подозрительные сетевые соединения», — сказал Денис Кувшинов, руководитель Threat Intelligence и сервиса PT Fusion Positive Technologies.

Для снижения рисков компаниям стоит внимательнее проверять почтовые вложения и ссылки, отслеживать необычные запуски программ и скриптов, контролировать использование средств удаленного доступа и регулярно обновлять правила обнаружения угроз с учетом новых приемов злоумышленников.

• Подобрать оптимальный тариф на облачное резервное копирование BaaS на ИТ-маркетплейсе CNewsMarket