Легитимные инструменты удаленного управления задействованы в трети кибератак

В почти трети кибератак (30%) в 2019 г. были задействованы легитимные инструменты удаленного управления и администрирования, по данным «Лаборатории Касперского». Это позволяет злоумышленникам долго скрывать следы своей деятельности. Так, в среднем атака, проводимая с целью кибершпионажа и кражи конфиденциальных данных, длилась 122 дня.

Самый распространенный инструмент – PowerShell (применялся в каждой четвертой атаке). Этот мощный инструмент администрирования может быть использован с разными целями: от сбора данных до управления вредоносным ПО. В 22% атак использовалась утилита PsExec, предназначенная для запуска программ на удаленных компьютерах. Замыкает топ-3 инструмент SoftPerfect Network Scanner, предназначенный для сканирования сетей. Он использовался в 14% атак.

Применение злоумышленниками легитимных инструментов усложняет процесс обнаружения их деятельности, ведь с помощью подобного ПО могут выполняться и рядовые задачи, и несанкционированные действия. Однако иногда характер активности определяется достаточно быстро, например, в случае атак программ-вымогателей, когда для шифрования используются легальные утилиты, но ущерб виден невооруженным взглядом.

Полностью отказаться от подобных программ невозможно по многим причинам, однако, если применять необходимые политики безопасности и системы мониторинга, то подозрительную активность в сети и сложные атаки можно обнаруживать на ранних стадиях. Чтобы своевременно детектировать атаки с использование легитимных инструментов и реагировать на них, помимо прочих мер, организациям следует запланировать внедрение EDR-решения с MDR-сервисом.

Также чтобы минимизировать вероятность использования легитимных инструментов для совершения кибератак, специалисты рекомендуют: ограничить доступ к инструментам удаленного управления с внешних IP-адресов и убедиться в том, что доступ к интерфейсам удаленного контроля может быть осуществлен с ограниченного количества конечных устройств; ввести строгую политику паролей для всех ИТ-систем и мультифакторную аутентификацию; предоставлять учетные записи с высокими привилегиями только тем пользователям, которым они действительно нужны для выполнения рабочих задач.