Кибергруппы делают ставку на повторяемые схемы атак

Киберпреступные группы могут выигрывать не за счёт технической изобретательности, а благодаря отлаженным и воспроизводимым сценариям атак. Такой вывод приводит The Hacker News: злоумышленникам важнее получить метод с предсказуемым результатом, который можно применять к новым целям, чем каждый раз создавать новую технику.

Одним из примеров издание называет ClickFix — схему социальной инженерии, при которой сайт предлагает посетителю пройти проверку «я не робот», незаметно копирует команду в буфер обмена и убеждает пользователя открыть терминал и вставить её. По данным, приведённым The Hacker News со ссылкой на Microsoft, в прошлом году ClickFix был самым распространённым способом первоначального проникновения среди атак, о которых уведомляла команда компании: на него пришлось 47% случаев.

Этот подход не требует вредоносного вложения или эксплуатации уязвимости: пользователь сам запускает предложенную ему команду. Если приманка перестаёт работать, атакующим достаточно изменить текст на странице, а не создавать новый вредоносный файл или дорабатывать эксплойт.

Та же логика работает при атаках через известные уязвимости. The Hacker News приводит данные последнего отчёта Verizon Data Breach Investigations Report: эксплуатация уязвимостей стала наиболее заметным в наборе данных способом первоначального доступа и достигла 31%, против 20% годом ранее. Издание связывает рост с простой схемой: следить за уязвимостями в доступных из интернета устройствах, ждать публикации рабочего proof-of-concept и массово искать непропатченные системы.

После проникновения злоумышленники нередко обходятся без собственного инструментария. По приведённым изданием данным Bitdefender, при анализе 700 тысяч инцидентов штатные бинарные файлы, уже присутствовавшие в системе, фигурировали в 84% тяжёлых случаев. Речь идёт, в частности, о средствах автоматизации, удалённого управления, архивации и административных утилитах.

Подобные инструменты удобны прежде всего тем, что уже есть в инфраструктуре организаций и знакомы администраторам, а значит, одинаковый сценарий проще переносить между разными целями.

Показателен и рынок программ-вымогателей. The Hacker News пишет, что более года верхние строчки рейтингов сайтов утечек занимала группировка Qilin, заявлявшая примерно о 1600 жертвах за этот период. В июне её, по собственным заявлениям группировок, обошла The Gentlemen — 121 заявленная жертва против 80 у Qilin. Эти цифры не проходили независимую проверку, однако они отражают конкуренцию за количество атак, а не за сложность применяемых средств.

The Gentlemen, по данным издания, выросла из бывшего партнёра Qilin. Bitdefender ранее отмечала, что успешные сценарии атак вымогателей перерабатываются и совершенствуются. Для преступных групп ценностью оказывается не обязательно закрытый эксплойт или уникальная программа, а процедура, которую можно описать, передать другой команде и повторить.