У вас одно новое непрочитанное сообщение ✉️

Завтра в 15:00 мы запускаем PT Email Security — систему многоуровневой защиты корпоративной почты.

Это единое решение, которое защищает бизнес от спама и массовых рассылок, фишинга, вредоносных вложений и ссылок — включая ранее неизвестные и модифицированные угрозы.

О том, как работает система, расскажет команда, в том числе руководитель отдела экспертизы PT Sandbox антивирусной лаборатории PT ESC Шаих Галиев (вот он, в кружке выше).

И да — мы уже внедрили решение у себя. Регистрируйтесь на онлайн-запуск, чтобы услышать откровенный рассказ о результатах использования PT Email Security внутри Позитива.

Сообщение прочитано 😎

@Positive_Technologies

😄😄😄 нужно рассказать про уязвимости, которые обнаружили парни из PT SWARM в Yealink Meeting Server. Все подробности тут будут (там вообще жесть — до устранения злоумышленники могли бы похитить деньги или получить записи переговоров, надо обновляться — патчи уже выкатили)

Что это был за 😄😄😄 и как он стал рекламой онлайн-казино

В пятницу тысячи (не преувеличиваем) каналов поделились сообщением, которое начиналось с красной надписи черновик: — а точнее, с трех эмодзи, которые ее и составляли. После нее каналы, в том числе крупных и известных брендов, соревновались в юморе: кто интереснее подаст свой черновик. Мы — в том числе.

На первый взгляд — безобидный флешмоб. На деле — тысячи каналов бесплатно прорекламировали онлайн-казино, сами того не подозревая. Рассказываем, как это получилось.

1️⃣ Когда вы создаете пак эмодзи в Telegram, его можно назвать как угодно. Предположим, «Котики». Вы добавляете туда прикольные картинки с котятами, делитесь с друзьями, потом это подхватывают каналы — и вот ваши котики везде.

Но у владельца эмодзи-пака есть возможность переименовать его в любой момент. То есть, например, когда он уже установлен у тысяч пользователей и им продолжают делиться, название может внезапно измениться на «Котики — не очень, песики — огонь». При этом короткое имя (ссылка на добавление пака) остается тем же.

2️⃣ В пятницу так и произошло. Пак из трех эмодзи изначально назывался просто «ЧЕРНОВИК», его начали активно распространять по каналам — копировать и вставлять, не подозревая о планируемом скаме.

Спустя время он был переименован в «ЧЕРНОВИК [упоминание канала] (ПОДПИШИСЬ)». Упоминаемый канал принадлежит некому «социальному казино» (как они сами себя называют), которое якобы бесплатно раздает деньги, но на самом деле через различные шаги уводит на платформу стандартного онлайн-казино. За несколько дней этот канал собрал несколько тысяч подписчиков. Всего за счет трех эмодзи.

3️⃣ Некоторые каналы (и мы, спасибо читателям) обратили на это внимание и заменили паки на собственные. Наш мы так и назвали — «безопасный» (кстати, его установили себе около 20 пользователей, а сколько установили оригинальный — загадка). Другие каналы, узнав об этом, удалили публикации или эмодзи в них.

4️⃣ Чего не произошло, а могло бы. Помимо того, что у паков можно обновлять названия — в них можно менять и сами эмодзи, а также добавлять новые. На примере котиков из начала объяснения — заменить их всех на песиков 🐈 —> 🐕 (сильно не переживайте, в уже размещенных эмодзи котики останутся, изменения будут только в новых публикациях). А дальше у кого на что хватит фантазии — вплоть до размещения фишингового QR-кода, состоящего из эмодзи.

💡 Такие механики — наглядный пример того, как даже без взлома можно использовать доверие аудитории в своих целях. Поэтому перед публикацией любого хайпового контента стоит оценивать риски, даже если на первый взгляд все выглядит безобидно (для себя тоже выводы сделали).

@Positive_Technologies

Дорогу молодым ученым 🎓

Кибератаки давно перестали быть только технологической проблемой. Они напрямую влияют на бизнес-процессы, экономику, общественные отношения и устойчивость государственных систем. При этом понятных и признанных индустрией подходов к оценке таких последствий нет.

Чтобы решить эту проблему, мы решили обратиться к молодым ученым. И для этого совместно с НИУ ВШЭ запускаем междисциплинарный научно-исследовательский конкурс «Разработка моделей прогнозирования и оценки последствий кибератаки».

