⚡️Остался 1 час…

До разбора реального киберинцидента в прямом эфире!

Что происходит, когда у компании нет своей ИБ-команды, а защита ограничивается только антивирусом?

В новом выпуске ток-шоу «Безопасная среда» эксперты крупных компаний разберут реальный кейс из практики «Кибериспытаний».

Как действовал атакующий? Какие уязвимости позволили ему достигнуть цели? Можно ли было предотвратить взлом?

Кейс: реализация НС (полная имитация взлома)
Цель: Остановка производства — ключевой ERP системы.
СЗИ: Исключительно антивирусное ПО.

Вводные:
📎 Компания с полным циклом производства, дистрибьюции и услуг, связанных с этим производством
📎 Имеет разветвленную инфраструктуру, связанную с большим физическим присутствием
📎 Обрабатывает ПДн и имеет в штате несколько сотен сотрудников
📎 Собственная ИБ-команда отсутствует
📎 Много лет на рынке

Наш эксперт:
📢 Иван Бобков, ведущий аналитик RT Protect SOC.
Он расскажет, как специалисты по мониторингу выявляют атаки, какие сигналы можно было заметить заранее и почему реакция на инциденты – это не менее важно, чем защита.

Кто еще в эфире?
🟡 Сергей Демидов (Московская биржа)
🟡 Антон Бочкарев (3side, Кибериспытания)
🟡 Модератор – Артем Куличкин (СОГАЗ)

❗️26 марта, 12:00 по мск

Как присоединиться?
Участие бесплатное — скорее регистрируйтесь!
Подробности по ссылке.

🔐Брутфорс: тест на прочность

Пароли защищают аккаунты, но насколько хорошо?
Если злоумышленник решит взломать учётную запись, он может воспользоваться методом брутфорса — простым, но эффективным способом подбора паролей.

Однако брутфорс используется не только хакерами. Специалисты по кибербезопасности применяют его для тестирования защиты систем, чтобы выявить слабые места до того, как это сделает злоумышленник. Что делает этот метод таким опасным? Разберёмся.

Основные методы брутфорс-атак
📎 Перебор случайных символов — классический метод, где подбираются все возможные комбинации.
📎 Перебор по словарю — используются реальные слова и фразы (имена, города, цитаты, рейтинг популярных паролей).
📎 Гибридная атака — к обычным словам добавляются случайные символы (например, важные даты).
📎 Обратная атака — один пароль пробуют для множества логинов.
📎 Персональный взлом — применяется социальная инженерия, используется информация о жертве из социальных сетей и других источников.
📎 Подстановка учётных данных — использование скомпрометированных паролей из других сервисов.
📎 Брут-чек — метод, при котором проверяют учетные записи на различных сайтах, используя похищенные или скомпрометированные пароли.

Как защититься?
1️⃣ Используйте разные пароли для разных сервисов. Даже если один из них попадёт в руки злоумышленников, остальные аккаунты останутся в безопасности.
2️⃣ Создавайте сложные пароли. Длина не менее 12 символов, сочетание букв в разных регистрах, цифр и спецсимволов делает перебор практически невозможным.
3️⃣ Подключите двухфакторную аутентификацию (2FA). Даже если хакер узнает ваш пароль, ему потребуется дополнительный код подтверждения.
4️⃣ Регулярно меняйте пароли. Даже если ваш пароль ещё не утёк в сеть, он может быть скомпрометирован без вашего ведома.
5️⃣ Используйте менеджеры паролей. Это безопасный способ хранения сложных паролей, который избавит вас от необходимости их запоминать.

Как защищают сервисы?
Компании тоже не остаются в стороне. Для защиты от брутфорса они используют:
⚫️ Ограничение числа попыток входа. После нескольких неудачных попыток может потребоваться капча или последует временная блокировка.
⚫️ Настройки сложности пароля и времени его актуальности: минимальная длина, обязательное использование символов разного типа, а также периодическая необходимость смены пароля.
⚫️ Использование соли в хешах — это затрудняет взлом даже в случае утечки базы данных.

