Kaspersky: какие кибератаки ждут промышленные предприятия в 2021 году

Kaspersky: какие кибератаки ждут промышленные предприятия в 2021 году

Эксперты Kaspersky ICS CERT представили своё видение того, какие вызовы уже стоят или вскоре будут стоять перед промышленными предприятиями и чего ожидать от киберпреступников в 2021 году.

Заражения будут становиться менее случайными или иметь неслучайные продолжения. У злоумышленников было несколько лет, чтобы провести профилирование случайно заражённых компьютеров, имеющих либо прямое отношение к технологическим сетям промышленных предприятий, либо периодический доступ к ним. Злоумышленники, занимающиеся массовыми заражениями, будут перепродавать (возможно, уже продают) доступ к таким компьютерам группировкам, сфокусированным на промышленных предприятиях.

Некоторые группировки уже несколько лет специализируются на атаках промышленных предприятий для прямой кражи денег. За эти годы они хорошо изучили особенности бизнес-процессов промышленных предприятий, а также получили доступ к большому объёму информации об объектах технологической сети и технологическом процессе. Эксперты «Лаборатории Касперского» полагают, что следует ожидать появления новых сценариев атак на АСУ ТП и полевые устройства, а также неожиданных схем их монетизации.

На уровень безопасности промышленных предприятий может также, и очень сильно, негативно повлиять снятие с поддержки Windows 7 и Server 2008, популярных в АСУ ТП по всему миру, и, конечно же, утечка исходных кодов Windows XP – к сожалению, эти операционные системы до сих пор очень часто встречаются в технологических сетях. Есть высокая вероятность реализации сценария наподобие WannaCry в самом ближайшем будущем. И промышленные предприятия могут оказаться в числе наиболее пострадавших.

Что касается атак вымогателей, они становятся всё более технологически оснащёнными и изощрёнными. Злоумышленники почувствовали вкус к нападениям на промышленные компании (ведь те платят выкуп), и, следовательно, будут продолжать такие атаки. Кроме того, эксперты ожидают рост числа гибридных атак с кражей документов и последующей угрозой их публикации в случае отказа платить выкуп или продажей украденной информации в даркнете. Также, по их мнению, получат развитие идеи, реализованные в Snake: выраженная направленность шифровальщиков на АСУ ТП.

Злоумышленники начали понимать, что внутри периметра ОT секреты охраняются хуже, чем в офисных сетях, а пробиться в технологическую сеть может быть даже проще ввиду наличия собственного периметра и уникальной поверхности атаки. «Плоская сеть» и прочие проблемы с разграничением доступа в OT-сетях могут сделать их привлекательной точкой входа в труднодоступные уголки корпоративной сети или дорожкой к инфраструктуре других организаций, а также прочим объектам холдингов и корпораций.

По мнению экспертов, продолжит расти количество APT-групп, в том числе атакующих организации, относящиеся к различным промышленным секторам. Активность злоумышленников будет коррелировать с локальными конфликтами, в том числе в «горячей фазе»: кибератаки, включая атаки на промышленные предприятия, будут использоваться как инструмент военных действий наряду с беспилотниками и информационными атаками через СМИ. Помимо задач «закрепиться на чёрный день» и кражи информации, кто-то рано или поздно обязательно перейдёт к более активным действиям.

Переход в онлайн и цифровизация муниципальных и государственных сервисов сделают их более уязвимыми для злоумышленников, создадут больше возможностей для кросс-ведомственных атак и атак на смежные структуры. Например, атакующие смогут подбираться к финальной цели, такой как, например, транспортные системы, через каналы связи и цепочки поставок, объединяющие различные государственные, муниципальные и частные инфраструктуры, начав атаку, например, с веб-сервиса муниципальных или правительственных органов.

Ограничение возможности проведения работ «на месте» замедлило темпы укрепления защиты периметра промышленных предприятий и их технологических сетей, помешав, в частности, установке и настройке нового оборудования. Вкупе с увеличением количества и разнообразия сессий удалённых подключений это может привести к снижению уровня защиты периметров технологических сетей промышленных предприятий. Безопасность промышленных объектов в таких условиях будет в значительной степени зависеть от эффективности работы endpoint-решений и программ повышения осведомлённости сотрудников. В то же время кибератаки, нацеленные на промышленные компании, становятся более зрелыми. Как следствие, даже несмотря на то, что количество атакованных компьютеров сокращается, число серьёзных инцидентов уменьшаться не будет.

Количество сотрудников на местах, способных своевременно реагировать на инцидент и перевести системы и установки в режим ручного управления в случае успешной кибератаки, сократилось. Это может способствовать увеличению масштаба распространения вредоносных программ и усугубить последствия киберинцидентов.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

В Fortinet FortiWeb устранили уязвимость, позволяющую внедрить команды

Компания Fortinet устранила уязвимость в своем межсетевом экране FortiWeb, предназначенном для защиты веб-приложений от веб-атак, и поблагодарила эксперта Positive Technologies Андрея Медова, выявившего проблему.

Ошибка получила идентификатор CVE-2021-22123 и оценку 7,4 по шкале CVSSv3, что соответствует высокому уровню опасности.

«Уязвимость внедрения команд в интерфейсе управления FortiWeb может позволить удаленному злоумышленнику, прошедшему проверку подлинности, выполнять произвольные команды в системе через страницу конфигурации сервера SAML, — объясняет Андрей Медов. — Выполнение команд с максимальными привилегиями приведет к получению атакующим полного контроля над сервером. Если же в результате неправильной настройки интерфейс администрирования межсетевого экрана окажется доступен в интернете, а сам продукт не будет обновлен до последних версий, то комбинация CVE-2021-22123 и обнаруженной нами ранее ошибки CVE-2020-29015 может позволить атакующему проникнуть во внутреннюю сеть».

Для устранения уязвимости нужно обновить FortiWeb 6.3.7 (и ниже), 6.2.3 (и ниже), 6.1.x, 6.0.x, 5.9.x до версий 6.3.8 или 6.2.4 (в зависимости от используемой редакции продукта).

В феврале 2021 года Fortinet закрыла четыре уязвимости в FortiWeb, выявленные Андреем Медовым.

Автоматизировать обнаружение и приоритизацию подобных уязвимостей позволяют системы управления уязвимостями, такие как MaxPatrol VM. Выявить признаки проникновения (например, в случае невозможности установки обновления) помогут системы класса SIEM (в частности, MaxPatrol SIEM), которые позволяют выявить подозрительное поведение на сервере, зарегистрировать инцидент и своевременно остановить продвижение злоумышленников внутри корпоративной сети.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru