Ибешники предлагают правительству создать платформу как ГосСОПКА, но лучше

Екатерина Быстрова 01 Сентября 2022 - 15:12

Корпорации

Государство

Системы реагирования и управления инцидентами (IRP)

Соответствие требованиям регуляторов

Соответствие законодательству РФ

...

Ибешники предлагают правительству создать платформу как ГосСОПКА, но лучше

Участники рынка кибербезопасности предлагают правительству создать платформу сбора и обмена информацией по кибератакам. Она будет похожа на ГосСОПКА, но станет открытой бизнес-сообществу.

О возможном появлении единой платформы по сбору и обмену информацией о киберинцидентах пишет сегодня “Ъ”. Идею правительству подкинули сами участники рынка. Чиновники инициативу поддержали.

Речь идет о скомпрометированных банковских картах, учетных записях и вредоносных программах, уточнили журналистам в одной крупной ИТ-компании. Платформа будет помогать специалистам в оперативной борьбе со злоумышленниками.

Запуск самой системы должно взять на себя государство, а ее наполнением займутся профильные компании.

“Инициатива обсуждается с другими ведомствами, пока окончательное решение не принято”,— уточнили в Минцифры. С кем именно идет диалог, там не уточнили.

В России уже есть платформа, выполняющая похожую функцию. Это система обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Её контролируют ФСБ России и Центр мониторинга и реагирования на компьютерные атаки в кредитно-финансовой сфере (ФинЦЕРТ), входящий в структуру Банка России.

На рынке кибербеза говорят, что ГосСОПКА “не открыта для бизнес-сообщества”.

“К сожалению, платформа на базе ФСБ не стала полноценной площадкой обмена информацией и опытом”,— подтверждает директор центра мониторинга и противодействия кибератакам IZ:SOC компании “Информзащита” Иван Мелехин.

По его мнению, для реагирования на новые киберинциденты в первую очередь необходимы индикаторы компрометации (IoC), описания техник и тактик атак и детектирующих правил (правило, по которому система способна выявлять вредоносную активность).

Глава отдела продуктов компании “Код безопасности” Павел Коростелев считает, что создание платформы может повысить оперативность реагирования на актуальные угрозы.

“Пользователи системы смогут делиться необходимыми данными, например, какой софт используют злоумышленники или с каких IP-адресов они приходят, — это нужная и полезная информация, особенно если она предоставляется своевременно”, — поясняет он.

Но, подчеркивает эксперт, главная проблема инцидентов в информационной безопасности в том, что их легко скрыть, поэтому успех проекта будет зависеть от самих пользователей платформы.

Следующая главная новость »

Итоги 2025 в ИБ: анализ рынка, тенденции и прогнозы в эфире AM Live. Регистрируйтесь по этой ссылке »

Екатерина Быстрова 20 Декабря 2025 - 21:25

Фишинг Атаки на сайты Кибервойны Кибершпионаж Целевые атаки Информационные войны Таргетированные атаки Государство

APT28 атаковала UKR[.]NET: фишинг, PDF и прокси ngrok

Кибергруппировка BlueDelta почти год вела масштабную кампанию по краже учётных данных пользователей UKR[.]NET — одного из самых популярных почтовых и новостных сервисов Украины. Атаки продолжались с июня 2024 года по апрель 2025-го и, по оценке аналитиков, стали заметным усилением разведывательной активности.

Об этом говорится в новом исследовании Insikt Group (Recorded Future). BlueDelta — она же APT28, Fancy Bear и Forest Blizzard — давно специализируется на фишинге и краже учётных данных.

Но после того как в начале 2024 года западные правоохранительные органы «прикрыли» часть её инфраструктуры, группа заметно прокачала свои методы.

Вместо скомпрометированных роутеров злоумышленники перешли на прокси-туннелирование через легальные сервисы — такие как ngrok и Serveo. Это позволило скрывать реальные серверы и продолжать операции практически без пауз.

По данным исследователей, BlueDelta развернула более 42 цепочек для сбора учётных данных, используя бесплатные веб-сервисы и хостинги. В ход шли:

поддельные страницы входа UKR[.]NET, размещённые через Mocky API;
бесплатные хостинг-провайдеры (DNS EXIT, Byet Internet Services);
обратные прокси и короткие ссылки для маскировки инфраструктуры.

Фальшивые страницы выглядели как настоящая форма входа UKR[.]NET и собирали:

логины и пароли;
коды двухфакторной аутентификации;
IP-адреса жертв.

Для этого использовался кастомный JavaScript, в том числе с передачей данных через HTTPBin. Отдельного внимания заслуживает приём с PDF-файлами, замаскированными под уведомления о подозрительной активности в аккаунте. Внутри — ссылка «для смены пароля», ведущая на фишинговую страницу.

Такой формат позволял: обходить почтовые фильтры, не попадать под песочницы и выглядеть максимально правдоподобно для пользователя. Это явно говорит о хорошем понимании корпоративных средств защиты.

Весной 2025 года аналитики заметили очередное обновление схемы атак:

переход с DNS EXIT на бесплатные поддомены ngrok;
появление серверов во Франции и Канаде для передачи данных;
использование тайпсквот-доменов вроде ukrinet[.]com и ukrainnet[.]com — на случай блокировок.

Интересная деталь: в код добавили заголовок ngrok-skip-browser-warning, который отключает предупреждения ngrok и делает прокси практически незаметным для пользователя.

Фокус на пользователях UKR[.]NET полностью укладывается в разведывательные задачи ГРУ. Кража учётных данных остаётся дешёвым и эффективным способом получить первичный доступ — а дальше возможны многоэтапные шпионские операции.

Исследователи считают, что BlueDelta продолжит такие кампании как минимум до 2026 года, делая ставку на анонимную, дешёвую и распределённую инфраструктуру.

Итоги 2025 в ИБ: анализ рынка, тенденции и прогнозы в эфире AM Live. Регистрируйтесь по этой ссылке »