Общий грантовый фонд — 3 000 000 рублей 🤑

Участники смогут предложить свои подходы к анализу социальных, экономических и политических эффектов киберугроз.

Конкурс включает три тематические номинации — в каждой выберем по одному победителю с вознаграждением в 1 000 000 рублей. Работы будет оценивать экспертный совет, в который войдут представители индустрии кибербезопасности, государственных органов и научного сообщества.

Номинации

• Разработка модели оценки каскадных финансово-экономических и социально-политических последствий киберинцидентов.

• Моделирование экосистемных эффектов инвестиций в информационную безопасность.

• Разработка геополитической прогностической модели кибератак.

🏆 Победители получат финансирование и смогут работать под руководством опытных научных наставников. Отдельный приоритет — междисциплинарность: приветствуем команды из разных университетов и научных областей.

Прием заявок открыт до 15 мая, подробности — на сайте НИУ ВШЭ.

Поддерживая этот конкурс, мы хотим помочь молодым ученым включиться в решение действительно значимой для отрасли задачи.

Верим, что именно на стыке науки, практики и разных дисциплин смогут появиться решения, которые будут реально работать на уровне всей индустрии 🍸

@Positive_Technologies

⚡ PT X предотвратил APT-атаку на российскую компанию

К взлому причастна хакерская группировка PhantomCore — на момент обнаружения злоумышленники уже две недели находились внутри сети.

Рассказываем, как развивались события

1️⃣ В январе, на этапе инсталляции PT X, была выявлена нетипичная активность на защищаемых с применением MaxPatrol EDR хостах.

2️⃣ Уже через 15 минут клиент получил рекомендацию заблокировать доменную (с наивысшими привилегиями) учетную запись подозрительного администратора. Вскоре инцидент был подтвержден — команда клиента и специалисты PT X приступили к локализации и сдерживанию атаки.

3️⃣ Параллельно к расследованию подключилась команда PT ESC IR. Эксперты провели атрибуцию и установили, что за атакой стоит группировка PhantomCore — она уже несколько лет атакует российские организации в сферах госуправления, судостроения, добывающей промышленности и ИТ. Основной мотив — кибершпионаж.

4️⃣ Точкой входа в инфраструктуру стала уязвимость в платформе видео-конференц-связи.

5️⃣ Расследование и локализация инцидента заняли несколько дней. Параллельно продолжалось внедрение PT X, команда помогала усиливать защиту компании. За сутки удалось лишить злоумышленников доступа к инфраструктуре.

🕵️ Что показало расследование: злоумышленники воспользовались недостатками защиты инфраструктуры, запустили вредоносное ПО с управляющего сервера и получили пароли доменного администратора.

Слабое сетевое сегментирование и отсутствие разделения привилегий позволили им развивать атаку внутри сети с помощью утилиты atexec.py. В числе скомпрометированных активов оказались один из контроллеров домена и служба сертификации Active Directory.

До момента обнаружения атакующие оставались незамеченными в течение двух недель — до того, как скомпрометированные хосты попали под защиту PT X.

😎 Что по итогу: наши эксперты не только успели вовремя остановить атаку (до нанесения существенного ущерба), но и дали рекомендации по усилению безопасности ИТ-инфраструктуры, чтобы снизить риск повторения подобных инцидентов.

В нашей практике часто встречаются компании, которые откладывают кибербезопасность на потом. Аргументы обычно одни и те же: «мы не интересны хакерам», «есть более крупные цели», «защита — это сложно и дорого». Но это заблуждение: в фокусе злоумышленников — не только крупный, но и средний и малый бизнес. И этот пример — тому доказательство.

Сегодня компаниям нужны решения, которые обеспечивают защиту 24/7 и дают результат при соблюдении киберминимума — без необходимости строить собственный SOC и расширять штат ИБ-специалистов. Именно таким решением является PT X.

Кроме того, мы предлагаем клиентам PT X выйти на кибериспытания — проверить возможность реализации недопустимого события с помощью белых хакеров. Если им удастся его реализовать — вознаграждение выплатим мы (спойлер: платить мы не любим).

😮 Хотите попробовать PT X в деле? Оставьте заявку на нашем сайте.

#PTX
@Positive_Technologies

🙈 Как перестать сканировать «вслепую» и навести порядок в управлении активами и уязвимостями?

