Салют, Хабр! На связи вновь команда киберразведки экспертного центра безопасности Positive Technologies и мы с новым расследованием, которое... как любое, наверно, детективное дело имеет свои предпосылки и всевозможные зацепки. Речь пойдет о группировке PhantomCore и ее темном прошлом, тайны которого мы извлекли на свет...

Начиная с 2009–2010 годов в мире идет стремительное развитие интернета вещей (internet of things, IoT). Устройства IoT собирают данные и передают их для обработки и анализа в централизованные облачные системы. Однако по мере роста числа таких устройств стали появляться серьезные проблемы.

Во-первых, при большом количестве устройств, каждое из которых генерирует значительный объем данных — например, камер видеонаблюдения с постоянной записью в 4K, — возникает проблема ограниченной пропускной способности. Возникает необходимость в выделенном широкополосном канале. Во-вторых, передача данных от устройства к «облаку» сопровождается временными задержками, которые могут быть критически опасными для приложений в некоторых сферах. Кроме того, в некоторых условиях, например в сельской местности, интернет-соединение может быть медленным или нестабильным, что увеличивает время отклика. В-третьих, отправка данных в «облако» сопряжена с вопросами обеспечения конфиденциальности.

Хабр, привет! На связи Александр Леонов, ведущий эксперт PT Expert Security Center и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies каждый месяц исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.

С прошлого дайджеста мы добавили в наш список еще 2 трендовые уязвимости в продуктах Microsoft.

Салют, Хабр! Меня зовут Всеволод, и я занимаюсь анализом защищенности веб-приложений в Positive Technologies.

С API веб-приложений я успел познакомиться со всех сторон: как разработчик, инженер в AppSec и пентестер. В большой корпорации мне пришлось столкнуться с колоссальными объемами API. Я быстро осознал, что в таких количествах их просто невозможно проверить вручную, и начал искать способы автоматизации. В результате уже больше двух лет я занимаюсь динамическим тестированием (DAST), в частности фаззингом.

В этой статье я расскажу, почему считаю DAST не менее важным, чем статический анализ кода (SAST), как новичку начать фаззить, а опытному специалисту научиться находить еще больше уязвимостей.

Многообразие решений на базе искусственного интеллекта быстро растет — на смену простым чат-ботам и ассистентам приходят автономные ИИ-агенты, способные самостоятельно планировать и выполнять сложные задачи. Согласно последним исследованиям, включая Artificial Intelligence Index Report 2025, уже 78% компаний активно используют ИИ-решения, а эксперты IEEE прогнозируют, что к 2030 году эта технология станет ключевым драйвером цифровой экономики. Стремительный рост наблюдается и в России, где рынок ИИ, по оценкам Statista, к 2031 году может превысить 20 млрд долларов при ежегодном росте на 26%. 

Киберугрозы продолжают эволюционировать, а мы в Positive Technologies продолжаем их анализировать и отбирать трендовые уязвимости. Это уязвимости, которые активно используются в атаках или с высокой степенью вероятности будут использоваться в ближайшее время. Пришло время посмотреть с какими результатами мы подошли к первой половине 2025 года.

Итак, за весь 2024 год мы отнесли к трендовым 74 уязвимости. А с начала 2025 года до 30 июня отнесли к трендовым 37 уязвимостей. Отсюда можно сделать предположения, что в этом году к трендовым будет отнесено примерно столько же уязвимостей, что и в прошлом году.

Что же это были за уязвимости?

О средствах защиты от фишинга у нас в отрасли писали и говорили уже не раз, но, как показывает наш опыт, эта тема остается на волне популярности. Злоумышленники все чаще в атаках делают ставку на человеческий фактор, а люди далеко не всегда могут распознать фишинговые письма. Мы обучаем их, но плохие парни уже распробовали искусственный интеллект: в комплексе с OSINT контент получается впечатляюще персонализированным. Чтобы письма попадали в яблочко, киберпреступники ищут разные способы обхода мер защиты, используемых в организациях, — и это главный вызов 2025 года. Наша задача — закрыть все обходные пути.

Я Фёдор Гришаев, в Positive Technologies занимаюсь исследованием киберугроз. Подготовил для вас обзор технических средств, которые помогут отразить современные фишинговые атаки — или снизить риски, если злоумышленники уже проникли в компанию. Разобрал принципы работы технологий и сценарии их применения. Как несложно догадаться, в статье акцент сделан на почтовом трафике. При подготовке обзора я опирался на тренды фишинговых атак и свой опыт, чтобы сделать действительно актуальную подборку.

Всем привет! Долгое время считалось, что виртуальные продукты не способны сравниться по производительности с аппаратными аналогами. Особенно остро эта проблема проявляется в сегменте NGFW, где высокий трафик и глубокий анализ требуют значительных ресурсов. Но так ли это на самом деле? Действительно ли виртуальный межсетевой экран не способен обеспечить производительность в 5 Гбит/с и более, необходимую для современных корпоративных сетей и высоконагруженных систем?

