Война брони и снаряда

По данным отчета Midyear Cybersecurity Report компании Cisco, в первом полугодии 2016 года программы-вымогатели стали самым доходным типом злонамеренного программного обеспечения в истории. Причин такой печальной ситуации несколько. С одной стороны, сами программы-вымогатели очень быстро эволюционируют, а методы конспирации вредоносного ПО совершенствуются. С другой стороны, во многих компаниях используется устаревшая инфраструктура, ПО не обновляется, отсутствует культура политики безопасности или она есть, но очень слабая. Кроме того, негативно влияет на ситуацию и геополитическая обстановка.

Стечение таких обстоятельств, как легкое и эффективное шифрование, популярность эксплойт-китов и фишинга, а также готовность жертв платить выкуп шантажистам привели к тому, что программы-вымогатели, совсем не новое явление, стали приносить необычайно высокие доходы.

Любопытно, что при этом даже выплата денег не гарантирует расшифровки и возвращения данных – злоумышленники зачастую присылают неверные коды для дешифровки. К тому же ошибки в вымогательском ПО часто приводят к полной потере данных не зависимо от того, заплатил ли «клиент».

При этом бизнес вымогателями ведется на широкую ногу: есть постоянные «клиенты», которые при повторном заражении получают скидку на требуемую сумму, а при задержке выплаты сумма наоборот может увеличиваться. Для оплаты используются различные платежные системы, и в том числе принимаются BitCoin. Высокая доходность позволяет злоумышленникам использовать даже индивидуальное шифрование для каждой цели.

Более того – появились программы-вымогатели второго поколения, основными свойствами которых являются самораспространение и модульность. Такие программы используют уязвимости в широко распространенных продуктах, реплицируются на все доступные накопители, используют уже имеющееся вредоносное ПО. Модульность позволяет им распространяться через файлы автозапуска и USB-накопители большой емкости, эксплойты в инфраструктуре аутентификации, сложные системы управления, контроля и отчетности, при этом проводя фильтрацию целевых адресов для заражения.

По данным отчета Cisco, в январе 2016 года общее число оповещений об угрозах составляло 634, в феврале достигло 1327, а в марте – 2193. При сохранении нынешних темпов роста общее число оповещений об угрозах к декабрю 2016 г. превысит 10 тыс.

Злоумышленники расширяют свои приемы, переходя от атак на стороне клиента к атакам на стороне сервера. По данным Cisco, только в апреле текущего года были взломаны 10 % серверов Jboss по всему миру, а уязвимости Adobe Flash остаются одной из главных целей вредоносной рекламы и наборов эксплойтов. В распространенном наборе Nuclear на долю Flash приходится 80% успешных попыток взлома. В результате специалисты по безопасности не справляются, нагрузка на них растет очень быстро. В среднем на выявление новых угроз у организаций уходит до 200 дней.

При этом, как отмечают в Cisco, cокращение времени обнаружения угроз чрезвычайно важно с точки зрения ограничения оперативного пространства злоумышленников и минимизации ущерба от вторжений. «По медианному времени обнаружения угроз Cisco продолжает опережать отрасль: в течение шести месяцев до апреля 2016 г. было зафиксирован новый минимум для ранее неизвестных угроз — около 13 часов. Это меньше, чем за аналогичный период, закончившийся в октябре 2015 г., тогда результат составлял 17,5 часов», - рассказывают представители компании.

Среди наиболее популярных методов веб-атак – двоичные файлы Windows, мошенничество с Facebook, системы переадресации на JavaScript, упакованные двоичные файлы, рекламное ПО и трояны для Android.

В компании Cisco уверены, что лучший способ защиты – это ускоренное принятие мер. Для этого эксперты рекомендуют соблюдать сетевую гигиену: проводить мониторинг сети, своевременно устанавливать корректировки и обновления ПО, применять новейшие межсетевые экраны и системы предотвращения вторжений. Кроме того, надо интегрировать защиту на основе архитектурного подхода в противоположность использованию нишевых продуктов, организовать повсеместную защиту пользователей, где бы они ни работали, а не только систем корпоративной сети. Также необходимо проводить резервное копирование критичных данных.