Эксперты Positive Technologies с помощью песочницы PT Sandbox проанализировали вредоносную активность, выявленную в сетевом трафике организаций с октября 2025 года по июль 2026-го. Более четверти (26%) опасных файлов оказались документами Word и таблицами Excel, сообщила компания. Такие объекты часто не вызывают подозрений и являются удобной точкой входа для злоумышленников. Кроме того, ВПО стало самой распространенной киберугрозой в сетевом трафике — 75% случаев, половина из которых пришлась на трояны. Также обнаруживались вредоносы для кражи данных, загрузчики и установщики.

Среди отраслей больше всего угроз пришлось на финансовый сектор (25%), промышленность и ИТ (по 24%), а также на государственные организации (10%). Исследование показало, что злоумышленники адаптируют инструменты под специфику отраслевых инфраструктур и под сезонность бизнеса. Так, наибольшая активность угроз для финансового сектора пришлась на зимние месяцы, для промышленности и госсектора — на весну, а для ИТ-компаний — на май.

Вредоносное ПО находили в 75% всех обнаруженных угроз. В целом в первой половине 2026 года такие программы применялись в 65% успешных атак на организации из разных отраслей. Вредоносы остаются ключевым инструментом киберпреступников, потому что могут быть эффективны на разных этапах атаки и приводить к серьезным последствиям — вплоть до компрометации важных систем.

В 50% случаев с ВПО фигурировали трояны для совершения вредоносных действий на устройствах. На втором месте (24%) программы для кражи информации. Далее следуют загрузчики и установщики с общей долей в 15%. На шифровальщики пришлось 4% угроз, но тем не менее они представляют серьезный риск для организаций, поскольку даже единичный инцидент может привести к полной остановке рабочих процессов.

Потенциальную опасность несут и привычные для ИТ-специалистов инструменты: в 8% случаев атакующие использовали их для разведки, поиска уязвимостей и перемещения по сети. Чаще всего встречался набор утилит Sysinternals для управления узлами сети и кражи учетных данных в операционных системах Windows.

Еще 5% зафиксированных угроз были связаны с эксплойтами, использующими уязвимости в программном или аппаратном обеспечении. При этом свыше 96% этих недостатков были обнаружены еще три года назад или ранее, а значит, скрипты для них давно написаны и доступны на теневых площадках.

Для получения первоначального доступа к инфраструктуре киберпреступники традиционно использовали фишинговые вложения. В 29% случаев обнаружены файлы с классическим расширением .exe. Нередко с помощью двойных расширений их маскируют под документы PDF, изображения или архивы. Подобной популярностью (26%) пользовались файлы Word и электронные таблицы Excel: сотрудники привыкли работать с ними, поэтому не считывают риски.

«Злоумышленники совершенствуют свои тактики, усложняют и комбинируют их с легитимными инструментами. Например, через документы Microsoft Office атакующие могут доставить ВПО. Или более того — запустить код, чтобы закрепиться в системе уже на этапе работы с привычным для пользователя файлом, — отметил Роман Резников, специалист исследовательской группы департамента аналитики Positive Technologies. — Поэтому в таких документах важно оценивать не только содержимое, но и поведение после их открытия. Песочницы анализируют эту активность в изолированной среде, а сочетание поведенческого анализа и ML-технологий, как в PT Sandbox, выявляет сложные и замаскированные угрозы, которые по отдельным признакам могут казаться не такими опасными».