Представьте: у компании есть десятки или сотни систем — серверы, приложения, базы данных. Но точного списка нет: все постоянно меняется, и часть активов теряется.

На практике мы часто видим, что управление активами (Asset Management) и уязвимостями (Vulnerability Management) идут отдельно друг от друга. В результате приоритеты сбиваются: одни системы вообще не проверяются, другие — сканируются слишком часто.

В итоге — неполная картина, лишние сканы и пропущенные угрозы.

🎤 На вебинаре 16 апреля в 14:00 покажем, как это исправить

• Наши эксперты расскажут, как построить «живую» модель активов — не просто список IP, а понятную структуру инфраструктуры.

• Как на ее основе выбирать правильные профили сканирования — в чем отличия audit, pentest и blackbox, а также для каких задач их использовать.

• Как распределить усилия: где достаточно минимального сбора данных, а где действительно нужны более глубокие знания об активах.

• И как связать все это в единый логичный процесс в MaxPatrol VM.

➡️ Регистрируйтесь заранее на нашем сайте, если хотите начать управлять активами и уязвимостями осознанно.

#MaxPatrolVM
@Positive_Technologies

👾 Как устроена наша антивирусная лаборатория

В июле ей исполнится год. Мы и раньше занимались исследованием вредоносов, но с запуском лабы это направление вышло на новый космический уровень 🌕

Чтобы быстрее и качественнее находить неизвестное ВПО, количество которого в мире ежедневно увеличивается на 300-500 тысяч (!) вредоносных файлов, команда создала несколько сервисов, умеющих быстро анализировать большие массивы данных.

Одновременно они усилили не только «добычу» образцов, но и автоматизировали систему детектирования, благодаря чему мы анализируем в четыре раза больше зловредов, антивирусная база постоянно пополняется, а экспертиза в наших продуктах обновляется в два раза быстрее.

В коротком видео ребята из лабы рассказывают, как она устроена, каким образом распределены роли и ответственность, над чем они работают каждый день, и поделятся мыслями о том, хочется ли им, чтобы новое ВПО больше не появлялось.

Каждому, кто досмотрит до конца, покажем мастер-класс от экспертов по борьбе с червями и троянами 🪱 🐴

#PositiveЭксперты
@Positive_Technologies

👋 Знакомьтесь, MaxPatrol 360 — наша новая знаменитость система для централизованной работы с инцидентами

Мы всегда стараемся слышать клиентов и ориентироваться на их потребности. Многим компаниям, успешно внедрившим СЗИ и собравшим сильную команду SOC, не хватало для работы своеобразного координатора или дирижера.

После детекта нужно убедиться, что активность вредоносная, оповестить людей, собрать контекст, запустить меры реагирования... Для этого процессы и взаимодействие в команде должны быть выстроены идеально.

С этим и помогает наше зонтичное решение, связывающее все этапы работы с инцидентами в единый управляемый поток и снимающее с аналитиков рутинную нагрузку.

👍 Подробнее о нем планируем рассказать на лонче, который состоится 23 апреля в 14:00 мск.

Вы узнаете:

1️⃣Как MaxPatrol 360 позволяет управлять экспертизой через одно окно, унифицируя детекты из разных средств защиты, и дает рулить всеми процессами из единой консоли

2️⃣ Как автоматизировать рутинные действия при помощи плейбуков и как они помогают зафиксировать сценарии обработки инцидентов

3️⃣ Как обеспечивать прозрачность SOC-процессов через удобную систему тикетов и дашборды

На лонче мы подробно поговорим о проблемах классического SOC и о том, как перезагрузка при помощи MaxPatrol 360 помогает с ними справиться.

Регистрируйтесь уже сейчас — и до встречи через неделю!

#MaxPatrol360
@Positive_Technologies

Аватар: легенда о слитом мультфильме

На днях в сети появилась полная версия мультфильма «Легенда об Аанге: Последний маг воздуха» — за полгода до официального релиза, который должен был состояться 9 октября. Такое мы осуждаем, но мультфильм получился достойным.

Что произошло 🥷

Все началось 12 апреля, когда в сети появились фрагменты из будущего мультика — до этого было известно только его название и дата релиза; не было даже трейлера.

Есть две версии, как это вышло — обе неофициальные: компании Paramount, Nickelodeon и Avatar Studios пока что не прокомментировали утечку.

