Как называются сложные атаки совершенные группой хакеров

Любимые тактики хакерских группировок

Взлом компьютерных систем может происходить по-разному — от изощренных атак со взломом сетевых компонент до технически примитивных техник типа компрометации деловой переписки. В этом посте мы разберём тактики, которые используют самые опасные хакерские группировки — Lazarus, Pawn Storm, Cobalt, Silence и MoneyTaker.

Один из важнейших критериев выбора хакерских инструментов, помимо степени владения ими участников группировки, — это эффективность. Современные кибератаки — сложные многоступенчатые операции, проведение которых требует много времени и серьёзных финансовых ресурсов. Если проникновение в систему не удастся, вся предварительная работа и затраты окажутся напрасными. Таким образом, тактики проникновения в системы, которые используют ведущие группировки, можно рассматривать в качестве наиболее эффективных.

В числе таких тактик следует выделить:

1. все виды фишинга — классический, целевой, фишинг через социальные сети, tabnabbing;
2. атаки на цепочки поставок;
3. атаки типа Watering Hole («водопой»);
4. атаки через уязвимости сетевого оборудования и операционных систем;
5. атаки через перехват DNS.

Фишинг

В простейшем варианте фишинг — это обычный емейл, в котором содержится вредоносное вложение или ссылка. Текст письма составлен таким образом, чтобы убедить получателя выполнить нужные отправителю действия: открыть вложение или перейти по ссылке, чтобы сменить пароль.

Письма, отправленные коллегами или руководителями, вызывают больше доверия, чем послания от незнакомцев, особенно если оформление письма соответствует принятому в компании стилю. В связи с этим подготовительный этап киберкампании, использующей фишинг, обязательно включает в себя сбор сведений о структуре организации, списка сотрудников и их емейлов, а также реальных писем, содержащих элементы оформления.

Группировка Silence использует для проникновения самый обычный фишинг с небольшим нюансом: её кампании обязательно включают тестовый этап с рассылкой безвредных писем для проверки актуальности собранной базы адресов. Это позволяет повысить эффективность атаки, рассылая письма с вредоносной нагрузкой по выверенной базе получателей.

Группировка Pawn Storm также использует фишинговые рассылки, а для повышения их эффективности в них добавляется такой усилитель воздействия, как авторитет. В связи с этим подготовительный этап их кампании включает так называемый High-Credential Phishing — хищение учётных записей высокопоставленных лиц. Собрав достаточное количество таких данных по целевой организации, Pawn Storm проводит рассылку от лица этих персон, «зарядив» их полезной нагрузкой, обеспечивающей успешное достижение цели.

В арсенале приёмов Fancy Bear есть ещё один, не слишком известный, — подмена легального сайта на фишинговый во вкладках браузера — tabnabbing, описанный Азой Раскиным из Mozilla в 2010 году. Атака tabnabbing выглядит следующим образом:

• жертву заманивают на безобидный сайт, который контролируется злоумышленником;
• на сайте имеется скрипт, который отслеживает поведение жертвы: как только она переключается на другую вкладку или длительное время не выполняет действий, содержимое сайта меняется на страницу авторизации в почте или социальной сети, а favicon сайта на favicon соответствующего сервиса — Gmail, Facebook и т.д.
• вернувшись на вкладку, жертва обнаруживает, что её «разлогинило» и без сомнений вводит свои учётные данные;
• скрипт передаёт логин и пароль злоумышленнику, а затем переадресовывает жертву на соответствующий сервис, который и не думал никого разлогинивать.

Команда MoneyTaker, которая специализируется на банках, проводит фишинговые рассылки от имени других банков, центрального банка, министерства финансов и других связанных с финансами организаций. Копируя шаблоны соответствующих ведомств, они придают письмам необходимую и достаточную для успешной атаки степень убедительности.

Атаки на контрагентов

Часто случается, что целевая организация хорошо защищена, особенно если речь идёт о банке, военной или государственной организации. Чтобы не разбивать лоб о «бетонную стену» защитных комплексов, группировки атакуют контрагентов, с которыми взаимодействует их мишень. Скомпрометировав почту нескольких сотрудников или даже внедрившись в переписку, хакеры получают необходимую для дальнейшего проникновения информацию и возможность выполнить задуманное.

Например, группировка Cobalt проникала в банковские сети, атакуя системных интеграторов и поставщиков других услуг, а взломы разработчиков электронных кошельков и терминалы оплаты позволили ей с помощью собственной программы автоматически похищать деньги через платёжные шлюзы.

Атака типа «водопой»

«Водопой», или Watering Hole, — одна из любимых тактик хакеров Lazarus. Смысл атаки состоит в компрометации легальных сайтов, которые часто посещают сотрудники целевой организации. Например, для сотрудников банков такими ресурсами будет сайт центрального банка, министерства финансов и отраслевые порталы. После взлома на сайте под видом полезного контента размещаются хакерские инструменты. Посетители загружают эти программы на свои компьютеры и обеспечивают атакующим доступ в сеть.

Среди взломанных Lazarus сайтов — польская Комиссия по финансовому надзору, Банк Восточной Республики Уругвай и Национальная банковская и фондовая комиссия Мексики. Для взлома сайтов хакеры использовали уязвимости в Liferay и JBoss.

