Компания ESET – лидер в области информационной безопасности – подготовила обзор активности APT-групп киберпреступников с апреля по сентябрь 2026 года. В частности, связанные с россией злоумышленники продолжали атаковать европейские государственные учреждения, оборонные компании и военные организации с большинством кибератак, направленных на Украину. Помогали им в этом белорусские APT-группы, активность которых отвечала военным целям россии. Кроме этого, Украина все чаще оказывалась под прицелом APT-групп из Северной Кореи.
Исследователи ESET зафиксировали несколько масштабных кибератак, направленных на украинских пользователей. В частности, группа PhantomCaptcha пыталась распространить шпионское программное обеспечение PrincessSpy на устройствах Android, выдавая себя при этом за украинские организации. Также специалисты ESET обнаружили атаку с использованием уязвимостей в почтовых серверах MDaemon, во время которой злоумышленники развернули два семейства вредоносных программ – бэкдоров HELLAGE и HELLTAG – для получения несанкционированного доступа к устройствам жертв.
Несмотря на то, что исследователи ESET в течение 2025 года фиксировали высокую интенсивность операций российской группы Gamaredon, уже в 2026 году ее активность значительно снизилась. Несмотря на это, Gamaredon обновила PteroBox – инструмент злоумышленников для похищения файлов, а также начала использовать новые инструменты, в частности PteroPSDoor и Rezzuar, разработанные еще одной группой Turla, связанной с россией.
"Исследователи ESET зафиксировали новый метод препятствования анализу вредоносного кода, который применила российская группа киберпреступников UAC-0099. Во время атаки злоумышленники добавили в комментарий скрипта фальшивый запрос о предоставлении инструкций по созданию ядерного оружия, очевидно, пытаясь предотвратить проверку защитными механизмами сканера кода на базе крупных языковых моделей (LLM)", – отмечает Жан-Ян Бутен, директор по исследованию угроз в компании ESET.
Кроме этого, специалисты ESET также заметили рост активности злоумышленников, связанных с Беларусью. Сходство отдельных методов их киберопераций с тактиками российских групп злоумышленников может свидетельствовать о возможной координации между ними, в частности, об использовании белорусских групп в качестве киберпрокси. В частности, исследователям ESET удалось обнаружить первую разрушительную кибератаку белорусской группы злоумышленников, зафиксированную на территории Европы, свидетельствующую о новом этапе их развития.
По данным телеметрии ESET, белорусская группа киберпреступников FrostyNeighbor атаковала украинскую производственную компанию, которая играет важную роль в транспортном секторе страны. Стоит отметить, что к этому времени разрушительные кибератаки в Украине были связаны с российскими группами злоумышленников, уже имеющих большой опыт проведения такой активности.
Злоумышленники, связанные с Северной Кореей, не изменяли свои цели, продолжая атаковать технологические организации и компании в сфере криптовалюты, а также разработчиков программного обеспечения. Однако теперь, кроме Южной Кореи, киберпреступников стала все больше интересовать Украина.
Вместе с этими тенденциями было зафиксировано, что группа Lazarus возобновила атаки на украинские компании по производству беспилотных летательных аппаратов (БПЛА). Для получения исходного доступа к системам с ценными данными о беспилотниках киберпреступники применяли методы социальной инженерии, используя фальшивые предложения работы.
На Ближнем Востоке связанные с Ираном группы FilthyFeline и MuddyWater возобновили свою активность после затишья. Большинство атак было направлено на организации в Израиле из разных отраслей, а также под прицелом оказалось небольшое количество американских компаний. Кроме того, группа FilthyFeline совершила атаку на оператора мобильной связи в Узбекистане.
В то время как китайские APT-группы за этот период провели одну из самых масштабных кибератак, направленную против тайваньских организаций полупроводниковой отрасли. Эти атаки согласуются с долгосрочными приоритетами Китая в сфере промышленного шпионажа и отражают стратегическое значение цепей поставок полупроводников для экономической конкуренции и национальной безопасности.
"В течение 6 месяцев исследований специалисты ESET обнаружили несколько случаев использования APT-группами ИИ и больших языковых моделей (LLM) на разных этапах своей активности. Злоумышленники применяли эти технологии в первую очередь для ускорения выполнения трудоемких задач, в частности, создания вредоносных программ или поддельных веб-сайтов. В некоторых случаях такой подход напоминал вайбкодинг (англ. vibe coding) – метод создания программного кода с помощью ИИ на основе текстовых запросов пользователя", – рассказывает Жан-Ян Бутен.
Для противодействия атакам APT-групп компаниям важно обеспечить максимальную защиту благодаря комплексному подходу к безопасности, в частности позаботиться о мощной защите устройств с помощью расширенного обнаружения и реагирования на угрозы, расширенного анализа в облаке и шифрования данных, а также понимать возможные векторы атак и особенности деятельности определенных групп, доступные именно в отчетах об APT-угрозах.
Исследователи ESET готовят подробную техническую информацию, постоянно обновляя данные о деятельности определенных APT-групп в форме расширенных отчетов, чтобы помочь соответствующим организациям защищать пользователей, критическую инфраструктуру и другие важные активы от целенаправленных кибератак.
В случае обнаружения вредоносной деятельности в своих ИT-системах украинские пользователи продуктов ESET могут обратиться за помощью в круглосуточную службу технической поддержки по телефону +380 44 545 77 26 или по электронному адресу support@eset.ua.