В IV квартале 2025 года департамент Threat Intelligence PT ESC продолжил мониторинг активности хакерских группировок, нацеленных на российские организации. В рамках отчетного периода внимание было сосредоточено на выявлении и сопоставлении повторяющихся паттернов атак, техник и семейств вредоносного ПО с ретроспективой предыдущих кварталов и лет (для более точной фиксации преемственности инструментов и изменений в тактике). Такой подход позволяет не только описывать отдельные инциденты, но и подтверждать устойчивые паттерны группировок на примере сопоставимых цепочек, как это показано в материалах по APT31 и NetMedved.
Параллельно анализировалась эволюция инструментария группировок в динамике отчетного года, включая изменения в составе инструментов, способах закрепления и скрытного управления, а также в подходах к получению первичного доступа. Наиболее показательным примером в этой части является ExCobalt, для которой характерна регулярная модификация компонентов и адаптация техник под конкретные инфраструктуры и условия эксплуатации. Отдельно фиксировались кейсы активности группировок, ранее не проявлявших выраженного фокуса на российском направлении, включая кампании Silver Fox с использованием фишинговых уведомлений от государственных ведомств.
Накопленные наблюдения по инцидентам и инструментарию дополняются анализом общей динамики за 2025 год: рост числа компьютерных атак и увеличение объема уникальных вредоносных семплов, ассоциированных с APT-группировками, указывают на ускорение цикла разработки и модификации вредоносного ПО. Одним из факторов, влияющих на эту тенденцию, является расширение возможностей по созданию и адаптации кода с использованием больших языковых моделей, которые упрощают разработку и повышают вариативность реализаций при сохранении типовых тактик и техник.
Больше информации об активности кибергруппировок можно получить на нашем портале PT Fusion.