Серьезная версия: к краже причастна группировка PeggleCrew. Она решила отомстить Paramount за то, что та отказалась показывать мультфильм в кинотеатрах и решила выпустить его только на платформе Paramount+, доступной в основном в США.

Как пишут СМИ, группировка получила доступ к серверам Nickelodeon, откуда и смогла загрузить мультфильм, который еще был в стадии постпродакшна.

Забавная версия: пользователь ImStillDissin, опубликовавший фрагменты, сообщил, что получил фильм случайно по электронной почте от Nickelodeon.

🤷‍♀️ Где правда — мы не знаем. Но художники и аниматоры мультфильма очень недовольны. Уверены, что и студии тоже.

«Мне не нравится, когда люди используют ужасное решение Paramount для того, чтобы оправдывать утечку. <...> Это невероятное неуважение по отношению к тем усилиям, которые все художники вложили в этот фильм», — написала художник-аниматор Джулия Шоэль в своем аккаунте X.

А что пираты: ImStillDissin заявил, что не ожидал такого резонанса. Российские кинотеатры сообщили, что будут показывать мультфильм уже в апреле — хотя он был слит в качестве, неподходящем для показа на больших экранах.

Такое уже было:

1️⃣ Одна из самых громких утечек фильмов случилась в 2009 году — хакеры слили в сеть «Люди Икс: Начало. Росомаха» за месяц до релиза. В этой версии отсутствовала большая часть спецэффектов и некоторые сцены. Кстати, случилось это тоже в апреле — первого числа, что изначально посчитали шуткой. Сообщалось, что утечка произошла не из-за внешнего взлома, а из-за недостаточной защиты передачи превью-версии фильма.

2️⃣ В 2014 году у Sony Pictures украли и слили в сеть несколько фильмов, среди которых были «Ярость» и «Интервью» — про лидера КНДР. Официально ФБР сообщило, что за взломом стояли хакеры из КНДР, которые были недовольны выходом фильма, однако эта версия оспаривалась специалистами по кибербезопасности.

3️⃣ Квентин Тарантино чуть не отказался от съемок фильма «Омерзительная восьмерка» из-за утечки сценария в 2014 году. Когда он был готов, PDF-файл с ним начал распространяться в сети — скорее всего из-за человеческого фактора. Фильм все же сняли, но после того, как сценарий был переписан.

Что посоветуем: не отправляйте копии фильмов и сценариев по электронной почте и не злите фанатов 😉

P.S.: Фильм «Как получить доступ ко всему: реверс-инжиниринг» в сеть мы слили самостоятельно, смотрите его на любых удобных для вас платформах бесплатно.

@Positive_Technologies

Юбилейная кибербитва Standoff 😼

В этом году нашей кибербитве исполняется 10 лет. За это время Standoff вырос в одну из крупнейших мировых площадок, где белые хакеры проверяют кибербез не на бумаге, а в реальном бою.

С 2016 года в битве приняли участие более 7500 экспертов со всего мира, а свыше 500 компаний прокачали киберустойчивость, отточив навыки своих команд.

Следующая кибербитва — Standoff 17 — пройдет с 16 по 19 июня в Кибердоме. И мы хотим сделать ее по-настоящему легендарной.

Вот что ждет участников:

⌨️ Киберсражение развернется в виртуальном Государстве F — на киберполигоне с инфраструктурой разных отраслей: от энергетики и железнодорожного транспорта до телекома и банков.

⌨️ Максимум реализма: будут воссозданы настоящие процессы и технологии, включая ПЛК и SCADA.

⌨️ Атаковать их будут 25 красных команд из Вьетнама, Индонезии, Монголии, Китая, Нидерландов, Узбекистана и России.

⌨️ Сильнейшие команды атакующих разделят призовой фонд в 50 000 $. Им предстоит реализовать более 70 критических событий — от получения доступа к системам до нарушения бизнес-процессов.

⌨️ Защитники — команды российских специалистов по ИБ — будут в реальном времени выявлять, разбирать инциденты и реагировать на атаки.

👀 И главное — вы сможете увидеть все своими глазами. Доклады про кибериспытания, цифровые копии систем и нейронки, а также мастер-классы и конкурсы по кибербезу — все это будет доступно гостям кибербитвы.

Как попасть — скоро расскажем 🔜

#Standoff
@Positive_Technologies

⚡ Мы разработали ByteDog — нейросеть для поиска вредоносов

Она построена на архитектуре трансформеров — той же, что используют большие языковые модели. Но ее ключевая особенность в том, что вместо текста или изображений ByteDog анализирует файлы напрямую — в виде байтов.

