SecAtor

Исследователи BI.ZONE выкатили новое масштабное исследование по результатам анализа более 35 000 объявлений на теневых форумах, маркетплейсах и в закрытых каналах, рассказывая, как меняется экосистема киберпреступности и «что скрывается на обратной стороне». В материалах исследования отмечены наиболее актуальные тренды, ключевые изменения на рынке утечек данных, корпоративных доступов, вредоносного ПО, эксплоитов и других инструментов в арсенале злоумышленников, а также рекомендации экспертов по защите. Отметим несколько из основных трендов: - Теневой рынок становится менее централизованным: закрытие крупных форумов и блокировка ТГ‑каналов не уничтожили рынок. Продавцы и покупатели переходят на небольшие площадки, в закрытые чаты, боты и приватные сделки. - Стилеры остаются одним из главных источников сырых данных для утечек: стартовая цена стилера - 75 долл. Логи часто продаются не как набор случайных файлов, а как отфильтрованный товар. Их сортируют по доменам, странам, типам сервисов и корпоративным адресам. - Логи стилеров продолжают дорожать: 13% составил рост стоимости свежих данных. При этом цена зависит не только от актуальности, но и от качества сортировки и проверки, а также эксклюзивности логов. 250–300 долл. - средняя стоимость месячной подписки на облако логов, а 18% составила доля предложений с данными российских пользователей. - Предложение корпоративных доступов продолжает расти: 20% увеличение доли корпоративных доступов, выставленных на продажу в 2026 году. Теперь их продают не просто в виде логина и пароля, а как готовый продукт со сведениями о компании, ее инфраструктуре и доступных системах. 15% составил рост средней стоимости. - RAT доминируют на рынке вредоносного ПО: почти 40% классифицированных предложений ВПО связаны с RAT. Вокруг них сформировалась зрелая экосистема со стандартным набором функций и разделением ролей между разработчиками и поставщиками трафика. Возможность арендовать готовый инструмент, а не разрабатывать его самостоятельно обеспечивает низкий порог входа. - Ransomware‑экосистема значительно шире прямых предложений RaaS: 1,3 % публикаций напрямую упоминают программы-вымогатели. Значительная часть рынка скрыта в смежных сегментах - продаже корпоративных доступов и публикации утечек. 90% размещенных на одной из площадок утечек стали результатом ransomware‑атак. - ClickFix превращается в готовый сервис доставки вредоносного ПО: 150 долл. стоит готовый ClickFix‑лендинг. Покупателю предлагают шаблоны, имитирующие страницы проверки пользователя, онлайн‑документы и популярные корпоративные сервисы, которые заставляют жертву самостоятельно запустить вредоносный скрипт. Продавец создает фишинговую страницу и механику обмана, а покупателю остается выбрать доставляемое вредоносное ПО. - Уязвимости все чаще эксплуатируются в атаках: 30% составил рост доли атак с эксплуатацией уязвимостей. 9% доля атак для получения первоначального доступа с эксплуатацией уязвимостей (в 2026 году против 7% годом ранее). Готовые наборы с эксплоитом, списком целей, чекером и инструкциями делают такие атаки доступными даже для операторов без навыков разработки. - Вредоносное ПО становится многофункциональным: ДО38% снизилась доля объявлений о продаже вредоносного ПО. Это не обязательно означает сокращение рынка: отдельные инструменты объединяются в комплексные решения. Базовой конфигурацией становится связка RAT, HVNC и стилера, дополненная кейлоггером, клиппером или загрузчиком. - Основной интерес к ИИ связан с обходом ограничений: 77% обсуждений ИИ посвящены обходу ограничений публичных моделей, 22% публикаций связаны с моделями без цензуры, а 1% публикаций связан с конкретным применением ИИ в атаках. Однако даже эта небольшая доля охватывает практически весь цикл: от разведки и разработки вредоносного ПО до агентных платформ и комплексной автоматизации. Полная версия исследования содержит более 20 трендов, примеры объявлений с описанием вредоносного ПО, утечек, эксплоитов и других инструментов в арсенале злоумышленников. Доступна здесь.