Positive Technologies

В течение 2018 года эксперты зафиксировали на 27% больше уникальных инцидентов, чем годом ранее. Пики активности наблюдались в феврале, мае, июле и в конце года, что, по мнению авторов исследования, связано со всплесками атак злоумышленников в преддверии и во время крупных спортивных соревнований (зимних Олимпийских игр и чемпионата мира по футболу), а также с предновогодним периодом, когда финансовая активность и организаций, и частных лиц повышается.

Продолжает расти доля атак, направленных на кражу информации (42%). При этом такие атаки зачастую содержат финансовый подтекст: украденные данные затем используются для кражи денег, шантажа или размещаются для продажи на теневом рынке. Злоумышленники похищают преимущественно персональные данные (30%), учетные данные (24%) и данные платежных карт (14%). В 19% инцидентов жертвами хакеров стали государственные учреждения, в 11% случаев пострадали медицинские, а в 10% — финансовые организации. Чаще всего злоумышленники атаковали инфраструктуру (49%) и веб-ресурсы (26%) компаний.

В отличие от прошлого года, 55% составили целенаправленные атаки; их доля постепенно увеличивалась из квартала в квартал. Все большее число преступников переносят свою деятельность из реального мира в цифровой и выбирают целевые атаки, чтобы успешно монетизировать эту деятельность и легче достигать своих целей.

Количество уведомлений об утечках персональных данных продолжает расти. Специалисты объясняют это введением в действие GDPR — законодательного акта, устанавливающего правила защиты персональных данных граждан ЕС. Компании, которые ранее умалчивали об инцидентах, после известий о первых штрафах и предупреждениях станут, вероятно, охотнее уведомлять клиентов о кибератаках, заключают аналитики Positive Technologies.

48% атак были направлены на получение данных. Интересно, что в ходе половины из них злоумышленники использовали вредоносное ПО. В первую очередь (это 28% атак) преступников интересовали учетные данные (логины, пароли) для доступа к различным сервисам и системам, в том числе к электронной почте сотрудников компаний.

Продолжила расти доля целенаправленных атак: она составила 62%. Эксперты отмечают, что злоумышленники все чаще используют «индивидуальный подход» для атак на организации, а частные лица страдают от масштабных заражений вредоносным ПО. Треть атак на частных лиц была нацелена на получение данных. Наибольший интерес для злоумышленников представляют учетные данные – в 60% случаев крадут именно их. Доля инцидентов, принесших преступникам прямую финансовую выгоду, выросла на 6% по сравнению с прошлым кварталом.

Социальная инженерия использовалась в каждой третьей атаке. Фишинг в адрес сотрудников компании-жертвы стал уже отработанной схемой злоумышленников в рамках целенаправленных атак. Так, в ноябре специалисты Positive Technologies обнаружили вредоносное вложение в электронных письмах, которое позволяло злоумышленнику захватывать изображение с веб-камер, записывать звук, делать скриншоты экрана, копировать файлы с медиаустройств. Преступники ловко привлекали внимание адресатов броской темой письма и размытым изображением открывающегося файла, на котором проглядывал герб — так что документ должен был вызывать доверие и желание с ним ознакомиться. Пока жертва видела на экране документ-заглушку, на компьютере незаметно для пользователя устанавливалось ВПО для удаленного управления Treasure Hunter, которое собирало информацию о системе, отправляло ее на удаленный командный сервер и принимало команды с него.

Специалисты Positive Technologies представили итоги анализа защищенности корпоративных систем российских и зарубежных компаний в 2017 году.

При проведении тестирования на проникновение от лица внутреннего злоумышленника исследователям во всех без исключения случаях удалось захватить полный контроль над инфраструктурой. При этом только в 7% систем сложность получения доступа к критически важным ресурсам оценивалась как средняя, обычно же полностью скомпрометировать всю корпоративную систему может нарушитель низкой квалификации. От лица внешнего злоумышленника, использующего, в числе прочего, методы социальной инженерии и атаки на беспроводные сети, удалось преодолеть сетевой периметр в 68% работ.

По сравнению с 2016 годом наблюдается тенденция к снижению сложности преодоления сетевого периметра. Если прежде сложность получения доступа к ресурсам локальной вычислительной сети оценивалась как тривиальная в 27% случаев, то теперь этот показатель вырос до 56%.

