Positive Technologies: итоги расследований инцидентов за 2025-2026 гг.

Расследования инцидентов охватили 140+ проектов за два года

Экспертный центр Positive Technologies (PT ESC IR) подвел итоги работы за период с IV квартала 2025 по III квартал 2026 года. Отчет основан на результатах более 140 проектов по полному циклу расследования инцидентов и ретроспективного анализа. Исследования проводились в России, Латинской Америке и на Ближнем Востоке. Медианное время до обнаружения инцидента (TTD) увеличилось на 5 дней, а медианная длительность инцидента — на 6 дней. Время до перевода инцидента в контролируемую фазу (TTC) выросло на 1 день. Время от начала расследования до его завершения (TTR) сократилось на 2 дня. В 49,3% компаний выявлены следы известных APT-группировок. В 34,2% компаний обнаружены злоумышленники категории Cybercrime. В 16,5% компаний зафиксированы следы публично неидентифицированных группировок. Число инцидентов с нарушением бизнес-процессов составило 55%. Инциденты с компрометацией внутренних информационных систем составили 19%. Инциденты с разведывательной деятельностью и шпионажем составили 4%. Инциденты с компрометацией контроллера домена составили 21%. Проникновения через веб-приложения на периметре составили 36%. Основными причинами инцидентов стали устаревшие версии ОС и ПО (25%) и отсутствие двухфакторной аутентификации (23%). Недостаточная сегментация сети стала причиной 26% инцидентов. Проникновения через фишинговые письма составили 17%. Проникновения через доступные из интернета службы, не относящиеся к веб-сервисам, составили 11%. Проникновения через доверительные отношения составили 28%. Проникновения через сетевое оборудование составили 8%.

Промышленность стала лидером по числу атак

В отчетном периоде промышленность заняла первое место по числу инцидентов, доля отрасли выросла с 9% до 22,5%. Государственные учреждения заняли второе место с долей 17,6%, снизившись с 24% в предыдущем периоде. Пятница стала самым популярным днем для обращения за помощью в расследовании инцидентов, на нее пришлось 22,6% обращений. Четверг занял второе место с 21,1%. На выходные суммарно пришлось 10,6% обращений. Наибольшее число компрометаций начинается в понедельник (19%), за ним следуют воскресенье и вторник (по 17,5%). Это указывает на необходимость поддержания одинаковой вовлеченности отдела мониторинга в выходные и праздничные дни.

Обнаружены новые APT-группировки и их тактики

За отчетный период эксперты PT ESC IR выявили 17 известных APT-группировок. Шесть из них встретились впервые, три из них — APT10051, Stingy Basilisk и Chewbacca — впервые обнаружены PT ESC IR. Группировка PhantomCore была активна на протяжении всего периода. Группировка IAmTheKing была наиболее активна в июле 2026 года, используя цепочку атаки через защищенную сеть ViPNet. Stingy Basilisk — APT-группировка, активная как минимум с апреля 2022 года, использовала скрытные техники для шпионажа. Злоумышленники применяли DLL-загрузчики TediousLoader, CunningDoor и SilentCOM, а также методы закрепления через COM Hijacking и W32Time. APT10051 была обнаружена в инфраструктуре госучреждения, используя имплант, спрятанный в системе мониторинга Zabbix. Загрузчик закрепляется в каталоге генераторов systemd, а бэкдор-оркестратор ZabLoader работает внутри системных процессов. Chewbacca — APT-группировка, нацеленная на деструктивные действия, использовала закрепление через сервисы Windows и Linux, продвижение по WinRM и SSH, а также вайперы для сетевого оборудования и хранилищ. Повышение привилегий осуществлялось через CVE-2026-31431. PhantomCore занимается кибершпионажем в отношении России, нацелена на похищение конфиденциальных данных из российских предприятий.