День борьбы с шифровальщиками: «Лаборатория Касперского» представила отчёт о кибератаках с использованием программ-вымогателей

Специалисты из «Лаборатории Касперского» провели анализ активности программ-вымогателей по всему миру. Согласно данным Kaspersky Security Network за 2024 год, наибольшая концентрация таких киберинцидентов наблюдалась на территории Ближнего Востока, в то время как в Европе зафиксированы самые низкие показатели. В глобальном масштабе процент пользователей, подвергшихся атакам шифровальщиков, незначительно увеличился с 2023 по 2024 год, на 0,02 процентных пункта, достигнув 0,44%. Эксперты подчеркивают, что относительно невысокий процент обусловлен тем, что злоумышленники часто не прибегают к массовому распространению вредоносного ПО, а нацелены на конкретные, наиболее прибыльные цели.

12 мая отмечается День борьбы с шифровальщиками, учрежденный по инициативе Интерпола и «Лаборатории Касперского» в 2020 году. Цель этой даты — повышение осведомленности о рисках, связанных с программами-вымогателями, а также продвижение эффективных методов предотвращения и реагирования на подобные атаки. Дата выбрана в память о 12 мая 2017 года, когда «эпидемия» WannaCry, самой масштабной программы-вымогателя в истории, достигла своего пика.

Ближний Восток и Азиатско-Тихоокеанский регион лидируют по числу инцидентов из-за стремительной цифровизации и различного уровня готовности стран к киберугрозам. Крупные компании в Азиатско-Тихоокеанском регионе часто становятся объектами целевых атак, ориентированных в основном на бизнес, включая промышленность. Это особенно актуально для стран с развивающейся экономикой и государств, где законодательство в области информационной безопасности находится на начальном этапе развития.

В Африке атаки шифровальщиков менее распространены из-за низкого уровня цифровизации и специфики местной экономики, что ограничивает количество потенциальных целей для злоумышленников. Тем не менее, в некоторых странах, таких как ЮАР и Нигерия, наблюдается рост числа атак с использованием программ-вымогателей, особенно в производственном, финансовом и государственном секторах. При этом не все организации обладают достаточной осведомленностью и ресурсами для эффективной защиты.

В Латинской Америке наиболее часто с шифровальщиками сталкиваются Бразилия, Аргентина, Чили и Мексика. Атакам подвергаются производственный и государственный секторы, агропромышленный комплекс, энергетика и розничная торговля. Локальные экономические условия делают местные организации менее привлекательными для злоумышленников из-за потенциально невысоких сумм выкупа. Однако активное внедрение цифровых технологий увеличивает риск кибератак с использованием программ-вымогателей.

В России и СНГ активно действуют хактивистские группы, такие как Head Mare и Twelve, использующие программы-вымогатели, в том числе LockBit 3.0, для атак на организации. Приоритетными целями являются производство, государственный сектор и розничная торговля.

Европейские страны также сталкиваются с угрозой программ-вымогателей, часто нацеленных на производственные предприятия, государственные учреждения и образовательные организации. Эффективное законодательство в области информационной безопасности, оперативное реагирование на инциденты, осведомленность о киберугрозах, использование надежных систем защиты и диверсификация экономики способствуют противостоянию шифровальщикам в регионе.

Ключевые тенденции атак с использованием программ-вымогателей

Киберпреступники всё активнее используют возможности искусственного интеллекта для создания шифровального ПО. Подтверждением служит деятельность группировки FunkSec, заявившей о себе в конце 2024 года и быстро набравшей известность. FunkSec работает по принципу RaaS, применяя тактику двойного шантажа: одновременно шифрует данные и похищает их. В числе потенциальных жертв – государственные учреждения, а также компании из сфер ИТ, финансов и образования в Европе и Азии. Отличительной чертой FunkSec является активное применение ИИ-инструментов. В частности, в коде разработанного ими шифровальщика обнаруживаются комментарии, предположительно созданные с использованием больших языковых моделей. Это позволяет злоумышленникам оптимизировать процесс разработки и затруднить обнаружение. В отличие от традиционных групп, требующих многомиллионные выкупы, FunkSec практикует массовый подход, вымогая у жертв относительно небольшие суммы.

