Неизвестная APT-группировка атакует органы исполнительной власти в российских регионах

Волну сложных целевых кибератак обнаружили специалисты департамента Threat Intelligence экспертного центра безопасности PT ESC. За атаками стоит высококвалифицированная группировка, цель которой — кибершпионаж.

Все это происходит накануне выборов в Госдуму — еще 22 августа министр иностранных дел России Сергей Лавров заявил, что попытки кибератак, связанных с выборами, уже начинаются и будут нарастать.

И вот мы видим подтверждение: группировка, активность которой наши специалисты наблюдают с мая, провела как минимум шесть кампаний кибершпионажа.

Как происходят атаки

1️⃣ Для получения первоначального доступа к инфраструктуре группировка использует вредоносные вложения в письмах, которые рассылаются на служебные адреса сотрудников атакуемых учреждений.

Чтобы снизить бдительность жертв, атакующие используют тематику предстоящих выборов и PDF-документы с предвыборными материалами и планами одной из российских политических партий.

2️⃣ Для доставки первой стадии вредоносного ПО группировка использует ISO-образ оптического диска (файл с расширением .iso), который прикрепляется к фишинговому письму.

При открытии вложения в скомпрометированной системе монтируется виртуальный диск. На нем находятся три вредоносных PE-загрузчика (файлы формата .exe), замаскированных под PDF-документы с помощью подмены иконок.

3️⃣ Запуск этих файлов извлекает из них и открывает PDF-документы с предвыборными материалами, отвлекая внимание жертвы. Параллельно выполняется закодированная в Base64 PowerShell-команда, которая запускает дальнейшую цепочку заражения системы.

4️⃣ Затем с удаленного сервера загружается и запускается вредоносный модуль предварительной разведки. Он собирает информацию о скомпрометированной системе и регистрирует ее в управляющей инфраструктуре атакующих.

5️⃣ После этого загружается PowerShell-бэкдор собственной разработки группировки. Он позволяет атакующим удаленно выполнять команды в скомпрометированной системе и получать результаты их выполнения.

Все это указывает на то, что за атаками стоит профессиональная группировка злоумышленников, мотивация которых — кибершпионаж.

#PTESC
@Positive_Technologies

Тук, тук — это PT Dephaze заходит в гости по вашему паролю

Мы выкатили большое обновление нашего продукта для автопентеста: добавили локальную LLM для проведения кибератак и расширили проверку импортозамещенных ИТ-систем.

Но обо всем по порядку.

1️⃣ LLM ищет логины и пароли в сетевых папках

Чтобы попасть в корпоративные системы без привлечения внимания санитаров средств защиты, злоумышленники различными способами ищут логины и пароли сотрудников. Часто такие данные лежат прямо в общих сетевых папках.

Теперь их ищет и PT Dephaze — с помощью локальной LLM, которая работает прямо внутри продукта и не передает данные третьим лицам.

Система находит доступные пользователю сетевые папки, а LLM анализирует текстовые и конфигурационные файлы и достает из них потенциальные логины и пароли. Если они рабочие, продукт использует их для дальнейшего развития атаки.

2️⃣ Больше векторов атак на Unix- и Linux-инфраструктуры

Бизнес и госорганы продолжают переходить на отечественные решения, поэтому мы добавили в PT Dephaze новые векторы атак на Unix- и Linux-инфраструктуры — чтобы такие организации могли регулярно и без слепых зон проверять свою защищенность.

Например, система, как и в классическом пентесте, может эксплуатировать подходящую уязвимость для повышения привилегий, которые пригодятся для дальнейших атак в контролируемом и безопасном режиме.

Другой сценарий — извлечь учетные данные с атакованного ресурса и использовать их, чтобы продвинуться вглубь инфраструктуры. Сотрудники часто используют один и тот же логин и пароль в разных системах, и PT Dephaze это проверяет: найденные учетные данные тестируются во всех обнаруженных сервисах.

3️⃣ Расширена поддержка FreeIPA

Еще одно важное обновление связано с миграцией корпоративных инфраструктур с зарубежных компонентов на отечественные — теперь PT Dephaze поддерживает службы каталогов на базе FreeIPA.

Система распознает такие домены, перечисляет и подбирает учетные данные, распыляет пароли (перебирает самые популярные последовательно для каждого пользователя) и анонимно выгружает список пользователей — без проверки подлинности и запроса дополнительных сведений. Все это помогает понять структуру учетных записей в домене.

🏃‍♂️‍➡️ Мы продолжим развивать продукт на основе обратной связи от клиентов и расширять его возможности, в том числе добавляя новые техники атак на российские ОС.

