SecAtor

Исследователи Positive Technologies продолжают серию отчетных материалов, на этот раз подвели итоги проектов по расследованию инцидентов. В отчете подведены итоги работы PT ESC IR за период с 4 квартала 2025-го по 3 квартал 2026 года. В его основе - более 140 проектов по расследованию инцидентов и ретроспективному анализу в России, а также в Латинской Америке и на Ближнем Востоке. Что нового в этом отчете: - Новые группировки, впервые обнаруженные PT ESC IR: APT10051, Stingy Basilisk и Chewbacca. - Атаки через TrueConf, Zimbra и ViPNet. - Данные по результатам ретроспективного анализа (Compromise Assessment). - Информация по источникам данных для DFIR. Из главного: - Приложения на периметре по-прежнему являются главными исходными векторами проникновения. В 50,8% инцидентов исходной точкой проникновения были веб-приложения, опубликованные на периметре. Поверхность атаки расширяется: к ней добавились почтовые серверы Zimbra и сервер видеоконференцсвязи TrueConf. - Доля доступных из интернета служб, не относящихся к веб-сервисам, выросла до 14,9%, а доля доверительных отношений, включая компрометацию через защищенную сеть ViPNet, снизилась до 14,9% (было 28%). - В 49,3% компаний выявлены следы присутствия известных APT-группировок - всего их идентифицировано 17. Еще в 16,5% компаний выявлены следы публично не идентифицированных группировок. - Доля проектов, в которых злоумышленникам удалось нарушить внутренние бизнес-процессы из-за недоступности части инфраструктуры или критически важного сервиса, в том числе из-за шифрования и уничтожения данных, - 54,1%. В 34,2% компаний выявлены злоумышленники категории Cybercrime, нацеленные на шифрование и уничтожение данных. - Причины, поспособствовавшие успеху развития атак, базовые и не меняются со временем. Главные из них - устаревшие версии ОС и ПО без выстроенного процесса обновления (30%), отсутствие 2Fa (25%), недостаточная сегментация сети (24%). - Отдельная и стабильно пользующаяся спросом категория работ - ретроспективный анализ: проверка инфраструктуры на присутствие следов прошлых или текущих инцидентов. За отчетный период на него пришлась пятая часть проектов. - Скорость реагирования PT остается высокой. Медианное время перевода инцидента в контролируемую фазу составляет двое суток, а медианное время от начала расследования до завершения работ по проекту, связанных с расследованием (TTR), - 4,5 дня против 6,5 дня в предыдущем отчетном периоде. - При этом по сравнению с предыдущим отчетным периодом злоумышленники дольше оставались незамеченными: медианный TTD - 14 дней (было 9).