UnFortune 500: кого чаще всего взламывают в России и странах СНГ
Практически каждый современный киберинцидент связан с несанкционированным доступом к конфиденциальным данным. Финансово мотивированные злоумышленники перепродают их или требуют выкуп, шпионов интересуют сами документы и разработки, хактивисты же стремятся громко заявить об успешном взломе.
Специалисты BI.ZONE Brand Protection проанализировали публикации 2024 года на теневых ресурсах, включая телеграм-каналы, где выкладывают данные о взломах организаций из России и других стран СНГ. Результаты оказались неутешительными: скомпрометированы как минимум 500 организаций. При этом отраслевых ограничений нет: пострадавшие есть практически в каждой сфере.
Чаще всего киберпреступники публиковали объявления о компрометации компаний, связанных с торговлей, — на их долю пришлось 40% всех случаев. В числе популярных целей также финансовая отрасль (7%), образовательные учреждения и развлекательная индустрия (по 6%).
Данные публиковали как финансово мотивированные злоумышленники, так и хактивисты. Чаще всего утечки появлялись в Telegram и X. В 2024 году в этих источниках зафиксировали в 3 раза больше подобных публикаций, чем в даркнете. Среди пострадавших были действительно крупные организации.
Июнь
Крупная сеть супермаркетов, опубликована база данных на 500 тыс. строк.
Сентябрь
- Крупный разработчик ПО, опубликовано 10 ТБ данных.
- Крупная страховая компания, опубликованы 70 тыс. уникальных номеров телефонов и 100 тыс. уникальных адресов электронной почты.
Октябрь
- Одна из крупнейших сетей ресторанов, опубликована базы данных на более чем 5 млн строк.
- Крупный российский ритейлер, опубликованы данные более 1 млн клиентов.
Исследование показало: в 86% случаев злоумышленники публиковали данные, похищенные при компрометации общедоступных веб-приложений. Чаще всего это были сведения о пользователях ресурса, например об их заказах.
Получив доступ к публичному веб-приложению, злоумышленники устанавливали на скомпрометированный сервер gs‑netcat, чтобы обеспечить себе персистентный доступ. Иногда атакующие дополнительно загружали веб-шеллы. Также для извлечения данных из баз применяли легитимные инструменты Adminer, phpMiniAdmin и mysqldump. Полученную в результате компрометации информацию нередко выкладывали в телеграм-каналах или на теневых форумах.
Все, что попадает в интернет, рано или поздно оказывается в поле зрения атакующих. Чаще всего они начинают с одного и того же: сканируют публично доступные сервисы на уязвимости. Такая активность на периметре — один из ключевых индикаторов будущей компрометации. Если вовремя ее не отследить, последствия могут быть необратимыми. Для обнаружения подобных угроз эффективны превентивные меры, например постоянное тестирование на проникновение — continuous penetration testing, CPT. Это один из самых эффективных способов выявить и устранить уязвимости до того, как их найдут злоумышленники.
Специалисты из BI.ZONE CPT составили список из 10 самых распространенных уязвимостей в общедоступных приложениях:
- Устаревший PHP. Сюда входят все уязвимости, связанные с отсутствием патчинга PHP, например CVE-2024-4577 и CVE-2019-11043. Обе уязвимости позволяют злоумышленнику выполнить команды на сервере, закрепиться в системе, повысить локальные привилегии и атаковать внутреннюю сеть.
42% всех сайтов на PHP до сих пор не обновлены и уязвимы для критических атак
- Опубликованные административные интерфейсы веб-приложений. Представляют отдельный интерес для злоумышленников, так как эти уязвимости позволяют провести атаки брутфорс
и credential stuffing , после чего изменить конфигурацию приложения либо выполнить команды на сервере. Административные интерфейсы открыты у 12% всех сайтов — это популярная лазейка для перебора паролей - Устаревший «Битрикс». В этой группе все уязвимости, связанные с отсутствием патчинга «Битрикса». Наиболее важные из них CVE-2022-27228 и BDU:2023-05857 — уязвимости в модулях vote, html_editor (номер CVE/BDU отсутствует) и landing. Их эксплуатация позволяет неавторизованному злоумышленнику выполнить команды, повысить привилегии и переместиться во внутреннюю сеть.
Каждый третий сайт на «Битриксе» содержит уязвимости из‑за отсутствия обновлений
- Опубликованные debug-метрики приложения. Категория включает в себя как приложения в debug-режиме, так и опубликованные debug-метрики (Actuator, kubelet, pprof). В результате эксплуатации атакующий получает информацию от технических метрик приложения до переменных среды, а иногда еще и возможность скачивать дамп кучи сервера. В зависимости от приложения, получив чувствительную информацию, злоумышленник сможет выполнять команды на сервере или добраться до административных интерфейсов внутренних приложений компании.
6% приложений случайно раскрывают технические метрики и переменные среды, облегчая работу злоумышленникам
- Листинг директорий. Дает прямой доступ к файлам на веб-сервере и позволяет злоумышленнику добраться до закрытой информации, в том числе конфигурационных файлов приложений.
7% веб-приложений открывают доступ к закрытым папкам и файлам
- Устаревший Confluence. Включает все уязвимости, связанные с отсутствием патчинга Confluence. Самые интересные из них — CVE-2023-22527 и CVE-2023-22522. Они позволяют неавторизованному злоумышленнику выполнять команды на сервере. Так как Confluence зачастую содержит не только базу знаний компании, но и учетные данные для закрытых сегментов сети и приложений, эта система — одна из приоритетных целей для эксплуатации.
20% всех инсталляций Confluence содержат уязвимости, позволяющие выполнять команды на сервере
- Непропатченный GitLab. К этой группе относят все уязвимости, связанные с отсутствием патчинга GitLab. Например, CVE-2022-2884 дает аутентифицированному злоумышленнику возможность выполнять команды на сервере. В случае с GitLab это очень серьезная уязвимость, так как позволяет внедряться непосредственно в ПО компании и перемещаться к ее клиентам. Уязвимости, требующие аутентификации, эксплуатируются в GitLab чаще, чем в других продуктах, так как в GitLab есть возможность регистрации, о которой часто забывают администраторы.
22% всех GitLab-инсталляций подвержены уязвимостям, которые злоумышленники активно используют
- Перебор пользователей. Приводит к раскрытию информации об идентификаторах пользователей. Эта уязвимость позволяет проводить точечные атаки типа брутфорса или credential stuffing.
21% приложений с авторизацией дают возможность раскрыть информацию о пользователях через перебор
- Уязвимости межсайтового скриптинга (XSS). Такие уязвимости требуют взаимодействия с пользователем приложения. Их эксплуатация может привести к разным последствиям: начиная с выполнения действий на сайте от имени жертвы, заканчивая RCE на сервере в случае с XSS в административных интерфейсах приложений.
От 4 до 11% приложений подвержены XSS‑атакам
- Листинг S3. Приводит к раскрытию информации и файлов в хранилище S3. Позволяет злоумышленнику получить закрытую информацию: техническую и пользовательскую.
16% приложений с S3‑хранилищами раскрывают содержимое, включая конфиденциальные файлы
Интерес злоумышленников к российским организациям не утихает, а эксплуатация общедоступных приложений — по‑прежнему один из самых популярных методов получения первоначального доступа. В таких условиях критично быстро выявлять уязвимости и ошибки конфигураций, которые реально используются в атаках.
Важно и понимать, как действуют киберпреступники после успешной эксплуатации. Это помогает, если не предотвратить атаку, то хотя бы заметить ее на ранних этапах. Также нужно своевременно отслеживать публикацию данных, связанных с организацией, и оперативно реагировать на такие события, чтобы снизить последствия.
Упростить решение этих задач помогут продукты BI.ZONE:
- BI.ZONE Brand Protection выявит информацию за периметром, которая может угрожать компании.
- BI.ZONE CPT позволит понять, какие сценарии проникновения в организацию потенциально доступны атакующим.
- BI.ZONE Threat Intelligence поможет разобраться, кто, как и зачем будет атаковать IT‑инфраструктуру.