За счет этого ByteDog находит вредоносное ПО на 20% точнее, чем классические модели машинного обучения. Это первая подобная разработка в кибербезопасности в России и Европе. И она будет внедрена в наши продукты и сервисы.

Как это работает 🤖

Представьте: вам приходит файл, похожий на счет от подрядчика, но внутри — вирус. Классическому антивирусу нужно время: распаковать файл, извлечь код, прогнать через набор правил.

ByteDog пропускает эти шаги. Нейросеть сразу анализирует файл так же, как его видит операционная система, — как последовательность байтов. И находит признаки вредоносного кода, даже если он хорошо замаскирован.

«Обучение и тестирование ByteDog проводились на образцах из реальных киберинцидентов на протяжении года. Модель продемонстрировала превосходство над классическими ML-моделями по качеству детектирования и скорости анализа — разница составила более 20%. ByteDog будет интегрирована в ряд продуктов и сервисов Positive Technologies по обнаружению киберугроз», — отметил Андрей Кузнецов, ML-директор Positive Technologies.

В чем ноу-хау:

1️⃣ Раньше ИИ в кибербезе требовал ручной подготовки данных под каждый новый вид вирусов. Специалисты заранее выделяли признаки, по которым обучали модель отличать вредоносный код от обычного.

2️⃣ ByteDog убирает этот этап. После обучения она анализирует файлы напрямую — в том виде, как они есть на компьютерах, смартфонах, в облаке или интернете.

3️⃣ Модель способна сама учиться находить закономерности, экстраполировать их и обнаруживать угрозы, которые ранее не встречались в данных. Этим она превосходит системы, основанные на жестких, фиксированных правилах. Это похоже на то, как языковые модели учатся понимать текст без знания грамматики — просто анализируя последовательности символов. Только здесь вместо слов — байты.

4️⃣ Главная техническая сложность — длина входных данных. Если языковые модели работают с десятками тысяч токенов, то файлы — это миллионы байтов, ни один из которых нельзя пропустить. ByteDog решает эту проблему: анализирует файлы фрагментами и собирает общую картину.

5️⃣ Еще одна особенность — для работы не нужен графический ускоритель: уже обученную модель можно запускать прямо на устройствах пользователей — компьютерах и смартфонах.

Гордимся нашей командой, которая смогла разработать и обучить собственную модель с нуля. Дальше — больше 💪

@Positive_Technologies

< Почему нельзя продавать старые смартфоны…
пока не посмотрите это видео 😏

Обновили телефон после праздников? Поздравляем! Решили продать старый? Не спешите — вместе с ним вы можете продать и свои данные.

😮 Мы провели эксперимент: купили 30 смартфонов на «Авито» — с разбитыми экранами, убитой батареей, проблемами с запуском операционной системы и просто старые, но рабочие.

Почти во всех осталось главное — данные: SMS, история звонков, фото и видео, переписки в мессенджерах, контакты и даже логины и пароли от онлайн-сервисов.

Причина простая: владельцы продавали устройства, не задумываясь о их правильной очистке.

Более того, иногда они сами передают пароли от телефона и аккаунтов, не задумываясь о последствиях. А это уже доступ к облачным бэкапам и возможность удаленно управлять другими устройствами, привязанными к одной учетке.

Как продать смартфон безопасно — за 70 секунд объясняет Виталий Титаренко из РТ ESC.

@PHDays

В PT Dephaze появились новые векторы атак 🗡

Мы добавили в наш продукт для автопентеста внутренней инфраструктуры сценарии реальных атак на продукты Microsoft, а также поддержку пользовательских словарей паролей.

Рассказываем, зачем это нужно:

1️⃣ Обновленная версия безопасно проводит киберразведку систем на Windows и, действуя как настоящий злоумышленник, показывает, как можно похитить сессии привилегированных пользователей (учетных записей с расширенными правами доступа).

2️⃣ Добавлены новые техники атак на Active Directory (систему управления пользователями, устройствами и доступами в корпоративной сети). Продукт может получать хеши паролей через NTP (протокол синхронизации времени) и повышать привилегии через инфраструктуру сертификатов Microsoft. Если в ходе тестирования удается захватить домен, это указывает на серьезные ошибки конфигурации.

