02.06.2021
Согласно исследованию центра противодействия кибератакам Solar JSOC компании «Ростелеком-Солар», каждая десятая российская организация из числа субъектов критической информационной инфраструктуры (КИИ) уже скомпрометирована различными семействами вредоносного ПО. Помимо этого, часть уязвимостей, которые эксперты находят в объектах КИИ, хоть и были опубликованы еще 10 лет назад, до сих пор не закрыты. Таким образом, совершить успешную атаку на большинство критически важных для страны инфраструктур могут даже хакеры с низкой квалификацией.
В декабре 2019 «Ростелеком» анонсировал запуск на своей инфраструктуре сети сенсоров и ловушек (honeypots) для раннего выявления атак. В ходе анализа данных с сенсоров команда Solar JSOC CERT отметила наибольшую активность четырех типов вредоносного ПО: Glupteba, PonyStealer, Trojan-Spy.Win32.Windigo и NjRAT. Основные цели Glupteba – кража пользовательских данных и добыча криптовалюты, при этом вредонос тщательно скрывает следы своего присутствия. PonyStealer – ботнет, известный с 2011 года и предназначенный для похищения паролей учетных записей и другой чувствительной информации. Trojan-Spy.Win32.Windigo осуществляет рассылку спама, кражу конфиденциальных данных и кликфрод. NjRAT (он же Bladabindi) – троян 2012 года, используемый злоумышленниками для удаленного администрирования.
Это вирусное ПО, несмотря на свою несовременность, несет существенные риски для компании. В случае если профессиональная группировка захочет развить свою атаку, ей достаточно приобрести в даркнете доступ к скомпрометированным узлам. Далее с помощью современных инструментов она сможет получить гораздо более глубокий доступ к инфраструктуре и повлиять на непрерывность бизнес-процессов, а также осуществить хищение конфиденциальной корпоративной информации или денежных средств.
Остаются актуальными и проблемы защиты периметра. В многих компаниях встречаются старые, но функциональные уязвимости. Причина этого в том, что процесс обновления ПО отсутствует в более чем 90% организаций, а среднее время установки обновлений составляет более 42 дней – отмечают эксперты Solar JSOC. Наиболее распространенные из уязвимостей: появившаяся в 2011 году Heartbleed, EternalBlue (в 2017 году она стала причиной распространения шифровальщика WannaCry) и BlueKeep, обнаруженная в 2019 году. Все они активно используются хакерами для реализации кибератак.
Пандемия также значительно ослабила ИТ-периметры. За последний год более чем на 60% выросло число автоматизированных систем управления технологическими процессами (АСУ ТП), доступных из интернета. Это увеличивает риски промышленного шпионажа и кибертерроризма.
Кроме того, почти в 2 раза увеличилось количество хостов с уязвимым протоколом SMB. Это сетевой протокол для общего доступа к файлам, принтерам и другим сетевым ресурсам, который применяется практически в каждой организации. Такие уязвимости особенно опасны, так как позволяют хакерам удаленно запускать произвольный код без прохождения аутентификации, заражая вредоносным ПО все компьютеры, подключенные к локальной сети.
Основной же проблемой во внутренних сетях является некорректное управление паролями. Крайне распространены слабые и словарные пароли, которые позволяют злоумышленнику проникнуть во внутреннюю сеть организации. Подбор пароля используют как хакеры-любители, так и профессиональные злоумышленники. Последних скомпрометированная учетная запись избавляет от необходимости преодолевать внешние средства защиты организации.
В декабре 2019 «Ростелеком» анонсировал запуск на своей инфраструктуре сети сенсоров и ловушек (honeypots) для раннего выявления атак. В ходе анализа данных с сенсоров команда Solar JSOC CERT отметила наибольшую активность четырех типов вредоносного ПО: Glupteba, PonyStealer, Trojan-Spy.Win32.Windigo и NjRAT. Основные цели Glupteba – кража пользовательских данных и добыча криптовалюты, при этом вредонос тщательно скрывает следы своего присутствия. PonyStealer – ботнет, известный с 2011 года и предназначенный для похищения паролей учетных записей и другой чувствительной информации. Trojan-Spy.Win32.Windigo осуществляет рассылку спама, кражу конфиденциальных данных и кликфрод. NjRAT (он же Bladabindi) – троян 2012 года, используемый злоумышленниками для удаленного администрирования.
Это вирусное ПО, несмотря на свою несовременность, несет существенные риски для компании. В случае если профессиональная группировка захочет развить свою атаку, ей достаточно приобрести в даркнете доступ к скомпрометированным узлам. Далее с помощью современных инструментов она сможет получить гораздо более глубокий доступ к инфраструктуре и повлиять на непрерывность бизнес-процессов, а также осуществить хищение конфиденциальной корпоративной информации или денежных средств.
Остаются актуальными и проблемы защиты периметра. В многих компаниях встречаются старые, но функциональные уязвимости. Причина этого в том, что процесс обновления ПО отсутствует в более чем 90% организаций, а среднее время установки обновлений составляет более 42 дней – отмечают эксперты Solar JSOC. Наиболее распространенные из уязвимостей: появившаяся в 2011 году Heartbleed, EternalBlue (в 2017 году она стала причиной распространения шифровальщика WannaCry) и BlueKeep, обнаруженная в 2019 году. Все они активно используются хакерами для реализации кибератак.
«Соблюдение кибергигиены – будь то устранение «дыр» на периметре организации или покрытие инфраструктуры средствами защиты – непростая, но критически важная задача. Ведь в текущей парадигме взаимодействия киберпреступного сообщества даже забытое старое ВПО может быть перекуплено профессиональной группировкой и использоваться в развитии сложной целенаправленной атаки», — отметил Владимир Дрюков, директор центра противодействия кибератакам Solar JSOC компании «Ростелеком-Солар».
Пандемия также значительно ослабила ИТ-периметры. За последний год более чем на 60% выросло число автоматизированных систем управления технологическими процессами (АСУ ТП), доступных из интернета. Это увеличивает риски промышленного шпионажа и кибертерроризма.
Кроме того, почти в 2 раза увеличилось количество хостов с уязвимым протоколом SMB. Это сетевой протокол для общего доступа к файлам, принтерам и другим сетевым ресурсам, который применяется практически в каждой организации. Такие уязвимости особенно опасны, так как позволяют хакерам удаленно запускать произвольный код без прохождения аутентификации, заражая вредоносным ПО все компьютеры, подключенные к локальной сети.
Основной же проблемой во внутренних сетях является некорректное управление паролями. Крайне распространены слабые и словарные пароли, которые позволяют злоумышленнику проникнуть во внутреннюю сеть организации. Подбор пароля используют как хакеры-любители, так и профессиональные злоумышленники. Последних скомпрометированная учетная запись избавляет от необходимости преодолевать внешние средства защиты организации.