Данная статья призвана ответить на этот вопрос. На примере PT NGFW мы не только продемонстрируем потенциал виртуальных межсетевых экранов, но и дадим практические рекомендации по настройке виртуальной инфраструктуры, а также подсветим важные нюансы, которые стоит учесть при использовании NGFW в виртуальной среде.

Хабр, привет! На связи Александр Леонов из Экспертного центра безопасности Positive Technologies (PT Expert Security Center), дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies каждый месяц исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.

С прошлого дайджеста мы добавили 3 трендовые уязвимости.

Представьте себе, что вам надо собрать автомобиль. Когда вы решаете построить машину с нуля, вам нужно подобрать множество компонентов. Вы ищете лучший двигатель, самые надежные шины, удобные кресла и качественные материалы для салона. Но даже идеальные детали — это только половина дела.

Главная сложность — собрать все компоненты в работоспособную систему. Без грамотной интеграции можно получить либо сразу Формулу-1, либо кучу дорогущего хлама весом в пару тонн. А иногда возникают неожиданные проблемы — например, когда прекрасное кресло гоночного болида просто не помещается в салон.

Точно такие же вызовы стоят перед нами при развитии софта для автоматического обнаружения атак. Мы должны не просто выбрать лучшие технологии, но и обеспечить их слаженную работу. Под катом вы узнаете все подробности.

Мы живём в мире, где очень многое можно автоматизировать: так, разработчики пишут чистый код и разворачивают его нажатием одной кнопки, а следить за метриками можно в real-time. Казалось бы, идеально… Тем не менее иногда проекты рушатся, продукты буксуют, но никто не понимает почему… Или почти никто.

Меня зовут Сергей Синяков, я руковожу продуктом PT Application Inspector. За 15 лет опыта, от стартапов до финтеха, я усвоил главное — часто проблемы возникают не из-за технологий, а из-за человеческого фактора. Именно поэтому чуть ли не основные инструменты менеджера в ИТ — это разговоры, эмпатия и поддержка, а не только технические навыки и трекеры задач. Просто раздавая таски, вы ничем не управляете. 

Чтобы наглядно убедиться, что софт-скилы для лидера — это база, а не дополнение, предлагаю погрузиться в мини-историю на основе реальных событий под названием «Soft Skills: Manager Mode». Вас ждут пять кейсов из моей практики, настоящих, жёстких, иногда неловких, в которых главный персонаж, вооружившись эмпатией и супергеройским замыслом, борется не против людей, но против проблем. 

* В статье фигурирует персонаж по имени Вася. Мы заранее приносим извинения всем Васям, Василисам и Василиям. Мы их любим и ни в коем случае не хотим как-то обидеть. В статье мы не имеем в виду какого-то конкретного Васю. Все Васи прекрасны. Это красивое царское (!) имя носили великие люди – Суриков, Кандинский, Тропинин, Жуковский, Поленов и много других достойных представителей общества.

Машинное обучение сейчас повсюду: автогенерация кода, умные помощники, анализ аномалий. Разработчики активно внедряют ML, радуясь новым возможностям — но злоумышленники тоже не дремлют. Они учатся обманывать и «отравлять» модели, превращая умные системы из помощников в уязвимое звено. Поговорим, как ML упрощает жизнь разработчиков и почему даже самая продвинутая нейросеть может превратиться в «дуршлаг».

Меня зовут Павел Попов, я руководитель группы инфраструктурной безопасности в Positive Technologies. Расскажу, как сами применяем ИИ и каких результатов нам удалось достичь с внедрением ML-моделей в MaxPatrol VM. А также попробуем ответить на вопрос, заменит ли ИИ разработчиков и есть ли вероятность, что мы все останемся без работы. Если вам тоже интересно, как технологии меняют ИБ-ландшафт и какие решения уже работают сегодня — добро пожаловать.

Всем привет! Продолжаем погружение в ИТ-инфраструктуру глазами хакера. В предыдущей статье мы рассказали про процесс создания графа моделирования киберугроз – цифровой модели инфраструктуры, которая учитывает потенциальные действия злоумышленников, и про алгоритмы, которые рассчитывают возможные маршруты перемещения атакующих внутри системы. 

Следующий шаг – это оценка опасности найденных маршрутов. В этом случае, метрика времени атаки – это один из ключевых параметров анализа. Чем меньше времени потенциально требуется для реализации атаки, тем больше вероятность, что средства защиты и ИБ-специалисты не смогут вовремя обнаружить злоумышленника и остановить взлом. Что же нам даёт метрика времени?

Из-за экономических санкций и удаления приложений из App Store и Google Play российские организации были вынуждены отойти от привычных всем репозиториев, предоставив злоумышленникам больше возможностей для обмана пользователей: загрузка и обновление приложений по внешним ссылкам даже для банковских клиентов стали привычными. Более того, пользователи ищут более удобную альтернативу известным приложениям

Вдобавок ко всему люди стали активно использовать биометрическую аутентификацию как на устройствах, так и в мобильных приложениях. Биометрическая аутентификация не только облегчила жизнь пользователям, но и породила проблемы, связанные с безопасностью персональных данных и мобильных устройств в целом.