3️⃣ Теперь можно проверять защищенность системы управления устройствами Microsoft (SCCM). Уязвимость CVE-2024-43468, обнаруженная в прошлом году, позволяла неподтвержденному пользователю получить полный контроль над системой и загрузить вредоносное ПО. Несмотря на то, что исправления уже выпущены, в компании может использоваться уязвимая версия SCCM — PT Dephaze это покажет.

4️⃣ Добавили возможность загружать собственные словари паролей — например, из утечек или с популярными комбинациями. Благодаря этому тестирование методом подбора учетных данных становится более приближенным к реальным условиям конкретной компании. Продукт использует словари для перебора хешей и проверки доступов по протоколам SMB (сетевой доступ к файлам), SSH (удаленный доступ к серверам), RDP (подключение к рабочему столу) и многим другим.

5️⃣ Появилась функция согласования расширения области тестирования. Она нужна для дополнительных целей, которые PT Dephaze может определить самостоятельно, но далее потребуется ваше подтверждение. Это делает работу продукта более прозрачной, а автопентесты — более управляемыми.

😈 Узнать больше о PT Dephaze можно на нашем сайте.

#PTDephaze
@Positive_Technologies

Сегодня мы представили MaxPatrol 360 — единую систему для управление расследованиями и операционной работой SOC

Ее главное предназначение — сделать жизнь подразделений SOC проще, а работу эффективнее, в том числе за счет автоматизации рутинных процессов.

👅 Все СЗИ говорят на одном языке

Представьте обычное утро аналитика SOC. Он наливает чашку кофе, включает компьютер… и на несколько часов оказывается погребен под завалами оповещений от разных систем защиты информации. Все алерты — в разных интерфейсах и не связаны между собой единым контекстом.

Например, причина срабатывания NTA- и SIEM-систем может быть одной и той же, но это будет ясно не сразу, а только тогда, когда аналитик разберет оба оповещения, потратив на это в два раза больше времени. Это как читать одну и ту же новость одновременно на турецком и китайском, пытаясь вникнуть в ее смысл, — непросто.

MaxPatrol 360 решает эту проблему. Он централизованно собирает информацию со всех средств защиты, установленных в инфраструктуре. Причем это могут быть и решения Positive Technologies и продукты других вендоров, с которыми он может легко «подружиться» через открытый API (он же позволяет клиентам и интеграторам самостоятельно писать и добавлять необходимые интеграции и коннекторы). Система унифицирует все детекты и показывает аналитику в едином окне, избавляя от необходимости разбирать их вручную.

🎮 Управлять безопасностью можно из одного центра

Еще одна забота аналитика SOC — видеть цельную картину всего происходящего в инфраструктуре компании. А это бывает непросто, если она многослойная и разветвленная.

Чтобы не приходилось складывать этот пазл вручную, мы построили архитектуру MaxPatrol 360 по принципу мультитенантности — возможности обслуживать множество независимых организаций или связанных между собой подразделений.

Это позволяет централизованно управлять десятками инфраструктур внутри одной системы. А одни и те же модели поведения и виды вредоносной активности, зафиксированные в разных организациях, система обрабатывает единообразно и в режиме одного окна. Поэтому MaxPatrol 360 подходит всем компаниям и ведомствам с разветвленной инфраструктурой или сетью филиалов. А также тем, кому необходимо в рамках единой инфраструктуры выстраивать процессы SOC и автоматизировать их.

Что важно: аналитик может не только видеть цельную картинку, но и реагировать на инциденты из этого же центра управления полетами. И одинаково быстро останавливать и злоумышленников, пытающихся взломать центральный офис, где он сам работает, и атаку на филиал где-нибудь во Владивостоке.

🌉 Мост между ИБ и ИТ

Тем временем наш гипотетический аналитик запасся вторым кофе и отправился проверять тикеты на закрытие уязвимостей, заведенные аж в трех системах для трех разных команд. Это существенно затрудняет их приоритизацию и отслеживание.

Мы добавили в MaxPatrol 360 удобную систему тикетов и дашборды. Благодаря этому его можно использовать для автоматизации внутренних запросов отдела ИБ, для обеспечения коммуникации между ИБ и ИТ, а также для взаимодействия с регуляторами (НКЦКИ, ГосСОПКА и ФинЦЕРТ) посредством встроенных расширений.

