Самые популярные способы кибератак и как им противостоять

Фишинг-рассылки, вирусы-шифровальщики, атаки на цепочки поставок и скрытый майнинг.

Материал подготовлен при поддержке Microsoft

В феврале 2019 года корпорация Microsoft подготовила ежегодный отчёт об угрозах информационной безопасности. Эксперты проанализировали триллионы сигналов, которые ежедневно проходят через облачные ресурсы Microsoft, и выделили наиболее распространённые способы кибератак. Какие из них особенно опасны для бизнеса и как не допустить проникновения вредоносного программного обеспечения в корпоративную сеть — в статье.

Человеческий фактор всегда остаётся самым слабым звеном в цепи, какие бы методы защиты корпоративной сети ни использовались. Киберпреступники очень часто применяют механики социальной инженерии. Атаки направлены не на поиск технических уязвимостей, а на человеческие слабости — любопытство, страх, жажда наживы. Поэтому популярность фишинга стремительно растёт.

Фишинговые атаки делятся на три категории:

Атаки на организации чаще всего совершают третьим способом. Заражённый файл может нести в себе вирус практически любого типа. Например, вирус-шифровальщик, который распространяется на все компьютеры сети и зашифровывает данные. Ещё более тяжелыми последствиями обернётся запуск «трояна», открывающего злоумышленнику доступ к сети. Тогда он сможет атаковать её изнутри, похитить денежные средства или конфиденциальную информацию.

Важно регулярно обновлять установленное ПО. При создании большинства вирусов преступники эксплуатируют известные уязвимости. У крупных разработчиков есть специальные программы (bug bounty), в рамках которых «этичные хакеры» получают вознаграждение за обнаружение уязвимостей. Получив информацию, производители ПО имеют возможность их оперативно закрыть. Соответственно, при запуске заражённого файла встроенные средства безопасности Microsoft Windows заблокируют его.

В последнее время у злоумышленников растет популярность веб-фишинга, в исключительных случаях его используют для взлома корпоративных сетей. Преступники могут выяснить, например, какую систему документооборота использует организация, и создать ресурс, копирующий стартовую страницу этой системы. Ничего не подозревающий сотрудник вводит логин и пароль и передаёт их хакеру.

Признаки фишингового сайта:

Бум вирусов-шифровальщиков пришёлся на 2017 год, когда мир столкнулся с эпидемиями WannaCry, NotPetya, BadRabbit. Но уже в следующем количество подобных таких атак снизилось на 73%. Атаки 2017 года показали компаниям, насколько важно осуществлять резервное копирование данных и более грамотно реагировать на подозрительные письма.

Современные средства защиты и обновлённое программное обеспечение справляются с большинством вирусов-шифровальщиков. Однако всегда есть вероятность, что преступники сумеют первыми найти уязвимость и воспользоваться ею. Вредоносные программы, использующие уязвимости в ПО, которые ещё не были закрыты, называются угрозами нулевого дня.

В таком случае от шифровальщика компанию спасёт резервное копирование данных и сегментирование сети — оно минимизирует возможность распространения вируса.

Большую опасность представляет использование неподдерживаемого ПО, например, Windows XP. Microsoft больше не работает над ликвидацией его уязвимостей. Так что пользователям, которые до сих пор используют эту операционную систему, стоит установить более позднюю версию.

Цепочка поставок ПО у крупных производителей состоит, как минимум, из четырёх этапов: разработка, стейджинг (проверка продукта в искусственной среде), тестирование, публикация дистрибутивов. На любой стадии преступники могут внедрить вредоносное ПО в исходное приложение или пакет обновлений. И пользователи, доверяя разработчикам, самостоятельно устанавливают вредоносную программу на свои компьютеры.

К примеру, хакер с помощью фишинга может проникнуть на компьютер разработчика и добавить в код дополнительные строки. Если компания-производитель применяет для хранения кода облачные системы, хакер может получить доступ к облачному репозиторию, чтобы заразить софт.

Другой способ — подмена сервера, с которого программное обеспечение получает обновления. В 2017 году злоумышленники взломали украинский сайт с обновлениями бухгалтерской программы M.E.Doc. В результате на тысячи компьютеров проник печально известный вирус-шифровальщик NotPetya.

Чтобы свести риск заражения компьютеров практически к нулю крупные компании, помимо антивирусных программ, используют новый класс решений — EDR (Endpoint Detection and Response). Это продвинутый инструмент для определения и расследования подозрительных активностей на компьютерах пользователей.

С ростом популярности криптовалют преступники стали активно использовать скрытый майнинг, паразитирующий на вычислительных мощностях компьютеров.

Существует множество способов внедрения. Например, вредоносный JavaScript-код может быть встроен в легитимный сайт. Он майнит криптовалюту, пока пользователь находится на сайте, или закрепляется на компьютере через эксплуатацию незакрытой уязвимости. Также код может быть добавлен в программное обеспечение, которое преступники скомпрометировали, атаковав цепочку поставок.

Однако это не значит, что майнинговые коды не представляют угрозы для организаций. Они часто имеют дополнительную функциональность, которая открывает хакеру доступ к компьютеру, а через него — к сети организации.

Основной способ защиты — регулярная установка обновлений операционной системы и всех приложений. Не стоит устанавливать софт от поставщиков, которые не вызывают доверия. И тем более — загружать программы с торрент-трекеров.