Транспорт вошел в тройку самых атакуемых хакерами отраслей

Финансовая мотивация остается для злоумышленников основной, волна хактивизма идет на спад, а атак на крупные организации через IT-подрядчиков все больше. Чаще всего жертвами в 2023 году становились секторы ритейла, промышленности, энергетики финансов и транспорта, рассказали аналитики компании по информбезопасности BI.ZONE.

Никаких идей, только деньги

Согласно данным Threat Zone 2024 – годового исследования российского киберландшафта, сделанного командами реагирования на инциденты, центра мониторинга и киберразведки BI.ZONE, 15% атак пришлось на сферу ритейла, по 12% — на промышленные и топливно-энергетические компании, а также финансовые и страховые организации. 10% было нацелено на транспортную отрасль. Чуть меньше – 9% атак пришлось на государственный сектор.

В 8% случаев жертвами становились IT-компании. На долю инженерии, связи, образования и науки выпало 5% выявленных атак, а на строительную отрасль — всего 4%, рассказал PRO Шеринг директор департамента мониторинга, реагирования и исследования киберугроз BI.ZONE Теймур Хеирхабаров.

В 2023 году ИБ-компания отследила более 50 группировок, атаковавших российские компании.

Эксперты компании говорят, что идейных хакеров становится все меньше, а главной причиной становится финансовая мотивация. На ее долю пришлось 76% из всех атак.

Для атак злоумышленники широко применяли легитимные инструменты, коммерческое вредоносное ПО (ВПО), а также инструменты с открытым исходным кодом.

В 2023 году киберпреступники стали активно использовать специально созданные ресурсы для публикации данных о своих жертвах, если те отказались выплачивать выкуп, отмечают тренд аналитики.

Кроме того, злоумышленники с финансовой мотивацией значительно различаются по уровню подготовки: среди них есть как опытные с глубокими техническими знаниями, так и преступники с низким уровнем подготовки, делающие ставку в основном на простое в использовании коммерческое ВПО. Наметившаяся ранее тенденция к снижению порога входа в киберпреступность сохранилась.

Шпион – выйди вон

Около 15% атак были связаны со шпионажем. В 2023 году в этом направлении специалисты BI.ZONE выявили 5 ранее неизвестных группировок. Кроме того, в шпионаж перешли несколько кластеров, у которых раньше была финансовая мотивация.

Киберпреступники по-прежнему активно использовали фишинг для получения первоначального доступа, а также эксплуатировали новые уязвимости, в некоторых случаях до публикации официальной информации о них. Наряду с этим появились кластеры, атакующие с помощью более примитивных методов и коммерческого ВПО.

Хактивисты не в моде

На долю хактивизма пришлось всего лишь 9% атак. Количество киберпреступлений, совершаемых по идеологическим мотивам, постепенно уменьшается: все больше хактивистов переходят к финансово мотивированным преступлениям либо совмещают оба вида атак, сообщил PRO Шеринг руководитель BI.ZONE Threat Intelligence Олег Скулкин.

Трендом 2023 года также стал переход преступников этой категории от массовых атак к целевым, направленным точечно на организации, наиболее интересные злоумышленникам с точки зрения огласки.

Кроме того, хактивисты реализовывали деструктивные атаки, применяя программы-вымогатели или вайперы для уничтожения данных. Чтобы получить первоначальный доступ, преступники активно использовали легитимные учетные записи, а также компрометацию подрядчиков.

Взлом через партнеров

Ранее злоумышленники действовали более прямолинейно и при взломе поставщиков IT-услуг сразу вымогали деньги у этих компаний. Теперь киберпреступники предпочитают идти дальше и развивать атаку на клиентов подрядчика, поскольку в случае успеха это позволяет увеличить выгоду.

Атаки через подрядчиков с применением легитимных учетных записей стали повсеместно распространены. Из-за незащищенности самих подрядчиков такие атаки стали трендом 2023 года.

Кроме атак через подрядчиков, злоумышленники чаще всего проникали в IT-инфраструктуру благодаря фишингу, эксплуатации уязвимостей в публично доступных приложениях, а также использованию доступных из интернета служб удаленного доступа для сотрудников.

Помимо ВПО, киберпреступники активно применяют популярные инструменты для пентеста, а также встроенные программы операционной системы.

Вредоносы на вкус и цвет

Среди ВПО по популярности лидируют коммерческие программы, а также их взломанные варианты. Чаще всего злоумышленники маскируют ВПО под легитимные документы, используя при этом двойное расширение (например .pdf[.]exe), и распространяют такие программы через фишинговые рассылки, малвертайзинг, т. е. вредоносную рекламу, и отравление поисковой выдачи.

Наиболее популярным у злоумышленников в 2023 году было шпионское ПО Agent Tesla, которое задействовали в 22% атак, говорит Олег Скулкин.

Программа позволяет не только похищать данные с устройства жертвы, но и получать к нему удаленный доступ.

В 2023 году среди злоумышленников резко выросла популярность легитимных инструментов Adminer и Gsocket. Первый часто использовали администраторы для управления базами данных на сайтах.

Если раньше некоторые злоумышленники пытались эксплуатировать его уязвимости для получения несанкционированного доступа к этим базам, то теперь сами устанавливают Adminer на компьютер жертвы, чтобы незаметно выгрузить все данные, рассказал PRO Шеринг руководитель управления по борьбе с киберугрозами, BI.ZONE Михаил Прохоренко.

Gsocket стали активно применять в 2023 году, чтобы выполнять в удаленной системе произвольные команды и копировать файлы в обход межсетевых экранов.

Атакующие активно эксплуатировали уязвимости, однако далеко не все: из 29 065, найденных в 2023 году, в атаках использовались всего 26. Причина в том, что востребованные уязвимости обнаружены в широко распространенных системах и легко эксплуатируются, ведь для них есть публичные эксплоиты.

Однако этот показатель может варьироваться в зависимости от целей атаки. Злоумышленники, использующие программы-вымогатели, предпочитают действовать быстро и обычно проводят в скомпрометированной инфраструктуре около 5 дней.

Если же цель преступников — шпионаж, они стремятся оставаться незамеченными как можно дольше: от нескольких месяцев до нескольких лет. Но, если в организации есть современные средства мониторинга киберугроз, атаку выявляют на начальной стадии и купируют ее за короткое время: от нескольких минут до нескольких часов.

Фото: пресс-служба BI.ZONE, Happy-laser.ru