Уязвимости ОС и сетевого оборудования

Эксплуатация уязвимостей операционных систем и сетевого оборудования дают серьёзные преимущества, однако для этого требуются профессиональные знания и навыки. Использование эксплойт-китов без глубокого понимания принципов их работы быстро сведёт к нулю успех атаки: взломать взломали, но ничего не смогли сделать.

Атаки с применением уязвимостей характерны для группировок MoneyTaker, Lazarus и Pawn Storm. Первые две группы в основном используют известные ошибки в прошивках сетевого оборудования для внедрения в сеть компании своего сервера через VPN, через который проводят дальнейшие действия. А вот в арсенале Pawn Storm обнаруживаются опаснейшие уязвимости нулевого дня, для которых нет патчей; она проводит сканирование систем, в которых имеются известные уязвимости.

Атаки через DNS

Это семейство атак мы зафиксировали только у Pawn Storm. Другие известные группировки, как правило, ограничиваются фишингом и двумя-тремя альтернативными методами.

Pawn Storm использует несколько уровней DNS-компрометации. Например, известны случаи, когда они похищали учётные данные компании от панели управления DNS и меняли MX-серверы на свои, получая полный доступ к переписке. Вредоносный сервер принимал и передавал всю почту целевой компании, оставляя у себя копии, а хакеры могли в любой момент внедриться в любую цепочку и добиться нужного результата, оставаясь незамеченными.

Другой способ компрометации предполагал получение полного контроля над серверами DNS-регистратора. Во многих странах имеется лишь совсем небольшое число регистраторов, поэтому перехват управления над крупнейшими из них обеспечивал практически бесконечные возможности для внедрения в информационный обмен большинства государственных и частных организаций, фишинга и других видов воздействия.

Выводы

Фишинг популярен не только у скрипт-киддис, арендующих доступ к вредоносным сервисам типа «Фишинг-как-Услуга» или «Вымогатель-как-Услуга». Эффективность и относительная дешевизна этого метода сделала его основным, а иногда и единственным оружием самых опасных группировок. Богатство вариантов его использования играет на руку преступникам: перед компрометацией деловой переписки пасуют большинство защитных решений, а доверчивость и рассеянность пользователей ещё долго будет надёжной опорой для мошеннических атак.
Защита компьютерных систем и сетевого оборудования — несомненно, важная задача наряду со своевременной установкой обновлений безопасности, однако с учётом хит-парада киберпреступных тактик на первое место выходят меры, связанные с защитой от человеческого фактора.

Перехваченные учётные данные от почты высокопоставленной персоны позволят преступникам похитить конфиденциальные сведения особой важности, а затем использовать эту почту и информацию для проведения многоходовой атаки. Между тем, банальная тренировка навыков и использование MFA лишили бы хакеров такой возможности.

Однако защитные системы также не стоят на месте, обнаруживая вредоносные действия с помощью искусственного интеллекта, глубокого обучения и нейросетей. Разработки такого класса проводят многие компании, и мы также предлагаем нашим клиентам защититься от изощрённых BEC-атак с помощью специально обученного искусственного интеллекта. Их использование совместно с тренировкой сотрудников навыкам безопасного поведения позволит успешно противостоять кибератакам даже самых технически подготовленных группировок.

7 типов кибератак, которые были популярны в 2022 году

В 2022 году кардинально изменился международный cybercrime-ландшафт — появились новые киберугрозы и преступные группы, менялись техники и тактики атакующих. Геополитический кризис привел к росту активности киберпреступных групп и прогосударственных хакеров — весь год столкновения шли и в киберпространстве. О самых громких атаках, кибернезависимости российских компаний и прогнозах на 2023 год рассказали резиденты ОЭЗ «Иннополис», специалисты в области информационной безопасности.

Читайте «Хайтек» в

Тренды ИБ-2022: как изменилась ситуация на рынке

Несмотря на быстро меняющиеся условия на российской и международной арене и появление новых способов кибератак, есть тренды, которые остаются неизменны. Например, программы-вымогатели все еще являются киберугрозой номер один в мире.

«В начале 2022 года казалось, что с вымогателями может быть покончено — прошли аресты, часть групп разбежалась, часть залегла “на дно” и провела ребрендинг, из-за политических разногласий произошел раскол в команде Conti, что привело к публикации внутренних файлов и переписки, но к концу 2023 года оказалось, что империя шифровальщиков по-прежнему все еще могущественна и очень опасна», — отмечает Валерий Баулин, генеральный директор Group-IB в России и СНГ.

Причин для успеха вымогателей несколько. Во-первых, атакующим не нужно самим взламывать инфраструктуру, искать лазейки в корпоративных сетях. К их услугам развитый рынок продажи доступов в корпоративные сети. По оценкам экспертов Group-IB, он вырос более чем в два раза при том, что цена доступа упала примерно в два раза. 70% типов доступов, которые появляются в продаже, — это учетные записи RDP и VPN.

Во-вторых, для получения доступа в корпоративные сети стали активно использоваться логи, добытые стилерами — вредоносным программным обеспечением, которое похищает логины/пароли к SSO-сервисам, VPN, к сервисам Citrix. Стилеры стали второй по значимости киберугрозой 2022 года после вымогателей, считает Валерий Баулин.

