В ходе анализа сетевого трафика организаций за период с октября 2025 года по июль 2026 года, эксперты компании Positive Technologies использовали песочницу PT Sandbox для изучения вредоносной активности. Результаты показали, что более чем у четверти (26%) выявленных опасных файлов – это документы Word и таблицы Excel, которые часто остаются незамеченными пользователями и служат удобным способом проникновения для злоумышленников.
ВПО — главная угроза сетевого трафика
Наиболее частой киберугрозой, зафиксированной в сетевом трафике, стало вредоносное программное обеспечение (ВПО), которое составило 75% всех зарегистрированных случаев. При этом половина из них приходилась на трояны. Помимо этого, были обнаружены инструменты для кражи данных, а также загрузчики и установщики. Согласно данным за первое полугодие 2026 года, ВПО было использовано в 65% успешных кибератак, направленных против организаций различных секторов экономики. Таким образом, вредоносные программы продолжают оставаться основным инструментом злоумышленников, что обусловлено их эффективностью на разных этапах атаки и способностью приводить к серьезным последствиям, включая компрометацию критически важных систем.
Анализ структуры вредоносного ПО показал следующее распределение: 50% – трояны, предназначенные для выполнения злонамеренных действий на зараженных устройствах; 24% – программы, ориентированные на кражу конфиденциальной информации; 15% – загрузчики и установщики. Доля шифровальщиков составила лишь 4%, однако эксперты подчеркивают, что даже один подобный инцидент может привести к полной остановке бизнес-процессов компании.
Значительную опасность представляют легитимные утилиты, привычные для специалистов в области информационных технологий. В 8% случаев они использовались для сбора информации, поиска слабых мест и перемещения внутри сети. Наиболее часто злоумышленники применяли набор Sysinternals для управления узлами и получения учетных данных в среде Windows.
Еще 5% угроз пришлось на эксплойты уязвимостей программного обеспечения и оборудования. При этом более 96% этих уязвимостей были выявлены три года назад или ранее, что свидетельствует о том, что эксплойты для них уже давно разработаны и свободно распространяются в даркнете.
Отраслевая картина
Наибольшее количество угроз пришлось на финансовый сектор (25%), промышленность и сферу информационных технологий (по 24%) и государственные организации (10%). Исследование выявило, что киберпреступники адаптируют свои инструменты к особенностям конкретных отраслей и сезонным бизнес-циклам: пик активности угроз для финансового сектора приходился на зимние месяцы, для промышленности и государственных учреждений – на весну, а для ИТ-компаний – на май.
Как получают первоначальный доступ
Наиболее распространенный метод проникновения – фишинговые вложения. В 29% случаев обнаруживались файлы с расширением .exe, которые злоумышленники часто скрывают под видом PDF-документов, изображений или архивов, используя двойные расширения. Также широко распространены (26%) документы Word и Excel, поскольку сотрудники регулярно работают с ними и не считают их потенциальной угрозой.
Роман Резников, специалист исследовательской группы департамента аналитики Positive Technologies, подчеркивает, что злоумышленники постоянно улучшают свои методы, комбинируя вредоносные инструменты с легитимными. С помощью документов Microsoft Office можно не только распространять вредоносное программное обеспечение, но и запускать код для закрепления в системе непосредственно при открытии файла пользователем. По его мнению, при анализе таких файлов необходимо обращать внимание не только на их содержимое, но и на поведение после открытия – песочницы позволяют изучать эту активность в изолированной среде, а сочетание поведенческого анализа и технологий машинного обучения, как реализовано в PT Sandbox, помогает обнаруживать сложные замаскированные угрозы, которые могут казаться безобидными по отдельным признакам.
