В первой половине 2026 года атакующие продолжали активно менять инфраструктуру, модифицировать ВПО и использовать новые цепочки доставки. Отдельного индикатора компрометации для расследования уже недостаточно — нужно уметь находить связи между техниками, файлами, доменами и сетевым поведением.