#PTDephaze
@Positive_Technologies

Почему российский бизнес недооценивает киберриски

Еще десять лет назад кибербезопасность была узкой экспертной темой. Украли пароль, что-то сломали в ИТ — неприятно, но такие инциденты редко воспринимались как риск, способный остановить бизнес.

Сегодня все иначе: из-за цифровизации киберриски стали фундаментальными для бизнеса. Но топ-менеджмент пока не обращает на них достаточного внимания — в том числе из-за недостаточной насмотренности. Большинство руководителей просто не сталкивались с серьезными кибератаками — ни лично, ни через свой профессиональный круг.

Ситуация будет меняться естественным образом — новое поколение топ-менеджмента, выросшее в цифровой среде, будет воспринимать киберриски как данность. Но этот процесс можно ускорить уже сейчас.

О том, как это сделать, рассказывает Андрей Кузин, операционный директор Positive Technologies

1️⃣ Говорить с бизнесом нужно на его языке. CISO должен обсуждать не периметр и уязвимости, а недопустимые события и их последствия для бизнеса: остановку производства, проблемы с ликвидностью, срыв платежей.

2️⃣ Наращивать насмотренность через реальный опыт. Если из десяти финансовых директоров хотя бы трое скажут: «Да, я с этим столкнулся», — остальные семь уже начнут думать: «А я ведь тоже могу на это попасть».

3️⃣ Подключать регуляторов. Например, решения ЦБ влияют на банки, страховщиков, биржи и аудиторов. Если киберриск начнет влиять на условия кредитования, стоимость страхования, аудиторские выводы или отношение инвесторов — бизнес очень быстро начнет воспринимать кибербезопасность иначе.

4️⃣ Создать независимую систему оценки. Например, киберрейтинг, ежегодный ассесмент или методику раскрытия информации о киберрисках. Это поможет бизнесу сравнивать себя с другими и принимать решения не только на основе теории, но и на опыте соседей, которые уже столкнулись с последствиями кибератак.

Со временем кибербезопасность должна стать такой же естественной частью управления бизнесом, как финансовые, рыночные и операционные риски.

Подробнее об этом — в колонке Андрея Кузина для Positive Research. Внутри вы также найдете чек-лист для CFO: что делать после кибератаки и как восстановить работу компании.

@Positive_Technologies

Продолжаем развивать новые направления через партнерство с перспективными компаниями

Мы приобрели долю в разработчике решений в области кибербезопасности CyberOK. Сделка стала продолжением партнерства, о котором мы сообщали в начале года: тогда Позитив начал интегрировать технологии CyberOK в свои решения.

Одно из фокусных направлений сотрудничества — технологии управления внешней поверхностью атаки (EASM). Меньше чем за полгода число «пилотов» продукта PT EASM, построенного на базе технологий CyberOK, превысило 70. Мы ожидаем, что 80% успешных «пилотов» конвертируются в сделки к концу этого — началу будущего года.
 
Другим направлением совместной работы станет развитие PentOps — облачного сервиса непрерывного пентестинга. В связке с PT EASM он способен обнаруживать уязвимости на внешнем периметре и автоматически проверять, могут ли они использоваться для проникновения в инфраструктуру. Такой подход позволяет ориентироваться не на количество найденных проблем, а на реальную защищенность заказчика.
 
По нашей оценке, объем российского рынка решений класса EASM в 2026 году составит порядка 2–2,5 млрд рублей, а к 2031 году вместе со смежными технологиями непрерывной оценки защищенности может достичь 8 млрд рублей.

Мы также интегрировали технологии CyberOK в облачное решение для мониторинга и реагирования на киберугрозы PT X — одну из стратегических новинок прошлого года.

Инвестиция в CyberOK позволит нам ускорить разработку совместных продуктов и масштабировать их продажи на российском и международном рынках.

«Наша задача — собрать полный набор решений, необходимых для полноценной защиты компании от внешнего злоумышленника. Где-то мы создаем продукты сами, где-то ускоряем развитие через партнерство со стартапами или уже состоявшимися разработчиками: именно так мы в свое время усилили антивирусное направление, а сейчас делаем ставку на перспективный класс EASM. У CyberOK есть разработки, у которых нет прямых аналогов в мире, и мы видим возможность построить на их основе продукты, конкурентоспособные далеко за пределами России», — отметил Алексей Новиков, управляющий директор Positive Technologies.

Подробнее о сделке читайте в новости на нашем сайте.

@Positive_Technologies