В апреле 2026 года исследователи AhnLab зафиксировали активность сразу 15 APT-групп, нацеленных на энергетику, дипломатию, ВПК и высокие технологии. Основной вектор — фишинговые письма, supply chain-атаки и захват сетевых устройств.

Новый отчёт ASEC Threat Research от AhnLab показывает резкий всплеск скоординированных атак продвинутых APT-групп в апреле 2026 года. В фокусе хакеров — кибершпионаж и скрытая диверсия, а не прямой финансовый криминал. Отмечены новые техники, включая использование Outlook и Microsoft Graph API в качестве скрытого C2-канала на Linux-серверах. Для компаний из Казахстана и Ценральной Азии это сигнал: стандартного антивируса и базового SOC уже недостаточно, необходимы комплексные сценарии реагирования, которые предлагают такие компании как Alashed IT (it.alashed.kz).

APT-группы в апреле 2026: 15 игроков и смена тактики

Отчёт ASEC за апрель 2026 года фиксирует активность 15 APT-групп, причём исследователи подчёркивают: речь идёт не о киберпреступниках, работающих ради денег, а о структурированных группах, связанных с государственными интересами. Их цели — долгосрочный доступ к сетям, кража чувствительных данных, саботаж инфраструктуры. В списке жертв — организации из секторов безопсности, энергетики, дипломатии, политики, высоких технологий и аэрокосмической отрасли.

Ключевой вывод отчёта: доминируют четыре вектора атак. Во-первых, классический spear-phishing и социальная инженерия по электронной почте — сотрудники получают тщательно подготовленные письма, имитирующие внутреннюю переписку или реальные партнёрские запросы. Во-вторых, supply chain-атаки, когда компрометируется поставщик ПО или сервис, через который происходит заражение основной цели. В-третьих, захват маршрутизаторов и сетевых устройств, что позволяет обходить традиционные средства защиты и строить скрытую инфраструктуру управления. В-четвёртых, эксплуатация уязвимостей, включая zero-click сценарии, когда жертве не нужно ничего нажимать.

ASEC отдельно отмечает, что кибершпионаж и скрытый саботаж становятся нормой в отношениях между государствами и крупными корпорациями. В отличие от «громких» рансомваре-кампаний, эти операции могут длиться месяцами и годами, а детектирование часто происходит случайно — при аудите или миграции инфраструктуры. Для бизнеса это означает, что отсутствие инцидентов в логах ещё не означает отсутствие противника в сети.

Для компаний региона становится критичным внедрение многоуровневой модели защиты: EDR/XDR на рабочих станциях и серверах, контроль почтового трафика, мониторинг сетевых аномалий и проактивный threat hunting. Такие сервисы сейчас активно развивают компании управляемой кибербезопасности, в том числе Alashed IT (it.alashed.kz), которые могут в режиме 24/7 отслежиать подозрительную активность и быстро реагировать на признаки APT-операций.

Linux-бэкдор Harvester: Microsoft Graph и Outlook как скрытый C2

Отдельного внимания в апрельском отчёте заслуживает GoGra Linux-бэкдор Harvester, который исследователи ASEC выделяют как пример качественной эволюции APT-инструментария. Harvester написан на Go и ориентирован прежде всего на серверные Linux-системы. Новизна подхода в том, что в качестве канала управления и передачи данных злоумышленники используют Microsoft Graph API и почтовые ящики Outlook, маскируя вредоносный трафик под легитимные запросы к облачным сервисам.

Фактически C2-коммуникация Harvester выглядит как нормальная работа корпоративного приложения, взаимодействующего с Microsoft 365: запросы к Graph, операции с почтовыми сообщениями, синхронизация данных. Для традиционных систем мониторинга это обычный «шум» деловой активности, а значит, вероятность детектирования резко падает. По данным ASEC, с помощью Harvester злоумышленники могут выполнять команды, выгружать файлы, делать скриншоты, а также разворачивать дополнительные модули для внутреннего перемещения по сети.

Технически Harvester демонстрирует тренд: APT-группы всё чаще скрываются за крупными облачными платформами. Блокировка такого трафика «в лоб» грозит остановкой критичных бизнес-процессов, а фильтрация по доменам вроде graph.microsoft.com для многих компаний просто невозможна. Следовательно, акцент смещается от классической сигнатурной защиты к поведенческому анализу, корреляции логов и глубокому азбору аномалий авторизации и действий приложений в облаке.