С чем столкнулась Россия

Кардинальные сдвиги в сфере ИБ произошли в конце февраля, отмечает Антон Кузьмин, руководитель Центра противодействия киберугрозам Innostage CyberART:

«Мы видим скоординированную деятельность так называемых “хактивистов” — пользователей без опыта в проведении атак, которые действуют по определенным инструкциям».

Под прицелом все

Раньше с кибератаками больше сталкивались банковский, финансовый секторы, о безопасности деятельности в сети интернет задумывались крупные предприятия. Сегодня под прицелом любая компания, работа которой связана с интернетом, — то есть практически весь бизнес.

Поменялось отношение к ИБ

Всего год назад до руководства предприятий необходимо было доносить важность информационной безопасности. Сейчас этого делать не нужно — текущая ситуация сделала за всех свое дело.

«Сегодня многие руководители не просто знают, что такое кибербезопасность, — многие с вопросами ее обеспечения напрямую столкнулись на своих предприятиях. И крупные, и небольшие предприятия сталкиваются с DDoS-атаками, с нарушениями работы информационных систем, с утечкой данных. Любая компания, работа которой связана с интернетом, — то есть практически весь бизнес, — находится под угрозой», — подчеркивает Антон Кузьмин.

Уход зарубежных компаний

Серьезно изменился ландшафт средств защиты, которые можно использовать. Сильное влияние на рынок оказал уход из России иностранных ИТ и ИБ игроков, таких как McAfee, PaloAlto, Microsoft, IBM, ESET, Fortinet и Cisco Systems Inc. Прекращение деятельности в стране иностранных вендоров снизило уровень доверия к ним со стороны российских компаний и большинство из них не готовы работать с зарубежными решениями, даже если их разработчики возобновят деятельность в России.

Импортозамещение

Российский бизнес годами выстраивал инфраструктуру на западных решениях, однако после ухода иностранных компаний, а также ограничения и запрета на использование их решений вынужден искать новый путь.

Техники, которые использовали атакующие в 2022

Кибератаки, фиксируемые в России в этом году, можно разделить на семь типов:

• Атаки типа отказ в обслуживании (DDoS) — это основной тип применяемых на сегодняшний день атак, основной целью которых является вывод систем из строя либо сокрытие других видов кибернападений.
• Дефейс (Deface) характеризуется заменой содержимого взломанного информационного ресурса и размещением на нем какого-либо вызывающего сообщения с целью пропаганды и нанесения репутационного ущерба владельцу сайта.
• Фишинговые рассылки — вид интернет-мошенничества, основанный на методах социальной инженерии, целью которого является психологическое манипулирование людьми для совершения определенных действий или разглашения конфиденциальной информации, чаще всего для кражи данных банковских карт.
• Внедрение вредоносного программного обеспечения (ВПО) — внедрение ВПО в информационные системы различных организаций с целью проникновения в инфраструктуру либо осуществления деструктивных действий (например, шифрование данных), направленных на ИТ-инфраструктуру.
• Перебор учетных записей (Brute Force) к сервисам удаленного доступа — суть подхода заключается в последовательном автоматизированном переборе всех возможных комбинаций символов с целью найти правильное сочетание имени пользователя и пароля.
• Автоматизированное сканирование информационных ресурсов с целью поиска на сетевых периметрах организаций критических уязвимостей и неправильно сконфигурированного ПО, которым могут воспользоваться хакеры для проникновения в инфраструктуру либо компрометации данных и информационных систем.
• Выполнение произвольного кода на веб-сервере. Например, SQL-injection, или межсайтовое выполнение сценариев (XSS). Атаки позволяют получать доступ к базам данных, а также внедрять в веб-системы вредоносный код.

Очевидно, что события, происходившие на киберарене в 2022 году, являются лишь следствием геополитического кризиса. Хактивисты совместно с прогосударственными хакерами стали проводить совместные кампании — наиболее заметно это стало в истории с массированными и четко координируемыми DDOS-атаками и взломами компаний с целью кражи баз данных.

«Вообще этот год поставил антирекорд по количество утечек, а “лидером” стал август, когда были выложены 100 утечек, включавших базы данных 75 российских компаний. Мы видим, что у преступников изменился мотив: если раньше украденные базы данных выставляли на продажу, то теперь их бесплатно выкладывают в публичный доступ для того, чтобы нанести репутационный или экономический ущерб бизнесу и их клиентам», — отмечает Валерий Баулин.

Что с импортозамещением?

Бизнес страны сегодня нацелен на импортозамещение программного и аппаратного обеспечения. От покупки отечественных продуктов его не останавливают даже растущие цены российских разработчиков. Отечественные компании ожидают появления российских аналогов зарубежных продуктов, находящихся на стадии разработки. Причем их готовы приобретать и тестировать с более слабым функционалом, чем у иностранных аналогов. Правда, есть условие — важно оперативно доработать до необходимого состояния.