В ходе проектов по анализу защищенности выявлялись в среднем два вектора проникновения во внутреннюю сеть организации. Максимальное число обнаруженных векторов составило 10, а возраст самой старой выявленной уязвимости CVE-1999-0532составляет 18 лет.

Удобным способом проникновения в ЛВС являются беспроводные сети. По статистике, 40% компаний используют словарные пароли для подключения к своим сетям Wi-Fi. При этом 75% таких сетей доступны за пределами контролируемой зоны компании и в таком же количестве беспроводных сетей отсутствует изоляция между пользователями. Таким образом, чтобы эксплуатировать уязвимости в личных и корпоративных ноутбуках, взломщику даже не нужно физически находиться в офисе компании.

Как рассказали в Positive Technologies, еще одно слабое звено в защите корпоративных сетей — сотрудники, которые легко поддаются методам социальной инженерии: 26% сотрудников осуществляют переход по ссылке на фишинговый веб-ресурс, причем практически половина из них в дальнейшем вводят свои учетные данные в поддельную форму аутентификации. Каждый шестой сотрудник запускает приложенные к письму зловредные файлы. Кроме того, 12% сотрудников готовы вступить в диалог с нарушителем и раскрыть важную информацию.

Получение полного контроля над всей инфраструктурой обычно начинается с малого: злоумышленник захватывает контроль над одной или несколькими рабочими станциями, используя недостаточно стойкие пароли, сетевые атаки либо уязвимости устаревших версий ОС. Дальше сценарий атаки довольно типовой: злоумышленник просто запускает специальную утилиту для сбора паролей всех пользователей ОС на компьютерах, которые уже контролирует. Как правило, некоторые из собранных паролей подходят к другим компьютерам, и нарушитель проделывает то же самое и на них. Так он проходит шаг за шагом по ресурсам компании, пока не получит пароль администратора домена, который позволяет закрепиться в инфраструктуре надолго и полностью контролировать самые важные системы.

Для противодействия внутренним нарушителям необходим комплексный подход к защите. Как минимум следует использовать только актуальные версии ОС и ПО, а также стойкие к подбору пароли для всех пользователей на всех ресурсах, особенно для администраторов. Рекомендуется также использовать двухфакторную аутентификацию для администраторов ключевых систем и не предоставлять сотрудникам административные привилегии на их компьютерах.

Злоумышленники могут преодолеть периметр и попасть в корпоративную сеть 73% компаний промышленного сегмента. В 82% компаний возможно проникновение из корпоративной сети в технологическую, в которой функционируют компоненты АСУ ТП. Таковы результаты исследования векторов атак на корпоративные информационные системы промышленных компаний, проведенного Positive Technologies

Одной из главных возможностей для получения взломщиком доступа к корпоративной сети оказались административные каналы управления. Часто администраторы промышленных систем создают для себя возможности удаленного подключения к ним — это позволяет им, например, не находиться все время на объекте, а работать из офиса.

В каждой промышленной организации, в которой исследователям Positive Technologies удалось получить доступ к технологической сети из корпоративной, были выявлены те или иные недостатки сегментации сетей или фильтрации трафика — в 64% случаев они были внесены администраторами при создании каналов удаленного управления.

Наиболее распространенными уязвимостями корпоративных сетей стали словарные пароли и устаревшее ПО — эти ошибки были обнаружены во всех исследуемых компаниях. Именно эти недостатки позволяют развить вектор атаки до получения максимальных привилегий в домене и контролировать всю корпоративную инфраструктуру. Часто файлы с паролями к системам хранятся прямо на рабочих станциях сотрудников.

Подходы к обеспечению информационной безопасности промышленных объектов имеют свои особенности. Известные уязвимости в ИТ-системах зачастую не устраняются из-за нежелания вносить изменения и нарушать тем самым технологический процесс. Вместо этого основные усилия компании направляют на снижение вероятности их эксплуатации, например, путем отделения и изоляции внутренних технологических сетей от подключенных к Интернету корпоративных систем. Как показывает практика тестирования на проникновение, подобная изоляция не всегда реализуется эффективно, и у нарушителя остаются возможности для атаки, делается вывод в исследовании.

