Во второй половине 2025 года мы зафиксировали более 50 тыс. попыток атак на облачные и гибридные инфраструктуры. Криптомайнеры, программы‑вымогатели или риски, связанные с ИИ, — как именно выглядели самые популярные угрозы в прошлом году?

Команда безопасности Yandex Cloud проанализировала векторы атак на облачные платформы за второе полугодие 2025 года и поделилась отчётом по результатам этого расследования.

Под катом вы найдёте:

Какие техники атакующие используют чаще всего.
Какие из них лидируют в публичных отчётах.
Какие цели у злоумышленников.
Какие отрасли интересуют хакеров.
Как злоумышленники и безопасники используют ИИ.
Как защититься.

В 2025 году влияние ИИ на индустрию было особенно заметным, и этот тренд не обошёл стороной сферу информационной безопасности. Мы уже описывали угрозы и методы защиты для ключевых компонентов ИИ‑агентов в отдельном руководстве, а также делились своими прогнозами изменения ландшафта безопасности в связи с развитием LLM. Исследование за второе полугодие 2025 года посвящено защите IT‑инфраструктуры в целом.

Сервис мониторинга и реагирования на инциденты в облаке Yandex Cloud Detection and Response во второй половине 2025 года зафиксировал более 50 тыс. попыток атак на облачные и гибридные инфраструктуры — это в два раза больше, чем в первом полугодии, о результатах которого мы также рассказывали в отдельной статье.

Главный метод компрометации облачной инфраструктуры — T1078: Valid Accounts (использование действительных учётных данных). После успешной компрометации злоумышленники создают дополнительные ключи для закрепления.

В условиях, когда злоумышленникам приходится поддерживать множество инфраструктур для проведения атаки и сокрытия следов, одна из популярных техник — прокси. Используются как цепочки прокси, так и внешние прокси с применением утилит ngrok, Gsocket, Localtonet. Примечательно, что туннели до зарубежных сервисов, например Cloudflare, активно используют не только злоумышленники для усложнения расследования, но и легитимные сервисы.

Во втором полугодии самая популярная облачная угроза — криптомайнеры. Мы зафиксировали 25 тыс. алертов на майнинговую активность в различных сервисах Yandex Cloud.

Для снижения рисков и повышения безопасности облачных сервисов мы проанализировали статистику, которую собрали при мониторинге и расследовании инцидентов самого облака и наших клиентов. Уделили особое внимание техникам и целям атакующих, чтобы сформировать рекомендации по улучшению облачной безопасности.

Какие техники атакующие используют чаще всего

Для анализа мы использовали события из Yandex Audit Trails, модулей Yandex Security Deck, коллекторов on‑premises‑инфраструктур, которые обрабатываются в SIEM и озёрах данных. Наши системы обрабатывают более 103 млрд событий в день — в три раза больше, чем в прошлом году. Использование SIEM‑системы собственной разработки позволило нам собирать дополнительные данные, в том числе и NetFlow‑трафик в облачных сетях.

На основе этой телеметрии мы выделили самые популярные техники атакующих, которые применялись как при первоначальном доступе, так и при развитии атаки:

В лидерах осталась техника использования действительных учётных данных пользователей (T1078: Valid Accounts) с 36% от общего числа атак. Эта техника активно используется как в облачных инфраструктурах, так и on‑premises. Чаще всего валидные учётные данные злоумышленники получали из утечек или после компрометации сторонних доверенных организаций. В облачной инфраструктуре Identity фактически является периметром, и компрометация учётных данных — основная точка входа для облачных атак.

Главный риск связан с утекшими и долгоживущими статическими секретами, которые редко ротируются. Ситуацию усугубляет нарушение принципа наименьших привилегий — сервисным и пользовательским аккаунтам нередко выдают избыточные роли, и это резко ускоряет развитие атаки. Использование избыточных разрешений для получения доступа и повышения привилегий (YC9019: Exploiting Redundant Permissions for Access and Escalation) с 7% хоть и занимает последнее место в статистике, но всегда идет бок и бок с другими. Отдельная опасность — цепочки имперсонаций: зачастую даже непривилегированный аккаунт может через последовательное «перевоплощение» в другие сервисные учётные записи дойти до высоких привилегий.

На втором месте идут дополнительные облачные учётные данные (T1098.001: Account Manipulation: Additional Cloud Credentials) — 29%. Эта техника тесно связана с T1078: Valid Accounts и предполагает манипуляции с учётными записями — после получения доступа через действительные учётные записи злоумышленники могут генерировать собственные ключи SSH, обновлять статические ключи доступа сервисных аккаунтов или создавать новые.

Эту статистику подтверждают постоянные сканирования Yandex Cloud в рамках услуги Security Checkup: топ нарушений приходится на публично доступные ресурсы и редко ротируемые секреты.

Как уменьшить риски
Используйте IdP-сервисы для централизованного управления учётными записями пользователей и многофакторную аутентификацию (MFA), например Yandex Identity Hub.
Регулярно меняйте ключи доступа (с прицелом на избавление от долгоживущих и неактуальных ключей сервисных аккаунтов).
Мониторьте утечки токенов, авторизационных ключей, паролей и других секретов.
Мониторьте подозрительную активность при входах (мониторинги IP, геолокации, времени входа).
Соблюдайте принцип наименьших привилегий как для пользовательских учётных записей, так и для сервисных аккаунтов.
Обучайте персонал основам кибербезопасности.

Третье место с 23% от общего числа атак занимает использование перенаправления сетевого трафика для сокрытия следов или создания резервных каналов доступа (T1090: Proxy). Зачастую инциденты в этой категории выявляются благодаря интеграции с сервисами Threat Intelligence.

Злоумышленники маскируют свои IP‑адреса через цепочку прокси и используют TOR. После компрометации для создания туннелей и маршрутизации трафика активно используются утилиты ngrok, Gsocket и Localtonet, также мы видим большое количество создания туннелей до зарубежных провайдеров, например Cloudflare. Туннели через Cloudflare работают на базе легковесного «демона» cloudflared, который устанавливается в инфраструктуре и инициирует исходящие соединения к глобальной сети Cloudflare, не требуя публично маршрутизируемого IP‑адреса. Такие туннели атакующие могут использовать для маскировки и затруднения расследования — большое количество легитимных сервисов используют аналогичное туннелирование для своей работы. Детектирование таких туннелей строится на поиске характерных DNS‑запросов.

Как уменьшить риски:
Интегрируйте Threat Intelligence в процессы мониторинга.
Мониторьте события DNS и cmdline на наличие индикаторов создания туннелей.

Эксплуатация уязвимостей в публичных приложениях (T1190: Exploit Public‑Facing Application) занимает 8% и остаётся популярной техникой. Постоянно появляются новые уязвимости, например критическая уязвимость в React Server Components и Next.js (CVE-2025-55182). Эта уязвимость не затронула инфраструктуру и сервисы Yandex Cloud, но большое количество клиентских приложений использовали уязвимые компоненты. Поэтому когда наша команда зафиксировала активные попытки её использования, нам удалось быстро сообщить клиентам об использовании уязвимых версий ПО и обновить правила в сервисе Yandex Smart Web Security.

Наряду с эксплуатацией последних уязвимостей всё ещё активно используются уязвимости «старые» — в CMS и почтовых серверах. В on‑premises остаётся актуальной проблема с легаси‑системами во внешнем периметре. Чаще всего такие системы не только не обновлены, но и не контролируются командами SOC. Поэтому эксплуатация уязвимостей приводит к тому, что данные утекают, а злоумышленники перемещаются во внутреннюю инфраструктуру.

Появление новых уязвимостей в широко используемых компонентах также напоминает о необходимости внедрения подходов SDLC — важно знать, какие библиотеки и версии используются, откуда они получены и как связаны зависимости.

Как уменьшить риски:
Гранулярно подходите к публикации сервисов в интернет.
Сканируйте внешний периметр организации.
Применяйте патчинг и используйте WAF (например, в Yandex Smart Web Security).
Внедряйте процессы SDLC и SCA.

