Один из наших клиентов поделился деталями атаки, в результате которой злоумышленники зашифровали диски многих виртуальных машин на его платформах виртуализации. Другой наш партнер рассказал такую историю — некоторые виртуальные машины в его парке начали активно, не характерно для них, потреблять процессорные мощности. Дальнейшее расследование показало, что хакеры получили доступ к платформе виртуализации через скомпрометированный каталог Active Directory и установили на серверы майнеры.

Эти истории сподвигли меня на то, чтобы разобрать проблему безопасности виртуальных сред с помощью методики ХардкорИТ. Конечно, время вспять мы не повернем, но помочь героям наших кейсов и другим компаниям избежать подобных атак в будущем — вполне. Подробности под катом!

В последние годы интернет вещей (IoT) плотно укоренился в сфере ИТ и представляет целую область, в которой физические и виртуальные объекты объединяются в одну инфраструктуру. Под «вещами» понимается все, что может быть подключено к сети: от смартфонов и бытовой электроники до отдельных станков и датчиков на производстве. IoT интенсивно проникает во многие сферы: в 2023 году активнее других его внедряли в здравоохранении, производстве, телекоммуникациях и сельском хозяйстве. Насколько промышленность подвержена киберугрозам и к чему приводят атаки на системы и устройства промышленного интернета вещей, а также как противостоять злоумышленникам – читайте в нашей новой статье.

Привет, друзья! На прошлой неделе мы взяли обратный отсчет и в ожидании боя курантов начали знакомить вас с трендами кибербеза и ИТ и делиться прогнозами на будущее. В прошлый раз поговорили про рынок российской кибербезопасности и с какими объективными трудностями он столкнулся. Это при том, что количество угроз никуда не делось, а, напротив, даже увеличилось, и задача отрасли стала еще более трудоемкой. В этот раз поговорим, о том, как рынок выходит из сложившегося положения, какие новые технологии уже работают в кибербезе и дружат ли с ними разработчики, а какие планируется внедрить.  

Друзья, мы начинаем подводить итоги уходящего года и понемногу заглядывать в будущее кибербеза и ИТ. В этой статье расскажем, как на российскую ИБ-отрасль повлияли общерыночные тренды. Расскажем, почему отечественный рынок ИБ постигло разочарование, в чем видятся его факторы роста, в каких технологиях нуждается Россия, а каких образовался переизбыток, что происходит на мировой арене информационной безопасности и какое место на ней занимает российский кибербез.

Столько слов было сказано, столько копий сломано в попытках защитить свою инфраструктуру, но одним из частых векторов проникновения в сеть все еще остается эксплуатация уязвимостей сервисов на периметре. Можно долго рассуждать о причинах такой ситуации, а можно максимально защитить компанию от кибератак. Сегодня я, Виктор Еременко, лидер продуктовой практики нашей системы поведенческого анализа трафика, расскажу, как вовремя выявить злоумышленника и не допустить инцидента.

В ноябре 2024 года сотрудники одной из российских государственных организаций обнаружили фишинговую рассылку и обратились за помощью к нашей команде. В ходе расследования мы выяснили, что атака – часть фишинговой кампании, нацеленной на сотрудников государственных организаций России и Белоруссии, за которой стоит небезызвестная группировка Cloud Atlas.

Портал Грамота.ру утверждает, что «Макет — предмет, точно воспроизводящий в уменьшенном виде или в натуральную величину какой-либо другой предмет».

Но это, скорее, про те макеты, которые можно увидеть в музеях, на выставках, в офисах продаж квартир, в конце концов. В нашем же случае макеты, представленные на кибербитве Standoff, — это сложные программно-аппаратные комплексы, каждый из которых, помимо видимой зрителем наружной части, состоит из десятка контроллеров и микрокомпьютеров, множества двигателей разного типа, экранов, нескольких километров проводки. Всевозможные сетевые, силовые и логические устройства, объединенные вместе, создают уникальный и зрелищный макет, который имитирует жизнь государства, с которым как раз и взаимодействуют участники кибербитвы.

Как устроен макет? Как мы его разрабатываем? Все подробности уже под катом!

