Хакеры используют системы управления ИТ-инфраструктурой против бизнеса

Вечером 11 ноября специалисты американской компании Huntress обнаружили подозрительную активность на компьютерах клиентов, использующих ScreenConnect. Эта платформа позволяет ИТ-службам и сервисным компаниям удаленно обслуживать рабочие станции и серверы, устанавливать программы и выполнять административные команды.

Хакеры получили доступ сразу к нескольким облачным консолям ScreenConnect и воспользовались штатной функцией массового выполнения команд. На компьютеры клиентов устанавливался второй экземпляр ScreenConnect, уже подконтрольный злоумышленникам. Даже если обслуживающая компания обнаруживала взлом и закрывала доступ к своей консоли, у атакующих оставался собственный канал управления.

За первые десять минут пострадало около сотни компьютеров. Через полтора часа специалисты Huntress насчитали 288 зараженных устройств в 48 организациях. И это только среди клиентов самой Huntress.

Однако хакеры рассчитывали пойти дальше. Вместе с программой удаленного доступа они устанавливали вредоносный инструментарий SCKit, предназначенный для заражения компьютеров системных администраторов. Потенциальной жертвой мог стать специалист, подключившийся к зараженному компьютеру для устранения последствий атаки. Получив доступ к его рабочей станции, злоумышленники могли бы распространить атаку на другие обслуживаемые им системы.

ScreenConnect уже не впервые становится инструментом кибератак. Еще в июне 2025 года IT-World сообщал о группировке EvilConWi, использовавшей легитимно подписанные установщики этой программы. Злоумышленники внедряли в них вредоносные настройки, не нарушая цифровую подпись.

«Это подрывает доверие к целым экосистемам ПО, поскольку подписанный код традиционно воспринимается как безопасный», отмечает Екатерина Едемская, инженер-аналитик компании «Газинформсервис».

В ходе расследования специалисты Huntress обнаружили возможную связь атаки со сторонним расширением RMM+, которое позволяло выполнять административные команды. ConnectWise временно отключила пять потенциально опасных расширений примерно в 400 партнерских средах. При этом разработчик пока не обнаружил признаков взлома собственной инфраструктуры или эксплуатации уязвимости непосредственно в ScreenConnect. Как именно хакеры получили первоначальный доступ, еще предстоит выяснить.

Тем временем другой крупный разработчик систем удаленного администрирования, N-able, был вынужден остановить собственные облачные сервисы. После раскрытия 33 уязвимостей компания 9 ноября отключила серверы N-central. На следующий день платформа заработала, но уже 11 ноября исследователь опубликовал новые способы взлома. При определенных настройках они работали даже после установки исправлений.

Хакеры с правами администратора

Как сообщал IT-World, в октябре злоумышленники атаковали инфраструктуру нескольких десятков российских хостинг-провайдеров через платформу VMmanager. Первоначально разработчик платформы ISPsystem выпустил экстренное обновление, но через три дня началась новая волна атак. Хакеры переключились на другую уязвимость.

Чтобы ограничить их действия, разработчику пришлось временно запретить даже администраторам запускать скрипты на серверах и виртуальных машинах. Только 19 октября специалисты обнаружили ранее неизвестную уязвимость, позволявшую злоумышленникам выполнять запросы внутри платформы с административными привилегиями.

По информации ISPsystem, хакеры использовали специализированные ИИ-инструменты. Они быстро адаптировались к изменениям в инфраструктуре и выпущенным исправлениям. В итоге у ряда провайдеров оказались скомпрометированы данные конфигурации, секреты и пользовательские файлы.

И действительно, зачем хакерам взламывать каждый сервер, если можно захватить управление всей инфраструктурой сразу? Удалять виртуальные машины, менять настройки, устанавливать программы и выполнять команды на сотнях компьютеров позволяют штатные функции административных платформ.

Более того, злоумышленники все чаще обходятся без собственного вредоносного ПО. По данным Huntress, в 2025 году число случаев злоупотребления легальными средствами удаленного мониторинга и управления (RMM) выросло на 277%. Такие инструменты фигурировали почти в каждом четвертом инциденте, зарегистрированном компанией. А использование традиционных хакерских инструментов сократилось на 53%.

Российские компании уже сталкивались с подобной тактикой. В феврале 2025 года IT-World сообщал об атаках группировки Bloody Wolf на организации России и СНГ. По словам Олега Скулкина, руководителя BI.ZONE Threat Intelligence, злоумышленники тогда отказались от трояна STRRAT в пользу легальной программы удаленного управления NetSupport, которую традиционным средствам защиты сложнее обнаружить. Под ударом одновременно оказались не менее 400 организаций.

