Доля компаний с активностью вредоносного ПО в России и СНГ выросла в полтора раза

Эксперты АО "Позитив Текнолоджиз" (Positive Technologies) проанализировали результаты пилотных проектов PT Network Attack Discovery (PT NAD), проведенных во втором полугодии 2025 г. и первом полугодии 2026 г. в компаниях России и СНГ. Доля организаций, в которых была зафиксирована активность вредоносного ПО, выросла с 46 до 70%. Чаще всего специалисты обнаруживали резидентные прокси и майнеры, также в сетевом трафике встречались вредоносные программы для удаленного управления и шпионское ПО.

Эксперты Positive Technologies изучили данные пилотных проектов PT NAD в организациях из разных отраслей. Наибольшую долю выборки составили промышленные предприятия - 39%, ИТ-компании - 17%, государственные учреждения и организации сферы торговли - по 13%.

Хотя признаков деятельности злоумышленников во время пилотных проектов специалисты не зафиксировали, анализ сетевого трафика позволил выявить многочисленные угрозы и потенциальные векторы компрометации. Так, активность вредоносного ПО была обнаружена в 70% исследованных компаний. Основную долю составили два типа ВПО - резидентные прокси (proxyware) и майнеры. Первые были выявлены в 67% организаций, вторые - в 54%. Вредоносное ПО для удаленного управления встречалось в 22% компаний, шпионское - в 6%.

Резидентные прокси после заражения устройства пропускают через него чужой сетевой трафик. Для этого злоумышленники используют в том числе личные компьютеры и телефоны пользователей, IP-адреса которых имеют чистую репутацию. В отличие от традиционных вредоносных программ, proxyware не крадет пароли и не шифрует данные, однако скрытно использует ресурсы устройства без ведома владельца. Схожим образом майнеры задействуют вычислительные мощности процессора для добычи криптовалюты.

Самым распространенным среди обнаруженных сервисов резидентных прокси стала Infatica - ее активность специалисты зафиксировали в 62% исследованных компаний. Среди майнеров чаще всего встречались программы для добычи криптовалюты Monero - их обнаружили в 47% организаций.

При этом обнаружение активности ВПО в 70% компаний не означает, что вредоносные программы присутствуют непосредственно на корпоративных устройствах. Резидентные прокси могут заражать личные мобильные устройства сотрудников, подключенные к корпоративному Wi-Fi, а криптомайнеры - работать на личных ноутбуках, с которых пользователи подключаются через корпоративный VPN.

Заметную долю занимают и семейства ВПО, способные наносить прямой ущерб: стилеры, средства скрытого удаленного управления и шифровальщики. Вместе с тем большинство срабатываний сигнатур было связано с детонацией образцов в сетевой песочнице: такое ВПО часто приходит во вложениях к электронным письмам, а его трафик фиксируют системы класса NTA/NDR.

Например, в инфраструктурах российских компаний по-прежнему встречается шифровальщик WannaCry, получивший широкое распространение еще в 2017 г. Исследователи обнаруживали отдельные зараженные им хосты. По данным аналитики, в организациях, которые длительное время используют решения класса NTA/NDR, доля инфраструктур с такими хостами стремится к нулю.

Помимо активности ВПО, специалисты Positive Technologies во всех исследованных компаниях зафиксировали потенциальные нарушения регламентов информационной безопасности. В частности, в 87% организаций использовались незащищенные протоколы для передачи учетных данных, в 74% - ПО для удаленного доступа, а в 61% - словарные пароли. Передача аутентификационных данных в открытом виде по LDAP и HTTP была обнаружена в 74% исследованных компаний в каждом случае.