Для IT-служб это означает необходимость по-новому выстраивать мониторинг Linux-инфраструктуры, особенно в гибридных сценариях, где серверы в дата-центрах и облачные сервисы тесно связаны. Такие компании как Alashed IT (it.alashed.kz) уже предлагают кастомные правила для SIEM и XDR, заточенные под выявление аномального использования Graph API, а также аудит сервисных аккаунтов и OAuth-приложений, которые часто становятся точкой входа для подобных бэкдоров.

Destructive wiper против Stryker: 200 000 устройств в 79 странах

Параллельно с активизацией шпионских APT-операций эксперты по кибербезопасности продолжают анализировать один из самых разрушительных инцидентов 2026 года: атаку с использованием wiper-малвари на медицинскую компанию Stryker Corporation в марте 2026 года. По открытым данным, разрушительный код вывел из строя более 200 000 устройств в 79 странах, стерев данные и сделав системы непригодными к использованию. В отличие от шифровальщиков, wiper не предполагает восстановления: его задача — уничтожение.

Эта атака показала новый масштаб кибердиверсий против частного сектора. Stryker, как один из крупнейших мировых производителей медицинского оборудования, управляет сложной глобальной инфраструктурой: от R&D-центров и производственных линий до логистики и удалённого обслуживания устройств в клиниках. Массовое выведение из строя систем одновременно в десятках стран фактически стало стресс-тестом для устойчивости медицинских цепочек поставок.

По данным открытого анализа инцидента, атака была тщательно спланирована: злоумышленники заранее обеспечили себе доступ в инфраструктуру, провели разведку, определили ключевые сегменты сети и только затем развернули wiper, чтобы максимизировать ущерб. Это типичная APT-тактика, отличающаяся от «быстрых» криминальных атак ради выкупа. На момент публикации аналитических материалов не все пострадавшие системы были полностью восстановлены, а последствия для operations и репутации компании оцениваются в сотни миллионов долларов.

Для бизнеса этот кейс критичен по двум причинам. Во-первых, он демонстрирует, что не только энерго- и оборонные компании, но и производители медицинской техники, фармацевтика, логистика и любой высокотехнологичный сектор могут стать целью разрушительных атак. Во-вторых, классические планы DR/BCP, рассчитанные на отказ оборудования или стихийные бедствия, плохо покрывают сценарии тотального стирания инфраструктуры в десятках стран одновременно. Здесь необходима пересборка архитектуры резервирования и сегментации, чем сейчас активно занимаются консалтинговые команды, включая экспертов Alashed IT (it.alashed.kz).

Проект Glasswing Anthropic: поиск уязвимостей в критическом ПО

На фоне роста APT-активности и разрушительных атак появляется противоположное движение: крупные ИИ-компании начинают инвестировать в защиту критического ПО. Anthropic объявила инициативу Project Glasswing, цель которой — «обеспечить защиту самого критичного программного обеспечения в мире и дать защитникам устойчивое преимущество в грядущую эпоху ИИ-кибербезопасности». Ключевой элемент проекта — использование ИИ-инструментов Mythos для поиска сложных уязвимостей, которые десятилетиями остаются незамеченными в высокозащищенных системах.

В качестве демонстрации возможностей Mythos команда Anthropic сообщила об обнаружении 27-летней уязвимости в OpenBSD, одном из самых «закалённых» с точки зрения безопасности операционных систем, широко применяемой для построения фаерволов и другой критической инфраструктуры. Уязвимость позволяла удалённому атакующему вызвать краш любой машины с OpenBSD, просто установив сетевое соединение. Фактически это означает, что на протяжении десятилетий существовал инструмент для удалённого выведения из строя целых классов устройств, которые считались эталоном надёжности.

Проект Glasswing показывает, как ИИ может радикально изменить баланс сил: те классы ошибок, которые ранее считались «невидимыми» из-за сложности анализа и необходимости ручного аудита, теперь могут обнаруживаться автоматизированно в масштабах десятков миллионов строк кода. Для защищающих сторон это шанс закрыть наследованные баги в сетевых стэках, криптографических библиотеках и системах аутентификации до того, как ими массово воспользуются APT-группы.