В опубликованном 10 ноября исследовании Acronis проанализированы более 1,8 млн компьютеров с установленным ПО удаленного управления компании. На 63% устройств обнаружены дополнительные средства удаленного доступа, более чем на трети установлено не менее трех таких программ.

Одной пользуется штатный администратор, другой бухгалтерский интегратор, третья могла остаться от бывшего подрядчика. Каждый такой инструмент открывает отдельный канал доступа к корпоративной инфраструктуре. Причем безопасность этого канала зачастую зависит от людей, которые даже не работают в компании.

Читайте также

ИИ-бум столкнулся с долговой реальностью

ИИ-компании заключают контракты на сотни миллиардов долларов, но инвесторы уже сомневаются, что эти деньги удастся заработать. Долги операторов дата-центров растут, облигации дешевеют, а производители чипов сами финансируют своих покупателей. Не окажется ли ИИ-бум построенным на заемных деньгах?

«Вы становитесь жертвой не потому, что вы интересны, а потому что вы доступны», подчеркивает Игорь Бедеров в интервью IT-World.

По его словам, злоумышленники автоматизировали поиск открытых RDP-подключений, уязвимых серверов и скомпрометированных учетных данных. Размер бизнеса уже не имеет принципиального значения.

Администратор из чужой компании

Компания может тщательно контролировать собственную инфраструктуру и при этом предоставлять доступ к ней десяткам сторонних специалистов. Одни обслуживают 1С, другие отвечают за серверы, третьи поддерживают системы видеонаблюдения, кассовое оборудование или складскую автоматизацию. А у этих подрядчиков тоже есть свои подрядчики.

Именно по такой цепочке действовала группировка ExCobalt. В ходе одного из расследований специалисты Positive Technologies обнаружили, что хакеры проникли в сеть заказчика, используя SSH-ключи его подрядчика. Тот, в свою очередь, был взломан через собственного подрядчика.

За две недели хакеры получили доступ как минимум к 13 компьютерам и серверам. Они изучали техническую документацию и искали данные для подключения к инфраструктуре других клиентов. В сети конечного заказчика злоумышленники скомпрометировали не менее пяти узлов. Атаку облегчило отсутствие двухфакторной аутентификации при подключении.

«Злоумышленники тщательно маскируют свою активность под легитимные действия ИТ-подрядчика, и детектировать ее можно только с помощью обнаружения аномалий», считает Михаил Климов, руководитель направления сервисов RED Security SOC.

В феврале 2026 года специалисты F6 расследовали атаку на российское производственное предприятие. Хакеры проникли в корпоративную сеть через VPN под служебной учетной записью подрядчика, подключились к внутренним системам по RDP и развернули вредоносное ПО ShadowPad.

По данным BI.ZONE, в 2025 году более 30% расследованных компанией инцидентов с шифрованием или уничтожением инфраструктуры были связаны с атаками именно через подрядчиков. Годом ранее этот показатель составлял лишь 15%.

«Мы выбираем между тем, что будет дорого, и тем, что нас могут взломать через подрядчиков. Это осознанное решение», отмечает Рустэм Хайретдинов в ходе дискуссии на IT-World.

Получается, безопасность бизнеса зависит в том числе от компаний, о существовании которых его ИТ-служба может даже не знать. Но еще опаснее, когда хакеры используют для проникновения системы, предназначенные именно для защиты корпоративных сетей.

Когда системы защиты работают против владельца

В июле 2026 года хакеры использовали защищенные сети ViPNet для распространения вредоносного ПО. Как установили специалисты Positive Technologies, заражение происходило через штатный механизм доставки обновлений.

По информации «ИнфоТеКС», для этого злоумышленникам требовалось предварительно взломать управляющий узел ViPNet Administrator. Получив контроль над ним, хакеры смогли распространять вредоносные файлы внутри защищенной сети.

Пострадали как минимум восемь российских организаций, в том числе государственные учреждения, транспортные и промышленные предприятия. Атаки связали с кибершпионской группировкой IAmTheKing. В отдельных случаях присутствие злоумышленников оставалось незамеченным до 54 дней.

Еще более масштабную атаку 5 ноября описала «Лаборатория Касперского». Группировка BO Team несколько месяцев контролировала значительную часть инфраструктуры российского разработчика ПО для промышленных предприятий.

Хакеры захватили контроллеры домена, гипервизоры, почтовые серверы и сетевое оборудование. Украденный ключ системы автоматизации Ansible позволил им проникнуть на серверы корпоративного VPN, резервного копирования и даже системы SIEM, которая должна была обнаружить их активность.

Однако уничтожение инфраструктуры, судя по всему, не входило в планы атакующих. Они добрались до репозиториев исходного кода и сервера цифровой подписи программных продуктов.

