🌏 Да начнется международная кибербитва Standoff 14!

Соревнования в онлайн-формате продлятся до 29 ноября, а победителей ждет призовой фонд на общую сумму 50 000💵.

В Standoff 14 участвуют:

🥷 48 красных команд из Бангладеш, Вьетнама, Египта, Индии, Индонезии, Казахстана, Кении, Китая, Малайзии, Нигерии, Пакистана, Польши, Португалии, Таиланда, Узбекистана, Филиппин, Франции, Эфиопии и Южной Африки.

Им предстоит атаковать инфраструктуру виртуального государства F, где максимально реалистично воссозданы копии ИТ-систем компаний из разных отраслей: энергетики, нефтегаза, финансового сектора и сферы ИТ.

Среди критических инцидентов, которые могут реализовать атакующие, — отключение всех электрических подстанций, изменение маршрута автономного грузового судна, обход двухфакторной аутентификации при оплате товаров через QR-коды и десятки других, которые могут произойти в реальной жизни.

🕵️‍♀️ 14 синих команд из Эфиопии, Индонезии, Малайзии, Вьетнама, Бангладеш и России.

Их задача — выявлять и расследовать кибератаки. Одна из команд в специальном режиме реагирования также может отражать и блокировать действия атакующих. Участие в кибербитве позволяет командам надежно защищать свои компании и повышать квалификацию.

👀 Следить за ходом кибербитвы вы можете на нашем сайте и во время ежедневных прямых эфиров из студии аналитики Standoff Insider c 17:30 до 19:00 (напоминание о начале стримов можно подключить там же, на сайте кибербитвы).

#Standoff14
@Positive_Technologies

❓ Как ваша компания управляет активами?

Мы сейчас не о финансах, а обо всех составляющих ИТ-инфраструктуры, подключенных к сети: компьютерах, серверах, сетевом оборудовании и так далее.

Без полных знаний о них не получится эффективно отслеживать и агрегировать события со всех источников, управлять инцидентами, проверять соответствие устройств политикам безопасности, отслеживать уязвимости и оценивать риски 🔍

Считаем, что разрабатывать решения в отрыве от рынка — невозможно и нерационально. Ведь именно эксперты и пользователи, работающие с активами каждый день, больше остальных знают о том, как делать это эффективнее, быстрее и удобнее.

Просим вас поделиться опытом и лайфхаками, пройдя наш опрос (это займет не более 10 минут), и заранее благодарим за помощь ❤️

@Positive_Technologies

8️⃣ Кажется, это было еще вчера... Мы запустили PT ISIM 28 ноября 2016 года, а сегодня празднуем его восьмилетие!

Немного истории

В 2014 году команда пентестеров Positive Technologies нашла в одной из интеллектуальных транспортных систем несколько серьезных багов. Настолько серьезных, что обнаружь их злоумышленники, это могло бы обернуться серией катастроф.

🏭 Клиенты попросили помочь залатать брешь, но так, чтобы не пришлось тестировать и «раскатывать» эти обновления в системе много лет. Так появился PT Industrial Security Incident Manager (PT ISIM) — сторонний «наблюдатель», помогающий отслеживать даже растянутые во времени цепочки атак на автоматизированные системы управления.

🔍 Как терпеливый детектив, он наблюдает за хакерами. Если они, к примеру, в январе отправили первый пакет, подбирая логин, а в июле — следующий, проверяя пароль, в общей картине такая активность может потеряться. Но PT ISIM мониторит все подозрительные события в промышленном трафике (нелегитимные операции, действия злоумышленников, активность ВПО), собирает их в единую цепочку и сигнализирует об опасности.

Что изменилось

🔝 За восемь лет PT ISIM очень подрос. Сейчас он применяется очень широко: в добывающей отрасли, на промышленных предприятиях и объектах КИИ, в системах управления инженерной инфраструктурой, в сетях медицинских учреждений — везде, где нужен контроль безопасности технологических сетей. Продукт всегда в тренде: например, как только появилась необходимость работать под Astra Linux, мы дали пользователям такую возможность.

🔎 Мы существенно расширили экспертизу, добавив в нее поддержку автоматизированных систем управления технологическим процессом (АСУ ТП) от большинства производителей, и постоянно совершенствуем правила, протоколы и базу сигнатур.

PT ISIM последней версии умеет подключать к одной управляющей консоли сенсоры, установленные в нескольких организациях или предприятиях, и разграничивать доступ к ней между аналитиками SOC и ИТ-администраторами. А еще — автоматически скачивать с серверов Positive Technologies и мгновенно распространять на все сенсоры обновления базы экспертных правил.

Мы продолжаем совершенствовать продукт и делать его еще круче! Пишите в комментариях, что бы вы хотели увидеть в следующих обновлениях PT ISIM, а мы обязательно передадим эти пожелания (почти что на день рождения) разработчикам.

#PTISIM
@Positive_Technologies

📑 TaxOff: кажется, у вас… бэкдор

В третьем квартале специалисты TI-департамента экспертного центра безопасности Positive Technologies (PT Expert Security Center, PT ESC) обнаружили серию атак, направленных на государственные структуры России. Связей с уже известными группами, использующими такие же техники, нам установить не удалось.