«Многие российские вендоры достаточно активно расширяют линейку и дорабатывают продукты, получая обратную связь от заказчиков, благодаря чему зрелость решений растет. Сейчас появляются новые игроки, происходит разрастание рынка. Интересно, что крупные компании развивают свои продукты, которые в дальнейшем предлагают рынку», — подчеркивает Антон Кузьмин, руководитель Центра противодействия киберугрозам Innostage CyberART.

Основные работы по импортозамещению начались после 250-го указа президента «О дополнительных мерах по обеспечению информационной безопасности» и ухода иностранных вендоров из РФ, а именно невозможности покупки, продления текущих лицензий, отключения от облачных сервисов и отсутствия вендорской поддержки. По словам Антона Кузьмина, если брать классический подход по модернизации инфраструктуры, то, прежде чем внедрить что-то новое, необходимо: протестировать продукт, проанализировать и зафиксировать необходимый функционал, провести пилот и только потом внедрить решение. Каждый из этих этапов обычно занимает длительное время, особенно если касается сложных и критичных систем, таких как СЗИ (средство защиты информации).

Прогнозы на 2023 год

Учитывая зависимость климата на рынке кибербезопасности от политической обстановки в мире, вряд ли ситуация в киберпространстве сильно изменится. Тренды 2022 года сохранятся, но по некоторым фронтам давление может усилиться.

«Этика в атаках хактивистов будет окончательно забыта. Если ранее шифровать больницы было очень плохим тоном, то теперь станет “плохо, если не в России”. Из-за политического фона профессиональных киберопераций (APT) будет больше, туда обязательно будут вовлечены и обычные люди, и коммерческие компании, как возможный путь в целевую инфраструктуру или сопутствующий ущерб. Атаки на цепочки поставок будут более актуальны, да и сами цепочки строить из-за политики становится сложнее», — считает Антон Бочкарев, генеральный директор компании 3side.

Тренд на импортозамещение усилится

В течение 2022 года разработчики «пересобирали» решения, а уже в будущем году ожидается массовый выход на рынок новых продуктов. При этом на фоне увеличения количества новых СЗИ появится потребность в устойчивой отечественной экосистеме. Помимо ИБ-продуктов, в нее должно входить «железо» на российской базе, операционные системы, прикладное ПО. При этом они должны взаимодействовать между собой «бесшовно», подчеркивает Антон Кузьмин, руководитель Центра противодействия киберугрозам Innostage CyberART.

Последствия ухода зарубежных компаний

В полной мере российские компании еще не ощутили уход зарубежных компаний, потому что многие контрактовались на год вперед. 2023 год покажет практические последствия ухода зарубежных вендоров.

Киберучения и киберполигоны

В течение 2022 года многие компании усиленно дооснащали свои системы защиты новыми средствами защиты. В связи с этим должен быть рост спроса на обучение практической работе с новыми средствами защиты и их связке с другими средствами защиты компании.

Услуги по сопровождению эксплуатации (аутсорсинг/аутстаф)

Потребность связана с наличием обученного персонала для обеспечения корректного функционирования систем защиты информации.

«За время атак или пентестов многие компании осознали, что внедренное средство защиты, оставленное без постоянного внимания ответственного сотрудника, со временем перестает гарантировать корректность своей работы, требуется собственный или наемный персонал для непрерывного контроля за состоянием систем защиты», — отмечает Антон Кузьмин.

Инвестиции в кадры

Прожив год в новой реальности, многие компании четко поняли, что они сами должны вкладываться в развитие рынка кибербезопасности в России, в частности, в повышение его кадрового потенциала.

WTF is APT? Продвинутые атаки, хитрости и методы защиты

Примерно с 2004 года команда реагирования на компьютерные инциденты в Lockheed Martin (LM-CIRT) стала использовать термин APT (Advanced Persistent Threat) в своих исследованиях. Так стали называть сложные атаки, выполняемые преимущественно на ИТ-инфраструктуру военных и государственных объектов. Как правило, в их проведении подозревали спецслужбы других стран и отряды «правительственных хакеров». Затем с легкой руки журналистов понятие APT расширилось до многоуровневых атак, целью которых может быть сеть любой организации или группа устройств с общими признаками. Даже сейчас термин APT остается неоднозначным. Его переводят как «развитая устойчивая угроза» или «сложная постоянная угроза», подразумевая то многоэтапный сценарий атаки, то используемые в ней инструменты, а то и вовсе мощные хакерские группы.

В Sophos тоже отмечают, что до сих пор нет единых критериев, позволяющих относить ту или иную атаку именно к APT. Успешные целенаправленные атаки зачастую выполняются с использованием старых наборов эксплоитов, поэтому 0day-уязвимости — не обязательный атрибут APT.

Другой часто выделяемый критерий APT — рассылка фишинговых писем для компрометации учетной записи рядового сотрудника компании. Затем она используется как точка входа в локальную сеть и плацдарм для перехода на следующий уровень — к компьютерам руководителей и серверам компании. Однако методы социального инжиниринга и так сверхпопулярны, поэтому было бы странно выделять их как маркер «сложной постоянной угрозы». На что же стоит ориентироваться?