#Техноразбор

KillChain: как атакующий добывает учетные данные и исследует инфраструктуру?

📢 Всем привет! Андрей Федоров, аналитик мониторинга и реагирования RT Protect SOC, вернулся, чтобы разобрать следующие этапы уничтожения данных контроллера домена.
В прошлый раз мы узнали, как злоумышленник закрепляется в системе и отключает защиту. Теперь — о том, как он получает учетные данные и информацию об инфраструктуре.

Этап 3 — Получение учетных данных пользователя
После закрепления в системе атакующий использует технику OS Credential Dumping: LSASS Memory, чтобы извлечь учетные данные пользователей.

Что происходит:
Для реализации техники используется Beacon Object File (BOF), который позволяет расширить функционал фреймворка для постэксплуатации путем выполнения нагрузки в памяти процесса.
Для маскировки действий атакующий сохраняет дамп памяти в папке C:\Windows\Temp в файл с расширением .TMP.

⚫️ Что удалось атакующему?
Получить дамп памяти процесса lsass и выгрузить данный файл.

🟡 Как реагирует RT Protect EDR:
Обнаруживает получение доступа к памяти процесса lsass с подозрительными правами (PROCESS_ALL_ACCESS) недоверенным процессом w3wp.exe.

❗️Важно: немалое количество правил из наборов экспертизы, применяемых на агентах EDR, нацелены на блокировку получения доступа к учетным данным (lsass, SAM, ntds.dit и д.р.), что позволяет минимизировать последующую компрометацию инфраструктуры.

После получения дампа процесса lsass, атакующий при помощи инструмента pypykatz получает хеш пароля доменного пользователя, который является администратором сервера Exchange, что в перспективе дает возможность получить доступ к хостам, на которых работает данный пользователь.


Этап 4 — Получение информации об инфраструктуре
Получив учетные данные, злоумышленник изучает сеть, чтобы определить ключевые узлы для дальнейшего продвижения атаки.

Что делает атакующий:
Проводит сканирование при помощи nmap со следующей командной строкой: nmap- F 192.168.56.0/28

Получает информацию:
192.168.56.2 — контроллер домена.
192.168.56.3 — сервер Exchange, к которому уже есть доступ.
192.168.56.4 — рабочая станция под управлением ОС Windows, представляющая интерес.


Производит разведку на предмет наличия RDP-сессий на 192.168.56.4 и получает информацию о работе Администратора домена на указанном хосте.

Как реагирует RT Protect EDR:
Фиксирует нестандартные команды, направленные на поиск активных RDP-сессий (quser /server:192.168.56.4).

🟡 С точки зрения EDR, активность, связанная со сканированием сети, не детектируется, поскольку это задача SIEM-системы, однако, EDR может помешать сканированию. Это возможно путём активации параметра «Активная защита от сканирования сетевых портов» в профиле безопасности агента.

⚫️ С точки зрения атакующего, при включении данного параметра, после выполнении той же команды nmap, он получит информацию о том, что почти все порты открыты.

Итоги: кто кого?
📎 Атакующий успешно просканировал инфраструктуру и получил о ней информацию.
📎 Смог обнаружить RDP-сессию пользователя домена на новом хосте.

RT Protect EDR зафиксировал подозрительную активность. Защитные механизмы оказали противодействие в сканировании конечных точек.

🔥 Это еще не конец
Ровно через неделю разберем финальные этапы атаки — подписывайтесь!

#KillChain

IngressNightmare: новая угроза для Kubernetes

Эксперты Wiz обнаружили критические уязвимости в Ingress NGINX Controller, который используется в кластере Kubernetes для управления входящим трафиком, обеспечивая маршрутизацию запросов к различным сервисам на основе заданных правил. Уязвимости позволяют злоумышленникам выполнять произвольный код (RCE) и захватывать контроль над кластерами.

Что случилось?
📎Обнаружены уязвимости CVE-2025-1097, CVE-2025-1098, CVE-2025-24514, CVE-2025-1974.
📎Уязвимый компонент — Ingress NGINX Controller.
📎Эксплуатация уязвимостей получила название IngressNightmare.

