В даркнете снизилась доля объявлений о продаже ВПО

Большинство объявлений на теневых ресурсах по-прежнему связаны с продажей ВПО, однако их доля заметно сократилась: с 46% в 2025 г. до 38% в 2026 г. Такая динамика может быть связана с тем, что рынок движется от монофункциональных инструментов (например, нацеленных исключительно на кражу данных) к составным решениям. Об этом CNews сообщили представители Bi.Zone.

Олег Скулкин, руководитель Bi.Zone Threat Intelligence: «По данным готовящегося исследования «Threat Zone 2026: обратная сторона», на теневых ресурсах становится все больше комплексных инструментов, которые объединяют удаленный доступ, скрытое управление, сбор данных и загрузку дополнительных модулей. Продавцы позиционируют такие продукты как готовые комплексные решения, а покупатели запрашивают аналогичную функциональность в едином пакете».

Полное исследование «Threat Zone 2026: обратная сторона» будет представлено 21 августа 2026 г.

Базовой конфигурацией становится связка в одном продукте RAT (троян удаленного доступа, позволяющий злоумышленнику выполнять команды на устройстве жертвы), HVNC (модуль скрытой виртуализации, чтобы удаленное управление оставалось незамеченным) и стилера (программа для кражи данных). Это сочетание нередко дополняют клиппер, подменяющий данные в буфере обмена, кейлоггер, фиксирующий нажатия клавиш, или встроенный загрузчик.

Некоторые злоумышленники, по сути, превращаются в вендоров, предлагая покупателям целую линейку вредоносных программ собственной разработки и дополняя их различными услугами. Так, в июле 2026 г. специалисты Bi.Zone Threat Intelligence обнаружили, что группировка Wrecking Hyena анонсировала в своем телеграм-канале запуск единой площадки для продажи программ-вымогателей, стилеров, эксплоитов и услуг по разработке ВПО под заказ.

На данный момент на теневой платформе размещены четыре инструмента, которые в совокупности покрывают полный цикл атаки, от первоначальной компрометации до вымогательства и вывода данных: билдер программы-вымогателя с исходным кодом ($500), готовый шифровальщик ($800) и многофункциональный стилер с модулем шифрования ($300), а также фреймворк для атак на промышленную инфраструктуру, который злоумышленники представили в своем канале месяцем ранее.

Отдельная страница платформы выделена под магазин уязвимостей и эксплоитов. При этом цены заявлены крайне низкие, в диапазоне от $100 до $5000. Ни одна из позиций не сопровождается CVE-идентификатором уязвимости, номером версии затронутого продукта или доказательством работоспособности предлагаемого эксплоита.