😐 Основными целями киберпреступников были шпионаж и закрепление в системе для развития последующих атак. Эту группировку мы назвали TaxOff из-за использования писем на правовые и финансовые темы в качестве приманок. В своих атаках злоумышленники применяли написанный минимум на C++17 бэкдор, который мы назвали Trinper из-за артефакта, используемого при соединении с C2-сервером.

📩 Начальный вектор заражения — фишинговые письма. Мы обнаружили несколько таких: в одном была ссылка на Яндекс Диск с вредоносным содержимым, связанным с «1С», в другом — фальшивый установщик ПО для заполнения справок о доходах и расходах, которые госслужащим необходимо подавать каждый год. И ежегодно это ПО обновляется и становится целью злоумышленников, распространяющих вредоносы под видом обновлений.

Trinper — написанный на C++ многопоточный бэкдор с гибкой конфигурацией, в котором используются шаблонный метод в качестве паттерна проектирования, контейнеры STL, буферный кэш для повышения производительности.

🧐 Подробный анализ бэкдора и действий группировки TaxOff, а также индикаторы компрометации вы можете найти в отчете.

#TI #APT #IOC #Reverse
@ptescalator

🤖 Искусственный интеллект не только идеальный помощник, но и прекрасный сообщник для хакеров

В новом исследовании наши коллеги проанализировали, в каких кибератаках и для чего злоумышленники уже применяют ИИ, а также рассказали о его пока не реализованном потенциале.

❗️ Сегодня такие технологии задействованы в 5% всех техник MITRE ATT&CK, еще для 17% доказана возможность использования искусственного интеллекта. По прогнозу экспертов Positive Technologies, киберпреступники смогут найти ИИ применение во всех тактиках из базы MITRE ATT&CK, а также в 59% техник.

🤖 Что умеет ИИ

Разработчики больших языковых моделей (LLM) закладывают в них правила, не дающие создавать вредоносный контент (например, писать фишинговые тексты или код для ВПО), но хакеры научились обходить эту защиту.

Обращение к LLM помогает начинающим киберпреступникам, не имеющим специальных навыков и ресурсов, найти слабые места в плане проведения атаки, ускорить подготовку к ней и упростить реализацию. А для более опытных такие помощники пишут скрипты и даже частично автоматизируют атаки.

Подробные и очень интересные примеры применения ИИ ищите в исследовании. А тут — коротко о том, что он может делать как помощник киберзлодеев 😈:

⚫️ Собирать данные о жертве из открытых источников и составлять ее профиль.
⚫️ Искать и эксплуатировать простые уязвимости.
⚫️ Массово генерировать фишинговые сообщения и контент для сайтов.
⚫️ Создавать аудио- и видеодипфейки.
⚫️ Автоматизированно поддерживать диалог.
⚫️ Писать и модифицировать вредоносный код.

😨 Стоит ли бояться

«Высокий потенциал искусственного интеллекта в кибератаках не повод для паники, — комментирует ситуацию аналитик исследовательской группы департамента аналитики Positive Technologies Роман Резников. — Нужно реалистично смотреть в будущее, изучать возможности новых технологий и системно заниматься обеспечением результативной кибербезопасности. Логичная контрмера атакующему ИИ — более эффективный ИИ в защите, который поможет преодолеть нехватку специалистов по кибербезопасности через автоматизацию многих процессов».

🎴 Что будет дальше

В ближайшем будущем аналитики ожидают появления отдельных модулей ИИ (какие есть в ряде инструментов ИБ) для решения конкретных задач в уже известных сценариях атак. С течением времени они будут объединяться в кластеры, позволяющие автоматизировать большую часть шагов атаки. Следующая цель после автоматизации — расширение «полномочий» искусственного интеллекта на самостоятельный поиск жертв.

💬 Хотите поговорить об этом?

Ждем вас в 11:00 4 декабря на вебинаре, где можно будет подробнее узнать, какими функциями LLM пользуются злоумышленники, как успешно противостоять таким атакам, и задать вопросы нашим аналитикам.

Регистрируйтесь заранее — и до встречи!

#PositiveЭксперты
@Positive_Technologies

🏆 Рабочая неделя закончилась, а вместе с ней и международная кибербитва Standoff 14

Она получилась очень зрелищной и динамичной, и кажется, что онлайн-формат этому даже поспособствовал! А международные участники показали рекордные результаты за всю историю Standoff.

👏 Кто победил

Всего за чемпионские титулы и призовой фонд в 50 000 $ боролись 48 красных команд. Они реализовали 189 критических событий (35 уникальных) и нашли 319 уязвимостей.

В тройке лидеров:

🥇 DD0ST4R из Казахстана 🇰🇿 (79 989 баллов) получает 20 000 $ за первое место.
🥈 Baguette2Pain из Франции 🇫🇷 (73 345 баллов) — 10 000 $ за второе место.
🥉 mimicats из Казахстана 🇰🇿 (69 391 балл) — 5000 $ за третье место.