Хабр, привет! Я Александр Леонов, ведущий эксперт PT Expert Security Center. Спешу с очередной порцией трендовых уязвимостей месяца. Это те недостатки безопасности софта, которые либо уже эксплуатируются, либо будут в ближайшее время.

На этот раз в наш дайджест попали уязвимости в продуктах Microsoft, системе FortiManager, сетевых устройствах Palo Alto Networks, ОС Ubuntu Server и межсетевых устройствах Zyxel.

Многие из вас слышали про APT (advanced persistent threat) — тщательно спланированные кибератаки, как правило, нацеленные на определенную компанию или отрасль. Логично предположить, что за ними стоят хорошо организованные группировки с солидными бюджетами и высокотехнологичными инструментами. Тактики и техники APT-группировок описаны в матрице MITRE ATT&CK. Исследователи и специалисты по кибербезопасности постоянно пополняют ее новыми данными, а также используют знания из нее при разработке средств защиты информации.

Так делают и наши эксперты. В этой статье мы хотим показать, как данные из MITRE ATT&CK помогают MaxPatrol EDR защищать компании от продвинутых угроз. Для этого мы проанализировали реальные атаки четырех известных APT-группировок и теперь расскажем, как MaxPatrol EDR сможет их остановить. Детальный разбор ждет вас под катом 👇

Размеры медиа-файлов кардинально растут, а вместе с ними растут и требования к скорости носителей. Копировать сотни гигабайт RAW-изображений с обычной, даже высокоскоростной SD-карты стандарта UHS-II стало слишком долго. И вот жалобы фотографов на то, что кофе успевает остыть, пока все данные будут скопированы с карты, дошли до председателей SD Association и CompactFlash Association, и те приняли решительные меры: выпустили стандарт SD Express (и CFexpress).

Наша команда (Positive Labs) занимается исследованием безопасности программно-аппаратных систем и системного ПО. Поэтому мы внимательно наблюдали за развитием событий еще с 2018 года — с момента публикации стандарта, который обещал огромный прирост скорости за счет подключения карты к шине PCIe. Но мы следили не только за бенчмарками скорости, хотя она, конечно, внушительная. Наличие PCIe потенциально опасно из-за возможности доступа к памяти устройства, а это очень интересный вектор атак.Вот только до недавнего времени производители контроллеров и пользовательских устройств не спешили с поддержкой стандарта SD Express. Мы уже даже было обрадовались, что они научились на своих ошибках, и теперь не хотят давать внешним устройствам доступ к памяти (спойлер: нет). А пока расскажем, почему уделяем столько внимания почтенной шине PCI.

Всем привет! Меня зовут Евгений Иляхин, я работаю архитектором процессов безопасной разработки в Positive Technologies, вместе с командой консалтинга в области безопасной разработки мы специализируемся на внедрении AppSec в различных компаниях и всячески продвигаем этот подход в массы.

В отрасли ИБ существует множество методологий, фреймворков, моделей безопасной разработки, которые помогают встроить AppSec в цикл создания ПО: BSIMM, OWASP SAMM, BSA SSF, Microsoft SDL и другие. Каждый из них имеет свои особенности, преимущества и, скажем так, способ использования и адаптации к собственным процессам. В ходе нашей работы мы познакомились со многими из них и пришли к выводу, что российским разработчикам нужен собственный инструмент. Зачем? Что из этого получилось? Расскажу в этой статье.

Одной из важных и сложных задач, решаемых центром кибербезопасности (Security Operations Center, SOC), является оценка последствий киберинцидентов (уже наступивших или тех, которые вот-вот наступят). Это позволяет присваивать инциденту приоритет и реагировать в соответствии с ним. Но куда труднее сказать, какова вероятность успешной атаки в будущем. В этой статье мы поговорим о том, как измерить этот риск с помощью метрик, какие данные нам для этого понадобятся и где их взять. А для наглядности отправимся в фэнтезийный мир Дж. Р. Р. Толкина и убедимся, что наш метод поможет и там.

C начала осени 2024 года мы в отделе исследования киберугроз активно наблюдаем за одной любопытной группировкой. Она атаковала государственные структуры в России, а ее основными целями были шпионаж и закрепление в системе для развития последующих атак. Связей с уже известными группировками мы установить не смогли, поэтому решили назвать ее TaxOff из-за использования писем на правовые и финансовые темы в качестве приманок.

