Половина эксплойтов, популярных у хакеров, заточены под баги Microsoft

Половина эксплойтов, популярных у хакеров, заточены под баги Microsoft

Половина эксплойтов, популярных у хакеров, заточены под баги Microsoft

Проведенное в Trend Micro исследование показало, что 47% эксплойтов, пользующихся спросом на черном рынке, ориентированы на уязвимости в продуктах Microsoft. Почти в половине случаев покупателей интересуют инструменты для уязвимостей, выявленных два года назад и ранее. Эти цифры озвучила Маира Фуэнтес (Mayra Rosario Fuentes), выступая с докладом на конференции RSA, проходящей в США.

Эксперты два года (с января 2019 по декабрь 2020) изучали объявления о купле-продаже эксплойтов на подпольных англо- и русскоязычных форумах, общим числом более 600. Собранная ими статистика полезна не только для специалистов, но и для пользователей ИТ-продуктов — она помогает сориентироваться в потоке патчей и точнее расставлять приоритеты при их применении.

Примечательно, что на долю эксплойтов для IoT пришлось лишь 5% запросов. Тем не менее, исследователи ожидают, что с приходом 5G в эту сферу ее привлекательность для злоумышленников возрастет.

 

Возраст 52% востребованных уязвимостей составил менее двух лет. Покупатели в среднем были готовы платить $2 тыс. за инструмент взлома — такой как CVE-2019-1151, при потолке в $10 тыс. (за эксплойт нулевого дня для программ Microsoft).

Списки предложений примерно соответствовали спросу; 61% выставленных на продажу эксплойтов были ориентированы на Microsoft Office, Windows, Internet Explorer и RDP в следующих пропорциях:

 

На англоязычных форумах продавцы чаще всего предлагали эксплойты для Microsoft Word и Excel, а также для софта Adobe.

Эти инструменты атаки продавались оптом и в розницу; отдельной статьей шли эксплойт-билдеры — конструкторы, доступ к которым предоставлялся по подписке с абонентской платой от $60 в месяц до $200 за полгода. Поставщики таких услуг, как правило, обещали бесплатные обновления и полную техподдержку.

Множество эксплойтов были предназначены для атак на уязвимости почтенного возраста: в 22% случаев дыре было больше трех лет (CVE-2012-0158, CVE-2014-0133, CVE-2016-5195), а самая древняя датировалась 1999 годом.

Интервал между выпуском патча и его установкой на подключенные к интернету устройства, по оценке Trend Micro, в среднем составляет 71 день. При этом админам зачастую приходится решать, какие заплатки поставить в первую очередь, а какие могут подождать.

При большом потоке исправлений предпочтение обычно отдается уязвимостям, получившим высокий балл по шкале CVSS. Проведенное исследование показывает, что при расстановке приоритетов нужно также учитывать популярность дыры у хакеров и наличие соответствующего эксплойта на черном рынке.

Полный отчет по результатам исследования Trend Micro обещает опубликовать в июле.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Возвращение PassiveNeuron: группа атаковала серверы госорганизаций

Эксперты Kaspersky GReAT сообщили о волне атак кибергруппы PassiveNeuron, которая продолжалась с декабря 2024 по август 2025 года. Под удар попали правительственные, финансовые и промышленные организации в Азии, Африке и Латинской Америке. Главная особенность этой кампании — фокус на Windows Server.

«Лаборатория Касперского» впервые обнаружила PassiveNeuron в июне 2024 года. После полугодового перерыва злоумышленники вновь активизировались в декабре. На этот раз они использовали сразу три инструмента для закрепления в сетях жертв:

  • известный фреймворк Cobalt Strike,
  • а также два новых инструмента — бэкдор Neursite и имплант NeuralExecutor.

Neursite оказался модульным бэкдором, который собирает системную информацию, управляет процессами и может перенаправлять сетевой трафик через заражённые устройства. Это позволяет злоумышленникам незаметно перемещаться по сети.

NeuralExecutor — созданный на .NET имплант, способный получать команды с серверов злоумышленников, загружать дополнительные модули и выполнять их.

Во время анализа специалисты обратили внимание на необычные детали — в некоторых образцах функций встречались строки с кириллическими символами. Исследователи считают, что это, скорее всего, ложный след: злоумышленники могли специально вставить такие элементы, чтобы запутать экспертов по киберразведке.

По словам эксперта Kaspersky GReAT Георгия Кучерина, злоумышленники всё чаще нацеливаются на серверы, доступные из интернета:

«Серверы часто являются основой корпоративных сетей. Один успешный взлом может открыть путь к критически важным системам. Поэтому необходимо регулярно проверять серверные приложения и сокращать поверхность атаки».

Эксперты напоминают: поддержание актуальных обновлений, сегментация сетей и постоянный мониторинг трафика — ключевые меры, которые помогают защитить инфраструктуру от подобных кампаний.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru