Во втором квартале 2026 года выявлено 839 уникальных образцов вредоносного ПО, связанных с активностью 17 хакерских группировок. Это на 88% больше, чем за аналогичный период прошлого года, когда было зафиксировано 447 образцов, согласно исследованию PT ESC (экспертный центр безопасности Positive Technologies).
Основной вклад в статистику внесли пять наиболее активных группировок. На них пришлось около 60% всех выявленных образцов. Первое место заняла Rare Werewolf — с ее активностью связаны 224 образца. Главным способом проникновения в организации оставались фишинговые письма. Злоумышленники маскировали вредоносные файлы под счета, договоры, служебные документы и другую деловую переписку. В отдельных случаях они рассылали письма с ранее взломанных корпоративных адресов. Такие сообщения могли выглядеть как обычная переписка с руководителем или контрагентом и проходить проверку почтовых систем.
Одновременно хакерские группировки усложняли способы доставки вредоносного ПО и скрывали используемую инфраструктуру за легитимными интернет-сервисами. Некоторые злоумышленники также проверяли устройство пользователя перед загрузкой вредоносного файла, чтобы не выдавать вредоносную нагрузку автоматизированным системам анализа. Одним из наиболее заметных приемов стало использование блокчейна Bitcoin для получения адреса управляющего сервера. Это позволяло злоумышленникам менять адрес сервера с помощью новой транзакции, не сохраняя его непосредственно во вредоносной программе.
Чаще всего атаки группировок были направлены на финансовые организации — на них пришлось 14,8% зафиксированных случаев. Далее следовали государственные структуры (13,3%) и технологические компании (13,1%). Совокупно на эти три сектора пришлось более 41% атак. Данные об активности хакерских группировок, используемом ими вредоносном ПО и инфраструктуре специалисты Positive Technologies систематизируют в PT Fusion — облачном портале для работы с данными киберразведки. В нем собраны сведения о группировках, вредоносном ПО, хакерских инструментах и уязвимостях, а также актуальные индикаторы компрометации и описания применяемых злоумышленниками тактик и техник. PT Fusion позволяет специалистам проверять файлы, IP-адреса, домены и другие индикаторы, исследовать угрозы и использовать данные киберразведки для их выявления в инфраструктуре.