В статье рассказываем про фишинг, работу бэкдора Trinper и почему он так называется.

В 2022 году произошел всплеск атак на российские организации, резко ухудшившаяся геополитическая ситуация повлияла на ландшафт киберугроз всей страны. В прошлом году число таких атак несколько снизилось, но уже за первые три квартала 2024 года количество успешных атак практически сравнялось с показателями за весь 2022 год. Российские организации атакуются десятками кибершпионских, хактивистских и финансово мотивированных группировок.

Российские организации все чаще сталкиваются с высококвалифицированными целевыми атаками. Киберпреступность — один из главных факторов в современных геополитических конфликтах. Злоумышленники рассылают фишинговые письма с вредоносными вложениями, маскирующимися под различные документы — приказы, резюме, методические указания, даже под официальные документы регуляторов.

Как еще и почему изменился ландшафт угроз? И что можно предпринять, чтобы защититься от такого числа опасностей?

Всем привет! На связи Александр Грачев, заместитель директора сервисного центра компании Positive Technologies.

Мы в компании долгое время жили с пониманием, что, если что-то принято, значит, так правильно. Мы использовали классический подход, в котором обязательно должна быть первая линия саппорта — решение типовых вопросов и работа по скрипту. Но в определенный момент мы столкнулись с тем, что вреда от этого больше, чем пользы. Удивительно, но факт. Почему — делюсь мнением в статье.

Страны Ближнего Востока вслед за экономическим ростом переживают период цифровой трансформации. Сосредоточение большого количества финансов и расширение ИТ-инфраструктуры привлекают не только инвестиции, но и хакеров. Некоторые из них включаются в противостояние государств в регионе, другие ищут материальную выгоду — так или иначе киберпреступники представляют серьезную угрозу. Каковы цели злоумышленников, какие методы они используют и как страны Ближнего Востока пытаются сдерживать нарастающий поток атак — рассказываем в этой статье.

Недавно в гостях у канала AUTHORITY побывал руководитель отдела перспективных технологий компании Positive Technologies Николай Анисеня.

Поговорили с экспертом о безопасности мобильных устройств, о последних тенденциях и угрозах в области мобильной безопасности. Кроме того, Николай поделился советами для начинающих специалистов.

В начале сентября 2024 года мы обнаружили подозрительный образ виртуального диска форматаVHDX — крайне редкое событие при просмотре потока данных. Анализ VHDX и всех связанных файлов позволил атрибутировать эту атаку группировке APT-C-60. Одну из последних похожих кампаний в июле 2023 года описали в своей статье эксперты компании ThreatBook. Однако при сравнении удалось выделить различия как в файловой иерархии на диске, так и в используемых командах и инструментах.

В этой статье мы опишем технику атаки через виртуальный диск, расскажем, почему мы считаем, что данная атака принадлежит именно группировке APT-C-60 и как эти злоумышленники связаны с хакерами из DarkHotel и других групп.

Хабр, привет! Я Александр Леонов, ведущий эксперт лаборатории PT Expert Security Center. Мы с командой аналитиков Positive Technologies каждый месяц исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.

В этом посте мы также рассмотрим кейсы с социальной инженерией и особенностями функционирования процесса управления уязвимостями. 

Начнем с трендовых уязвимостей. В октябре их было четыре.

Привет! На связи руководитель экспертизы MaxPatrol SIEM Кирилл Кирьянов и старший специалист группы обнаружения APT-атак Сергей Щербаков. В одной из прошлых статей нашего цикла мы говорили про нормализацию и обогащение как первые шаги в работе с любым событием в SIEM-системе. Сегодня зайдем чуть дальше и рассмотрим следующий этап жизненного пути инцидента — работу правил корреляции.

Разберемся, что такое экспертиза, какие у нее бывают источники, как появляются новые правила корреляции и как их проверяют перед развертыванием. Подробнее взглянем на все этапы создания контента, поговорим о его обновлении и интеграции с другими продуктами киберзащиты.