Антивирусная защита *

Привет, Хабр! Меня зовут Максим Галаганов, я ведущий разработчик систем доставки почты в Mail. Занимаюсь в основном почтовым сервером, но сегодня расскажу о другой задаче — как мы меняли вендора антивирусного решения. API нового решения кардинально отличался от старого, и пришлось изрядно поизобретать, чтобы всё заработало.

Расскажу о миграции по порядку: с чего начинали, какие проблемы возникли в процессе, как их решали. Поделюсь опытом эксплуатации — на что смотрим в проде. И в конце — выводы и рекомендации для тех, кому предстоит подобная задача.

Здравствуйте, уважаемые читатели!

Ох, не подумал бы, что буду устанавливать операционную систему Windows 95 в 2025 году, спустя 30 лет с момента её выхода. Но наступило время чудовищных экспериментов, разящих «железку» наповал! Сегодня мы будем мутировать в учебных целях. В качестве мутанта выступит вирус CIH.1003, навеки прожжённый на компакт-диске с игрой — и не вылечить его оттуда, ну вот никак. Мы наглядно увидим запуск заражённой игры, момент заражения, «окирпичивание» материнской платы, последствия и процедуру «лечения».

Данный эксперимент проводится исключительно в познавательных целях — на своём железе, на своём софте, в изолированной от сети среде — и преследует цель показать, как мы выживали в пререлизной заражённой среде «Half-Life: Day One».

Фишинг переживает второе рождение. Если раньше это была «кустарный спам без разбора» с надеждой на удачу, то сегодня — это высокоавтоматизированная индустрия с ROI, которому позавидуют многие компании. Цель та же: получить данные, но методы эволюционировали от примитивного социального инжиниринга до сложных психо-технических операций с применением ИИ.Фишинг — это рыбалка, только в роли рыбака мошенник, а в роли рыбки — пользователь.

Давайте пройдемся по ключевым этапам этой эволюции и посмотрим, где мы находимся сейчас.

Представьте, что вы остановили атаку шифровальщика, залатали уязвимость и восстановили системы из бэкапа. Через неделю в той же сети всплывает майнер. Еще через месяц документы утекают в открытый доступ. Следы каждый раз ведут к одной и той же уязвимости. Что происходит: резвится один упорный хакер или ваша сеть превратилась в «коммуналку» для злоумышленников?

С каждым годом становится всё труднее ответить на этот вопрос. Атрибуция кибератак превратилась в гадание на кофейной гуще. Атакующие используют одни и те же open-source-инструменты, а хорошая телеметрия блокирует атаки так быстро, что после инцидента остается слишком мало данных для полноценного расследования.

Чтобы разобраться в ситуации, мы позвали Семена Рогачёва, руководителя отдела реагирования на инциденты Бастиона. Он уже выступал с докладом на эту тему. 

Рассмотрим три реальных кейса: от простого подсчета атакующих до полной неопределенности с двумя группировками на одном сервере. Сразу предупреждаем: простых ответов не будет. 

Как я построил полностью изолированную пентест-лабораторию и почему ИИ нельзя доверять

Уже месяц я изучаю создание пентест-инструментов (назовем это так, чтобы с модерацией проблем не было :-)) по книге "Black Hat Go", и до недавних пор я тестировал малварь на своём хосте, ибо в них нет ничего опасного, это простейшие утилиты по типу TCP-сканера.

Значит, нужно построить свою виртуальную и изолированную лабу. В них должно быть минимум 3 машины: Windows 11 в роли жертвы, Ubuntu server lts в роли C2 сервака, и, конечно, классический Metasploitable2 опять же в роли жертвы.

Сегодня Windows уже не та, что в нулевых: у большинства пользователей на компьютере по умолчанию есть вполне вменяемый защитник — Microsoft Defender. При этом рынок платных антивирусов живёт и чувствует себя неплохо, а ESET, Kaspersky, Bitdefender и другие продолжают собирать награды в независимых тестах. Возникает практичный вопрос: айтишнику и просто продвинутому пользователю в 2025-м действительно нужен отдельный антивирус или достаточно встроенного Defender?

Массовые атаки – это конвейерные кампании, которые бьют по тысячам компаний одним махом. По нашим оценкам, за первые три квартала 2025 года каждая пятая успешная атака на организации была массовой, а одна кампания могла затрагивать от десятков до нескольких тысяч жертв. Для атакующих это идеальный бизнес: один сценарий, одна инфраструктура – и огромный охват, тогда как для компаний это лавина инцидентов, утечек и простоев, с которой уже не справиться силами «классического антивируса» и перегруженной SOC-команды.

