Атаки водопоев: как APT и киберпреступники проникают в защищенные инфраструктуры

Моя первая встреча с миром киберпреступников произошла через кампанию по атаке водопоя много лет назад.. Я посетил персидский сайт и обнаружил, что он загружает вредоносное ПО на устройства посетителей’ браузеры. Я немедленно связался с администратором сайта, который сообщил мне, что у них нет технических знаний по этому вопросу. Стало очевидно, что они использовали устаревшую CMS с известными уязвимостями безопасности, которые преступники использовали для нацеливания на определенные аудитории и распространения вредоносного ПО.

Атаки водопоев являются некоторыми из методов, предпочитаемых киберпреступниками и продвинутыми постоянными угрозами (APT). В этих атаках, киберпреступники используют тактику, называемую “стратегическим компромиссом веб-ресурсов” (SWC) для получения доступа к сети организации жертвы. Определив веб-сайты, которые часто посещают целевые пользователи, злоумышленник может заразить эти веб-сайты вредоносным ПО и загрузить его на устройство ничего не подозревающего пользователя’ устройство.

Вредоносное ПО, используемое в атаках на водопой, разработано для того, чтобы избегать обнаружения и оставаться незамеченным на устройстве цели, предоставляя злоумышленникам постоянный доступ к конфиденциальной информации. Этот тип атаки вызывает особую озабоченность, поскольку может оставаться незамеченным в течение длительных периодов времени, позволяя злоумышленникам собирать конфиденциальную информацию со временем.

Один из типов часто используемого вредоносного ПО в атаках на водопой - это полиморфное вредоносное ПО. Полиморфное вредоносное ПО - это тип вредоносного программного обеспечения, разработанный для постоянного изменения своего кода и внешнего вида, чтобы избежать обнаружения антивирусным программным обеспечением и другими мерами безопасности. Этот тип вредоносного ПО особенно опасен, так как может мутировать в множество различных форм, что затрудняет его обнаружение и удаление традиционным антивирусным/антивредоносным программным обеспечением. Полиформное вредоносное ПО может изменять свой внешний вид с помощью различных методов, включая шифрование, сжатие, и рандомизацию.

Атаки на водопой особенно опасны для малого бизнеса, так как они часто становятся целью из-за более слабых мер безопасности по сравнению с крупными предприятиями. Однако, даже крупные организации и государственные учреждения стали жертвами атак на водопой.

Ниже приведены некоторые шаги, которые вы можете предпринять, чтобы снизить риск стать жертвой этого типа атак:

1. Используйте веб-фильтрацию: инструменты веб-фильтрации могут блокировать доступ к вредоносным или неизвестным веб-сайтам и веб-страницам. Это предотвращает случайное скачивание вредоносного ПО из водопоя.
2. Используйте антивирус нового поколения (NGAV): Решения NGAV используют современные методы обнаружения, такие как алгоритмы машинного обучения и поведенческая аналитика, для выявления и реагирования на новые и ранее неизвестные угрозы.
3. Реализуйте обнаружение и реагирование на конечных устройствах (EDR): Решения EDR мониторят конечные устройства, такие как ноутбуки и настольные компьютеры, на предмет подозрительного поведения и могут реагировать на угрозы в реальном времени.
4. Реализуйте обнаружение и реагирование на основе сети (NDR): Решения NDR мониторят сетевой трафик на предмет подозрительной активности и могут обнаруживать и реагировать на угрозы, которые могут быть упущены традиционными антивирусными решениями.
5. Используйте разведку угроз: Услуги разведки угроз могут предоставить информацию о новых угрозах, включая полиморфный вредоносный софт. Вы можете использовать эту информацию для выявления потенциальных угроз и принятия соответствующих мер для защиты вашей сети
6. Реализуйте сеть с нулевым доверием: Сеть с нулевым доверием — это модель безопасности, которая предполагает, что каждый пользователь и устройство в сети являются потенциальной угрозой. Пользователи должны быть аутентифицированы перед доступом к ресурсам сети, и доступ ограничивается только необходимым.
7. Используйте сегментацию сети: Сегментация сети помогает отделить критически важные системы и чувствительные данные от остальной части сети. Это предотвращает распространение вредоносного ПО в случае успешной атаки.