Как работает атака?
🟡 Отправка вредоносного объекта на контроллер.
🟡 Внедрение произвольной конфигурации в NGINX.
🟡 Запуск удаленного выполнения кода (RCE).

Возможные последствия
1️⃣ Полный контроль над Kubernetes-кластером.
2️⃣ Доступ к секретам во всех пространствах имен.
3️⃣ Возможность изменения инфраструктуры.

Как защититься?
📎Обновите Ingress NGINX Controller до версии 1.12.1 или 1.11.5.
📎Если обновление невозможно, ограничьте доступ или отключите контроллер.

#Новости

🔥 РТ-ИБ в топе!

Недавно наш канал вошёл в топ-108 телеграм-каналов в ИБ по версии Sachok и «Пакет Безопасности», заняв почетное место в категории «Корпоративные».

Это важно для нас, но ещё важнее то, что вы читаете, задаёте вопросы и применяете знания на практике.

💛 Спасибо, что вы с нами!

🔐 RT Protect EASM: контроль над цифровыми рисками

Информационная безопасность — это не только защита паролей и антивирус. Бизнесу важно видеть полную картину: какие цифровые активы уязвимы, где могут появиться фишинговые копии, утекли ли учетные данные сотрудников.

Что делает RT Protect EASM?
1️⃣ Инвентаризирует и отслеживает внешние активы компании
2️⃣ Анализирует уязвимости и предупреждает о рисках
3️⃣ Обнаруживает фишинговые домены
4️⃣ Находит утечки и упоминания на хакерских форумах

Как это работает?
RT Protect EASM использует:
📎 Пассивное и активное сканирование — находит поддомены, IP-адреса, открытые порты, сервисы
📎 Анализ веб-сервисов — выявляет уязвимости и устаревшие компоненты
📎 Мониторинг теневого интернета — ищет упоминания в утечках и на хакерских ресурсах
📎 Обнаружение фишинговых атак — фиксирует подозрительные домены

Кому это нужно?
Компаниям любого масштаба, которым важно управлять своими цифровыми активами, минимизировать риски атак и снижать нагрузку на отдел информационной безопасности.

Обеспечение информационной безопасности — это не вопрос будущего, а необходимость сегодняшнего дня.

#RT_Protect_EASM

🔥Уже завтра, 02.04 (среда), на АМ Live состоится эфир, который мы посвятим сравнению коммерческих SOC.

✅ Мы сравним услуги коммерческих SOC по составу, уровню гарантийных обязательств и стоимости. Проанализируем инфраструктурные различия, уровень технологической зрелости и технической поддержки, чтобы вы могли лучше понять сильные и слабые стороны каждого из них.

📌 Когда: 02.04 в 15:00

👉 Зарегистрироваться >>

🙋🏻Спикер - Жуков Алексей, руководитель Департамента сервисов и продуктов, "РТ-Информационная безопасность"

#AMLive_эфир2апреля_ч2 #кибербезопасность #AMLive #SOC #ИБ

Хакер Judische: от клавиш клавиатуры — к скамье подсудимых

📢 26-летний канадец Коннор Моука, более известный в киберпреступной среде под псевдонимом Judische, готовится предстать перед судом в США. Он обвиняется в организации ряда масштабных кибератак, которые затронули крупнейшие компании мира.

Как происходили атаки?
📎Массированные кибератаки: Хакеры, возглавляемые Моукой, взломали систему облачной платформы Snowflake, в результате чего пострадали более 165 компаний, включая AT&T, Ticketmaster, Advance Auto Parts, Santander Bank, PepsiCo, Siemens, Yamaha.
📎Мотивация преступников: Главной целью было вымогательство. Моука и его сообщники требовали выкуп в размере $2,5 млн за восстановление украденной информации, угрожая раскрытием конфиденциальных данных.

