ИИ и блокчейн на черном рынке: новые тактики кибератак первой половины 2026 года
Первая половина 2026 года ознаменовалась сдвигом в ландшафте киберугроз, где искусственный интеллект перестал быть лишь вспомогательным инструментом для генерации текста и стал ключевым компонентом сложных вредоносных программ. Одновременно с этим, ботнеты переходят на блокчейн-инфраструктуру, создавая неуязвимые для традиционных методов блокировки сети для проведения DDoS-атак. Исследование Positive Technologies, проведенное на основе анализа закрытых источников, выявляет, как эти технологии трансформируют вымогательство, поиск уязвимостей и цепочки поставок.
# Теневые тренды 2026: ИИ, блокчейн и кризис доверия
Передовые технологии, изначально создававшиеся для оптимизации бизнеса, оказались востребованы и на теневом рынке. Киберпреступная среда адаптировалась к появлению искусственного интеллекта и децентрализованных сетей, используя их для повышения эффективности атак и устойчивости инфраструктуры. Ниже представлен анализ ключевых направлений эволюции угроз, сформировавшихся к середине 2026 года.
Эволюция роли искусственного интеллекта в ВПО
Раньше упоминание искусственного интеллекта во вредоносных программах (ВПО) часто служило лишь маркетинговым ходом. Сегодня ситуация усложняется: ИИ внедряется в ядро атакующих инструментов, трансформируя сам подход к киберпреступности.
ИИ как практический инструмент управления
Примером перехода от «пустых обещаний» к реальным функциональным возможностям стало появление решения AI hRDP (AI hidden Remote Desktop and Phone). В отличие от традиционных троянов удаленного доступа, этот инструмент позволяет оператору управлять жертвенным устройством с помощью текстовых команд. Специальный LLM-мост (модель языкового общения) переводит запросы человека в аппаратные действия: имитацию кликов мыши, нажатий клавиш и даже сложных действий в интерфейсах программ для анализа кода, таких как Binary Ninja или Ghidra. Система использует драйверы перехвата ввода на уровне ядра, что позволяет обходить многие программные ограничения безопасности.
Вымогательство нового поколения: анализ TITAN AI
Особого внимания заслуживает эволюция программ-вымогателей. Группировка TITAN внедрила модуль TITAN AI, который кардинально меняет тактику переговоров с жертвами. Этот инструмент позволяет автоматически обрабатывать огромные объемы похищенных данных (до 700 ГБ за час), классифицируя документы по уровню конфиденциальности. Нейросеть способна оценить репутационный ущерб, выявить факторы налоговых уклонений и рассчитать оптимальную сумму выкупа, максимизируя возможность выплаты со стороны жертвы. Более того, ИИ формирует доказательства для штрафов регуляторов и подготавливает очереди для публичного разглашения данных, превращая вымогательство в «автоматизированную фабрику юридических последствий».
*Нюанс редактора:* Использование ИИ в вымогательстве требует собственной защищенной инфраструктуры, чтобы избежать утечек через публичные API. Это вынуждает преступные группы разрабатывать собственные проприетарные модели или адаптировать открытые LLM, что повышает сложность разработки, но и эффективность атаки.
Автоматизация поиска уязвимостей
Рынок багбаунти также стал полем битвы. Появились инструменты вроде Scorpion, представляющие собой оркестратор, объединяющий языковые модели и утилиты сканирования (Nmap, Shodan, Nuclei). Эта платформа позволяет автономно проводить тестирование на проникновение, варьируя роли ИИ-агента от разведки до социальной инженерии. Однако, как и в легальном IT-сегменте, высокая скорость сканирования оборачивается большим количеством ложноположительных срабатываний, что требует от преступников умения фильтраровать найденные баги.
Генеративный код: риск для сообществ
Использование генеративного ИИ для написания кода ВПО вызывает внутренние конфликты. В начале 2026 года автор трояна Santa Stealer выложил исходный код в открытый доступ из-за финансового конфликта с операторами. Он признал, что большая часть кода была сгенерирована через ChatGPT. С одной стороны, это снижает порог входа для новичков. С другой — делает процессы разработки ВПО прозрачными и уязвимыми для междоусобных атак. Ярким примером является утечка проекта WormGPT в феврале 2026 года, ставшая целью для конкурентов.
ИИ-инфраструктура как цель атак
Парадоксально, но сами ИИ-платформы становятся мишенями. Троян KAIDO RAT разработан специально для атаки на среды разработчиков, использующих ИИ. Он перехватывает протоколы управления моделями (MCP), внедряется через Git-хуки и использует интерфейсы командной строки языковых моделей (например, Claude CLI) для управления. Локальные рабочие пространства ML-инженеров и разработчиков превратились в критически уязвимые точки первоначального проникновения.
Блокчейн: фундамент устойчивых ботнетов
Вторым значимым трендом является отказ от традиционных центральных серверов в пользу децентрализованных сетей. Блокчейн, в частности Ethereum, используется для управления ботнетами, делая их практически неуязвимыми для деанонимизации и блокировки.
Ботнет Kimwolf: рекорды и ENS
В конце 2025 года ботнет Kimwolf (также известный как Aisuru-Kimwolf) установил мировой рекорд по мощности DDoS-атак, достигнув пика в 31,4 Тбит/с. Насчитывающий более 2 миллионов устройств (в основном Android TV-приставки), он использует уникальную систему управления. Для поиска и маршрутизации команд сеть задействует сервис имен Ethereum (ENS). Поскольку записи в блокчейне нельзя удалить, злоумышленники могут мгновенно перенаправлять атаку на новые узлы управления, игнорируя попытки цензуры или блокировки DNS-серверов.
Конкуренция в теневом рынке достигла своего пика: зафиксированы случаи, когда конкурирующий ботнет Bigpanzi принудительно удалял модули Kimwolf с зараженных устройств, чтобы захватить контроль над ресурсами.
Кризис инфраструктуры и бизнес-логика
Помимо технологий, на сцену выходят системные проблемы инфраструктуры. Кризис доверия усилился после инцидентов с крупными хостинг-провайдерами и сервисами VPN, показавших уязвимость цепочки поставок. Злоумышленники теперь осознают, что сами они подвержены рискам.
Атаки на бизнес-логику
Традиционные атаки на уязвимости кода теряют приоритет. На первый план выходят атаки на процессы принятия решений и бизнес-логику. Появились инструменты для автоматизации атак на голосовые меню систем безопасности и манипуляции репутацией вредоносных файлов на платформах вроде VirusTotal, позволяя им обходить защитные фильтры. Эти методы нацелены на уязвимости в управлении и процессах, а не только в технических щелях.
Заключение
Первая половина 2026 года продемонстрировала, что ИИ и блокчейн стали неотъемлемой частью арсенала киберпреступников. Если раньше технологии использовались точечно, то сейчас они интегрированы в сами механизмы атак — от написания кода до управления распределенными сетями. Для специалистов по безопасности это означает необходимость пересмотра подходов к защите: недостаточно просто сканировать код или блокировать IP-адреса. Требуется защита всей цепочки создания ИИ-приложений, мониторинг децентрализованных протоколов и фокус на безопасности бизнес-процессов.
--- *Материал подготовлен на основе исследования Positive Technologies, проведенного по итогам мониторинга теневого рынка в первой половине 2026 года.*