Атаки через легитимные приложения

13 апреля 2020 г., 16:15

Большинство людей под кибер-угрозами подразумевают вредоносное программное обеспечение. Попадая в сеть компании вредоносы могут причинить серьезный ущерб. Как, например, шифровальщики, которые уже несколько лет сеют хаос по всему миру.

Впрочем, довольно часто кибер-угрозы исходят из самой организации. По некоторым оценкам, в Европе средний ущерб от инсайдера превышает 10 млн. евро. В прошлом году количество инцидентов, когда сотрудник намеренно или случайно ставил под угрозу информационную безопасность своего предприятия, выросло на 47%.

Но и это не единственный повод для беспокойства. Незаконное использование приложений во вредоносных целях является одной из наиболее распространенных тенденций в области кибер-преступлений. Например, в 2018 г. количество безфайловых атак выросло на 94%, и они происходили в три раза чаще, чем атаки шифровальщиков. Подобные атаки используют приложения, которые уже существуют в операционных системах, такие как Microsoft Office, WMI или Adobe, чтобы украсть данные или повредить систему жертвы.

Хотя природа таких атак различна, все они специально разработаны таким образом, чтобы ничего не записывать на жесткий диск скомпрометированного компьютера. Вместо этого весь процесс выполняется из оперативной памяти компьютера. Отсутствие вредоносных или потенциально опасных файлов на жестком диске означает, что традиционные системы защиты не могут обнаружить такую угрозу.

У всех подобных инцидентов есть одна общая черта: их очень трудно обнаружить посредством сигнатурного анализа. Более того, использование легитимных процессов и приложений делает практически невозможным обнаружение аномального поведения.

Кроме того, бесфайловые атаки часто имеют общие векторы проникновения на компьютер. Среди наиболее распространенных – приложения для удаленного доступа, средства администрирования и внутренние компоненты операционной системы.

Одним из способов борьбы с подобного рода атаками является прекращение использования тех инструментов, которые кибер-преступники обычно применяют в своих атаках (например, PowerShell), в результате чего можно закрыть потенциальные векторы проникновения и точки входа. Кроме того, очень важно знать, что в любой момент времени происходит на каждом компьютере компании. Для этого существуют решения, отслеживающие активность ИТ-системы.

Бесфайловые атаки – это постоянная опасность для компаний, и у кибер-преступников имеется много способов использования легитимных приложений в системе жертвы. Узнать больше об этой тактике кибер-преступников можно в белой книге Panda Security.

Атаки через легитимные приложения