Исследователи F6 представили исследование с отражением основных угроз, векторов атак и TTPs киберпреступников, которые атаковали российские компании в 2024–2025 годах.

В основу были положены результаты анализа инцидентов и оценки основных изменений ландшафта актуальных угроз с 1 июля 2024 года по 30 июня 2025 года.

Причем учитывались исключительно инциденты высокого уровня критичности, требовавшие реагирования.

Согласно данным исследования, среди выявленных угроз чаще всего встречались майнеры криптовалют (37% всех критичных инцидентов).

При этом, если во втором полугодии 2024 года их доля составляла 42%, то в первом полугодии 2025 года сократилась до 31% от общего числа критичных инцидентов. 

На втором месте идут инциденты, связанные с управляемыми человеком атаками (15%), на третьем - использование бэкдоров (14%).

По сравнению с июлем ‑ декабрем 2024 года в январе - июне 2025-го наблюдается перераспределение инструментов атакующих.

Так, доля зафиксированных инцидентов с RAT за полугодие выросла с 4% до 13%. Кроме того, были зафиксированы инциденты с модульным вредоносным ПО, загрузчиками и дропперами.

В ходе реагирования на инциденты аналитики F6 пришли к вывожу, что наиболее часто реализуемым вектором атаки на российские организации оказались загрузки пользователями содержащих вредоносную нагрузку программ - 70% от общего количества инцидентов за 12 месяцев.

Более того, в первом полугодии 2025 года по сравнению с предыдущими шестью месяцами их доля выросла с 60 до 74%.

Также среди распространенных способов компрометации устройств можно выделить использование заражённых съёмных накопителей (9% в среднем за 12 месяцев) и целевые фишинговые кампании (5%).

Через вредоносные рассылки злоумышленники чаще всего распространяют шпионское ПО и стилеры - их общая доля в рассылках достигала 83%.

Наиболее изменчивым вектором атаки оказалась эксплуатация уязвимостей - ее доля с 30% во втором полугодии 2024 года упала до 5% в первом полугодии 2025-го.

В случае успешного проникновения в инфраструктуру жертвы злоумышленники переходят к следующему этапу атаки - закреплению, разведке и развитию активности.

В своем исследовании F6 систематизировала эти действия и описала тактики атакующих с 1 июля 2024 года по 30 июня 2025 года по матрице MITRE ATT&CK.

Чаще всего злоумышленники использовали тактику обхода защиты (TA0005: Defense Evasion, 30%). Она позволяет скрывать свое присутствие в инфраструктуре и минимизировать вероятность обнаружения, а часть функций реализуется через вредоносные ПО.

Следующими по распространенности в исследуемых инцидентах оказались тактики исполнения (TA0002: Execution, 17%) и закрепления (TA0003: Persistence, 17%).

Тактика исполнения применяется злоумышленниками для запуска программ на устройствах жертв для дальнейшей реализации атаки. Тактика закрепления обеспечивала сохранение доступа к инфраструктуре даже после перезагрузки системы или завершения сеанса пользователем.

В целом, как отмечают исследователи, представленное исследование демонстрирует, что злоумышленники стремятся повысить гибкость и устойчивость атак, используя более сложные многоступенчатые схемы проникновения и закрепления в инфраструктуре.

Наблюдается тенденцию к усложнению инструментов и методов атакующих, а это в свою очередь требует повышенного внимания к многоуровневой защите и своевременному детектированию новых классов угроз.

Подробная инфографика и аналитика - в отчете.