В 2017 году 47% кибератак были направлены на инфраструктуру компаний, таков результат анализа истории кибератак, представленный компанией Positive Technologies

Главным трендом 2017 года, несомненно, стали вирусы-шифровальщики. Как показал анализ поведения злоумышленников на протяжении всего 2017 года, проблему представляют не столько вымогатели, сколько вирусы, которые безвозвратно шифруют данные, нанося тем самым огромный урон инфраструктуре компаний.

За счет активного продвижения инструментов RaaS (ransomware-as-a-service, вымогатель как сервис) одни и те же троянские программы стали многократно использоваться разными лицами, а порог входа в киберпреступный бизнес снижается, поскольку через Интернет купить вредоносные программы теперь может любой желающий. А значит, число вредоносных кампаний будет только увеличиваться.

В течение всего 2017 года росло и количество жертв среди обычных пользователей: если в первом квартале аналитики Positive Technologies насчитали 21 уникальный инцидент, в результате которого пострадали частные лица, то к концу года их число приблизилось к 100. Эксперты связывают этот факт также с популярностью RaaS, поскольку новички в киберпреступной среде, которые ищут быстрой наживы, чаще всего направляют купленные троянские программы именно на частных лиц. Стоит также отметить, что в 2017 году наибольший интерес у злоумышленников вызывали именно рядовые пользователи: это 26% всех атак.

Основными мотивами злоумышленников в 2017 году были получение прямой финансовой выгоды (70%) и кража данных (26%). Самыми похищаемыми данными стали медицинская информация и данные платежных карт. При этом, как отмечают эксперты, хотя персональные данные продолжают интересовать злоумышленников, в Даркнете они уже не ценятся так высоко как раньше.

Поднявшийся в 2017 году ажиотаж вокруг криптовалют и существенный рост популярности ICO привлекли и злоумышленников, направивших атаки на криптовалютные биржи, кошельки частных лиц и ICO. И пока одни регистрировали криптокошельки и переводили на них деньги, другие опустошали эти кошельки, например, путем подбора учетных данных.

Не остался без внимания киберпреступников и стремительно растущий рынок «умных вещей». Компрометация учетных данных от IoT-устройств привела к тому, что миллионы маршрутизаторов, IP-камер, и пылесосов и прочей утвари оказались в ботнетах и используются для майнинга криптовалюты, слежки за людьми, DDoS-атак и прочего.

ИТ и промышленная отрасли, а также транспортный сектор, выделяют на обеспечение информационной безопасности до 50 млн руб. в год. Среди них – больше денег расходуется компаниями, занятыми в промышленности. Такие результаты показало исследование основных статей расходов на обеспечение информационной безопасности российскими компаниями, проведенное специалистами Positive Technologies. В выборке участвовали 170 российских компаний, большинство из которых входят в рейтинг 500 крупнейших компаний России по выручке за 2016 год или лидируют в своей отрасли. В число респондентов вошли руководители ИТ- и ИБ-подразделений, а также директора организаций.

Доля вложений российских СМИ в кибербезопасность составляет от 5 до 20 млн руб. в год. Меньше всего на нужды информационной безопасности тратят компании, занятые в сфере образования: в отдельных случаях их годовой бюджет, выделяемый на информационную безопасность, не превышает 1 млн руб.

Как и следовало ожидать, в условиях взятого правительством РФ курса на «цифровую экономику», некоторые банки и государственные организации существенно выделяются на фоне остальных компаний по объему бюджета на обеспечение информационной безопасности. Так, госорганизации выделяют на кибербезопасность до 800 млн руб. в год, а финансовые учреждения – до 300 млн руб. ежегодно.

Такое распределение ресурсов, прежде всего, связано с общими бюджетами компаний, которые в крупных государственных учреждениях в разы больше, чем в других организациях. Более того, подразделение, отвечающее непосредственно за информационную безопасность, имеется лишь в 44% компаний-респондентов, в остальных организациях необходимые функции выполняются специалистами ИТ-отдела.

Как отмечают аналитики Positive Technologies, руководство российских компаний по-прежнему склонно считать ряд затрат на обеспечение кибербезопасности лишними, считая, в том числе, что риски от возможного воздействия способен предотвратить традиционный ИТ-отдел. Такое пренебрежение может повлечь за собой самые нежелательные последствия: от реального выхода из строя комплекса информационных систем до серьезных репутационных издержек.

По статистике Positive Technologies, 67% атак были совершены с целью получения прямой финансовой выгоды. При этом больше половины атак носили массовый характер и использовали преимущественно вредоносное программное обеспечение.

