Программы-вымогатели станут причиной «неровностей» в сфере безопасности в 2025 году

По данным Rapid7, атаки программ-вымогателей продолжат преследовать предприятия Азиатско-Тихоокеанского региона в 2025 году. Поставщик технологий кибербезопасности ожидает, что большее количество эксплойтов нулевого дня и изменения в динамике индустрии программ-вымогателей приведут к «тернистому пути» для специалистов по безопасности и ИТ во всем регионе.

За последние пару лет число инцидентов с программами-вымогателями неуклонно росло. Отчет Rapid7 Ransomware Radar Report показал, что в первой половине 2024 года в мире появилась 21 новая группа программ-вымогателей. Отдельный анализ показал, что эти преступники удвоили свои доходы до 1,1 млрд долларов в виде выкупов в 2023 году.

Хотя в отчете Rapid7 не описываются проблемы Азиатско-Тихоокеанского региона с эксплойтами нулевого дня, ежегодное исследование Digital Trust Insights (DTI), проведенное PwC, показало, что 14% региона определили уязвимости нулевого дня как одну из главных киберугроз, связанных со сторонними организациями, в 2024 году — проблема, которая может сохраниться и в 2025 году.

Несмотря на международные усилия, такие как закрытие LockBit, операторы программ-вымогателей продолжали процветать. Rapid7 прогнозирует рост эксплуатации уязвимостей нулевого дня в 2025 году, поскольку ожидается, что эти группы расширят векторы атак и обойдут традиционные меры безопасности.

Динамика индустрии программ-вымогателей определит атаки в 2025 году

Главный научный сотрудник Rapid7 Радж Самани сказал, что фирма видела, как за последний год группы вымогателей получали доступ к «новым, новым начальным векторам входа» или уязвимостям нулевого дня. Он объяснил, что события нулевого дня происходили почти еженедельно, а не примерно раз в квартал, как раньше.

Фирма наблюдала, как операторы программ-вымогателей эксплуатируют уязвимости нулевых дней способами, которые были невозможны 10 лет назад. Это связано с финансовым успехом кампаний по вымогательству, оплачиваемых в быстрорастущей криптовалюте, что создало неожиданную прибыль, которая позволила им «инвестировать» в эксплуатацию большего количества уязвимостей нулевых дней.

В Азиатско-Тихоокеанском регионе эти условия заставляют глобальные группы угроз вымогателей участвовать в региональных кампаниях вымогателей. Однако Rapid7 ранее отмечал, что наиболее распространенные группы различаются в зависимости от целевой страны или сектора, что привлекает различные группы вымогателей.

СМ.: США ввели санкции против китайской компании по кибербезопасности из-за атаки с использованием вирусов-вымогателей в 2020 году

Самани сказал, что угроза, создаваемая событиями нулевого дня, может усилиться в 2025 году из-за динамики в экосистеме программ-вымогателей. Он отметил, что рынок может стать свидетелем увеличения числа менее технически подготовленных аффилированных организаций, присоединяющихся к тем, кто атакует глобальные предприятия.

«Причина, по которой мы наблюдаем такой рост числа программ-вымогателей, а также спрос и экспоненциальный рост платежей, заключается в том, что есть отдельные лица, которые разрабатывают код, и отдельные лица, которые выходят и взламывают компании и внедряют этот код, — то есть это две отдельные группы», — пояснил он.

Самани предположил, что, хотя непрозрачная природа программ-вымогателей делает ситуацию неясной, группа вымогателей, имеющая доступ к уязвимостям нулевого дня для первоначального входа, может использовать их для привлечения большего числа партнеров.

«Больше всего беспокоит то, означает ли это, что операционная и техническая компетентность филиала может быть ниже? Снижают ли они технические барьеры для входа в это конкретное рыночное пространство? Все это показывает, что 2025 год может быть очень неровным», — сказал он.

Запреты на выплаты за программы-вымогатели могут встряхнуть планы реагирования на инциденты

Сабин Малик, глава отдела глобальных правительственных связей и государственной политики Rapid7, заявила, что правительства по всему миру все чаще рассматривают программы-вымогатели как «критическую проблему», а крупнейшая глобальная организация по борьбе с этой инициативой — Международная инициатива по борьбе с программами-вымогателями — теперь насчитывает наибольшее количество участников за всю историю.

