Кибератаки 2026: разбор отчёта F6

Как называют APT-группировки и почему у одной несколько имён

Годовой отчёт F6 об угрозах подводит итоги прошлого года и даёт прогноз на 2026 год. Общей системы названий APT-группировок в киберразведке (Threat Intelligence) нет: вендоры придумывают свою таксономию, а молодые компании торопятся с исследованиями и путают группы между собой. У группировки копятся псевдонимы, и следить за ней труднее.

В F6 берут имя, которое группа дала себе сама, или название вендора, описавшего её первым. Своё имя дают только тем, кого точно никто не описывал, и собирают его из фактов атаки. Room155: вымогатели оставляют в записках почту с этим именем, позже под ним появился и аккаунт в Telegram. Имя другой группировки сложено из «Tele» (с командным сервером она общается через Telegram), «man» от manufacturing (её цель производство) и части названия папки с полезной нагрузкой.

Для первичной проверки есть открытый репозиторий индикаторов компрометации (IOC) F6 на GitHub: можно вбить, например, почту злоумышленника.

Приписывать атаку группировке сразу нельзя: сначала разворачивают всю цепочку и проверяют домены, сертификаты и IP-адреса атакующего.

Одна из публично заявленных «атак группировки» после такой проверки оказалась пентестом: те же IP-адреса нашлись на Standoff 365 и в bug bounty.

Два термина, которые часто путают:

• Supply chain (атака на цепочку поставок): компрометация доверенного источника. Взломали официальный сайт, подложили вредоносный код в обновление, и вместо легитимного приложения ты скачиваешь вредонос.
• Trusted relationship: атака через подрядчика. Аудиторы или пентестеры получают доступ и учётные записи, их взламывают, а через них всю инфраструктуру заказчика.

Группировка Buhtrap — атаки на бухгалтерию с 2014 года

Buhtrap это финансово мотивированная группировка и одноимённое вредоносное ПО, нацеленное на бухгалтеров и финансовый сектор. Классическая цепочка атаки по шагам:

1. 1

   Фишинговое письмо с вложением в духе «откройте, тут про зарплату».

2. 2

   RTF-файл подгружает исполняемый файл, тот запускает установщик NSIS.

3. 3

   Вредонос проверяет, не запущен ли он в виртуальной машине или под отладчиком, и ищет файлы банковских приложений.

4. 4

   Оператор ставит средства удалённого доступа (RDP, LiteManager, позже AnyDesk) и формирует платёжное поручение в банк.

Ущерб доходил до миллиарда рублей. В 2016 году недовольный разработчик выложил исходники в даркнете, и инструмент разошёлся по рукам. Примерно с 2022 года атакующие перенимают наработки друг друга: даже политически мотивированные группы берут инструменты финансовых, и атрибуция усложнилась. Последний всплеск Buhtrap пришёлся на середину 2025 года: файлы рассылали через ЭДО, и заражение уходило в инфраструктуру контрагентов.

AnyDesk и LiteManager атакующие берут потому, что они подписаны настоящим вендором, вредоносный трафик смешивается с легитимным, а заблокировать такую программу в большой инфраструктуре трудно.

Adaptix C2 и Cobalt Strike: инструменты пентестеров у атакующих

В 2025 году одна из группировок наряду с Cobalt Strike начала применять Adaptix C2, open source фреймворк для управления атакой через командный сервер, появившийся годом ранее. Пентестеры пользуются им пока нечасто, а среди APT-группировок он уже популярен. С Cobalt Strike было так же: лицензия стоила около 3,5 тысячи долларов, его взломали и раздали всем.

На ранних этапах Adaptix C2 хорошо ловят антивирус, YARA-правила и групповые политики. Если момент пропущен, дальше тяжело: фреймворк автоматизирует закрепление, в нём удобно работать нескольким операторам, он умеет скрываться и сам шифрует внутренние соединения по SMB и TCP.

Утёкшие инструменты постоянно пересобирают, чтобы поменять сигнатуры и ухудшить детект, и один билд дорабатывают разные группировки.

Вендорам стоит осторожнее публиковать детекты: отчёты читают и атакующие.

Кого атакуют и что такое сложная целевая атака (APT)

Больше всего кибератак достаётся госучреждениям, промышленности и оборонке. Причина в геополитике: до 2022 года в даркнете действовало негласное правило не работать по .ru, а в 2023 и 2024 годах оно размылось. Денег с госучреждения не возьмёшь, поэтому цель другая: дестабилизация, сбор конфиденциальных данных, слив и перепродажа.

Сложная целевая атака понятие субъективное, обычно за ней стоят государственные структуры. Признаки:

• группа долго сидит в инфраструктуре незамеченной;
• использует нестандартные техники проникновения, закрепления и перемещения;
• пишет собственное вредоносное ПО, чтобы не оставлять следов покупки;
• может купить уязвимость нулевого дня, хотя для APT это нетипично.

В отчёте описана сложная атака на ряд пользователей ViPNet: для неё нужно понимать топологию и протоколы защищённых VPN-сетей. Другой сценарий: группа годами наблюдает за безопасниками, изучает их правила корреляции, а потом подменяет обычную утилиту вроде архиватора, и айтишник сам разносит её по рабочим местам. Бывает, что в сеть одновременно заходят две договорившиеся между собой группировки.

Старых APT среди активных мало. Отчасти дело в рынке: до 2018 года киберразведкой в России занимались всего два вендора, и группы тех лет толком не изучали. Отчасти группировки распадаются, как обычные компании: кто-то недоволен и уходит, как было с Buhtrap.