Эпидемия вируса-вымогателя WannaCry показала, что стать жертвой атаки можно даже если не открывать подозрительные письма и не кликать по ссылкам в них. По данным Intel, общее количество зараженных им компьютеров превысило 530 тысяч. Другая масштабная вредоносная кампания в конце июня была вызвана шифровальщиком NotPetya. Отличительной чертой этой эпидемии было то, что целью преступников не была финансовая выгода: ПО распространялось для вывода из строя информационных систем, уничтожения файлов и саботажа.

Тренд «вымогатели как услуга» (ransomware as a service) набирает обороты. Появляются новые модели по сдаче троянов в аренду, согласно которой поставщик получает от 25% до 85% от суммы платежей жертв.

Аналитики отмечают появление новых нестандартных цепочек проникновения в целевую систему. Например, группировка Cobalt использовала произвольные уязвимые сайты в качестве хостинга для вредоносного ПО. Члены группировки APT10 в ходе целевых атак сначала получали доступ в корпоративные сети провайдеров облачных сервисов, а затем по доверенным каналам проникали в сеть организаций-жертв.

Впервые о трояне GreenDispenser стало известно в 2015 году после атак на банкоматы в Мексике, затем кражи с его применением были зафиксированы в 2016 году в странах Восточной Европы. Выдачей наличных управляет специальный компьютер, установленный в сервисной зоне банкомата. Получить к нему доступ может сотрудник банка, обслуживающий банкоматы, или человек, имеющий опыт вскрытия замков с помощью отмычки.

Как показало расследование Positive Technologies, злоумышленники получали доступ в сервисную зону банкомата для установки GreenDispenser. После этого специальные люди – так называемые дропы – при помощи трояна снимали с банкомата деньги. После успешного снятия денег дроп удалял GreenDispenser из системы. Если удалить троян через интерфейс не удавалось, GreenDispenser запускал сценарий, гарантированно удаляющий его файлы из системы, и перезагружал ее. Прибывшие сотрудники службы безопасности получали опустошенный нормально работающий банкомат.

Подобные атаки могут принять массовый характер. При разработке финансовых приложений на платформе Microsoft Windows используется специальный стандарт Extension for Financial Services для совместимости программного обеспечения оборудования банкоматов с различными устройствами. Он применяется всеми крупными производителями банкоматов.

Как подчеркивают в Positive Technologies, из-за сходства устройства банкоматов злоумышленники могут использовать одно и то же вредоносное ПО для атак на банкоматы по всему миру. В последнее время наблюдается уже нескрываемый интерес у участников киберпреступных форумов к теме ATM, в том числе к технологиям, используемым в разработке троянов. В связи с этим эксперты прогнозируют всплеск разработок новых вредоносных программ для атак на банкоматы и инфраструктуру управления банкоматами. К слову, ущерб только от одной логической атаки на банкомат в Европе в среднем составляет 8,5 тыс. долл.

Как следует из отчета, практически все исследованные веб-приложения (94%) позволяют осуществлять атаки на пользователей, а половина уязвимостей, вошедших в десятку самых распространенных, используются именно для таких атак. Доступ к персональным данным был получен в 20% приложений, обрабатывающих такие данные, включая сайты банков и государственных организаций.

Больше всего веб-приложений с уязвимостями высокого уровня риска найдено среди сайтов телекоммуникационных компаний – 74%. Если же оценивать уровень защищенности в зависимости от возможных последствий, то хуже всего ситуация в промышленности (43% сайтов отличаются крайне низкой степенью защищенности) и в электронной коммерции (34%).

Исследователи отмечают, что уязвимости публичных сайтов по-прежнему являются популярным способом проникновения во внутреннюю инфраструктуру компании: каждое четвертое веб-приложение позволяет проводить такие атаки. Кроме того, четверть веб-приложений содержат уязвимости, позволяющие стороннему злоумышленнику получить доступ к базам данных.

Еще одно важное наблюдение? веб-приложения, находящиеся в процессе эксплуатации, оказались более уязвимыми, чем тестовые: критически опасные уязвимости выявлены в 55% продуктивных систем и в 50% тестовых систем. Это свидетельствует о том, что необходимо проводить анализ защищенности не только в процессе разработки, но и после внедрения в эксплуатацию.