Вредоносное ПО нашли в 70% компаний России и СНГ — за год доля выросла в полтора раза
Фото: Андрей Любимов / РБК
Исследование охватило организации России и СНГ из разных отраслей. Как сообщили в компании, наибольшую долю выборки — 39% — составили промышленные предприятия, ещё 17% пришлось на ИТ-компании, по 13% — на государственные учреждения и организации сферы торговли.
Признаков работы целенаправленных злоумышленников во время пилотных проектов специалисты не зафиксировали. Тем не менее анализ сетевого трафика позволил выявить многочисленные угрозы и потенциальные векторы компрометации инфраструктуры.
Прокси и майнеры вместо шифровальщиков
Основную долю обнаруженного вредоносного ПО составили два типа программ — резидентные прокси (proxyware) и майнеры криптовалюты. Средства скрытого удалённого управления и шпионские программы встречались заметно реже.
| Тип вредоносного ПО | Доля компаний |
|---|---|
| Резидентные прокси (proxyware) | 67% |
| Майнеры | 54% |
| ПО для удалённого управления | 22% |
| Шпионское ПО | 6% |
Типы вредоносного ПО, выявленные в ходе пилотных проектов PT NAD
Резидентные прокси после заражения устройства пропускают через него чужой сетевой трафик. Злоумышленникам интересны в том числе личные компьютеры и смартфоны пользователей — их IP-адреса имеют чистую репутацию. В отличие от привычного вредоносного ПО, proxyware не крадёт пароли и не шифрует файлы, но скрытно расходует ресурсы устройства без ведома владельца. Похожим образом действуют майнеры, задействующие вычислительные мощности процессора для добычи криптовалюты.
Самым распространённым сервисом резидентных прокси стала Infatica — её активность обнаружили в 62% обследованных компаний. Среди майнеров чаще прочих попадались программы для добычи Monero, зафиксированные в 47% организаций.
При этом сам факт обнаружения активности ещё не означает, что вредоносные программы работают непосредственно на корпоративных устройствах. Резидентные прокси нередко заражают личные смартфоны сотрудников, подключённые к офисному Wi-Fi, а криптомайнеры — домашние ноутбуки, с которых работники выходят в корпоративную сеть через VPN.
WannaCry встречается спустя девять лет
Заметную долю занимают и семейства ВПО, способные нанести прямой ущерб: стилеры, средства скрытого удалённого управления и шифровальщики. Правда, большинство срабатываний сигнатур было связано с детонацией образцов в сетевой песочнице — такие программы обычно приходят во вложениях к электронным письмам, а их трафик фиксируют системы класса NTA/NDR.
Так, в инфраструктурах российских компаний по-прежнему попадается шифровальщик WannaCry, получивший широкое распространение ещё в 2017 году: исследователи находили отдельные заражённые им хосты. В организациях, которые давно используют решения класса NTA/NDR, доля инфраструктур с такими хостами стремится к нулю.
Нарушения регламентов — во всех компаниях
Помимо активности вредоносного ПО, потенциальные нарушения регламентов информационной безопасности специалисты зафиксировали в каждой обследованной организации. В 87% компаний применялись незащищённые протоколы для передачи учётных данных, в 74% — программы для удалённого доступа, в 61% — словарные пароли. Передача аутентификационных данных в открытом виде по LDAP и HTTP была обнаружена в 74% организаций в каждом случае.
Показательна и разница между разовыми проверками и постоянным мониторингом: на пилотных проектах AnyDesk встречался в 84% компаний, тогда как среди организаций, уже использующих NTA/NDR, средний показатель составляет 40%. Для TeamViewer соотношение схожее — 42% против 23%.
На пилотных проектах мы регулярно обнаруживаем проблемы, о которых компании до этого могли просто не знать: вредоносную активность, передачу учётных данных в открытом виде, несанкционированные средства удалённого доступа и другие нарушения политик ИБ. Без анализа сетевого трафика значительная часть такой активности остаётся незаметной. При этом после внедрения NTA/NDR-систем ситуация меняется: постоянный контроль позволяет выявлять нарушения и устранять их, поэтому со временем их количество существенно снижается.
Кирилл Шипулин, руководитель экспертизы PT NAD в Positive Technologies
Решения класса NTA/NDR позволяют обнаруживать признаки вредоносной и аномальной активности в трафике, контролировать соблюдение политик безопасности и выявлять теневую ИТ-инфраструктуру. О практических кейсах применения PT NAD эксперты Positive Technologies расскажут 10 сентября на конференции NetCase Day.
