Исследование российского киберландшафта: что с безопасностью?

Логотип компании
Исследование российского киберландшафта: что с безопасностью?
Вчера компания BI.ZONE представила Threat Zone – годовое исследование российского сегмента. Эта работа - результат аналитической обработки данных, собранных экспертами BI.ZONE из команд реагирования на инциденты, центра мониторинга и киберразведки.

Финансовая мотивация остается для злоумышленников основной, волна хактивизма идет на спад, а атак на крупные организации через IT-подрядчиков все больше.

Вот основные тренды 2023 года:

1. 15% атак пришлось на сферу ритейла, по 12% — на промышленные и топливно-энергетические компании, а также финансовые и страховые организации. 10% было нацелено на транспортную отрасль.


9% атак пришлось на государственный сектор. В 8% случаев жертвами становились IT-компании. На долю инженерии, связи, образования и науки выпало 5% выявленных атак, а на строительную отрасль — всего 4%.

 

Исследование российского киберландшафта: что с безопасностью?. Рис. 2
Фото: Андрей Виноградов

Теймур Хеирхабаров, директор департамента мониторинга, реагирования и исследования киберугроз, BI.ZONE:

В 2023 году мы отслеживали более 50 группировок, атаковавших российские компании. Наши специалисты обработали свыше 580 000 подозрений на инцидент и отреагировали больше чем на 2000 киберинцидентов, из которых свыше 100 оказались высококритичными. Благодаря этому мы сделали выводы о ключевых трендах, которые будут определять изменения российского киберландшафта. В основе отчета Threat Zone 2024 — данные киберразведки, полученные от BI.ZONE Threat Intelligence, а также информация от команд центра мониторинга и реагирования на инциденты.

 

2. 76% атак обусловлены финансовой мотивацией.

Преступники распространяли программы-вымогатели, требовали выкуп за скомпрометированную конфиденциальную информацию, а также находили способы получить прямой доступ к финансовым активам жертв. Для атак злоумышленники широко применяли легитимные инструменты, коммерческое вредоносное ПО (ВПО), а также инструменты с открытым исходным кодом.


В 2023 году киберпреступники стали активно использовать специально созданные ресурсы для публикации данных о своих жертвах, если те отказались выплачивать выкуп. Кроме того, злоумышленники с финансовой мотивацией значительно различаются по уровню подготовки: среди них есть как опытные с глубокими техническими знаниями, так и преступники с низким уровнем подготовки, делающие ставку в основном на простое в использовании коммерческое ВПО. Наметившаяся ранее тенденция к снижению порога входа в киберпреступность сохранилась.

3. 15% атак были связаны со шпионажем.

В 2023 году в этом направлении специалисты BI.ZONE выявили 5 ранее неизвестных группировок. Кроме того, в шпионаж перешли несколько кластеров, у которых раньше была финансовая мотивация.

Киберпреступники по-прежнему активно использовали фишинг для получения первоначального доступа, а также эксплуатировали новые уязвимости, в некоторых случаях до публикации официальной информации о них. Наряду с этим появились кластеры, атакующие с помощью более примитивных методов и коммерческого ВПО.

4. Волна хактивизма спадает.

На долю хактивизма пришлось всего лишь 9% атак. Количество киберпреступлений, совершаемых по идеологическим мотивам, постепенно уменьшается: все больше хактивистов переходят к финансово мотивированным преступлениям либо совмещают оба вида атак.

Трендом 2023 года также стал переход преступников этой категории от массовых атак к целевым, направленным точечно на организации, наиболее интересные злоумышленникам с точки зрения огласки. Сообщения об атаках преступники активно публиковали в своих телеграм-каналах и там же размещали полученные конфиденциальные данные.

Кроме того, хактивисты реализовывали деструктивные атаки, применяя программы-вымогатели или вайперы для уничтожения данных. Чтобы получить первоначальный доступ, преступники активно использовали легитимные учетные записи, а также компрометацию подрядчиков.