Признаки APT

Анализируя отчеты разных специалистов по безопасности, я сформулировал для себя следующие критерии APT (буду рад, если ты уточнишь и дополнишь их в комментариях):

• это всегда целенаправленная атака. Целью обычно выступает не конкретный человек или организация, а какой-то более общий сегмент (например, финансовые учреждения) или однородная группа людей (постояльцы отеля, болельщики на стадионе, пассажиры круизного лайнера);
• это долговременная атака. Она может длиться не один месяц и продолжаться до победного конца или утраты целесообразности;
• это хорошо финансируемая атака. Даже банальный DDoS — затратная процедура, если продолжается длительное время;
• это многостадийная атака. В APT последовательно используется несколько векторов и разных техник. Сами по себе они могут быть примитивны, интересно именно их сочетание. Например, секретарше шлют фишинговые письма, чтобы скомпрометировать ее корпоративную учетку и через нее (как от доверенного лица) отправить зараженный документ на ноутбук шефа;
• APT не останавливают отдельные инструменты безопасности (антивирус, файрвол, спам-фильтры, простые SIEM-системы), и она долго может оставаться незамеченной либо протекать под маской отдельных типовых инцидентов. Важнее то, что аномальное поведение сети или отдельных устройств сохраняется, хотя при рутинных проверках ничего подозрительного не находится;
• в ходе APT часто (но не обязательно) используют продвинутые техники, эффективно маскирующие их компоненты от типовых систем защиты. Например, reverse shell для обхода МСЭ.

По данным Sophos, в APT используются следующие техники (перечислены в порядке убывания частоты применения): фишинг и социальный инжиниринг, DDoS и ботнеты, уязвимости нулевого дня и использующие их продвинутые зловреды, традиционные зловреды, скомпрометированные устройства, атаки инсайдеров, атаки уровня приложений.

Этапы APT

В любой атаке уровня APT можно выделить семь ключевых этапов (иногда сокращают до пяти, объединяя шаги):

1. Пассивный сбор информации (идентификация и отбор целей из открытых источников).
2. Первичное заражение (заманивание на фишинговые сайты, рассылка инфицированных документов).
3. Доставка боевой нагрузки (drive-by-загрузки, использование уязвимостей в браузере и его плагинах).
4. Активная фаза (повышение привилегий и обход защитных систем с целью получения дополнительных данных о системе и закрепления в ней основных вредоносных компонентов).
5. Получение удаленного контроля (внедрение бэкдоров, кейлоггеров и установка обратных шеллов).
6. Связь с управляющими серверами в ожидании дальнейших команд (обход файрволов, использование для передачи команд различных мессенджеров, клиентов соцсетей и популярных сетевых API).
7. Достижение конечной цели (кража данных, выполнение незаконных финансовых транзакций, формирование ботнета, перехват контроля над АСУ ТП и так далее).

Злодей зиродей

Эффективность APT-атак существенно возрастает, когда используются уязвимости, для которых еще нет патча. К примеру, по данным специалистов компании 360 Core Security, в одной из недавних атак группа APT-C-06 использовала 0day-эксплоит CVE-2018-8174 для движка VBScript. Он затрагивает Internet Explorer в Windows 7–10 и серверных платформах любой разрядности, начиная с Windows Server 2012 R2.

Когда открывают фишинговую ссылку или документ MS Office c вредоносным элементом управления ActiveX, происходит сбой в работе VBScript, в результате чего подменяется тип объектов в памяти и права доступа к ним. Так у атакующего появляется возможность удаленно выполнить произвольный код в обход существующих систем защиты. Дополнительно APT-C-06 использовала одну из популярных техник обхода UAC.
Подробный анализ CVE-2018-8174 читай здесь.

Другая группа, APT37 (Reaper), использовала в своих атаках начала 2018 года эксплоит для уязвимости нулевого дня в Adobe Flash Player CVE-2018-4878. Она затрагивает версии до 28.0.0.161 и связана с некорректной обработкой указателя в SDK Primetime. Успешная атака приводит к выполнению произвольного кода через подмену объектов в памяти процесса флеш-проигрывателя.

Присоединяйся к сообществу «Xakep.ru»!

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее

Что такое кибератаки и какие они бывают

Краткий гайд по всем видам угроз, которые подстерегают вас в Сети и не только.

По данным «Ростелеком-Солар», в 2022 году только в России было выявлено 911 тысяч событий ИБ — то есть состояний информационных систем, которые могли привести к утечкам данных, выходу серверов из строя и так далее. Количество таких событий растёт из года в год, и существенную их долю составляют кибератаки. В этой статье мы решили разобраться, какие они бывают, как работают и почему от них иногда так сложно защититься.

Оглавление

Что такое кибератака

Кибератака — это воздействие на информационную систему с целью повредить её, получить или ограничить к ней доступ, собрать конфиденциальные данные.

Чтобы совершить кибератаку, злоумышленники ищут уязвимости в информационной системе. Например, если веб-приложение позволяет клиентам загружать файлы напрямую, хакер непременно запустит туда вирус. Если сервер способен обрабатывать только 100 запросов в секунду, злоумышленник будет отправлять их десятками тысяч, чтобы запросы остальных пользователей не обрабатывались.

Для проведения кибератак используют не только программные или аппаратные уязвимости, но и социальная инженерия. Человека могут обманом вынудить перейти по опасной ссылке или скачать файл с компьютерным вирусом.