Установить систему, которая обеспечит полный цикл обработки инцидентов, можно всего за час, а начать работу — в несколько кликов, если ваша инфраструктура и СЗИ к этому подготовлены.

Всем аналитикам SOC, которые узнали себя, сочувствуем оставляем ссылку на «пилот» MaxPatrol 360.

#MaxPatrol360
@Positive_Technologies

Сколько стоит взломать ваш бизнес

Ответ — в интервью Дениса Баранова, генерального директора Positive Technologies, для программы «Бизнес в~Праве». Рекомендуем посмотреть его всем, кто хочет понять, что на самом деле важно для защиты любой компании.

А здесь — делимся главным.

👽 О мотивации злоумышленников

За время мотивация киберпреступников заметно эволюционировала. Сначала они разбирались, как системы устроены изнутри, — и это до сих пор остается базовым хакерским навыком.

Позже на первый план вышли деньги: кражи, вымогательство, монетизация взломов. Сегодня, по крайней мере в отношении России, мотивация снова сместилась: злоумышленники приходят либо за нанесением ущерба, либо за данными.

При этом размер бизнеса все меньше влияет на выбор цели. Жертвами могут стать как крупная электростанция или банк, остановка работы которых приведет к серьезным последствиям, так и небольшая компания, у которой можно украсть базы сотрудников и клиентов. И то, и другое может быть использовано противоположной стороной в кибервойне.

По сути, специалисты по кибербезопасности работают как коммунальные службы, для которых важно, чтобы, несмотря ни на что, был свет, текла вода и вывозился мусор. Мы точно так же пытаемся остановить разрушение цивилизации, которое может произойти в результате кибератак.

🙅‍♂️ О предотвращении недопустимого

Подход к киберзащите изменился. Средства прошлого поколения были ориентированы на цифровую гигиену — защиту от массовых атак и контроль паролей. Эти меры по-прежнему важны, но их недостаточно.

Когда руководители говорят: «Вот бюджет — сделайте так, чтобы нас нельзя было взломать», это устаревшая постановка задачи. Теперь мы спрашиваем: «Какие события для вас действительно недопустимы?» — и строим защиту вокруг того, чтобы они стали невозможными.

Этот подход мы сначала опробовали на себе: спросили у разных подразделений, что в их представлении недопустимо. Но быстро поняли, что набор мелких инцидентов (вроде подмены контента на сайте или взлома CRM-системы) не отражает реальной картины. Важно смотреть, что действительно может уничтожить бизнес, — с уровня генерального директора.

Например, в нашем случае к недопустимым событиям относятся хищение более чем 1 млрд рублей со счетов или внедрение вредоносного кода в исходный код продуктов.

🤬 Оценка эффективности защиты 🐧

Эффективность защиты лучше всего проверяется в условиях, максимально приближенных к реальным. Один из вариантов — проводить киберучения с помощью пентестеров.

Сейчас же все чаще используются кибериспытания, которые могут идти непрерывно. Компания объявляет вознаграждение за демонстрацию того, что реализовать недопустимое для нее событие возможно. А белые хакеры не просто ищут одну уязвимость, а выстраивают целые цепочки атак, которые могут им помочь.

Размер вознаграждения напрямую влияет на уровень подготовки специалистов. Например, стартовая сумма в 1 млн рублей привлекает новичков. На уровне 20 млн рублей подключаются уже более опытные команды. Верхнюю планку можно поднимать до необходимого уровня сложности.

Для понимания: за реализацию наших недопустимых событий мы готовы заплатить 60 млн рублей, и за последние три года эти деньги никто не получил.

🤝 ИИ — друг или враг?

Технологический прогресс неизбежен, и запрещать ИИ — примерно то же самое, что запрещать паровозы или автомобили, потому что есть лошади. Мы уже в этой реальности, вопрос лишь в том, как в ней безопасно существовать.

Разработчики используют ИИ для генерации частей кода, в перспективе нейросети смогут писать приложения целиком. Проблема в том, что почти никто не проверяет безопасность написанного. По мировой статистике, такой код содержит уязвимости примерно в 40% случаев, по нашим оценкам — в 65%. Поэтому необходим полноценный аудит безопасности, который сейчас могут делать только люди.

В будущем могут появиться системы, в которых одна нейросеть генерирует код, а другая проверяет его безопасность. Но смогут ли люди доверять таким системам, если сами перестанут разбираться в коде?

