Держспецзв’язку оприлюднила аналітику російських кібероперацій за перше півріччя 2024 року. Кількість опрацьованих кіберінцидентів, націлених на сектор безпеки й оборони та на енергетичний сектор, зросла більше ніж вдвічі.
Держспецзв’язку оприлюднила аналітику російських кібероперацій за перше півріччя 2024 року. Кількість опрацьованих кіберінцидентів, націлених на сектор безпеки й оборони та на енергетичний сектор, зросла більше ніж вдвічі.
У 2022 році ворог робив акцент на операціях знищення ІТ-інфраструктур організацій сектору критичної інфраструктури, а також отримання баз даних, списків.
У 2023 році стратегія російських кібератак поступово змістилася зі знищення інфраструктур організацій, провайдерів послуг інтернету, міністерств та органів державної влади до закріплення й прихованого отримання інформації та використання кіберкомпонента для отримання зворотного зв’язку про результати їхніх уражень.
У 2024 році спостерігається зміщення фокуса атак на все, що безпосередньо пов’язане з театром бойових дій та атаками на постачальників послуг, із метою якомога довше залишатися непомітними, утримувати присутність у системах, які мають зв’язок із війною та політикою.
За 6 місяців 2024 року кількість ворожих кібератак збільшилась на 19% порівняно з другим півріччям 2023 року — з 1463 до 1739 кіберінцидентів.
У середньому за місяць українські кіберфахівці фіксували 290 атак, у другому півріччі минулого року середня кількість сягала 240.
Якщо говорити про середню кількість за день, порівнюючи ці два періоди, то кількість збільшилась із 7–8 до 9–10.
На основі індикаторів кіберзагроз SIEM автоматично аналізує дані, зібрані з різних джерел, таких як NDR (Network Detection & Response), EDR (Endpoint Detection & Response), потоків мережевих сесій, опрацьовує мільярди та виявляє мільйони подій безпеки різного рівня критичності. За результатами ручного аналізу підозрілих подій, виявлених SIEM, фахівці SOC виявили 525 кіберінцидентів. До того ж більшість цих подій були заблоковані засобами захисту, наданими Оперативним центром реагування на кіберінциденти ДЦКЗ більше ніж 70 організаціям, і не мали впливу на кінцеві системи, говорить у звіті.
На початку першого півріччя 2024 найбільше розсилок електронних листів зі шкідливим вкладенням було зафіксовано від російського хакерського угруповання UAC-0050. Фіксували до п’яти таких інцидентів щотижня.
Проте з березня ця активність знизилася, і вже у квітні не було зафіксовано жодної такої розсилки. У цей же період їм на заміну прийшли угруповання UAC-0149 та UAC-0184. Їхній підхід більш витончений, атаки таргетовані на конкретних осіб Сил Оборони України.
Натомість атаки UAC-0010 ФСБ рф продовжуються з 2014 року й донині.
Хакерські групи, які здійснюють атаки проти України в межах так званої
«СВО», щодо яких ми ще не здійснили підтверджену атрибуцію, можуть належати до кластерів загроз:
Кампанії з викрадання доступу до месенджерів. Хакери викрадають акаунти в месенджерах для подальшого розповсюдження ШПЗ і фішингу з метою скомпрометувати якнайбільше користувачів. Серед контактів жертви можуть бути «важливі» для них цілі, листування яких цікаве для співробітників різних спецслужб країни-агресора. Компрометацію облікових записів використовують не лише для шпигунства, але й для отримання фінансової вигоди.
Розповсюдження ШПЗ за допомогою «піратського» ПЗ. Доволі значна частина «піратського» програмного забезпечення постачається відразу з «бекдорами», що призводить до інфікування системи. У звіті зазначити, що мінімізації цього ризику, та й підвищенню рівня захисту в цілому, суттєво сприяє допомога закордонних партнерів, що надають ліцензійне програмне забезпечення та засоби захисту, доступ до хмарних сервісів, але цього все ж недостатньо. Також надання ліцензованого ПЗ Windows, Office, EDR, MDM, SIEM, IDM є критично важливим для українських військових і цивільних організацій, щоб не залишатися вразливими до інфікування шкідливим програмним забезпеченням через неліцензоване ПЗ.
