Развитие информационных угроз во втором квартале 2026 года. Мобильная статистика
Развитие информационных угроз во втором квартале 2026 года. Статистика по ПК

Мобильная часть квартального отчета по информационным угрозам содержит статистику по вредоносному, рекламному и потенциально нежелательному ПО для Android, а также описание наиболее интересных угроз для Android и iOS, найденных за отчетный период. Статистика основана на анализе уведомлений о срабатывании продуктов «Лаборатории Касперского» на устройствах пользователей, давших согласие на передачу анонимизированных данных в Kaspersky Security Network.

По данным Kaspersky Security Network, во втором квартале 2026 года:

• Предотвращено более 1,99 млн атак с использованием вредоносного, рекламного или нежелательного мобильного ПО.

• Среди вредоносного ПО для мобильных устройств самой распространенной угрозой стали Trojan-Banker — 30,77% от всех обнаруженных приложений.
• Было обнаружено более 304 тысяч вредоносных установочных пакетов, из которых:
  • 93 574 пакета относились к мобильным банковским троянцам;
  • 570 пакетов — к мобильным троянцам-вымогателям.

Число атак с использованием вредоносного, рекламного или нежелательного ПО на мобильные устройства продолжило снижаться и во втором квартале составило 1 996 823 по сравнению с 2 676 328 в прошлом квартале.

Мы заметили снижение числа атак некоторыми категориями предустановленных троянцев, что может говорить о выпуске исправленных прошивок для телефонов.

Во втором квартале мы обнаружили несколько загрузчиков вредоносного ПО в официальном магазине приложений Google Play. Про один из них мы уже рассказывали ранее: в приложение для просмотра PDF-файлов был встроен загрузчик банковского троянца Anatsa. При запуске приложение показывало окно, запрашивающее «установку обновления», однако на самом деле таким образом на устройство загружался троянец.

Еще один интересный случай — загрузчик, который мы обнаружили в приложении Cleanova и некоторых других. Он отправлял запрос на командный сервер с данными от различных SDK для отслеживания источника установки, и полезная нагрузка приходила в ответ только на определенные источники. Это достаточно интересная техника обхода модерации, а также таргетирования вредоносной активности. Если у произвольного пользователя аналитический SDK вернет данные о том, откуда установлено приложение, которые не представляют интерес для злоумышленников, то вредоносный код не отработает. Таким образом он может быть не замечен средствами проверки магазина приложений.

Во втором квартале число образцов вредоносного ПО для Android осталось на том же уровне, что и в предыдущем отчетном периоде, и составило 304 128.

Распределение детектируемых установочных пакетов по типам выглядит следующим образом:

* Данные за предыдущий квартал могут незначительно отличаться от опубликованных ранее в связи с ретроспективным пересмотром некоторых вердиктов.

Количество новых обнаруженных банковских троянцев резко упало, хотя они по-прежнему встречались чаще всего, как и в прошлом квартале. При этом среди банкеров значительно увеличилась доля троянцев Creduz, что не соответствует их реальному распространению среди пользователей. Вероятнее всего, мошенники, стоящие за Creduz, разрабатывают новую функциональность или способы обхода защитных решений, выпуская множество версий своего зловреда, но пока не распространяя их среди реальных пользователей.

* Сумма может быть больше 100%, если одни и те же пользователи столкнулись с несколькими типами атак.

Среди рекламного ПО наибольшее снижение заметно в семействах HiddenAd и MobiDash. Доля зловредов типа Trojan-Dropper по атакованным пользователям увеличилась в основном за счет роста банковских дропперов Trojan-Dropper.AndroidOS.Banker и Trojan-Dropper.AndroidOS.Mamont. Снижение доли Trojan-Banker частично объясняется тем, что некоторые банковские троянцы стали «упаковываться» и классифицироваться как дропперы.

В приведенный ниже рейтинг вредоносных программ не входят потенциально опасные или нежелательные программы, такие как RiskTool и рекламное ПО.

* Доля уникальных пользователей, столкнувшихся с данным зловредом, от всех атакованных пользователей мобильных решений «Лаборатории Касперского».

Распределение наиболее популярных зловредов во втором квартале во многом повторяет TOP прошлого отчетного периода. Наверх поднялись более свежие модификации банкера Mamont, заменив старые, что указывает на активность разработки новых версий этого троянца злоумышленниками.

Во втором квартале общее число приложений категории Trojan-Banker резко сократилось по сравнению с прошлым кварталом — 93 574 установочных пакета.

В рамках этой динамики распределение сильно сдвинулось в сторону троянцев Creduz. При этом, как мы отмечали ранее, такое смещение не сильно отразилось в реальных атаках: почти весь TOP по доле атакованных пользователей традиционно занимают различные модификации Mamont.

* Доля уникальных пользователей, столкнувшихся с данным зловредом, от всех атакованных банковскими угрозами пользователей мобильных защитных решений «Лаборатории Касперского».

Наши эксперты обнаружили новый вариант бэкдора CoolClient с драйвером-руткитом уровня ядра, который скрывает вредоносные процессы, файлы и сетевые соединения от средств защиты и аналитиков.

Эксперты «Лаборатории Касперского» разбирают новую кампанию Armored Likho, маскирующуюся под благотворительность и доставляющую новый Still Toolkit, нацеленный на кражу данных из Telegram и прослушку.

Мы рассказали о миграции APT-группы Awaken Likho на собственные бэкдоры TokenBuoy и TokenBuoySH и разобрали цепочку заражения — от фишингового письма до эксфильтрации данных.

Разбираем Umbrij — новый инструмент APT-группы ToddyCat для компрометации корпоративной переписки в сервисе Gmail. Целью атак стал токен авторизации OAuth, при помощи которого злоумышленники получали доступ к сервисам Google.