Unian
Компанія ESET – лідер у галузі інформаційної безпеки – підготувала огляд активності APT-груп кіберзлочинців із квітня до вересня 2026 року. Зокрема пов’язані з Росією зловмисники продовжували атакувати європейські державні установи, оборонні компанії та військові організації з переважною більшістю кібератак, спрямованих на Україну. Допомагали їм в цьому білоруські APT-групи, активність яких відповідала військовим цілям росії. Крім цього, Україна все-частіше опинялася під прицілом APT-груп із Північної Кореї.
За цей час дослідники ESET зафіксували кілька масштабних кібератак, спрямованих на українських користувачів. Зокрема група PhantomCaptcha намагалася розповсюдити шпигунське програмне забезпечення PrincessSpy на пристроях Android, видаючи себе при цьому за українські організації. Також спеціалісти ESET виявили атаку із використанням уразливостей в поштових серверах MDaemon, під час якої зловмисники розгорнули два сімейства шкідливих програм – бекдорів HELLAGE і HELLTAG – для отримання несанкціонованого доступу до пристроїв жертв.
Незважаючи на те, що дослідники ESET протягом 2025 року фіксували високу інтенсивність операцій російської групи Gamaredon, вже у 2026 році її активність значно знизилася. Попри це, Gamaredon оновила PteroBox – інструмент зловмисників для викрадення файлів, а також почала використовувати нові інструменти, зокрема PteroPSDoor та Rezzuar, розроблені ще однією пов’язаною з росією групою Turla.
“Дослідники ESET зафіксували новий метод перешкоджання аналізу шкідливого коду, який застосувала російська група кіберзлочинців UAC-0099. Під час атаки зловмисники додали у коментар скрипта фальшивий запит щодо надання інструкцій зі створення ядерної зброї, очевидно, намагаючись запобігти перевірці захисними механізмами сканера коду на базі великих мовних моделей (LLM)”, – зазначає Жан-Ян Бутен, директор з дослідження загроз в компанії ESET.
Крім цього, спеціалісти ESET помітили зростання активності зловмисників, пов’язаних з Білоруссю. Схожість окремих методів їхніх кібероперацій із тактиками російських груп зловмисників може свідчити про можливу координацію між ними, зокрема про використання білоруських груп як кіберпроксі. Зокрема, дослідникам ESET вдалося виявити першу руйнівну кібератаку білоруської групи зловмисників, зафіксовану на території Європи, що свідчить про новий етап їх розвитку.
За даними телеметрії ESET, білоруська група кіберзлочинців FrostyNeighbor атакувала українську виробничу компанію, яка відіграє важливу роль в транспортному секторі країни. Варто зазначити, що до цього часу руйнівні кібератаки в Україні були пов’язані з російськими групами зловмисників, які вже мають великий досвід проведення такої активності.
Зловмисники, пов’язані з Північною Кореєю, не змінювали свої цілі, продовжуючи атакувати технологічні організації та компанії у сфері криптовалюти, а також розробників програмного забезпечення. Однак тепер, крім Південної Кореї, кіберзлочинців стала дедалі більше цікавити Україна.
Разом із цими тенденціями було зафіксовано, що група Lazarus відновила атаки на українські компанії з вироблення безпілотних літальних апаратів (БПЛА). Для отримання початкового доступу до систем з цінними даними про безпілотники кіберзлочинці застосовували методи соціальної інженерії, використовуючи фальшиві пропозиції роботи.
На Близькому Сході пов’язані з Іраном групи FilthyFeline та MuddyWater відновили свою активність після періоду затишшя. Більшість атак була спрямована на організації в Ізраїлі з різних галузей, а також під прицілом опинилася невелика кількість американських компаній. Крім того, група FilthyFeline здійснила атаку на оператора мобільного зв’язку в Узбекистані.
Тоді як китайські APT-групи за цей період провели одну з наймасштабніших кібератак, спрямовану проти тайванських організацій напівпровідникової галузі. Ці атаки узгоджуються з довгостроковими пріоритетами Китаю у сфері промислового шпигунства та відображають стратегічне значення ланцюгів постачання напівпровідників для економічної конкуренції й національної безпеки.
“Протягом 6 місяців досліджень спеціалісти ESET виявили кілька випадків використання APT-групами ШІ та великих мовних моделей (LLM) на різних етапах своєї активності. Зловмисники застосовували ці технології насамперед для прискорення виконання трудомістких завдань, зокрема створення шкідливих програм чи підроблених вебсайтів. У деяких випадках такий підхід нагадував вайбкодинг (англ. vibe coding) – метод створення програмного коду за допомогою ШІ на основі текстових запитів користувача”, – розповідає Жан-Ян Бутен.
Для протидії атакам APT-груп компаніям важливо забезпечити максимальний захист завдяки комплексному підходу до безпеки, зокрема подбати про потужний захист пристроїв за допомогою розширеного виявлення та реагування на загрози, розширеного аналізу у хмарі та шифрування даних, а також розуміти можливі вектори атак та особливості діяльності певних груп, які доступні саме у звітах про APT-загрози.
Дослідники ESET готують детальну технічну інформацію, постійно оновлюючи дані про діяльність певних APT-груп у формі розширених звітів, щоб допомогти відповідним організаціям захищати користувачів, критичну інфраструктуру та інші важливі активи від цілеспрямованих кібератак.
У разі виявлення шкідливої діяльності у власних IT-системах українські користувачі продуктів ESET можуть звернутися за допомогою до цілодобової служби технічної підтримки за телефоном: +380 44 545 77 26 або електронною адресою support@eset.ua.