К жертве могут даже втереться в доверие и «по-дружески» узнать у неё информацию, которая поможет при дальнейшем взломе. Или убедить подключить заражённую USB-флешку к компьютеру.

Способов обмануть систему и человека — множество. И от каждого нужно уметь защищаться.

Виды кибератак

Кибератаки делятся на виды весьма условно. Кроме того, чтобы повысить шансы на успех, в одном нападении преступники могут использовать сразу несколько подходов. Например, переход по фишинговой ссылке может спровоцировать установку вредоносного ПО. Тем не менее попробуем провести некоторую типизацию.

Вредоносное ПО

Загрузка вредоносного программного обеспечения — самый распространённый вид компьютерных атак. Его задача — заразить информационную систему и остаться в ней.

То, как такое ПО попадает в систему и ведёт себя в ней, зависит от самой программы. Вот несколько самых частых подходов.

• Трояны названы в честь троянского коня из «Илиады». Они маскируются под лицензионные программы и проверенные файлы. Всё для того, чтобы обманутый пользователь скачал их самостоятельно.
• Сетевые черви умеют воспроизводить себя и не заражают файлы на компьютере, на который попали. Это отдельная независимая программа, которая передаёт себя дальше, с устройства на устройство. Черви особенно заразны и умеют устраивать целые информационные эпидемии.
• Вирусы, напротив, внедряются в файловую систему компьютера. Они заражают устройство постепенно, внедряя свой код в программу за программой. Как и черви, вирусы могут распространяться на другие гаджеты.
• Если вы обменивались по сети документами Word или Excel, то могли обратить внимание, что они открываются в безопасном режиме только для чтения. Одна из причин этого — макровирусы. Они помещают вредоносный код в макросы офисных программ и умеют распространяться вместе с документами, которые в этих программах пишутся.

Что будет происходить после заражения компьютера, тоже зависит от особенностей вредоносного ПО.

• Задача программы-шпиона — скрываться и оставаться незамеченной как можно дольше. В это время она собирает личные данные жертвы: историю действий, учётные записи, пароли, номера банковских карт, местоположение, записи с камеры.
• Бэкдоры (от английского back door — чёрный ход) позволяют злоумышленнику перехватить контроль над устройством и получить права администратора. В будущем заражённый компьютер могут использовать для совершения других кибератак.
• Программы-шантажисты шифруют данные компьютера и блокируют к нему доступ. Иногда они угрожают уничтожить всю информацию (и даже могут это сделать). Обычно цель таких программ — получить выкуп в обмен на возврат владельцу доступа к данным.
• Майнеры захватывают вычислительные ресурсы компьютера и используют их для добычи криптовалюты.
• Adware-программы запускают на компьютере рекламные баннеры и объявления. Они также могут перенаправлять запросы браузера на рекламные сайты.

Если вредоносная программа скрывает следы своего присутствия не очень тщательно, то обнаружить её наличие можно по косвенным признакам: пропадает часть системной или оперативной памяти, процессы выполняются медленнее обычного и зависают, периодически случаются сбои.

Но лучший способ найти вредоносное ПО — это, конечно, антивирус.

DoS- и DDoS-атаки

DoS-атаки (расшифровывается как denial of service, или отказ в обслуживании) перегружают информационную систему. Для этого злоумышленники отправляют сразу множество запросов, которые она не успевает обработать. Системе не хватает мощности серверов или пропускной способности сети, и она начинает сбоить.

В результате время обработки всех запросов резко увеличивается. Часто информационная система вообще перестаёт отвечать, и пользователи не могут получить к ней доступ.

Подобные атаки могут длиться от нескольких минут до часов и даже суток. За это время, скажем, интернет-магазин может потерять миллионы рублей.

Но чаще злоумышленники используют не DoS, а DDoS-атаки. Дополнительная D означает Distributed (распределённый). Этот вид отличается тем, что запросы отправляются не с одного компьютера, а сразу со множества разных.

Отбить такое нападение гораздо труднее. Если в DoS-атаках достаточно просто заблокировать IP-адрес злоумышленника, в DDoS-атаках может участвовать от пары десятков до нескольких сотен тысяч устройств.

Для проведения DDOS-атаки не нужна армия киберзлодеев. Небольшая группа хакеров получает контроль над тысячами узлов Сети, превращая их в ботнет, и те по сигналу заваливают жертву мусорным трафиком. Как правило, зомби (то есть узлами ботнета) становятся небольшие устройства со слабыми механизмами защиты: дешёвые IP-камеры, умные видеорегистраторы и гаджеты для умного дома. Но иногда это могут быть смартфоны, персональные компьютеры и даже серверы.

Иногда DDoS-атаки проводят как отвлекающий манёвр. Пока служба информационной безопасности разбирается с ней, злоумышленники могут незаметно проводить кибератаку другого вида.

Фишинг

При фишинговых атаках злоумышленник притворяется доверенным источником и обманом вынуждает жертву перейти по фальшивой ссылке, открыть заражённое вложение в электронном письме или даже самостоятельно сообщить конфиденциальные данные.

При таком подходе используют неосведомлённость или невнимательность жертвы. «Сотрудники службы безопасности банка», которые звонят людям и запрашивают у них данные платёжных карт, занимаются именно фишингом.

