Каждый четвертый вредоносный файл в сетевом трафике — документ Microsoft Office

Специалисты Positive Technologies с помощью песочницы PT Sandbox проанализировали вредоносную активность в сетевом трафике организаций за период с октября 2025 года по июль 2026 года. Выяснилось, что свыше четверти (26%) опасных файлов — это документы Word и таблицы Excel: они редко вызывают подозрения у пользователей и потому остаются удобной точкой входа для атакующих.

ВПО — главная угроза сетевого трафика

Вредоносное ПО оказалось самой распространенной киберугрозой, зафиксированной в трафике, — на него пришлось 75% случаев, причем половина из них — трояны. Также встречались программы для кражи данных, загрузчики и установщики. В целом за первую половину 2026 года ВПО использовалось в 65% успешных атак на организации из разных отраслей — вредоносные программы остаются ключевым инструментом злоумышленников благодаря эффективности на разных этапах атаки и способности приводить к серьезным последствиям вплоть до компрометации критичных систем.

Внутри самого вредоносного ПО распределение выглядит так: 50% — трояны для вредоносных действий на устройствах, 24% — программы для кражи информации, 15% — загрузчики и установщики. На шифровальщики пришлось всего 4%, но эксперты отмечают: даже единичный такой инцидент способен полностью остановить рабочие процессы компании.

Отдельную опасность несут привычные ИТ-специалистам легитимные утилиты — в 8% случаев их использовали для разведки, поиска уязвимостей и перемещения по сети. Чаще всего злоумышленники прибегали к набору Sysinternals для управления узлами и кражи учетных данных в Windows.

Еще 5% угроз пришлось на эксплойты уязвимостей ПО и оборудования, причем свыше 96% этих уязвимостей были обнаружены три года назад и раньше — то есть эксплойты для них давно написаны и свободно доступны на теневых площадках.

Отраслевая картина

Больше всего угроз пришлось на финансовый сектор (25%), промышленность и ИТ (по 24%), а также госорганизации (10%). Исследование показало, что атакующие подстраивают инструменты под специфику отрасли и сезонность бизнеса: активность угроз для финансового сектора пиковала зимой, для промышленности и госсектора — весной, а для ИТ-компаний — в мае.

Как получают первоначальный доступ

Классический способ проникновения — фишинговые вложения. В 29% случаев обнаруживались файлы с расширением .exe, которые злоумышленники нередко маскируют под PDF, изображения или архивы с помощью двойных расширений. Не менее популярны (26%) файлы Word и Excel — сотрудники привыкли работать с ними ежедневно и потому не воспринимают их как угрозу.

Специалист исследовательской группы департамента аналитики Positive Technologies Роман Резников отмечает, что злоумышленники постоянно совершенствуют тактики, комбинируя вредоносные методы с легитимными инструментами: через документы Microsoft Office можно не только доставить ВПО, но и запустить код для закрепления в системе прямо на этапе открытия привычного пользователю файла. По его словам, в таких документах важно анализировать не только содержимое, но и поведение после открытия — песочницы изучают эту активность в изолированной среде, а сочетание поведенческого анализа и ML-технологий, как в PT Sandbox, помогает выявлять сложные замаскированные угрозы, которые по отдельным признакам могут казаться безобидными.