5. Атаки через подрядчиков с применением легитимных учетных записей повсеместно распространены. Из-за незащищенности самих подрядчиков такие атаки стали трендом 2023 года.

Ранее злоумышленники действовали более прямолинейно и при взломе поставщиков IT-услуг сразу вымогали деньги у этих компаний. Теперь киберпреступники предпочитают идти дальше и развивать атаку на клиентов подрядчика, поскольку в случае успеха это позволяет увеличить выгоду.


Кроме атак через подрядчиков, злоумышленники чаще всего проникали в IT-инфраструктуру благодаря фишингу, эксплуатации уязвимостей в публично доступных приложениях, а также использованию доступных из интернета служб удаленного доступа для сотрудников.

Читайте также
Как автоматизировать аудит процессов, регулярно выявлять узкие места и быстрее достигать целей бизнеса? Разбирался IT-World.

6. Кроме ВПО, киберпреступники активно применяют популярные инструменты для пентеста, а также встроенные программы операционной системы.

Среди ВПО по популярности лидируют коммерческие программы, а также их взломанные варианты. Чаще всего злоумышленники маскируют ВПО под легитимные документы, используя при этом двойное расширение (например .pdf[.]exe), и распространяют такие программы через фишинговые рассылки, малвертайзинг, т. е. вредоносную рекламу, и отравление поисковой выдачи.


Наиболее популярным у злоумышленников в 2023 году было шпионское ПО Agent Tesla, которое задействовали в 22% атак. Программа позволяет не только похищать данные с устройства жертвы, но и получать к нему удаленный доступ. В ходе одной из атак с помощью Agent Tesla преступникам удалось скомпрометировать 400 российских компаний всего за 24 часа.


В 2023 году среди злоумышленников резко выросла популярность легитимных инструментов Adminer и Gsocket. Первый часто использовали администраторы для управления базами данных на сайтах. Если раньше некоторые злоумышленники пытались эксплуатировать его уязвимости для получения несанкционированного доступа к этим базам, то теперь сами устанавливают Adminer на компьютер жертвы, чтобы незаметно выгрузить все данные. Gsocket стали активно применять в 2023 году, чтобы выполнять в удаленной системе произвольные команды и копировать файлы в обход межсетевых экранов.

Атакующие активно эксплуатировали уязвимости, однако далеко не все: из 29 065, найденных в 2023 году, в атаках использовались всего 26. Причина в том, что востребованные уязвимости обнаружены в широко распространенных системах и легко эксплуатируются, ведь для них есть публичные эксплоиты.

7. В случае успешной атаки киберпреступники в среднем проводят в скомпрометированной инфраструктуре 25 дней до обнаружения.

Однако этот показатель может варьироваться в зависимости от целей атаки. Злоумышленники, использующие программы-вымогатели, предпочитают действовать быстро и обычно проводят в скомпрометированной инфраструктуре около 5 дней. Если же цель преступников — шпионаж, они стремятся оставаться незамеченными как можно дольше: от нескольких месяцев до нескольких лет.

Но, если в организации есть современные средства мониторинга киберугроз, атаку выявляют на начальной стадии и купируют ее за короткое время: от нескольких минут до нескольких часов.

 

Хочу обратить внимание на то, что злоумышленники не используют свежие уязвимости, а идут проторенной дорожкой. Среди популярностей встречаются те, что были обнаружены в 2017 году! А на мой вопрос о громком деле по «дырах» в процессорах Intel и AMD, то эксперты BI.ZONE сказали, что им не известно ни об одном случае их использования не только в России, но и в мире. А, ведь, из-за выпущенных патчей, закрывающих эти уязвимости, пользователи потеряли изрядное количество производительности своих ПК.

Полную версию исследования Threat Zone вы можете скачать по ссылке.

Опубликовано 03.04.2024

Похожие статьи