Цепочка заражения и Llama 2: есть ли AI в кибератаках

Пример современной цепочки заражения из отчёта: письмо с запароленным архивом, внутри приманка и установщик NSIS. Он закрепляет дроппер, тот запускает VBScript, VBScript выполняет PowerShell, а PowerShell скачивает картинку с закодированной третьей стадией, загрузчиком и инжектором.

Так сложно потому, что ранние стадии атаки научились хорошо выявлять, а чем больше легитимной и нелегитимной активности, тем труднее расследователю связать события. Стеганография здесь не задачка из CTF, а рабочая схема.

Одна группировка проверяет, не запущена ли она в виртуальной среде, и при неудачной проверке отправляет пользователя на страницу-заглушку. В ряде атак заглушкой была загрузка модели Llama 2. Похоже на AI в атаке, но это обычная заглушка из того, что было под рукой.

Кейсов, где модель сама пишет вредонос на лету и перемещается по сети, пока не было: только предпосылки и фейковые новости.

Фишинговые домены: в зоне .ru блокируют за час

Поднять фишинговый домен в зоне .ru стало сложнее. Авторизованные вендоры могут напрямую запрашивать блокировку в Координационном центре доменов, и такой домен закрывают примерно за час. За рубежом сложнее: хостинг-провайдер часто сам не знает, кому выдал IP, и приходится работать напрямую с Cloudflare. Поэтому в других зонах домен живёт дольше, два-три дня, но стоит дороже.

Поднимаешь домен, делаешь хорошую фишинговую кампанию, сутки она висит, а через сутки всё блокируется. Либо нужно действовать очень быстро, либо знать трюки с почтой, а их знают немногие пентестеры.

Егор Богомолов

С сентября 2026 года Минцифры вводит регистрацию доменов через Госуслуги. Мошенникам станет сложнее, но появится новый вектор: аккаунт на Госуслугах можно купить или угнать, утечки оттуда тоже случаются.

Выкуп вымогателям, оборотные штрафы за утечки и продукт ради отчёта

С 30 мая 2025 года действуют поправки в статью 13.11 КоАП: оборотные штрафы за утечки от 1 до 3% оборота и штрафы за несвоевременное уведомление Роскомнадзора. Вымогатели этим пользуются и пугают, что сами сообщат регулятору: при обороте в 10 миллиардов штраф в 3% несравним с выкупом в 25 тысяч долларов, проще заплатить тихо.

Один кейс: группировка запросила 50 тысяч долларов, сторговались до 25 тысяч. Компания заплатила, декриптор не пришёл, а группа похвасталась деньгами в своём Telegram-канале. Рекорд по заявленному выкупу 50 биткоинов. Многие группировки получают деньги и всё равно сливают данные, выгруженные до шифрования.

Перед переговорами стоит выяснить по данным киберразведки, выполняет ли эта группировка обещания.

Обратная сторона регулирования: продукты по 117-му приказу ФСТЭК начали покупать только ради формального соответствия. Кейс 2024 года: атакующие взломали заказчика, нашли исходники модуля одного вендора и объявили в Telegram, что взломан вендор. Оказалось, заказчик купил продукт и ни разу его не включил, а вендор едва не разорился на репутационном ударе.

Мамонт — мошенническая схема и вредонос для Android

Схема появилась в 2020 году, когда все стали пользоваться доставкой и досками объявлений. Устроена как бизнес в Telegram: топик-стартер управляет каналом, есть разработчики и воркеры, чаще всего студенты. Воркер вбивает в бота номер объявления, бот поднимает копию страницы площадки. Для жертвы это выглядит так:

1. 1

   Человек продаёт телефон за 10 тысяч рублей, ему пишут «я всё купил, вот ссылка».

2. 2

   Страница сообщает «оплачено, введите номер карты, чтобы получить деньги».

3. 3

   После списания пишет «поддержка»: произошла ошибка, повторите операцию.

4. 4

   Следом звонит «служба безопасности».

В одном кейсе мужчина повторил операцию десять раз. Полностью автоматизировать схему не выходит: решает социальная инженерия, а текст от LLM узнаётся.

Вредонос Мамонт под Android заражает всех, а не только владельцев старых телефонов. Обновление системы лишь даёт время, разработчики постоянно добавляют поддержку новых версий ОС. Распространяется через чаты в Telegram и WhatsApp: например, взламывают администратора домового чата и пишут «оплатите счета таких-то квартир», внутри APK. Дальше вредонос читает СМС, отправляет данные на командный сервер, даёт удалённый доступ и списывает деньги.

Как стать аналитиком киберразведки (Threat Intelligence)

Киберразведка (Threat Intelligence) это не один аналитик с отчётами, а много ролей: вирусный аналитик, реверс-инженер, аналитик APT-группировок, аналитик даркнета, разработчики парсеров и портала. Работа в даркнете сложнее, чем кажется:

• соблюдать правила, чтобы не выдать себя: атакующие быстро считывают паттерны общения;
• уметь выдавать себя за злоумышленника и доказывать, что ты свой;
• писать парсеры, которые вовремя забирают сообщения;
• выкупать лоты в магазинах: образцы ПО и утечки.

Ещё нужны код, понимание ландшафта угроз в России и за рубежом, работа в команде и насмотренность, чтобы отсекать лишнее. Пригодится опыт пентестера, аудитора, AppSec или DevOps. База: топология сетей, доменные имена, протоколы вроде HTTPS и SMB, умение написать простой парсер.

Получится ли стать джуном в TI за полгода, зависит от мотивации.

Больше половины аналитиков и экспертов F6 пришли стажёрами пять-шесть лет назад.

LLM упростили написание парсеров, но ни одна функция аналитика не отмерла. Следующий шаг: модель, которая сама строит ландшафт угроз под организацию и подсказывает, какие группировки могут её атаковать.