Это происходит, поскольку некоторые азиатские компании по-прежнему готовы платить выкупы, чтобы продолжить бизнес. Исследование Cohesity, опубликованное в июле, показало, что 82% лиц, принимающих решения в сфере ИТ и безопасности в Сингапуре и Малайзии, заплатили бы выкуп, чтобы восстановить данные и бизнес-процессы.

То же самое было и с респондентами из Австралии и Новой Зеландии, участвовавшими в том же опросе: 56% подтвердили, что их компания стала жертвой атаки с использованием программ-вымогателей в течение предыдущих шести месяцев, а 78% заявили, что готовы заплатить выкуп за восстановление данных и бизнес-процессов в будущем.

Страны Азиатско-Тихоокеанского региона рассматривают возможность реагирования с помощью регулирования. Австралия только что ввела обязательную отчетность о платежах за вымогательство для организаций с оборотом более 3 миллионов долларов, которые теперь должны сообщать о платеже в течение 72 часов.

СМ.: Закон Австралии о кибербезопасности включает отчетность о платежах за программы-вымогатели

Однако, по данным Rapid7, полный запрет платежей за вымогательство может иметь огромное влияние на индустрию безопасности. Если бы платежи были запрещены, компании-жертвы могли бы потерять возможность восстановления после атаки.

«Над всеми нами нависает не тень нормативных актов, а скорее распоряжения правительств, запрещающие использование программ-вымогателей или связанные с ними платежи; я думаю, что подобные масштабные решения могут существенно повлиять на отрасль», — сказал Самани.

«Что вам нужно учесть при планировании BCP [непрерывности бизнеса] и DR [аварийного восстановления], так это то, что если платежи за вымогательство будут запрещены на моей территории... как это повлияет на то, как я работаю?» — сказал он.

Советы по предотвращению угроз со стороны программ-вымогателей

Rapid7 рекомендует службам безопасности рассмотреть несколько мер по борьбе с угрозами:

Внедрите основные правила кибербезопасности

Малик отметил, что компании рассматривают возможность использования новых технологий, таких как наложения искусственного интеллекта, для борьбы с этой проблемой, однако им не следует забывать об основных правилах гигиены, таких как управление паролями, которые могут гарантировать наличие надежной основы.

«Кажется, это так очевидно, но мы продолжаем видеть, как много проблем, которые мы видели с управлением идентификацией и неправильным управлением паролями, привели к тому, где мы сейчас находимся. Каковы некоторые из основных вещей, которые нам нужны, чтобы сделать эти [гигиенические] практики основополагающими?» — спросила она.

Задайте сложные вопросы поставщикам решений безопасности ИИ

Самани сказал, что новые инструменты ИИ могут помочь «быстрее и быстрее нарушить цепочку убийств», если субъекты угроз нарушат защиту. Однако он сказал, что «безопасность — это не товар» и что не все модели ИИ одинакового качества. Он рекомендовал командам задавать вопросы поставщикам и продавцам.

СМ.: Как компании могут защитить себя от распространенных киберугроз

Как он пояснил, эти вопросы могут включать в себя:

«Какова их стратегия обнаружения и какова их стратегия реагирования?» «Есть ли у вас штатный сотрудник по реагированию на инциденты?» «Вы проводите регулярное тестирование? А как насчет тестирования на проникновение?»

Составьте карту, расставьте приоритеты и расширьте свой конвейер данных

Rapid7 предложил организациям попытаться понять и сопоставить всю поверхность атаки, включая облако, локальные данные, идентификационные данные, третьих лиц и внешние активы. Они также призвали компании расставить приоритеты рисков, сопоставив уязвимые активы с критически важными для бизнеса приложениями и конфиденциальными данными.

Помимо этого, Самани сказал, что наиболее важным подходом является расширение конвейеров приема. Он сказал, что организации должны собирать данные из многих источников, нормализовать данные по источникам и иметь методологию для определения актива.

«Вероятно, совет директоров вашей [компании] больше всего думает о программах-вымогателях», — сказал Самани. «Используйте это как возможность провести с ними содержательную дискуссию. Не питайте иллюзий: вас пригласят на заседания совета директоров. Будьте к этому готовы и обязательно донесите риск до своих старших руководителей».