Фишинговые атаки бывают массовые и целевые. При массовой главное — развесить как можно больше «крючков», на которые клюнут жертвы. А вот целевая атака направлена на конкретную жертву, на которую предварительно собирают информацию, чтобы повысить шансы на успех.

Ещё бывает уэйлинг. Если fishing переводится как «рыбалка», то whaling — «китобойный промысел». Это подвид фишинга, в котором в жертвы выбирают высшее руководство компаний и известных личностей.

SQL-инъекции

SQL — это язык запросов, с помощью которого управляют базами данных и информацией, которая в них хранится. Если сайт или веб-приложение собирает у пользователей текстовую информацию (например, запрашивает логин и пароль), злоумышленник может ввести в поле ввода вредоносный запрос на SQL. Попав в систему управлению базами данных, она сработает. Это и есть SQL-инъекции.

Их цели могут быть разными: получить доступ к данным, повредить, изменить или удалить их. У нас есть подборка способов защиты от SQL-инъекций.

Атаки на цепочку поставок

При атаках на цепочку поставок злоумышленники ищут уязвимости у разработчиков ПО. Найдя брешь в защите, они получают доступ исходному коду и внедряют в него вредоносные фрагменты.

В результате добросовестные компании вместе со своими продуктами начинают распространять зловредов, даже не подозревая об этом. Клиенты (а ими могут быть не только пользователи, но и другие компании) скачивают программы и тем самым заражаются.

Такие компьютерные атаки особенно опасны тем, что подрывают доверие к жертве. Кто захочет пользоваться продуктом компании, которая заражает компьютеры клиентов вирусами?

XSS

XSS расшифровывается как cross-site scripting — межсайтовый скриптинг. При этом виде атаки злоумышленники внедряют вредоносные скрипты в незащищённые сайты и веб-приложения.

Затем, когда пользователь посещает веб-страницу, браузер выполняет эти скрипты. Они могут собирать информацию о жертве или незаметно перенаправлять её на страницу-клон. При drive-by-атаках (их ещё называют атаками со скрытой загрузкой) такие скрипты тайно устанавливают на компьютер вредоносное ПО.

Ботнеты

Ботнеты — не столько самостоятельный вид кибератак, сколько инфраструктура для них. Это сеть подключённых к интернету компьютеров, над которыми злоумышленники получили контроль. Их используют для накрутки просмотров и кликов, рассылки спама, проведения DDoS-атак.

Как мы уже сказали выше, в наиболее уязвимом положении находится интернет вещей . Умную лампочку заразить вредоносным ПО проще, чем персональный компьютер. Тем более в некоторых случаях в ней может вообще не быть антивируса.

Брутфорс-атаки

Брутфорс-атаки (от brute-force — грубая сила) — это попытка подобрать пароль простым перебором всех комбинаций. Иногда такой прямой путь бывает эффективен, но защититься от него нетрудно: установить ограничение на количество попыток войти в систему или использовать двухфакторную аутентификацию.

MITM

При атаках типа man-in-the-middle (человек посередине) злоумышленники перехватывают трафик между двумя узлами связи, оставаясь незамеченными. Они могут как просто собирать информацию, так подменять её на другую.

Чтобы не стать жертвой таких атак, нужно передавать данные по защищённым протоколам. Даже если данные перехватят, они будут у злоумышленника в зашифрованном виде.

Почему от кибератак сложно защититься

Разрабатывая информационные системы, приходится прикрывать все гипотетические слабые места. При этом киберпреступнику для успешной атаки достаточно найти всего одну уязвимость.

Поэтому многие крупные компании держат у себя не только «защитников», но и «нападающих», которые постоянно испытывают собственные системы на прочность. Это называется наступательной кибербезопасностью.

Но под угрозой находятся не только корпорации. Информационная безопасность — удовольствие недешёвое, поэтому малый и средний бизнес может использовать менее совершенные способы защиты. Это делает их более лёгкой мишенью для киберпреступников.

Для взлома компьютерной системы нужно гораздо меньше денег и ресурсов, чем для её защиты. Из-за этого на рынке хакеров даже падают расценки, иногда в десятки раз. При этом специалистов по безопасности не хватает.

Если вы начинающий разработчик и хотите научиться защищать информационные системы от компьютерных атак, у нас есть гайд по кибербезопасности.

Способы защиты от кибератак

Добиться 100%-й защиты от компьютерных атак нельзя. Но если заботиться о своей информационной безопасности, шанс стать жертвой киберпреступников значительно снизится.

