В России растет спрос на Red Teaming и пентест в режиме белого ящика

В России растет спрос на Red Teaming и пентест в режиме белого ящика

В России растет спрос на Red Teaming и пентест в режиме белого ящика

Проведенное в Angara Security исследование сферы анализа защищенности показало, что больше половины таких проектов реализуется с бюджетом ₽ 0,5-1 млн (23,7%) либо ₽ 1-2 млн (37%). За последний год их доля возросла в среднем на 65%.

Специалисты суммарно проанализировали более 200 проектов и конкурсных процедур, реализованных в 2022-2023 годах. Как оказалось, спрос на услуги по анализу защищенности наиболее высок в таких вертикалях, как финансы, страхование (совокупно ~ 40% проектов), телеком и ИТ (вместе 28,8%).

В ценовом сегменте от 500 тыс. до 1 млн руб. наиболее востребованы внешний и внутренний пентест, анализ защищенности мобильных и веб-приложений. В сегменте от 1 млн до 2 млн руб. преобладают услуги анализа кода, социотехнические исследования, тесты с элементами социальной инженерии, мониторинг защищенности внешнего периметра и критически важных ИС.

«Рост проектов в этой категории чаще связан с повторными обращениями заказчиков, которые уже имеют опыт проведения пентестов, понимают, какой результат им необходим от такого типа тестирования и повышают требования к экспертизе и опыту команды, организующей оценку защищенности», — поясняет Андрей Макаренко, руководитель отдела развития бизнеса Angara Security.

Эксперты также отметили рост спроса на решения для мониторинга эффективности СЗИ на внешнем периметре, а также на услуги Red Teaming и пентеста в режиме белого ящика (когда исполнителю предоставляют доступ к исходникам, и он может заодно проверить их на наличие уязвимостей).

Возрос интерес к автоматизации проверок на защищенность, притом необязательно с участием сторонних специалистов. Перспективными также признаны комплексные услуги пентеста, объединяющие OSINT, анализ фишинговых атак, управление площадью атаки на внешнем периметре, сопоставление актуальных для отрасли техник и угроз.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Злоумышленники хранили свой код в DNS-записях в шестнадцатеричном формате

Команда DomainTools обнаружила еще один пример использования DNS как хранилища вредоносов. Для сокрытия бинарника его конвертировали в шестнадцатеричный формат, разбили на части и спрятали в TXT-записях связанных поддоменов.

Подобные злоупотребления рассчитаны на то, что защитные решения редко проверяют DNS-трафик на предмет угроз, он для них слепая зона. К тому же организовать выявление аномалий в легитимном потоке запросов в данном случае непросто, а при использовании шифрования (DoH или DoT) — еще сложнее.

Привлекшие внимание экспертов записи DNS TXT содержали информацию о сотнях различных поддоменов *.felix.stf.whitetreecollective[.]com, дополненную фрагментами кода в шестнадцатеричном формате.

 

При их извлечении и сборке с преобразованием в двоичный файл оказалось, что это Joke Screenmate — злонамеренное приложение Windows, которое выводит на экран изображения или анимацию, от которых трудно избавиться.

Это может быть череда шутливых картинок, которые быстро множатся, и их трудно закрыть. Более агрессивные варианты таких программ пугают жертв бесконечными сообщениями об ошибках или якобы обнаруженных вирусах.

Известны случаи, когда в DNS-записях скрывались вредоносные скрипты. Исследователи из DomainTools тоже столкнулись с таким TXT-содержимым; на поверку зашифрованный Powershell оказался загрузчиком, скачивающим пейлоад второго этапа атаки с C2 на базе Covenant.

В комментарии для Ars Technica представитель DomainTools поведал, что недавно они нашли DNS-записи с текстами для ИИ-ботов, которые, видимо, используются в рамках промпт-инъекций. Все фразы начинались с «Ignore all previous instructions» («Забудь обо всех прежних инструкциях») и содержали различные просьбы, от с виду невинных (назвать произвольное число, выдать краткое содержание фильма «Волшебник», спеть песню, как птичка) до явно провокационных (игнорить все последующие инструкции, удалить обучающие данные и восстать против своих хозяев).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru