Каким будет мир кибербезопасности в 2022 году: прогноз от компании Софтлист

26 Января 2022

В 2021 году кибератаки увеличились на 50%. Взломщики начали заражать программное обеспечение на этапе исходного кода. Хакеров больше всего интересовали организации образовательного сектора, госпредприятия оборонной сферы, коммуникаций, IT-провайдеры и медицинские учреждения. Пандемия – это «золотое» время для киберпреступников, ведь миллионы людей по всему миру вынуждены были перейти на удаленный режим работы. И в один момент мишенями злоумышленников стали домашние сети, устройства и браузеры. Карантинные меры пока не отменяют, а значит и в 2022 году ожидается дальнейший рост киберпреступности.


Компания «Софтлист» сделала свои прогнозы относительно ситуации в мире кибербезопасности в текущем году.

Злоумышленники уверенно достигают своих целей и становятся увереннее и смелее. И эта уверенность порождает увеличение их количества и усовершенствование методов атак.

Средняя сумма денежных требований от программ-вымогателей выросла в 2020 по сравнению с 2018 на 3900%. Это колоссальное увеличение является свидетельством стремительного роста злоумышленников в киберсфере. Преступники знают, что владельцы бизнеса готовы отдать любую сумму для сохранения своих предприятий и поэтому в своих запросах не мелочатся.

Руководитель научных проектов компании Trellix Радж Самани отметил, что за последний год киберпреступники стали умнее и быстрее, они создают новые схемы, и эта тенденция продолжится в 2022 году. Ландшафты угроз меняются с учетом пандемии, и важно, чтобы предприятия могли действовать на упреждение для защиты своей информации. Какие меры следует предпринять, чтобы остановить ежегодную тенденцию увеличения атак и взломов? Службы безопасности должны выработать адаптивную методику безопасности, способную справиться с изощренными действиями киберпреступников. Сотрудники по безопасности компании Trellix, считают, что в сегодняшних условиях особенно важно применять новые подходы для киберзащиты в 2022 году.

Социальные сети – одна из мишеней для киберпреступников

Мировая статистика гласит, что приблизительно 4,2 млрд людей активно пользуются социальными сетями. Это удобный канал для взаимодействия – общение с популярными поп-звездами, коммуникация с профессиональными экспертами или поиск вакансий в интересующей сфере. Злоумышленники об этом осведомлены и пользуются тем, что большинство принимает в друзья абсолютно всех в погоне за увеличением своих подписчиков. Для преступников это эффективный способ обойти традиционные меры безопасности и напрямую достигнуть своей цели. А посредством сообщений преступные группы получают контроль над учетными записями влиятельных лиц. Прогнозируется, что такой вид киберугроз будет увеличиваться не только благодаря шпионским группам, злоумышленники будут пытаться проникнуть в организации для получения собственной выгоды.

Киберпреступность через отмывание доходов на уровне государств

Суть такой методики заключается в следующем. Создается новая компания, а сеть подставных фирм или существующих «технологических» компаний участвует в операциях, которые направляются и контролируются министерствами разведки стран.
Например, в мае 2021 года правительство США предъявило обвинения четырем гражданам Китая, которые работали на государственные подставные компании. Подставные фирмы помогали хакерам создавать вредоносные программы, атаковать устройства, чтобы получить бизнес-аналитику, коммерческую тайну, информацию о конфиденциальных технологиях. Эту тактику применяли Китай, Северная Корея, Иран.
Там, где в прошлом определенные семейства вредоносных программ были привязаны к национальным группам, отмывание происходит, когда хакеров нанимают для написания кода и выполнения этих операций.
Первоначальное нарушение тактики и инструментов может быть похоже на «обычные» операции по киберпреступности, однако важно следить за тем, что происходит дальше, и оперативно действовать. В связи с прогнозируемым усилением отмывания между киберпреступностью и национальными госсубъектами в 2022 году компаниям следует проверять их видимость и учиться на тактике и операциях, проводимых субъектами, нацеленными на их сектор.

Программы-вымогатели (RaaS) продолжают охотится за жертвами

В течение нескольких лет атаки программ-вымогателей доминировали среди самых серьезных киберугроз. Модель Ransomware-as-a-Service (RaaS) изначально считалась стартовой площадкой для неопытных хакеров, но со временем эти группы превращались в компетентных киберпреступников.

В ответ на атаку Colonial Pipeline популярные форумы по киберпреступности запретили участникам программ-вымогателей размещать рекламу. Теперь у групп RaaS больше нет сторонней платформы, на которой можно активно набирать сотрудников, проверять свои двоичные файлы модераторами или разрешать обсуждения. Недостаток видимости усложнил для групп RaaS создание или поддержание доверия, а разработчикам RaaS будет труднее сохранять свои нынешние позиции на высшем уровне. Эти события подрывают их авторитетное положение. После мощной атаки на трубопроводную компанию программы-вымогатели видоизменяются или «выходят из игры». Однако в 2022 году прогнозируется появление более самостоятельных групп киберпреступников, они будут акцентировать свою работу не на контроле программ-вымогателей, а на администрировании сетей компаний-жертв.

Экосистема Ransomware-as-a-Service развивалась с использованием аффилированных лиц, посредников и женщин, которые работают с разработчиками за определенный процент прибыли. Исторически так сложилось, что разработчики программ-вымогателей имели уникальные способности выборочно определять аффилированных лиц в своих операциях. Они даже проводили «собеседования» для установления технических знаний. По мере того, как на рынок выходит все больше игроков, занимающихся программами-вымогателями, мы предполагаем, что самые талантливые, изощренные теперь могут требовать за свои услуги больше денег.

Например, введение перечисления Active Directory в программе-вымогателе DarkSide может быть направлено на устранение зависимости от технических знаний аффилированных лиц. Эти изменения сигнализируют о потенциальной миграции к истокам появления программ-вымогателей, когда растет спрос на менее квалифицированных преступников. Они используют данные, которые закодированы разработчиками программ-вымогателей.
Насколько эта система будет эффективна? Технические знания опытного, квалифицированного пентестера достаточно сложно проявить или скопировать. Поэтому последствия будут не такими серьезными, как в недавних случаях.

API-интерфейсы – развивающийся вектор атак преступников в условиях применения сетей 5G

Субъекты угроз обращают внимание на корпоративную статистику и тенденции, выявляя службы и приложения с повышенным потенциальным риском. Облачные приложения, независимо от их разновидности (SaaS, PaaS или IaaS), изменили способы разработки, использования API разработчиками ПО, по сценарию B2B или B2C. Популярность некоторых из них, а также важные для бизнеса данные, которые обычно лежат в основе этих API, делают их прибыльной целью для злоумышленников. Взаимосвязь API потенциально создает дополнительные риски для бизнеса, поскольку они становятся вектором входа для атак.
В будущем возможно появление ключевых рисков, среди которых:

• неправильная конфигурация API-интерфейсов;
• использование современных механизмов аутентификации;
• эволюция традиционных атак вредоносного ПО для использования большего количества облачных API;
• возможное неправомерное использование API для начала атак на корпоративные данные;
• использование API-интерфейсов для программно-определяемой инфраструктуры также означает потенциальное неправомерное использование.

В этих условиях разработчикам следует создать эффективную модель безопасности для их API, наладить механизм контроля доступа Zero Trust. Также необходимо оптимизировать ведение журнала безопасности и телеметрию для лучшего реагирования на инциденты и обнаружения неправомерного использования.

Контейнеризация приложений: чем привлекает киберпреступников

Контейнеры стали фактически платформой современных облачных приложений. Для организаций их преимущества это портативность, эффективность и скорость, экономия времени на развертывание и управление приложениями. Однако ускоренное использование контейнеров увеличивает поверхность атаки. На какие методы следует обращать внимание и какие группы риска контейнеров будут использоваться? Эксплуатация общедоступных приложений (MITRE T1190) — это метод, часто используемый группами APT и Ransomware. Cloud Security Alliance (CSA) определил несколько групп риска контейнеров, включая образ, оркестратор, реестр, контейнер, хост-ОС и оборудование.
Ключевые группы риска, связанные с:

• оркестратором - усиление атак на уровень оркестрации, таких как Kubernetes и связанный с ним API, в основном из-за неправильных конфигураций;
• образом или реестром - рост использования вредоносных или скрытых образов из-за недостаточной проверки уязвимостей;
• контейнером - увеличение количества атак, направленных на уязвимые приложения.

Широкое распространение вышеуказанных уязвимостей в 2022 году может привести к атаке на конечные точки вредоносных программ для майнинга криптовалюты, раскручиванию других ресурсов, краже данных.

Всплеск уязвимостей нулевого дня

2021 год был один из худших за всю историю наблюдений с точки зрения количества уязвимостей нулевого дня, используемых в реальных условиях. Последствия для организаций оказались ощутимыми и заметными. В 2022 году прогнозируется, что, учитывая стремительный рост таких уязвимостей в прошлом году, организации будут быстрее реагировать, предпринимать соответствующие меры.
В 2020 году данные примерно 17 000 клиентов SolarWinds были скомпрометированы и примерно 40 впоследствии подверглись атаке, многие были шокированы масштабами взлома. К сожалению, 2021 год принес заметный рост объемов, и неспешный отклик предприятий. Показательный пример: через две недели после того, как Microsoft справилась с уязвимостью ProxyLogon, стало известно, что 30 000 серверов Exchange по-прежнему уязвимы (по более пессимистичным оценкам их число составляло 60 000).



Позже ProxyShell стал второй крупной уязвимостью года для Exchange. В августе после конференции по компьютерной безопасности Blackhat появились POC эксплойты, которые в апреле/мае Microsoft исправила. Анализ данных, проводимый интернет-сервисом Shodan через неделю после того, как эксплойт POC был выпущен, показал, что более 30 000 серверов Exchange все еще были уязвимы. Анализ показывал неполную картину. Как результат, патч выпущен весной, а эксплуатировали осенью.

Злоумышленники будут продолжать оттачивать свое мастерство до тех пор, пока в течение нескольких часов после раскрытия уязвимости не появятся эксплойты и POC. От выявления общедоступных уязвимостей до быстрого развертывания исправлений, несмотря на потенциальные нарушения работы бизнеса, компании будут уделять больше внимания сокращению «времени на исправление». Хоть и эксплуатация в дальнейшем продолжится, ее масштабы сократятся по мере изменения стратегии организаций. Предприятия должны найти эффективные гибкие и адаптированные инструменты безопасности, и действовать быстрее злоумышленников, пытающихся проникнуть в систему.