👾 Преступная сеть The Com
Моука действовал в составе международной преступной сети The Com, которая объединяет киберпреступников, участвующих не только в цифровых вымогательствах, но и в более серьезных преступлениях.
Одним из её участников оказался Кэмерон Вагениус, американский солдат, обвиняемый в попытке продать украденные данные иностранной разведке.

Что дальше?
Сейчас Моука ожидает экстрадиция в США, где ему предстоит ответить по более чем 20 статьям обвинения, включая вымогательство, хищение личности и незаконный доступ к защищенным данным. Его дело будет важным примером для борьбы с международной киберпреступностью.

Представители Snowflake в свою очередь приняли соответствующие меры, внедрив многофакторную аутентификацию и ужесточив парольную политику для учетных записей своих клиентов.

#Новости

🔒 Экосистема RT Protect

Киберугрозы не дремлют, но и у нас есть чем ответить! Вспомним все о продуктах, стоящих на страже вашей безопасности:

1️⃣ RT Protect EDR: современная защита вашего бизнеса
2️⃣ RT Link — корпоративная коммуникация нового поколения
3️⃣ RT Protect TI — платформа разведки угроз
4️⃣ RT Protect EASM: контроль над цифровыми рисками

🛡 ТЕРРИТОРИЯ БЕЗОПАСНОСТИ 2025

3 апреля РТ-Информационная безопасность примет участие во II Форуме «ТЕРРИТОРИЯ БЕЗОПАСНОСТИ 2025: все pro ИБ» — ежегодном новаторском мероприятии, объединившем четыре конференции и выставки российских технологий информационной безопасности.

Что точно нельзя пропустить?

📢 Алексей Жуков, руководитель Департамента сервисов и продуктов
12:30 — 13:15 | Батл: пентесты vs багбаунти vs кибериспытания

📢 Константин Васильев, заместитель руководителя RT Protect SOC
15:15 — 15:30 | Вскрытие экосистем продуктов


Присоединяйтесь к мероприятию и не пропустите доклады наших экспертов!🔥

RT Protect Антишифр: защита или слежка?

«Всё делают для того, чтобы отслеживать, какие файлы хранятся на компе, и блокировать попытки запуска скачанных с торрентов игр»,

— именно такое утверждение о RT Protect Антишифр мы нашли на просторах одного небезызвестного сайта. Но давайте разберемся, действительно ли RT Protect Антишифр следит за вами?

Факт: RT Protect Антишифр не следит за вашей активностью. Его задача — защищать данные от шифровальщиков и других угроз.

Как работает защита?
1️⃣ Блокирует вредоносные программы еще до их запуска, сверяя их с базой угроз.
2️⃣ Выявляет подозрительную активность, например, попытки закрепиться в системе.
3️⃣ Предотвращает шифрование файлов в режиме реального времени.
4️⃣ Автоматически завершает вредоносные процессы, чтобы они не навредили системе.
5️⃣ Создает резервные копии важных данных, позволяя восстановить их без ключей расшифровки.

Модуль противодействия программам-шифровальщикам не мешает пользователям запускать файлы, но предотвращает действия вредоносного ПО, если оно угрожает данным.

❗️А вот скачивание пиратских игр — совсем другая история. Скоро расскажем, чем это может обернуться для вас и ваших данных.

#RT_Protect_Антишифр #ВопросОтвет

📢Итоги SOC-батл с AM live

Вчера в прямом эфире эксперты ИБ-рынка сравнивали коммерческие SOC.

🛡Что проверяли?
Состав услуг: мониторинг, реагирование, расследование инцидентов — у кого больше «мяса»?
Гарантии: SLA, время реакции, покрытие угроз — кто не бросает слова на ветер?
Технологии: AI, автоматизация, интеграция — где меньше ручного труда и больше эффективности?
Цена: за что платим — за имя или за реальную защиту?

❗️Кто победил?
По итогам опроса победил всеми любимый Алексей Жуков — руководитель Департамента сервисов и продуктов экосистемы RT Protect

Вывод: крутой SOC — не тот, у которого громкое имя, а тот, кто:
1️⃣Не прячет ограничения в мелком шрифте.
2️⃣Доказывает эффективность цифрами, а не маркетингом.
3️⃣Гибко подстраивается под вашу инфраструктуру.

