Каждое второе заражённое вложение в фишинговых письмах в апреле 2026 года оказалось трояном. На втором месте с большим отрывом идут фишинговые скрипты, которые имитируют страницы входа в популярные сервисы. Это следует из данных, собранных специалистами по информационной безопасности. Общая картина показывает, что злоумышленники всё чаще делают ставку на обман человека, а не на технические уязвимости, и активно меняют тактику от месяца к месяцу.
Описание
Согласно отчёту, лидером среди угроз в прикреплённых файлах стали трояны - их доля составила 47%. Эти вредоносные программы распространяются под видом безобидных документов или файлов с двойным расширением. Пользователь видит, например, "счёт.pdf.exe" и по привычке запускает его, после чего троян устанавливается в систему. Злоумышленники постоянно обновляют варианты таких вложений, комбинируя их с методами социальной инженерии: используют актуальные темы вроде налоговых уведомлений, подтверждений доставки или срочных запросов цен.
На втором месте расположился фишинг - 39%. Это значительный рост по сравнению с предыдущим месяцем, когда его доля составляла всего 21%. Фишинговые вложения чаще всего представляют собой HTML-скрипты, которые после открытия отображают поддельную страницу входа в онлайн-банк, почтовый сервис или корпоративный портал. Введённые данные - логин и пароль - сразу уходят на сервер злоумышленников. Специалисты также обнаружили документы PDF, содержащие гиперссылки на такие фишинговые страницы.
Третьим по распространённости типом стал загрузчик - 10%. После запуска такое вложение связывается с командным сервером (C2 - внешний сервер, управляющий вредоносной активностью) и скачивает дополнительные модули. Остальные категории заняли меньшую долю: дроппер (2%), похититель информации (2%) и эксплойт (1%). Интересно, что доля вредоносных скриптов в целом за полгода снизилась, а доля троянов, напротив, слегка увеличилась. Количество фишинговых поддельных страниц, которые встраиваются в письма, выросло почти в полтора раза.
Статистика расширений файлов подтверждает, что злоумышленники предпочитают знакомые пользователю форматы. Самым популярным оказался ZIP-архив - 25% от всех обнаруженных вложений. Далее идут PDF (17%), HTML (11%) и RAR (8%). Документы Excel (XLS) и Word (DOCX) составили по 5% и 4% соответственно. Среди сжатых форматов встречались также 7Z (6%), GZ (3%) и TAR (2%). Использование SHTML (4%) говорит о том, что атакующие адаптируются к фильтрам почтовых систем и применяют менее распространённые типы скриптов.
В апреле 2026 года специалисты зафиксировали целый ряд фишинговых кампаний, ориентированных на корейских пользователей, но использованные методы универсальны и встречаются по всему миру. Например, письма приходили с темами "электронный налоговый счёт", "обновление учётной записи электронной почты", "уведомление о доставке DHL" и "запрос срочного ценового предложения". В качестве вложений злоумышленники прикладывали файлы с названиями вроде NTSeTaxInvoice.html или DOC122812.pdf. В одном из случаев скрипт имитировал страницу обновления почтового сервиса Министерства объединения Кореи. После ввода учётных данных они отправлялись на подставной сервер hxxps://www.seety.it/crinity/unikorea.go.kr/save.php.
Другая рассылка маскировалась под южнокорейскую производственную компанию "Yujin Technology". В письме сообщалось о повышении цен, а получателя просили открыть PDF-файл, чтобы ознакомиться с новым прайс-листом. На самом деле документ содержал скрытую ссылку на фишинговую страницу, после перехода по которой также происходила кража логина и пароля. Командным сервером в этой кампании выступал ресурс hxxps://fkp.su/Page/info.php.
Особого внимания заслуживает атака, в которой злоумышленники представились нефтяной компанией "Hyundai E&F". Жертве предлагали распаковать ZIP-архив и открыть PDF с коммерческим предложением. Внутри архива находился не только сам PDF, но и вредоносный исполняемый файл, который после открытия документа незаметно устанавливал связь с почтовым сервером злоумышленников. Аналитики выяснили, что для отправки украденных данных использовался адрес hosting2.ro.hostsailor.in с портом 587, учётная запись sales@rollmann.in, а финально данные уходили на ящик zamanic62@gmail.com.
Такая комбинация - поддельные страницы входа, вложения с двойными расширениями и сжатые архивы - остаётся классическим и при этом эффективным инструментом. Рост доли фишинговых вложений почти вдвое за месяц говорит о том, что преступники перенастраивают свои кампании под текущие реалии. Пользователи привыкли к предупреждениям о троянах, но меньше ожидают подвоха от HTML-страниц или PDF-документов. В результате атаки, построенные на имитации доверенных брендов и срочности, приносят злоумышленникам стабильный доход.
Главный вывод для специалистов по информационной безопасности: необходимо усиливать контроль именно за фишинговыми страницами, встроенными в письма. Современные почтовые шлюзы неплохо блокируют исполняемые файлы, но пропускают HTML и PDF. Обучение сотрудников должно включать не только запрет на запуск подозрительных EXE, но и осторожность при открытии любых вложений, особенно если они требуют ввода учётных данных. Статистика апреля - чёткий сигнал, что атакующие будут продолжать давить на человеческий фактор, а технические средства защиты должны быть готовы к быстрой смене тактики.
Индикаторы компрометации