• Используйте антивирусное ПО. Его разработчики постоянно исследуют сферу информационной безопасности и ищут способ её улучшить.
• Используйте сетевой экран (его ещё называют брандмауэром или файрволом). Это шлюз, который отделяет информационную систему от интернета. Он анализирует проходящий через него трафик и ищет в нём опасности.
• Регулярно обновляйте ПО, устройства и плагины. В старых версиях могут быть уязвимости, которые уже устранили в новых.
• Не передавайте важные данные по незащищённым каналам. В таком случае даже если злоумышленник перехватит трафик, ему придётся дополнительно расшифровывать данные. Это снизит их привлекательность в глазах киберпреступников.
• Используйте двухфакторную или многофакторную аутентификацию. Это означает, что помимо пароля для получения доступа к данным нужно будет подтвердить свою личность ещё одним или несколькими способами: СМС-кодом, биометрией, токеном, специальной USB-флешкой и так далее.
• Проверяйте ссылки, по которым переходите. Злоумышленники могут использовать фейковые сайты, которые имитируют настоящие и собирают ваши данные. Отличить их можно по URL-адресам.
• Не отправляйте важные данные спонтанно. Допустим, у вас запросили личные или конфиденциальные данные по почте. Перепроверьте: настоящий ли это почтовый адрес или в нём заменили пару символов? Лучше свяжитесь с отправителем по другому каналу связи (например, по телефону) и уточните, действительно ли информацию запросил он. Особенную бдительность стоит проявлять, если данные требуются срочно — это может быть способом психологического давления.

Кибератаки, изменившие интернет

Ежегодно в мире происходят миллионы кибератак. Но лишь единицы будоражат общественность и вызывают обсуждения. Расскажем о нескольких громких случаях.

В нашем тесте вы можете найти больше историй о кибератаках и попробовать отличить реальные от вымышленных.

Черви-шифровальщики WannaCry и NotPetya

В марте 2017 года Microsoft выпустила обновление для Windows, в котором устранили опасную уязвимость системы. Но обновить операционную систему успели не все, и в мае началась эпидемия червя-вымогателя WannaCry, который использовал эту самую уязвимость (и некоторые другие).

Червь зашифровывал данные на компьютере и требовал заплатить выкуп — иначе всё удалял. Да и если платили, тоже удалял: в коде червя были ошибки, из-за которых он не мог связать выкуп с жертвой. Хотя были сообщения и о том, что выкуп помогал и данные расшифровывались.

Меньше чем за месяц WannaCry заразил более полумиллиона компьютеров по всему миру. Из-за него останавливались заводы и переносились медицинские операции.

Он существует до сих пор. Злоумышленники периодически выпускают к WannaCry патчи, чтобы он мог использовать больше уязвимостей в Windows.

Через несколько месяцев после эпидемии WannaCry появился патч к уже известному вымогателю Petya. Он использовал те же уязвимости, что и WannaCry. Но оказалось, что новый червь только маскировался под вымогателя. Это стиратель. Так как он оказался не Петей, то и назвали его соответственно — NotPetya.

Червь не предусматривал расшифровку файлов и мог только удалять их, чем успешно занимался. Его задачей было не принести создателям деньги, а нанести как можно больше ущерба жертвам.

Одной из стартовых точек распространения NotPetya была офисная программа M.E.Doc, предназначенная для документооборота и подачи отчётности — поэтому его удар особенно сильно пришёлся по бизнесу.

В результате NotPetya оказался одной из самых разрушительных, если не самой разрушительной кибератакой в истории. Ущерб от него составил более 10 млрд долларов.

Ботнет Mirai

В 2016 году три американских студента колледжа создали один из крупнейших в мире ботнетов. Он состоял из интернета вещей: в основном камер видеонаблюдения и беспроводных маршрутизаторов (но и тостерами не брезговали) — всего несколько сотен тысяч устройств.

Взломать их было легко, потому что в интернете вещей не особенно беспокоились о безопасности: использовали имена пользователей и пароли по умолчанию.

Ботнет назвали Mirai — в честь аниме Mirai Nikki («Дневник будущего»). Слово mirai означает «будущее».

Создатели ботнета решили заработать на игре Minecraft. К 2016 году там сложился целый рынок серверов: игроки платили деньги, чтобы попасть на сервер с интересным и уникальным миром. Проводя DDoS-атаки на серверы конкурентов, можно переманивать игроков к себе. Эту-то услугу и предлагали создатели Mirai.

Французский интернет-хостинг OVH предлагал хорошие инструменты для защиты Minecraft-серверов от DDoS-атак. Тогда Mirai атаковал и положил его. Потом — сан-францискую ProxyPipe, которая тоже занималась защитой от DDoS-атак. В сентябре 2016 года о Mirai написал журналист Брайан Кребс. После этого атаковали и положили уже его сайт, а ботнетом заинтересовалось ФБР.

Исходный код Mirai выложили в открытый доступ. Так распространителей вируса сложнее обвинить: они ведь могли просто скачать его код, а не создать самостоятельно.

Хакеры по всему миру стали использовать наработки американских студентов и создавать собственные варианты Mirai: за следующие полгода подобные ботнеты совершили более 15 тысяч DDoS-атак.

Самая громкая из таких — атака на сервера крупной DNS-компании Dyn в октябре 2016 года. Из-за неё в Северной Америке и части Европы в течение нескольких часов было недоступно множество сайтов, включая Amazon, Netflix, PayPal и Reddit. На Восточном побережье США интернет-соединение либо замедлилось, либо вовсе пропало.

А в результате другой атаки в ноябре 2016 года Mirai-подобный ботнет отключил от интернета всю Либерию.

Создателей Mirai в итоге нашли. В 2018 году их приговорили к пяти годам условно и 62,5 неделям общественных работ.