Отчет компании Rapid7 по анализу угроз за третий квартал выявил беспрецедентное ускорение темпов эксплуатации уязвимостей: злоумышленники атакуют уязвимости высокой степени тяжести в среднем в течение трех дней с момента их публикации, в то время как 71% из них были использованы всего за первую неделю после публичного раскрытия.
Гонка критических уязвимостей и доминирование программ-вымогателей
Данные показали, что около 79% этих уязвимостей относятся к категории крайне опасных или того, что в кругах безопасности называют «святым Граалем» (Holy Grail), поскольку они позволяют выполнять код удаленно без необходимости предварительных учетных данных или взаимодействия с локальным пользователем. Это ускорение ставит группы кибербезопасности и защиты под жесткое временное давление для применения обновлений и закрытия уязвимостей до того, как они превратятся в масштабные взломы.
В то же время программы-вымогатели сохранили за собой статус наиболее свирепой и влиятельной угрозы в мире: сектора бизнес-услуг, производства и здравоохранения возглавили список наиболее уязвимых для атак целей. Соединенные Штаты заняли первое место среди целевых стран с 60% зарегистрированных атак, за ними следуют Германия с 7%, а также Италия и Канада с 5% каждая. Атаки на государственный сектор продемонстрировали заметный рост на 15% по сравнению с предыдущим кварталом.
Основные группировки вымогателей и распределение целей
Что касается субъектов киберпреступности, две основные группы возглавили список успешных атак: банда «The Gentlemen» взяла на себя ответственность за 342 инцидента, за ней сразу следует банда «Qilin» с 339 инцидентами. Остальную часть активного списка составили такие группы, как «INC Ransom» (около 99 атак), «DeadLock» (98 атак), а также «Krybit» с 95 заявленными атаками.
Реальное положение дел с искусственным интеллектом в кибероперациях
Вопреки царящей в технических кругах шумихе вокруг полного доминирования злоумышленников, поддерживаемых искусственным интеллектом, результаты отчета показали, что инструменты искусственного интеллекта появились в качестве операционного элемента всего в 8% от общего числа отслеживаемых инцидентов. Анализ показал, что атаки по-прежнему управляются непосредственными человеческими решениями: человеческий фактор определяет цель и механизм реализации во всех зарегистрированных случаях, в то время как роль искусственного интеллекта ограничивается автоматизацией «промежуточной тактической стадии» цепочки атак, такой как выбор подходящих методов, сортировка целей и автоматическое восстановление при сбое определенного шага.
Компания Rapid7 указала на необходимость различать темпы использования искусственного интеллекта для обнаружения уязвимостей и аудита кода, которые действительно ускоряются, и его прямое использование для реализации сложных эксплойтов, которое еще не стало широко распространенным явлением в полевых данных. В этом контексте злоумышленники прибегают к таким ухищрениям, как фрагментация команд и промптов через множественные интерактивные сессии (Multi-session Prompting) для обхода механизмов защиты и систем обнаружения, встроенных в модели искусственного интеллекта от поставщиков услуг.
Активность продвинутых угроз и рынок начального доступа
В отчете зафиксирована активность 15 различных групп постоянных угроз повышенной сложности (APT) и кибершпионских группировок, которые были сосредоточены главным образом на правительственных организациях, а также на секторах обороны, транспорта, СМИ и энергетики. Сюда воли связанные с Россией группы (Sandworm) и (Void Blizzard), китайская группа (APT31), а также группировка (Lazarus) из Северной Кореи, использование которой незарегистрированного ранее вредоносного пакета для сред Linux, нацеленного на инфраструктуру в Южной Корее, было задокументировано.
На платформах даркнета продолжилось доминирование брокеров начального доступа (Initial Access Brokers): объявления демонстрировали предоставление путей взлома, начиная с полных банковских учетных данных и заканчивая постоянным присутствием в корпоративных сетях. При этом более 65% отслеживаемых публикаций были сосредоточены на продаже доступа по протоколу удаленного рабочего стола (RDP) или доступа к внутренним сетям, что представляет собой жизненно важный ранний индикатор, который защитники должны использовать для мониторинга будущих векторов атак.
Что это означает для команд кибербезопасности?
Этот сдвиг требует немедленной перестройки защитных приоритетов внутри технических организаций, и требования к управлению этой ситуацией можно суммировать следующим образом:
- Сокращение времени устранения уязвимостей: ежемесячная модель патчей больше не подходит для уязвимостей, направленных в интернет; новый показатель (3 дня) требует автоматизации применения обновлений и процедур немедленной блокировки открытых служб.
- Мониторинг потребления API искусственного интеллекта: отслеживание запросов API, исходящих от непривычных устройств или процессов в сети, для раннего обнаружения любого несанкционированного использования интеллектуальных инструментов.
- Укрепление точек удаленного доступа: усиление мониторинга портов RDP и применение многофакторной аутентификации, чтобы лишить брокеров начального доступа возможности эксплуатировать сети и продавать их бандам вымогателей.