«По нашей оценке, конечной целью группы могла быть атака на клиентов и контрагентов организации — в том числе через внедрение вредоносного кода в разрабатываемые продукты», отмечает Евгений Гончаров, руководитель Kaspersky ICS CERT.

Как хакерам удалось месяцами оставаться незамеченными в инфраструктуре разработчика ПО для промышленности? Защитное ПО устарело, SIEM только внедрялась, пароли хранились в открытом виде, а выделенных специалистов по информационной безопасности в компании не было.

Даже потеряв доступ к серверам, хакеры попытались вернуться. С помощью украденного ключа DKIM они подписывали фишинговые письма от имени взломанной компании. Часть систем почтовой защиты приняла эти сообщения за легитимные. Повторное проникновение удалось предотвратить.

Читайте также

Импортозамещение идет, а импорт растет. За что российские заводы платят за рубежом?

Российские заводы переходят на отечественное ПО, но импорт цифровых услуг за год вырос почти вчетверо. Во II квартале 2026 года расходы достигли $205 млн. Почему зарубежные закупки растут на фоне импортозамещения и что на самом деле говорят его результаты?

Если бы вместо заражения клиентов хакеры решили уничтожить инфраструктуру самого разработчика, в их распоряжении уже были практически все необходимые для этого инструменты. Включая доступ к резервным копиям.

Восстановить данные недостаточно

В ночь на 2 ноября хакерам понадобилось около получаса после проникновения в управляющую инфраструктуру Beget, чтобы начать уничтожение данных. Как сообщал IT-World, под удар попали виртуальные серверы, объектное хранилище S3, инфраструктура Kubernetes и резервные копии VPS. Файловые бэкапы в другом дата-центре уцелели лишь частично.

К вечеру 11 ноября Beget восстановил более 55 тыс. сайтов виртуального хостинга. Однако для части клиентов облачной платформы провайдер уже не сможет восстановить данные. Хакеры уничтожили не только рабочую инфраструктуру, но и средства ее восстановления.

В сентябре хакеры захватили 22 гипервизора гонконгского хостинг-провайдера Netfront. Резервные копии уцелели благодаря разграничению прав доступа: взломанные серверы не могли их удалить.

7 сентября провайдер восстановил работу платформы, но уже вечером хакеры вернулись. Как показало расследование, восстановление серверов и смена паролей не лишили злоумышленников доступа к инфраструктуре. Созданные ими учетные записи и 42 токена с правами суперпользователя оставались действующими.

Восстановление работоспособности систем без устранения последствий взлома оставляет бизнес под угрозой повторной атаки. И на этот раз хакерам даже не придется искать способ проникновения.

В ноябре 2025 года кибератака парализовала внутренние системы Страхового Дома ВСК. Хакеры потребовали около миллиарда рублей выкупа, а потери по марже оценили в 900 млн рублей. По информации IT-World, злоумышленники проникли в инфраструктуру через аудиторскую компанию.

«Нужно было просто позвонить и сказать: отключайте интернет. А не отправлять электронное письмо в три часа ночи», — сетует председатель совета директоров ВСК Сергей Цикалюк.

Подрядчик ограничился электронным письмом, когда требовалось немедленно остановить атаку. Формально заказчика предупредили, но время было упущено.

Кто контролирует администратора

Централизованное управление ИТ-инфраструктурой сокращает расходы на ее обслуживание, но одновременно увеличивает потенциальный ущерб от взлома. Одна административная учетная запись может давать доступ к тысячам серверов и рабочих станций.

Двухфакторная аутентификация и системы управления привилегированным доступом (PAM) усложняют захват таких учетных записей. Но даже легитимный администратор не должен иметь возможности единолично остановить работу всей компании.

Например, в Microsoft Intune предусмотрен механизм двойного согласования Multi Admin Approval. Критические операции можно настроить так, чтобы они требовали подтверждения второго администратора. В этом случае для выполнения таких действий хакерам будет недостаточно взломать одну учетную запись.

Отдельный вопрос касается полномочий внешних специалистов. Как отмечает в публикации IT-World Сергей Халяпин из Termidesk, подрядчику обычно требуется доступ не ко всей корпоративной инфраструктуре, а к конкретному приложению, данным или рабочей среде.

Ответы на эти вопросы могут потребовать пересмотра всей архитектуры ИТ-инфраструктуры, договоров с подрядчиками и полномочий администраторов. Отказываться от автоматизации и ИТ-аутсорсинга бизнес не будет, но и оценивать их эффективность исключительно по экономии средств уже нельзя.

Бизнесу пора исходить из того, что хакеры могут получить права администратора. Вопрос в том, смогут ли они с этими правами уничтожить ИТ-инфраструктуру вместе с резервными копиями и остановить работу всей компании. События последних месяцев показывают, что злоумышленники уже научились превращать средства управления ИТ в оружие. И, похоже, это только начало.