Поддельные CAPTCHA, сгенерированный ИИ вредонос, отказ в обслуживании Citrix и прочие неприятные сюрпризы от хакеров.

Подготовили для вас подборку самых нашумевших массовых кибератак за первые три месяца.

В октябре 2025 года мы, группа киберразведки департамента Threat Intelligence, зафиксировала продолжающуюся фишинговую активность хакерской группировки, которую мы назвали NetMedved. Обоснование выбора данного наименования будет рассмотрено в заключительной части статьи. Атаки хакеров ориентированы на российские организации; в качестве конечной полезной нагрузки используется вредоносная версия легитимного инструмента удалённого администрирования NetSupport Manager (далее — NetSupportRAT). В этой статье расскажем о специфике кампании и связи с нашими предыдущими находками.

Команда комплексного реагирования на киберугрозы экспертного центра Positive Technologies завершила анализ инцидентов за период с IV квартала 2024 года по III квартал 2025 года. За это время мы провели более сотни расследований и в очередной раз убедились: киберугрозы не становятся сложнее, но становятся результативнее. Хакеры нечасто придумывают что-то принципиально новое — они совершенствуют уже проверенные методы и реализовывают их эффективнее .

Наша статья для тех, кто ответствен за информационную безопасность: от CTO и CISO до администраторов и аналитиков SOC. В ней собрана информация о том, как проникают хакеры, какие инструменты используют, и что из этого следует для защиты.

В мире кибербезопасности уже не первый год набирает популярность тактика «Living off the Land» (LOTL) — «живущие за счёт земли». Её суть заключается в том, чтобы максимально использовать легитимное программное обеспечение и встроенные функции операционной системы для достижения злонамеренных целей. Это позволяет злоумышленникам эффективно маскироваться на заражённой системе, ведь активность программ вроде curl.exe, AnyDesk.exe или установщика WinRAR редко вызывает подозрения у рядовых пользователей и даже у некоторых систем защиты.

Давайте детально разберём один из ярких примеров использования этой тактики, чтобы наглядно увидеть, как безобидные, на первый взгляд, программы могут быть превращены в мощное оружие для целевой атаки.

Бесплатный Wi-Fi в отеле без пароля - удобство или скрытая угроза для наших данных? В данной статье я, как специалист по информационной безопасности, разбираю, какие данные можно потерять, нарушает ли отель закон и как защитить себя в сети.

Когда компания только начинает проект по внедрению SIEM или подключению к SOC, разговор обычно крутится вокруг выбора вендора и сценариев корреляции. А вот о EPS (events per second) вспоминают редко. И зря: от этой метрики напрямую зависит эффективность обработки событий и, как следствие, надежность всей системы защиты.

EPS — это количество событий, поступающих в систему мониторинга каждую секунду. На практике с этим показателем всё неоднозначно: одни клиенты SOC рассчитывают его «на глаз», другие ждут, пока этим займется интегратор, а те, кто внедряет SIEM своими силами, часто просто делят общее число логов на количество систем — и в итоге получают цифры, мало похожие на реальность. Между тем, точный расчет EPS на старте способен сэкономить миллионы рублей и спасти от ситуации, когда система захлебывается от потока событий, а часть логов не доходит до SIEM.

В этом гайде мы разберем:

• почему компании полезно знать свой EPS;

• как этот показатель влияет на архитектуру SOC и стоимость лицензирования SIEM;

• как определить свой EPS без «угадывания на глаз» и ошибок в расчетах;

• и, наконец, что стоит спросить у провайдера SOC, прежде чем подписывать договор.

Как защитить свой VDS сервер: 53 000 попыток взлома за 5 дней

Представьте себе: вы арендовали скромный VDS, чтобы поэкспериментировать. Ничего грандиозного — пара тестовых сайтов, простенький веб-сервер на nginx, пара скриптов в cron для автоматизации рутины, SSH для удалённого доступа. Обычная песочница для разработчика, никому, казалось бы, не интересная. Сервер тихо живёт своей жизнью где-то в облаке, отдаёт странички, выполняет задачи, ждёт ваших команд. Вы даже не подозреваете, что за этой тишиной уже разворачивается настоящая цифровая охота.

За два года работы в технической поддержке облачного хостинга я видел множество взломов, помогал клиентам с восстановлением серверов. Видел всё: от примитивных майнеров до полностью стёртых проектов без бэкапов. Сейчас я работаю инженером технической поддержки в компании CleverData (входит в холдинг LANSOFT).

Однажды, ради чистого любопытства, я решил заглянуть в логи свежеиспечённого VDS, созданного всего пять дней назад...