Несмотря на увеличение среднего размера выкупа, доходы от атак с использованием программ-вымогателей снижаются. По данным Chainalysis, в 2024 году киберпреступники заработали на шифровальщиках около 813 миллионов долларов, что значительно меньше рекордных 1,25 миллиарда долларов в 2023 году. При этом Sophos сообщает об увеличении среднего размера выкупа в полтора раза – до 4 миллионов долларов. Это говорит о том, что злоумышленники переориентируются на более крупные цели. Sophos также отмечает рост числа организаций, выплативших выкуп, хотя другие аналитики наблюдают обратную тенденцию: пострадавшие все реже соглашаются на требования вымогателей. Coveware сообщает, что в последнем квартале 2024 года доля заплативших компаний сократилась до рекордно низких 25% (против 29% годом ранее). Это объясняется усилением работы правоохранительных органов, повышением уровня кибербезопасности и ужесточением регулирования, препятствующего выплатам злоумышленникам.

Модель RaaS по-прежнему доминирует, облегчая киберпреступникам доступ к сложным технологиям и способствуя распространению шифровального ПО. В 2024 году такие группы, как RansomHub, успешно предлагали вредоносные программы, техническую поддержку и партнерские программы с возможностью разделения выкупа. RaaS позволяет злоумышленникам без глубоких технических знаний проводить сложные атаки, что привело к появлению множества новых группировок в 2024 году.

В будущем программы-вымогатели будут совершенствоваться за счет использования нестандартных уязвимостей. Примером служит атака группы Akira, использовавшей веб-камеру для обхода систем обнаружения и проникновения во внутренние сети. Вероятно, злоумышленники будут чаще атаковать точки входа, которым не всегда уделяется должное внимание с точки зрения кибербезопасности, такие как IoT-устройства, умные гаджеты или неправильно настроенное оборудование. По мере внедрения организациями новых средств защиты, тактика киберпреступников будет меняться. Особое внимание будет уделяться скрытой разведке и перемещению внутри сети, что позволит злоумышленникам более эффективно развертывать шифровальное ПО, затрудняя обнаружение и своевременное реагирование на угрозы.

Дмитрий Галов из Kaspersky подчеркивает, что программы-вымогатели представляют собой одну из наиболее серьезных киберугроз для организаций, атакуя компании разного масштаба по всему миру. Особую тревогу вызывает использование нестандартных точек входа, защите которых часто не уделяется достаточно внимания. Для обеспечения безопасности организациям необходим комплексный подход: использование современных защитных систем, сегментация сети, мониторинг в реальном времени, резервное копирование данных и постоянное обучение сотрудников основам кибербезопасности. Повышение осведомленности о киберугрозах так же важно, как и инвестиции в защитные технологии.

Чтобы противостоять шифровальщикам, «Лаборатория Касперского» также рекомендует организациям:

регулярно обновлять ПО на всех устройствах, чтобы избежать использование уязвимостей злоумышленниками для проникновения во внутреннюю сеть;
в рамках стратегии защиты сосредоточиться на обнаружении горизонтального перемещения, а также утечек данных в интернете. Особенно внимательно стоит отслеживать исходящий трафик, чтобы своевременно выявить подключение злоумышленников ко внутренней сети;
создавать резервные копии данных оффлайн, в которые атакующие не смогут внести изменения. Важно убедиться, что к ним можно быстро получить доступ при необходимости либо в случае инцидента;
предоставлять SOC-командам доступ к свежей информации о новейших тактиках, техниках и процедурах злоумышленников (TI), а также регулярно повышать их навыки с помощью специальных тренингов;
использовать комплексную защиту компаний от широкого спектра киберугроз;
проводить тренинги по кибербезопасности для сотрудников.

Источник — https://www.kaspersky.ru/