Если вы защищаете важное, доверьтесь команде АО "РТ Информационная безопасность"

А если пропустили прямой эфир — смотрите запись по ссылке

Дипфейки: революция или оружие обмана?

Сегодня мы живем в мире, где нельзя верить даже своим глазам. Видео, на котором известный политик делает шокирующее заявление? Голос знаменитости, призывающий к чему-то странному? Звонок от начальника с просьбой срочно перевести деньги? Всё это может быть дипфейком.

⚙️ Как работают дипфейки?
Дипфейки (от deep learning — «глубинное обучение» и fake — «фальшивка») создаются с помощью искусственного интеллекта, который анализирует видео, изображения или аудио и генерирует максимально реалистичную подмену.
Алгоритмы машинного обучения изучают лицо или голос человека, запоминают мельчайшие нюансы — мимику, интонации, повороты головы — и затем переносят их на другое изображение или аудиозапись. В результате можно создать видео, где человек говорит и делает то, чего он никогда не говорил и не делал.

📢 Можно ли распознать дипфейк?
Пока что — да. Хотя технологии становятся всё совершеннее, подделки всё же оставляют следы:
📎Ненатуральная мимика. Лицо может двигаться рывками или выглядеть «пластиковым».
📎Странное моргание или его отсутствие. Глаза — сложный элемент для генерации, и иногда алгоритмы допускают ошибки.
📎Различия в освещении. Тень может падать неестественно, а лицо — выделяться на фоне.
📎Аудио-несовпадения. Голос звучит реалистично, но губы двигаются не совсем в такт.

Чем это опасно?
Дипфейки — это не просто забавные ролики в TikTok. Они несут реальные угрозы:
🟡 Шантаж. Мошенники могут создать фальшивое видео с вами и требовать деньги.
🟡 Финансовые аферы. Генеральные директора, получающие поддельные голосовые приказы, уже теряют миллионы.
🟡 Манипуляция общественным мнением. Поддельные политические заявления могут повлиять на выборы и массовое сознание.

Дипфейк-приложения

1️⃣ DeepFaceLab
Самый мощный инструмент для создания дипфейков.
📎Использует нейросети, которые анализируют видео, копируют мимику и заменяют лица.
📎Именно на DeepFaceLab приходится 95% всех дипфейк-видео в интернете.
📎Требует мощного ПК (Windows, видеокарта с OpenCL, минимум 2 ГБ ОЗУ).

Опасность: используется как для кино и развлечений, так и для обмана. Видео с поддельными заявлениями политиков или «утечки» скандальных кадров уже появлялись в СМИ.

2️⃣ Reface (бывший Doublicat)
📎Простое мобильное приложение, заменяющее лица в GIF и видео.
📎Нужно только загрузить своё фото — остальное сделает нейросеть.
📎Позволяет стать героем мемов или голливудских сцен.

Опасность: загруженные изображения могут сохраняться на серверах приложения.

3️⃣ Zao
📎Позволяет вставить своё лицо в знаменитые сцены фильмов.
📎Работает мгновенно, без долгих вычислений.
📎Умеет не только менять лица, но и подделывать голоса.

Опасность: в политике конфиденциальности указано, что разработчики могут использовать ваши данные в своих целях. То есть ваши дипфейк-видео могут оказаться где угодно.

Как защититься?
⚫️ Не верьте всему, что видите и слышите. Доверяйте проверенным источникам, перепроверяйте факты.
⚫️ Будьте скептичны к подозрительным видео и аудио. Особенно если человек говорит что-то нехарактерное для него.
⚫️ Используйте технологии распознавания. Компании уже создают инструменты для анализа фальшивых записей.
⚫️ Не делитесь биометрическими данными. Чем больше фото и видео с вами в сети, тем легче создать дипфейк.

#ИнсайдДня