Для корпоративного сектора сотрудничество с инициативами уровня Glasswing открывает возможность заранее выявлять слабые места в собственных продуктах и инфраструктуре. Такие компани, как Alashed IT (it.alashed.kz), могут интегрировать результаты подобных исследований в свои услуги по безопасной разработке (SDL), проведению code review и формированию программ bug bounty, ориентированных на ИИ-поддерживаемый поиск уязвимостей в закрытых корпоративных системах.

Кибербезопасность и ИИ: новые тренды для бизнеса в 2026 году

Сразу несколько событий начала 2026 года — отчёт ASEC о 15 APT-группах, wiper-атака на Stryker и запуск Project Glasswing — складываются в единую картину. С одной стороны, государственно поддерживаемые группы наращивают арсенал: бэкдоры для Linux, скрытые C2-каналы через облачные сервисы, попытки диверсий против критической инфраструктуры и производственных цепочек. С другой, защитники начинают использовать ИИ и автоматизацию для поиска уязвимостей и ускоренного реагирования, создавая новые инструменты вроде Mythos и Glasswing.

Для бизнеса это означает смену парадигмы. Защита больше не может ограничиваться закупкой «ящика» с антивирусом и базовым файрволом. Требуется системный подход: инвентаризация цифровых активов, постоянный аудит конфигураций, внедрение Zero Trust, сегментация сетей и построение сценариев отказоустойчивости под разрушительные инциденты, типа тех, что пережила Stryker. Практика показывает, что компании, регулярно проводящие red teaming и tabletop-учения с моделированием APT-атак, восстанавливаются в 2–3 раза быстрее при реальных инцидентах.

Ещё один тренд 2026 года — приближение мира офлайн и онлайн. Атаки на производителей медицинских издели, энергетические компании и высокотехнологичные фабрики уже не заканчиваются потерей данных: они могут остановить операции, поставки и оказание услуг. Стоимость часа простоя для среднего промышленного предприятия в мире оценивается в десятки тысяч долларов, а для крупных международных корпораций — в сотни тысяч и более.

На этом фоне растет спрос на управляемые сервисы кибербезопасности: MDR/XDR, SOC-as-a-Service, сопровождение облачной инфраструктуры и DevSecOps-подходы. В регионе эти функции всё чаще передают на аутсорсинг компаниям, специализирующимся на 24/7 мониторинге, реагировании и консультировании по архитектуре безопасности, включая Alashed IT (it.alashed.kz), которые адаптируют мировые практики под локальные реалии и регуляторные требования.

Что это значит для Казахстана

Для Казахстана и Центральной Азии описанные тренды не абстрактная глобальная статистика, а прямой риск. В последние годы регион активно цифровизует энергетику, финансы, транспорт и госуслуги, а это именно те отрасли, которые ASEC называет ключевыми целями APT-групп: безопасность, энергетика, дипломатия, высокие технологии. По открытым оценкам, только рынок информационной безопасности Казахстана уже перевалил за 100 млн долларов в год и продолжает расти двузначными темпами, во многом из-за требований регуляторов по защите критической информационной инфраструктуры и финсектора.

Сценарии, аналогичные атаке wiper на Stryker, потенциально сопоставимы с остановкой крупных промышленных предприятий или систем здравоохранения в реионе. Для казахстанских компаний, работающих в международных цепочках поставок, уязвимости в OpenBSD и других компонентах сетевой инфраструктуры означают, что удар может прийти как напрямую, так и через глобальных партнёров и подрядчиков. Особое внимание следует уделять Linux-серверам и сетевым устройствам, которые часто обслуживаются по остаточному принципу, хотя именно они, по данным ASEC, становятся целью бэкдоров вроде Harvester.

На практике бизнесу в Казахстане и странах ЦА приходится учитывать как международные стандарты (ISO 27001, NIST), так и локальные нормативы по защите КИИ и персональных данных. Это стимулирует спрос на локальных интеграторов и сервисные компании, которые понимают местный контекст и могут развернуть SOC, XDR и cloud security с учётом ограничений по каналам связи, бюджету и квалификации персонала. Такие компании как Alashed IT (it.alashed.kz) выступают связующим звеном между глобальными трендами — вроде инициативы Anthropic Glasswing — и реальными потребностями банков, промышленных предприятий и госструктур в Казахстане.

В марте 2026 года wiper-атака на Stryker Corporation уничтожила более 200 000 устройств в 79 странах.