Анализ техник в публичных отчётах

Для приоритизации угроз, написания актуальных правил корреляции и проверки гипотез threat hunting мы подсчитали топ техник, которые встречались в мировых публичных отчётах за 2025 год:

Анализируя этот список, можно сделать выводы:

Злоумышленники предпочитают самый «дешёвый» первоначальный доступ: использование валидных учётных данных (T1078), эксплуатация публично доступных приложений (T1190) и фишинг (T1566) остаются ключевыми точками проникновения.
В ходе развития атаки часто встречаются использование командных интерпретаторов (T1059), скачивание инструментов (T1105), разведка (T1082), использование вредоносных файлов (T1204.002), применение обфускации для затруднения обнаружения (T1027). Если использование легитимных учётных данных или эксплуатацию уязвимостей на периметре не всегда удаётся обнаружить вовремя, то на этих этапах атакующий, как правило, оставляет значительно больше следов — в телеметрии хостов (процессы или командные строки), сетевых соединениях, DNS‑логах, прокси. Поэтому именно здесь важно максимально рано «поймать» злоумышленника.

Мы видим уже некий устоявшийся тренд в основных техниках атакующих: использование действительных учётных записей, манипуляции с аккаунтами, эксплуатация уязвимостей и мисконфигураций. Важно продолжать совершенствовать меры безопасности и уделять внимание защите Identity, контролю доступа, мониторингу и аудиту систем.

Какие цели у злоумышленников

В 2025 году можно выделить две основные цели злоумышленников:

Кража данных и получение финансовой выгоды — через вымогательство (угроза публикации), а также перепродажу украденной информации. Похищенные данные часто выкладывают или продают в даркнете, что также способствует популярности техники T1078: Valid Accounts.
Максимальный ущерб IT‑инфраструктуре и остановка бизнес‑процессов — злоумышленники чаще всего используют программы‑вымогатели, основанные на исходных кодах вредоносных программ Babuk и LockBit.

Эти цели применимы и к облачной инфраструктуре: в качестве первоначальной точки входа злоумышленники используют украденные валидные учётные данные, а также неправильно настроенные ресурсы и контроли доступа. Причём кража данных часто возможна не только после компрометации учётных данных, но и из‑за неверно настроенного публичного доступа, например до бакетов. Для нанесения ущерба инфраструктуре в облаке используется не сложное ВПО, а встроенные функции облака для удаления или перезаписи данных.

Чаще всего атакуют облачные компоненты, которые хранят критичные данные или обеспечивают быстрое восстановление: объектные хранилища (файлы, бэкапы, логи, конфиги и артефакты), виртуальные машины и снимки дисков, управляемые сервисы различных баз данных, а также сервисы по управлению образами для деплоя. Google отмечает, что злоумышленники всё чаще выбирают системы резервного копирования в качестве основной цели, бросая вызов традиционным методам восстановления из бэкапов.

Помимо целенаправленных атак мы видим растущую тенденцию в роботизированных автономных сканированиях и попытках эксплуатации типовых уязвимостей. Согласно нашим данным, попытки компрометации публично доступного контейнера или виртуальной машины происходят в первые сутки, а компрометация слабо сконфигурированного публично доступного сервиса Hadoop® происходит в считанные часы через встроенную функциональность YARN Resource Manager. При этом первые индикаторы сканирования на уязвимости обнаруживаются практически мгновенно, так как списки публично доступных IP‑адресов провайдеров, как правило, заранее известны. Это подтверждает и Microsoft в отчёте Microsoft Defender for Cloud, отмечая, что компрометация контейнеров в облачных средах случается в первые 48 часов после развертывания.

Это подчеркивает необходимость контроля правильной конфигурации облачных ресурсов (например, с помощью модуля контроля Kubernetes® в сервисе Yandex Security Deck) и защиты рантайма. В частности, криптомайнинг отлично поддаётся автоматизации, позволяя злоумышленникам быстро заражать не только контейнеры, но и другие облачные сервисы.

Во втором полугодии мы зафиксировали более 25 тыс. алертов на майнинговую активность в различных сервисах облака. Эта угроза остаётся актуальной как для облачных инфраструктур, так и для on‑premises. Самая популярная среди злоумышленников монета — Monero. Она гарантирует полную анонимность транзакций и может добываться на CPU. Может показаться, что майнеры — это не самая опасная угроза, но, во‑первых, из‑за высокой нагрузки на ресурсы системы они значительно её замедляют (в облачной инфраструктуре это ещё и повышенные расходы на инфраструктуру), а, во‑вторых, наличие майнера на хосте указывает на более серьёзную дыру в безопасности, которая может развиться до кражи данных или программ‑вымогателей.

Какие отрасли интересуют злоумышленников

Лидирующие позиции занимают ритейл (34%), IT‑компании (31%), промышленность (22%), финансовые услуги (10%) и образование (3%).

