Това е най-разпространения вектор за атака към корпоративните мрежи през 2022

Услуги за осъществяването на отдалечен достъп към фирмените мрежи, като VPN и RDP са били най-разпространения метод за атака, регистриран през 2022. Това се посочва в наскоро излязъл доклад на ReliaQuest. Информацията в анализа се основава на данните, извлечени по време на справянето с 35 000 инцидента в мрежите на клиенти на компанията в периода февруари 2022 – февруари 2023. В разглеждания период са регистрирани почти 5000 случая на експлоатиране на този метод, което е почти двойно в сравнение със следващата най-разпространена техника, използвана от киберпрестъпниците – активното сканиране. Все по-разпространените атаки към VPN и RDP се отдава на засиленото използване на този тип услуги по време на пандемичните години, което продължава и днес.

„Това не би трябвало да е изненада. Изложени на открит достъп услуги, като VPN, Citrix, TeamViewer и RDP представляват едни от най-разпространените методи за осъществяването на първоначален достъп до дадена мрежа или за осигуряването на трайно присъствие в тях“, се чете в доклада.

Изследването посочва, че най-предпочитани за атака от брокерите на първоначален достъп са RDP инстанциите, като те съставляват 24% от атаките към този род услуги. Това е и най-скъпоструващата „стока“ в ъндърграунд форумите, където средната цена на осигурен RDP достъп е $1000. Брокерите на първоначален достъп (Inital Access Brokers, IABs) са категория хакери, специализирали се в осъществяването на кражба на данни за вход в дадена мрежа – информация, която те продават на друг род престъпници, като разпространители на рансъмуер, спам, шпионски софтуер и др.

Анализът на разглеждания период посочва също така, че подобен род атаки започват най-често с изпращането на фишинг имейл. Освен това, по правило хакерите използват различни техники, чрез които да прикрият действията си, като изтриване на данни от дневниците за събития в системите, изчистване на историята на командния ред и др. Атаки към незащитени данни за достъп се откриват във финансовия сектор, компаниите, предоставящи различен вид услуги и обслужване биват атакувани най-често чрез открити портове в мрежата им, а за сектора с продажби, престъпниците използват сайтове, наподобяващи тези на големи компании. Най-често експлоатираната уязвимост в атаките, регистрирани от ReliaQuest се явява Spring4Shell (CVE-2022-22965), уязвимост в Spring MVS, Java фреймуърк, използван за разработката на десктоп уеб приложения. Проблемът беше решен с издадена в началото на миналата година актуализация, но киберпрестъпниците разчитат на съществуването на все още уязвими инстанции на приложения, разработени с помощта на Spring MVS. Освен това, в Интернет са налични готови за използване експлойти за уязвимостта, уточняват ReliaQuest.

„Престъпниците използват всички достъпни им начини да се инфилтрират в организациите, а експлоатирането на услугите за отдалечен достъп продължава да е най-лесния начин за това. За организациите е важно да осъществяват постоянен мониторинг и защита на този тип услуги“, заключава Майк Макферсън от ReliaQuest.