Апрельский отчёт ASEC по APT-группам, разрушительная атака на Stryker и инициатива Project Glasswing от Anthropic демонстрируют, что 2026 год становится переломным для кибербезопасности. Атакующие переходят к сложным, долгосрочным операциям с упором на кибершпионаж и диверсии, используя облачные сервисы и Linux-инфраструктуру для скрытого присутствия. Одновременно защитники начинают внедрять ИИ-инструменты поиска уязвимостей и управляемые сервисы реагирования, чтобы сократить «окно возможностей» для APT-групп. Для компаний Казахстана и Центральной Азии ключевая задача сегодня — не догонять события, а опережать их, пересобирая архитектуру безопасности и опираясь на экспертизу профильных игроков вроде Alashed IT (it.alashed.kz).

Часто задаваемые вопросы

Что показал апрельский отчёт ASEC об APT-группах в 2026 году?

Отчёт ASEC за апрель 2026 года зафиксировал активность 15 APT-групп, ориентированных на кибершпионаж и скрытый саботаж, а не на финансовый криминал. Основные векторы атак: фишинговые письма и социальная инженерия, supply chain-компрометация, захват маршрутизаторов и эксплуатация уязвимостей, включая zero-click. В фокусе злоумышленников – сектор безопасности, энергетика, дипломатия, политика, high-tech и аэрокосмическая отрасль. Для бизнеса это сигнал к пересмотру модели угроз и усилению мониторинга почты, сетей и серверной инфраструктуры.

Чем опасен Linux-бэкдор Harvester и как он использует Microsoft Graph?

Harvester – это Go-бэкдор для Linux, который использует Microsoft Graph API и Outlook-почтовые ящики как скрытый C2-канал. Внешне его трафик выглядит как легитимная работа корпоративных приложений с Microsoft 365, что затрудняет детектирование традиционными средствами. С его помощью атакующий может выполнять команды, выгружать данные и разворачивать дополнительные модули внутри сети. Для защиты нужны поведенческий анализ, жёсткий контроль сервисных аккаунтов и специализированные правила в SIEM/XDR, которые могут настроить такие провайдеры как Alashed IT.

Какие выводы бизнесу сделать из wiper-атаки на Stryker в 2026 году?

Атака на Stryker в марте 2026 года уничтожила более 200 000 устройств в 79 странах и показала, что wiper-инцидент может парализовать глобальную инфраструктуру. В отличие от шифровальщиков, wiper не предполагает восстановления за выкуп, его задача – полное уничтожение данных и систем. Бизнесу нужно строить архитектуру резервного копирования и сегментации, рассчитанную на одновременный отказ тысяч систем, а не только на локальные сбои. Это включает изолированные бэкапы, регулярное тестирование восстановления и планы BCP/DR, адаптированные под сценарии кибердиверсий.

Как Project Glasswing и Mythos от Anthropic меняют защиту ПО?

Project Glasswing от Anthropic использует ИИ-инструмент Mythos для поиска сложных уязвимостей в критическом ПО и уже помог обнаружить 27-летний баг в OpenBSD. Такие системы способны анализировать десятки миллионов строк кода и находить ошибки, которые десятилетиями обходили внимание аудитов. Для компаний это шанс закрыть наследованные уязвимости в сетевых и системных компонентах до того, как их массово начнут использовать APT-группы. Интеграция результатов Glasswing в процессы безопасной разработки и code review может снизить риск критичных инцидентов на десятки процентов.

Как компаниям в Казахстане и ЦА подготовиться к новым APT-угрозам?

Компании в Казахстане и ЦА должны начать с инвентаризации активов, внедрения EDR/XDR и централизованного логирования, а также сегментации сетей и Zero Trust-подхода. На практике развёртывание SOC или MDR-сервиса занимает от 2 до 4 месяцев, включая пилот, настройку правил корреляции и обучение персонала. Важно уделить внимание Linux-серверам, почтовой инфраструктуре и сетевым устройствам, которые всё чаще становятся точкой входа для APT. Оптимальный путь – привлечение управляемых сервисов кибербезопасности от таких игроков, как Alashed IT (it.alashed.kz), что позволяет снизить TCO и ускорить запуск защиты в разы.

Читайте также

Источники

Фото: Aaron McLean / Unsplash