О чем статья
Рассказываем, какие инструменты злоумышленников задетектила система поведенческого анализа сетевого трафика PT NAD в 2024 г. Данные о расследованиях предоставили наши эксперты отдела обнаружения атак в сети
Самым популярным методом проникновения злоумышленников в инфраструктуру остается эксплуатация уязвимостей на периметре. При этом большинство пробивов, обнаруженных PT NAD в 2024 г., были связаны с устаревшими версиями ПО.
- Чаще всего PT NAD обнаруживал уязвимости в модуле vote в CMS «1С-Битрикс» (CVE-2022-27228), а также аналогичную, но чуть более свежую уязвимость в html_editor_action.
- Активнее стали эксплуатироваться уязвимости в Atlassian Confluence: CVE-2023-22515, CVE-2023-22518, CVE-2023-22527.
- Несмотря на свой почтенный возраст, все еще остаются актуальными уязвимости 2021 г. — ProxyLogon и ProxyShell — в почтовых серверах Microsoft Exchange.
После того как атакующие попадают в сеть, они используют фреймворки постэксплуатации, инструменты туннелирования трафика и средства удаленного управления скомпрометированными узлами.
- Раньше в арсенале злоумышленников доминировали известные коммерческие фреймворки вроде Cobalt Strike и Brute Ratel C4. Теперь атакующие все чаще используют альтернативные открытые решения, например Sliver или Havoc. Отмечу, что местами бесплатные инструменты даже превосходят коммерческие по функциональности и гибкости настройки.
- Аналогичная ситуация наблюдается с решениями для туннелирования трафика. Вместо популярного сервиса ngrok, в бесплатной версии которого есть существенные ограничения, злоумышленники все чаще используют LocalToNet и Cloudflare Tunnel.
***
О чем говорят наши карточки? Старые и вполне очевидные уязвимости все еще успешно эксплуатируются. Кроме того, злоумышленники все чаще начинают использовать открытые и легитимные инструменты, что значительно затрудняет своевременное обнаружение угроз. В таких условиях нужно быть особенно внимательными ко всему, что выглядит безопасно и привычно. К счастью, сеть помнит и фиксирует все, поэтому не забивайте на анализ трафика ;)
P.S. Приведенные оценки отражают исключительно экспертное мнение автора