Эти угрозы требуют от специалистов по безопасности постоянного анализа и разработки контрмер. Для этого необходимо знать, какие инструменты и методы используют злоумышленники. Арсенал атакующих в общем случае выглядит так: вредоносное ПО, фишинговые письма и эксплойты.

Хабр, привет! На связи Александр Леонов, ведущий эксперт PT Expert Security Center и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies каждый месяц исследуем информацию об уязвимостях из баз и бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, баз эксплойтов, публичных репозиториев кода и выявляем во всем этом многообразии сведений трендовые уязвимости. Это те уязвимости, которые либо уже эксплуатируются вживую, либо будут эксплуатироваться в ближайшее время.

С прошлого дайджеста мы добавили еще 7 трендовых уязвимостей.

Каждый год мы проводим масштабные международные соревнования по кибербезопасности Standoff, которые собирают сильнейших специалистов blue team и red team. Очередная кибербитва Standoff 15 проходила на киберфестивале Positive Hack Days 21–24 мая. Формат соревнований предполагает столкновение команд защитников и атакующих в рамках максимально реалистичной инфраструктуры, которая имитирует компании из различных отраслей.

В ходе соревнования защитники используют средства защиты информации (СЗИ) не только для обнаружения и расследования, но и для реагирования и отражения атак. В числе средств защиты была и PT Sandbox — продвинутая песочница для защиты от неизвестного вредоносного программного обеспечения (ВПО), использующая почти все современные методы обнаружения вредоносов. На Standoff песочница подсвечивает почтовые угрозы и помогает остальным средствам защиты понять, является ли тот или иной файл, найденный в сети или на конечных точках, вредоносным.

Кибербитва — это важное испытание для экспертизы PT Sandbox, своего рода ежегодный экзамен. На Standoff мы проверяем способность песочницы обнаруживать техники злоумышленников и корректируем ее экспертизу. А в этой статье мы решили поделиться с вами тем, что же наловила песочница и какие инструменты наиболее популярны у красных команд. Это интересно, потому что атакующие в ходе соревнований ограничены по времени, у них нет возможности месяцами готовить атаку на инфраструктуру, а значит, в соревновании точно будут задействованы самые надежные, ходовые инструменты и методы, доступные и реальным злоумышленникам.

В мае 2024 года специалисты команды Incident Response экспертного центра безопасности Positive Technologies (PT Expert Security Center) обнаружили атаку с использованием неизвестного кейлоггера, внедренного в главную страницу зараженного Exchange Server. В текущем году специалисты команды киберразведки при участии команды анализа уязвимостей экспертного центра фиксировали те же атаки без модификации исходного кода кейлоггера. Дальнейшее изучение Javascript‑кода главной страницы Outlook и ее сравнение с исходным кодом скомпрометированных страниц позволило выявить ряд аномалий, не свойственных стандартной реализации Exchange Server. Благодаря этому удалось обнаружить другие образцы вредоносного кода.

В начале 2025 года специалисты группы киберразведки TI-департамента экспертного центра безопасности Positive Technologies обнаружили вредоносное письмо, в котором предлагалось скачать файл с подозрительного сайта. Выявленная цепочка атаки приводит к установке вредоносного расширения для браузера Google Chrome, нацеленного на пользователей из Бразилии. 

В процессе исследования были обнаружены файлы, находящиеся в открытой директории злоумышленников, что позволило определить еще одну вариацию атаки с использованием Mesh Agent или PDQ Connect Agent вместо вредоносного расширения браузера. Там же располагались вспомогательные скрипты, содержащие в себе ссылки, в параметрах которых фигурировал идентификатор EnigmaCyberSecurity, — в честь него и была названа кампания.

В январе текущего года группа киберразведки экспертного центра безопасности Positive Technologies разоблачила ранее неизвестную финансово мотивированную APT-группировку DarkGaboon, кибератаки которой в отношении российских компаний удалось отследить до весны 2023 года. Изучению подверглись эволюция вредоносного арсенала, миграция инфраструктуры и TTP группировки, но для полного восстановления kill chain не хватало инструментов и техник конечного импакта.

Однако уже весной этого года сбылись прогнозы PT ESC о сохранении активности и наступательности со стороны DarkGaboon, а недостающие элементы пазла были обнаружены департаментом комплексного реагирования на киберугрозы в ходе расследования инцидентов в инфраструктуре российских компаний. Ими оказались сетевой сканер обнаружения доступных сетевых шар N.S. и шифровальщик LockBit.

В 2024 году компании по всему миру потеряли сотни миллионов долларов из-за кибератак, использующих давно известные уязвимости, — и почти все эти атаки можно было предотвратить. По нашим данным, за последние два года 32% успешных атак начались с эксплуатации уязвимостей, для которых уже существовали патчи. Среднее время появления рабочих эксплойтов сократилось вдвое — до 32 дней! — а во многих случаях эксплойт создают за пару суток. При этом 70% найденных уязвимостей были высокого и критического уровня опасности: они представляют наибольший интерес для злоумышленников. Рассказываем, как выстроить эффективную защиту от базовых и продвинутых угроз — без конфликтов между отделами и с минимальными затратами ресурсов.