Больше интересного — в выпуске на «VK Видео».

@Positive_Technologies

4300 объявлений о продаже киберпреступных услуг и 10 выводов

Наши эксперты изучили более четырех тысяч объявлений о продаже киберпреступных услуг за последние два года, размещенных в 38 источниках — крупных теневых форумах, маркетплейсах и Telegram-каналах на разных языках и с разной специализацией.

И вот что им удалось выяснить:

1️⃣ Киберпреступность окончательно закрепилась как сервисная модель и продолжает усиливаться. Злоумышленники тратят «копейки» на покупку услуг, а зарабатывают на атаках в сотни и тысячи раз больше. При этом инструменты дешевеют, а ущерб растет — и это напрямую драйвит рынок.

2️⃣ Порог входа продолжает снижаться. Даже участники с минимальными навыками могут запускать атаки, используя готовые сервисы. А рынок становится все более специализированным: достаточно быть экспертом лишь в одной области, чтобы монетизировать свои навыки.

3️⃣ Самые доступные предложения — аренда инфраструктуры (8 $), DDoS-атаки (20 $), логи стилеров (20 $). Это основа для проведения низкоквалифицированных, но массовых атак.

4️⃣ Самый дорогой сегмент — эксплойты: медианная цена — 27 500 $, а 35% предложений стоят дороже 100 000 $. При этом распространение эксплойт-китов по подписке от 500 $ в месяц снижает порог входа и в этот сегмент.

5️⃣ Рынок движется к модели cybercrime as a platform — то есть к единым экосистемам, где разные этапы атаки объединяются в один сервис.

6️⃣ Уже происходит объединение сервисов в единые услуги. Так, продажа логов стилеров постепенно объединяется с проверкой учетных данных, а услуги вымогателей — с продажей доступов.

7️⃣ ИИ уже встроен в процессы злоумышленников: он используется для персонализации фишинга, генерации кода, коммуникации с жертвами. В перспективе он усилит все этапы атаки, а автономные ИИ-агенты помогут собирать результаты услуг в полноценную атаку.

8️⃣ Сегменты рынка будут развиваться неравномерно. Зрелые услуги — аренда инфраструктуры, вымогатели, фишинг, разработка и эксплуатация готового ВПО — продолжат развиваться как полноценный бизнес.

9️⃣ Продолжают набирать популярность и развиваться услуги по обходу средств защиты, выпуску сертификатов и криптованию ВПО: EDR-киллеры (2250 $), криптование ВПО (150 $ за файл или от 1000 до 5000 $ по подписке), подпись кода (2150 $ за сертификат).

🔟 Разведка становится самостоятельным сервисным сегментом. Развитие технологий автоматизации и использование моделей ИИ может привести к появлению сервисов, способных выполнять OSINT-задачи в автоматическом режиме, агрегировать данные из различных источников и формировать готовые разведывательные отчеты.

Сколько же стоит провести атаку? 🤑

Наши эксперты смоделировали несколько типовых сценариев и оценили стоимость используемых для них инструментов и сервисов.

🎣 Фишинговая кампания для кражи корпоративных учетных данных с их последующей перепродажей потребует примерно 158 $, при этом затраты окупятся уже после первого полученного доступа.

💸 Атака на небольшую организацию с применением программы-вымогателя обойдется в 358 $, а против крупного бизнеса с профессиональной командой по ИБ — примерно в 3900 $.

👾 Целевое проникновение в надежно защищенную инфраструктуру с использованием ранее неизвестной уязвимости оценивается примерно в 33 тыс. $.

Ущерб компаниям 💥

Медианная сумма выкупа, которую компании-жертвы выплатили хакерам в прошлом году, составила 115 тыс. $. Этим тратам сопутствуют операционные потери и расходы на восстановление систем после инцидента. В 2025 году они в среднем составляли 1,5 млн $. Таким образом, если атака пройдет успешно, потенциальная прибыль злоумышленников и ущерб жертве на несколько порядков превысят затраты на проведение кибератаки.

А что делать? 😱

Чтобы эффективно бороться со злоумышленниками, службы ИБ должны регулярно мониторить дарквеб и связанные с ним каналы коммуникации. А компаниям нужно больше обмениваться информацией друг с другом, с исследовательскими организациями и правоохранительными органами.

🫱 Подробности (с примерами и скриншотами) ищите в полной версии нашего исследования.

@Positive_Technologies