Затраты APT-групп на инструменты окупаются после первой атаки

Олег Иванов 21 Мая 2019 - 10:34

Домашние пользователи

Корпорации

Positive Technologies

Фишинг

Целевые атаки

...

Затраты APT-групп на инструменты окупаются после первой атаки

Алексей Новиков, занимающий пост директора центра безопасности Positive Technologies (PT Expert Security Center), рассказал о результатах исследования, в ходе которого были проанализированы инструменты 29 APT-группировок. Отчет охватывает кибергруппы, действующие в различных странах мира и представляющие угрозу для ключевых отраслей (госсектора, финансовых организаций и промышленности).

Соответствующей информацией Новиков поделился на пресс-конференции в рамках форума Positive Hack Days 9. Аналитики Positive Technologies считают, что основным методом проникновения в сети компании является фишинг — его используют 90% APT-групп.

Также исследователи отметили, что злоумышленники, проникнув в сеть корпорации, используют легитимные инструменты для администрирования или коммерческие инструменты, предназначенные для тестов.

Стоимость таких коммерческих инструментов, как выяснили специалисты Positive Technologies, варьируется от 8 до 40 тысяч долларов США. А общая стоимость инструментов, помогающих создать вредоносные вложения (без учета стоимости эксплойтов для 0-day) находится в районе 2 тысяч долларов.

Взяв за основу эти суммы, а также учтя стоимость готовой вредоносной программы для банкоматов — около $5 000 — эксперты Positive Technologies попытались вычислить стартовую цену набора инструментов группировки Silence.

Silence — довольно известная в среде кибербезопасников группировка, использующая в своих атаках программы из набора Sysinternals Suite, а также ряд уникальных самописных инструментов (например, фреймворк Silence). Основная мотивация этой кибергруппировки — финансовая выгода.

В Positive Technologies пришли к выводу, что Silence требуется около $55 000 для организации атак. А средний ущерб от одной успешной атаки, как подчеркнули эксперты, составляет около $288 000.

Таким образом, киберпреступники полностью компенсируют свои затраты уже после первого удачного проникновения в сети какой-либо организации.

Следующая главная новость »

Безопасная разработка 2026: как убрать уязвимости ещё до релиза?
Регистрируйтесь на эфир!

Екатерина Быстрова 23 Июня 2026 - 08:45

Трояны Домашние пользователи Лаборатория Касперского

В WhatsApp рассылают VBS-файлы для удаленного доступа к ПК жертвы

Киберпреступники развернули новую международную кампанию через WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России), используя взломанные аккаунты пользователей для распространения вредоносных файлов. Под удар попали пользователи в Бразилии, Индии, Мексике, Великобритании, Испании, России и ряде других стран.

Об атаке сообщили специалисты «Лаборатории Касперского». Жертва получает сообщение от знакомого контакта в WhatsApp.

Внутри лежит файл с названием вроде финансового отчёта, счёта, платёжного документа или уведомления по аккаунту. Названия адаптированы под разные языки и регионы, что говорит о глобальном масштабе кампании.

Но вместо документа пользователя ждёт вредоносный VBS-файл. Как выяснили исследователи, злоумышленники получают доступ к учётным записям WhatsApp и рассылают заражённые вложения по списку контактов. Каким именно способом компрометируются аккаунты, пока неизвестно.

После запуска файла на компьютере под управлением Windows начинается цепочка заражения. Скрипт скачивает дополнительные компоненты, отключает часть защитных механизмов системы и загружает архив с программой ManageEngine Endpoint Central.

Сама по себе ManageEngine Endpoint Central является легитимным корпоративным инструментом удалённого администрирования, который используют ИТ-специалисты для управления рабочими станциями. Однако в данном случае программа устанавливается скрытно и подключается к серверам злоумышленников.

В результате атакующие получают удалённый доступ к компьютеру жертвы практически на правах администратора.

Отдельную опасность представляет версия WhatsApp Desktop. Если в WhatsApp Web вредоносный файл сначала необходимо скачать, то в настольном клиенте Windows такой VBS-файл может запускаться напрямую через Windows Script Host.

Исследователи пока не связывают атаку с конкретной группировкой. Однако в инфраструктуре кампании были обнаружены следы использования китайского языка и пересечения с активностью известных зловредов ValleyRAT и Gh0st RAT.

Эксперты советуют не доверять вложениям даже от знакомых контактов. Если кто-то неожиданно прислал файл с финансовым отчётом или счётом, лучше уточнить его происхождение через звонок или другое средство связи. А любые загруженные файлы перед открытием стоит проверять антивирусом.

Безопасная разработка 2026: как убрать уязвимости ещё до релиза?
Регистрируйтесь на эфир!