Антивирус, EPP, EDR и XDR… Многие слышали эти термины, но далеко не все понимают, чем они различаются и почему одного только антивируса сегодня уже недостаточно. В этой статье эксперты из Positive Technologies — Паша Попов, лидер практики по управлению уязвимостями, Сергей Лебедев, руководитель департамента разработки средств защиты рабочих станций и серверов, и Кирилл Черкинский, руководитель практики защиты конечных устройств, — разбираются с помощью наглядных аналогий в средствах киберзащиты и их роли в управлении уязвимостями.

Информационная безопасность, Разработка ПО, VirusTotal, Гайд, Reverse Engineering

![Иллюстрация: разработчик в отчаянии смотрит на монитор с вердиктом VirusTotal "15/71", а вокруг него летают красные значки тревоги]

Привет, Хабр!

Вы — разработчик. Вы ночами не спали, пили литры кофе, писали чистый и элегантный код. И вот, ваше детище — полезная утилита, инди-игра или хитрый скрипт для автоматизации — готово. Вы с гордостью выкладываете его на сайт, делитесь с друзьями, и тут... в чат прилетает сообщение: «Эй, а твой экзешник — троян! VirusTotal ругается».

Знакомая боль? Если вы пишете под Windows, особенно на языках вроде AutoIt, Python (с PyInstaller), Go или используете коммерческие протекторы, то наверняка сталкивались с этой несправедливостью. Ваш абсолютно легитимный софт помечается красным флажком из-за эвристики, слишком "подозрительного" поведения или просто потому, что звёзды так сошлись.

Это называется ложное срабатывание, или False Positive (FP). И это не просто обидно. Это бьет по репутации, отпугивает пользователей и может похоронить ваш проект.

Сегодня мы разберем, что с этим делать. Как не просто смириться, а дать бой, доказать невиновность своей программы и помочь антивирусным вендорам стать немного умнее.

Привет, Хабр!

Представьте ситуацию: вам на почту падает «супер-важный» архив от контрагента. Или вы нашли в сети ту самую утилиту, которую искали полгода, но лежит она на каком-то noname-файлообменнике. Или друг в Telegram кидает ссылку с комментарием «зацени, умора». Сердце ёкает. А вдруг там?..

В такие моменты у большинства из нас в голове проносится одна мысль: надо бы проверить. И тут на сцену выходит герой нашей сегодняшней статьи — VirusTotal.

Многие о нем слышали, многие пользуются, но, как показывает практика, большинство использует лишь 10% его возможностей. Сегодня мы это исправим. Разберем, как выжать из этого бесплатного сервиса максимум, как правильно читать его вердикты и каких подводных камней стоит опасаться.

Слово «антивирус» сейчас для некоторых звучит как анахронизм, что-то из 90-х. Ну какой же, помилуйте, антивирус, когда тут иногда глубокоэшелонированная защита не спасает?!

На прошедшем в мае PHDays мы обсудили с ведущими вендорами и экспертами, как изменился рынок защиты конечных устройств и какие тренды сейчас определяют развитие антивирусных технологий.

Так вышло, что вести дискуссию доверили мне, Сергею Лебедеву, руководителю департамента разработки средств защиты рабочих станций и серверов Positive Technologies, и в этой статье я решил поделиться с вами основными выводами, которые для себя отметил.

Если вам интересно, жив ли пациент антивирус и как себя чувствует этот класс систем защиты информации — добро пожаловать под кат.

Многие люди публикуют свои проекты на github-подобных git-хостингах, для обеспечения общего доступа (это даёт множество преимуществ во многих случаях).

Часто, ввиду неопытности, при публикации, люди сливают чувствительные данные (в частности токены Telegram-ботов).

Вопрос масштабирования сервисов достаточно часто, и временами больно, встаёт ребром в самый неподходящий момент, ложа при этом за собой бизнес процессы, и вызывая нервный тик у администраторов.

В этой статье, на реальном примере из моего опыта инженерного обслуживания средств антивирусной защиты Kaspersky, мы с вами разберём шаги по недопущению таких трепещущих ситуаций.

За последний год ситуация с внедрением искусственного интеллекта в российских компаниях сильно изменилась. Если раньше использование ИИ в разработке ПО, включая code review и создание нового кода, носило точечный характер, то сегодня это стало массовым явлением. Однако широкое применение таких технологий создало целый список новых рисков. Прежде всего, это угрозы информационной безопасности и риски утечки данных. По мнению технического директора «Лаборатории Касперского» Антона Иванова, проблема заключается еще в том, что многие компании, в том числе российские, используют зарубежные облачные сервисы.