Ритейл по‑прежнему интересен из‑за большого количества персональных данных: имён, телефонов, реквизитов карт. Всё это можно использовать для последующего фишинга или простого мошенничества.
Компании в области разработки и интеграционных услуг интересны злоумышленникам, с одной стороны, благодаря ценности интеллектуальной собственности, а с другой — из‑за развития будущих атак на другие организации через доверительные отношения или цепочку поставок.
Производственные компании в 2025 году ощутили огромный прирост атак, причём во многом интерес злоумышленников сменился со шпионажа и финансовой мотивации в сторону нанесения ущерба инфраструктуре путём шифрования. Так, «Инфосистемы Джет» отмечают, что 76% кибератак в 2025 году были направлены на уничтожение инфраструктуры.
Финансовые организации стабильно занимают место в топе интересов злоумышленников из‑за возможности получить доступ не только к данным, но и напрямую к финансам.
Образование усиливают своё присутствие в цифровом пространстве, поэтому закономерно становится целью злоумышленников.

Как злоумышленники и безопасники используют ИИ

Киберпреступники всё активнее используют соцсети и мессенджеры как каналы первоначального доступа и воздействия на сотрудников. Благодаря ИИ‑технологиям атаки через мессенджеры становятся более персонализированными и реалистичными — так, технологии дипфейков идут бок о бок с техникой «фейковый босс».

При этом классические фишинговые атаки никуда не исчезли: они по‑прежнему популярны из‑за низкой стоимости, простоты и высокой конверсии. ИИ здесь сильно помогает уменьшить стоимость кампаний, усилить правдоподобность, использовать различную локализацию, подстроить стиль текста. McKinsey отмечает рост фишинговых атак на 1200% с момента появления искусственного интеллекта нового поколения в конце 2022 года.

Помимо точечных задач для ИИ в 2025 году злоумышленники всё чаще используют агентов для оркестрации атак. Атакующие обходят встроенные защитные механизмы, разбивая задачи на «невинные» подзадачи и представляя ИИ как сотрудника легитимной компании. Далее агент начинает оркестрировать атаку с помощью MCP и других инструментов (веб‑поиска, сканеров и так далее). Это позволяет выполнять большинство работ автономно, быстро обрабатывая множество запросов.

На стороне защиты ИИ в первую очередь становится ответом на операционную перегрузку SOC: по данным отраслевых опросов, объём алертов часто превышает реальную способность аналитиков качественно их разбирать. Поэтому ИИ всё сильнее занимает позицию «советника в принятии решений»: обогащение событий, первичный анализ логов и корреляций, генерация и актуализация плейбуков, подготовка черновиков отчётов, ответы на вопросы по инциденту и подсказки по резолюции алертов.

Какие сервисы могут помочь

Ключевыми проблемами в контексте киберугроз в облаке остаются компрометация учётных данных, неправильные конфигурации и уязвимое ПО — все они относятся к основным точкам для первоначального доступа.

В ходе аудита и мониторинга облачной инфраструктуры важно инвентаризировать виртуальные машины и управляемые сервисы, API, секреты сервисных аккаунтов, группы безопасности частных сетей.

Статистика подтверждает, что ключевой риск в облаке связан не со сложными атаками, а с ошибками конфигураций и легитимными действиями в рамках облачных сервисов. Поэтому эффективная защита облачной инфраструктуры должна быть выстроена как непрерывный контроль конфигураций и исполнения по всему стеку: от объектного хранилища, управляемых баз данных и вычислительных ресурсов до контейнерных образов, кластеров Kubernetes® и рантайм‑среды. Такой подход требует централизованного управления телеметрией, рисками и политиками безопасности и может быть реализован через CNAPP‑платформу.

Также важно проверять актуальность версий своих публичных веб‑приложений, чтобы не допустить эксплуатации уязвимостей и проникновения злоумышленников в свой веб‑периметр.

Важно выстраивать и правильный мониторинг в облачных средах:

логирование действий пользователей и сервисов,
сохранение резервных копий логов,
контроль изменений конфигураций ресурсов,
анализ аномальной активности в облачной среде.

Ещё больше новостей нашей команды безопасности — на канале Безопасно говоря и в Inside Yandex Cloud, где мы рассказываем о жизни всей большой облачной платформы.

Опубликовали исследование киберугроз в облачной среде за второе полугодие 2025 года