Команды, занявшие места с четвертого по восьмое (Vantage Point Security из Индонезии 🇮🇩, PanBobr из Польши 🇵🇱, ChiLL Chain из Узбекистана 🇺🇿, С2 (Chisto na Chili) из Казахстана 🇰🇿 и Redteam VNPT-VCI из Вьетнама 🇻🇳), получат в качестве приза от 500 до 2500 $.

Кроме того, мы вручили дополнительные призы в специальных номинациях:

• First Blood (первый отчет) — команда DD0ST4R (1500 $).
• Лучший дебют — команда ChiLL Chain (1500 $).
• Лучшая команда из Европы — Baguette2Pain (1500 $)
• Лучшая команда из ЮВА — Vantage Point Security (1500 $)
• Превзошли наши ожидания — Redteam VNPT-VCI, 0xZ3rol0g1c из Казахстана 🇰🇿 и r3kapig из Китая 🇨🇳 (по 500 $).

🧑‍💻 Как справились защитники

Все команды мощно проявили себя: расследовали 172 атаки и обнаружили 824 инцидента, а заодно за несколько дней получили опыт, который обычно копится годами. Рассказываем о достижениях по отраслям.

🔌 Энергетика: на защите в режиме мониторинга и реагирования была команда Command and Defend из России 🇷🇺. Ей удалось расследовать все атаки (27), обнаружить 139 инцидентов, из которых 85 были предотвращены.

🛢 Нефтегазовая отрасль: на страже стояла команда Your shell not pass из России 🇷🇺. Ее участники расследовали все атаки (23) и обнаружили 157 инцидентов.

🏦 Банковский сектор защищала команда KARL?! из России 🇷🇺. Ей удалось расследовать 23 из 52 атак и обнаружить 86 инцидентов.

🖥 IT-отрасль защищали 11 команд из Бангладеш, Вьетнама, Индонезии, Эфиопии и Малайзии. За три дня они расследовали 99 атак и обнаружили 442 инцидента.

👀 Подробная итоговая таблица — на сайте кибербитвы. Спасибо всем, кто был с нами

#Standoff14
@Positive_Technologies

⚡ Представьте себе кибератаку... Не получается?

Чтобы понять, как действуют (или могут действовать) хакеры, нужно разбить атаку на этапы и визуализировать каждый из них. В этом специалистам по кибербезопасности помогают разные методы моделирования: темпоральные, основанные на сценариях использования и на графах.

В своей статье на Хабре наш коллега Даниил Нейман из отдела развития инициатив ИБ-сообщества подробно рассказывает о нескольких способах моделирования на графах.

Читайте, чтобы узнать, как делать это при помощи деревьев атаки, неисправностей, событий и решений, сети Петри, графа атаки, а также оценить плюсы и минусы каждого подхода ➕➖

#PositiveЭксперты
@Positive_Technologies

🔄 PT ISIM 5: обзор возможностей следующего поколения продукта

Мы продолжаем совершенствовать нашу систему для мониторинга безопасности промышленных инфраструктур PT Industrial Security Incident Manager (PT ISIM), и в новой версии внедрим PT ISIM Endpoint — компонент для защиты рабочих станций и серверов SCADA.

Присоединяйтесь к вебинару 3 декабря в 14:00, на котором наши эксперты проведут демонстрацию продукта. Вы узнаете, как с помощью PT ISIM 5 можно:

🕵️ Обнаруживать киберугрозы в трафике и на узлах технологической сети.

👀 Выявлять атаки и нелегитимные операции в российских ОС и системах промышленной автоматизации.

🧐 Обнаруживать отклонения в параметрах технологического процесса.

🏭 Регистрируйтесь на вебинар заранее, чтобы не пропустить!

#PTISIM
@Positive_Technologies

😎 Система MaxPatrol VM стала первым VM-решением с искусственным интеллектом в реестре российского ПО

Получить такую отметку позволила бета-версия функции умного поиска информации по активам без использования PDQL-запросов, которая появилась в MaxPatrol VM 2.7.

💡Positive Data Query Language (PDQL) — язык, разработанный в Positive Technologies для написания запросов в MaxPatrol VM в процессе обработки активов и уязвимостей.

Денис Матюхин, руководитель продукта MaxPatrol VM, отметил:

«Умный поиск информации по активам с применением искусственного интеллекта снижает порог входа для пользователей продукта, не требуя от них обязательного изучения языка PDQL для составления распространенных запросов.

Благодаря алгоритмам ИИ, в системе можно быстро находить информацию об активах организации или выявлять необходимые группы данных — например, уязвимости Linux-пакетов на активах или устройства, требующие установки патчей. Это позволяет снизить когнитивную нагрузку на специалистов».

Функция умного поиска информации по активам позволяет использовать текстовые запросы при поиске информации об уязвимостях ПО, критически опасных уязвимостях на устройствах и в устаревшем ПО.

👾 Узнать о MaxPatrol VM больше вы можете на нашем сайте.

#MaxPatrolVM
@Positive_Technologies