Цифровая инфраструктура Казахстана находится в центре скрытого киберконфликта. Число хакерских группировок, атакующих страну, достигло рекордного уровня. Основная цель здесь — государственный шпионаж, а не вымогательство. Эксперт по киберразведке Олег Скулкин раскрыл новый облик киберугроз и арсенал современных преступников на форуме KazHackStan, сообщает корреспондент Центра деловой информации Kapital.kz. Резкий рост атак: почему увеличилось количество кластеров? Геополитическая нестабильность последних лет вывела киберугрозы в Центральной Азии, в том числе и в Казахстане, на совершенно иной уровень. По словам эксперта, до 2020 года в стране будет зарегистрировано 12-13 активных хакерских кластеров, а сегодня это число увеличилось вдвое. "Две недели назад, когда мы готовили презентацию, мы наблюдали 25 активных кластеров, ориентированных на Казахстан. А когда мы собрали последние данные, то увидели, что их число достигло 27. Переломный момент начался в 2020 году, и количество атак продолжает увеличиваться на фоне геополитических потрясений", - рассказал Олег Скулкин, руководитель отдела внешнего предотвращения киберугроз. Здесь специалист предпочитает использовать термин «кластер деятельности», а не просто «группа». Потому что обнаружение групп опирается на конкретные технические данные: используемую инфраструктуру, методы и вредоносное ПО. Хотя первые подобные признаки были зарегистрированы в регионе еще в 2004 году, беспрецедентный ее разгар наблюдается именно сейчас. Настоящий мотив: не зарабатывание денег, а государственный шпионаж. В обществе и B2B-сегменте основная цель хакеров — заблокировать данные компании и потребовать оплату в криптовалюте. Однако реальная статистика Threat Intelligence полностью опровергает этот стереотип. 78% группировок, атакующих Казахстан, занимаются государственным шпионажем. «Почему в новостях мало информации о взломе крупных казахстанских организаций?» Проблема проста: правительственные шпионские группы не хотят шуметь. Они не блокируют инфраструктуру и не делают заявлений. "Их задача - войти в систему без предупреждения и месяцами и годами вымывать нужные данные", - отметил спикер. Меньшая часть хакеров намерена совершить финансовое мошенничество. В основном они атакуют коммерческий сектор, банки, розничную торговлю и логистику. Они парализуют ИТ-системы логистических компаний и лишают их возможности принимать и отправлять грузы. Таким образом, бизнес вынужден платить большие суммы денег за разблокировку. Феномен «Тихого фронта» и география группировок в сериале «Волк» В классификации киберразведки группам, специализирующимся на шпионаже, присваивается приставка «Волк». В число основных кластеров, действующих в Казахстане, входят: DevilWolf, BloodyWolf, EagleWolf, WatchWolf, CloudWolf, MidnightWolf, NinjaWolf, SevereWolf, PrivateWolf, SecretWolf и NebulaWolf. По мнению эксперта, в этом и заключается опасность "Тихого фронта" - отсутствие шумной информации в СМИ не является признаком безопасности, а, скорее, показывает высокую квалификацию злоумышленников. Они проникают в правительственные, энергетические и исследовательские структуры, не будучи замеченными традиционными средствами защиты. Почему ИТ-компании становятся «троянскими конями»? По мнению эксперта, прямая атака по периметру госоргана сложна. Потому что обычно он имеет систему защиты качества. Вот почему шпионы широко используют тактику атаки на цепочку поставок. В такой схеме ИТ-подрядчики становятся незаменимым «троянским конем» для хакеров. «Зачем шпионам нужен IT-сектор?» Все практично: ИТ-компании имеют легальный доступ к инфраструктуре госорганов и важных предприятий. Взлом системы одного ИТ-подрядчика открывает двери сразу десяткам организаций. А если хакеры получат доступ к резервным копиям третьих лиц на стороне ИТ-компании, то не будет необходимости взламывать самого заказчика», — поясняет Олег Скулкин. Роль искусственного интеллекта и эволюция фишинга Чтобы обойти анализ антивирусов, злоумышленники постоянно запутывают свой код. Искусственный интеллект в этом очень помогает. На даркнет-ресурсах хакеры открыто признаются, что создают вредоносные скрипты и бэкдоры с помощью специальных подсказок пользовательского интерфейса. По словам Олега Скулкина, Фишинг также развивается как основной метод получения первичного доступа. Ушли в прошлое классические документы MS Office с вредоносными макросами — пользователи научились им не доверять. Сегодня в атаках на Казахстан появились три новых направления: 1. Файлы с двойными расширениями (.pdf.exe, .docx.exe): Windows по умолчанию скрывает второе расширение. Пользователь думает, что открывает защищенный PDF-документ, а на самом деле запускает файл с бэкдором. 2. Вредоносные LNK-скрипты: распространяются внутри ZIP-архивов. При нажатии на ярлык вредоносный код автоматически загружается с удаленного сервера с помощью внутренних утилит операционной системы (PowerShell, mshta, rundll32). 3. Техника «ClickFix» (Malicious Copy & Paste): Жертву заманивают на искусственную страницу с капчей, просят скопировать специальный текст «для проверки» и вставить его в терминал или окно «выполнить». Пользователь вручную запускает командный сценарий хакера. Оборонительная тактика: какая стратегия необходима сегодня? Вывод эксперта по киберразведке: концентрироваться только на построении правил обнаружения и покупке новых средств защиты — это тупик. По его словам, данные разведки об угрозах позволяют нам понять, как действуют реальные группы, и принять меры на ранней стадии — до того, как преступники пройдут дальше по сети. «Просто обнаружения недостаточно, и стандартный комплект защитных средств также обеспечивает некоторую степень обнаружения. Главное — уметь правильно действовать. Если вы не будете действовать правильно, то получите лишь серию предупреждений, а в итоге понесете убытки", - заключил Олег Скулкин.