🔎 Реальное использование LLM в атаках

Антропики выпустили матрицу покрытия ATT&CK, правда на свой лад — в ней цветами помечено, какие тактики и техники чаще всего пытаются автоматизировать с помощью Claude. Чем гуще красный — тем больше аккаунтов было заблокировано за попытку использовать ИИ на этом этапе атаки.

Авторы оговариваются, что исследование проводилось на относительно небольшой выборке заблокированных аккаунтов, по которым было достаточно информации, чтобы спроецировать запросы злоумышленников на матрицу.

Число злоумышленников, проводящих атаки средней и высокой степени сложности, выросло за год с 33% до 56%, демонстрируя, что входной порог в эту сферу деятельности снижается. При этом значительно выросло число атакующих, чьи операции охватывают полную цепочку kill chain, чем раньше могли похвастаться только продвинутые группы злоумышленников.

Чаще всего у Claude просят помощи в изготовлении ВПО и обфускации вредоносного кода, но значительно участились автономно или полуавтономно проводимые разведка, закрепление и извлечение данных в сети жертвы.
Немудрено, что в Fable 5 заблокированы все виды применения, даже отдалённо напоминающие задачи ИБ.

Более подробно нюансы автоматизации этих TTPs описаны в посте Anthropic RED.

#ИИ #статистика @П2Т

🔵 Новые APT и важные новости ИБ

👮‍♀️ Хактивистские группы, изначально позиционировавшие свою деятельность как атаки против России и Белоруссии, расширили географию и теперь атакуют организации в Казахстане, ОАЭ, Сирии и Египте, затрагивая государственный сектор, здравоохранение и авиацию. Известные вторжения обычно начинались с эксплуатации ProxyShell и установки веб-шеллов, после чего атакующие разворачивали инструменты RMM и C2-фреймворки вроде Sliver, Havoc и Mythic. Заканчивались атаки шифрованием, в том числе с применением нового ВПО ClearWater. Один из участников 4BID прямо заявил, что атаки на Россию больше не приносят прибыли, что указывает на усиливающуюся финансовую мотивацию.

⚙️ В ходе IR было выявлено вторжение, продолжавшееся почти 10 лет. APT Velvet Ant закрепилась внутри изолированной сети на объекте КИ без прямого доступа в интернет. Атакующий проник в изолированную среду через многоступенчатую цепочку с эксплуатацией доступных из Интернета Linux-систем и дальнейшим распространением через SSH. Механизм закрепления был основан на стеке аутентификации, включая девять модифицированных вариантов pam_unix.so с бэкдором и троянизированные файлы OpenSSH, которые перехватывали учётные данные и нажатия клавиш.

🔵 OceanLotus/APT32 переключилась с разведки на инвесторов фондового рынка и компанию, работающую в сфере инфраструктурного и транспортного строительства во Вьетнаме, в период с 2024 года по начало 2026. В одном из случаев первичный доступ был получен через компрометацию цепочки поставок сервера обновлений платформы для биржевой торговли, откуда вместе с легитимными обновлениями доставлялись вредоносные загрузчики. В операциях использовался бэкдор SPECTRALVIPER.

🔵Разведывательный ботнет JDY, связанный с кластером Volt Typhoon, пережил предыдущие попытки нейтрализации и вырос более чем вдвое, превысив отметку в 1500 скомпрометированных пограничных устройств. Среди затронутого оборудования — почти 500 устройств Cisco, а также техника Araknis, DrayTek, Hikvision и Linksys.

🟣Две шпионские кампании Khmer Shadow были направлены против государственных структур Камбоджи в оборонном секторе и сфере общественных работ. Доставка шла через письма с вредоносными архивами.

🔵Шестинедельная кампания APT UNK_DeadDrop затронула почти 100 организаций в финансах, криптовалютной сфере, образовании и технологиях. Злоумышленники использовали предложения работы для разработчиков и запросы на code review, чтобы убедить жертв клонировать вредоносные репозитории GitHub. Открытие такого репозитория в VS Code или Cursor запускало заранее настроенную задачу, которая выполняла кроссплатформенное ВПО для Windows, macOS и Linux, включая Go-бэкдор на базе фреймворка Overlord.

🔵Технический анализ BlueRabbit — бэкдора на Go, совмещающего удалённый доступ, профилирование системы, шифрование файлов и деструктивное затирание диска в одном инструменте. Он использует RabbitMQ для управления задачами, Redis для хранения состояния и MinIO для эксфильтрации, а закрепляется через запланированные задачи.

🟣Более 400 пакетов в Arch User Repository были скомпрометированы для распространения инфостилера в связке с eBPF-руткитом уровня ядра.

🍿 Anthropic приостановила глобальный доступ к моделям Fable 5 и Mythos 5, которые находились в публичном доступе всего 4 дня, после того как власти США задействовали полномочия в сфере национальной безопасности и потребовали от компании заблокировать доступ для всех иностранных граждан, включая сотрудников Anthropic и пользователей, находящихся в США. Основанием стали переданные правительством доказательства существования узкого, не универсального джейлбрейка к Fable 5. Поскольку выборочно ограничить доступ не удалось, Anthropic отключила эти модели для всех клиентов по всему миру и откатила пользователей на Claude Opus 4.8. Думаем, теперь такие приключения будут случаться чаще.

#дайджест #APT @П2Т

🪲 Где живёт инфостилер? Разбираем логи.

Эксперты Kaspersky Digital Footprint Intelligence проанализировали более 5 млн файлов («логов»), которые операторы инфостилеров распространяют после извлечения данных с компьютеров своих жертв. Такой анализ позволяет узнать картину реальных заражений — от успешности разных штаммов до технических особенностей атак.
Подавляющее большинство заражений — суммарно две трети — проходило, когда ВПО запускалось всего из двух групп каталогов:

C:\Users\<User>\AppData\Local\Temp\* и
C:\<Windows>\Microsoft.NET\Framework\<version>\

Большое количество записей, относящихся к каталогу Temp, может говорить о запуске вредоносного ПО без предварительного сохранения в какой-то конкретный каталог. В каталоги .NET обычно попадает ВПО, мимикрирующее под компоненты Microsoft или внедряющее себя в легитимный процесс для обхода средств защиты. Например, так делает Lumma Stealer.

В отчёте подробно проанализирован сценарий, когда ВПО запускается из папок, куда его сохранил пользователь, считая свою загрузку безвредной: Documents, Desktop, Downloads. Под маской полезных утилит, активаторов лицензионного ПО или модов игр чаще всего распространяются Lumma, Vidar, Stealc stealer, Risepro и REDLINE.

Примеры схем распространения ВПО, которые имеет смысл включить в ИБ-тренинги для сотрудников, приведены в полной версии отчёта.

#статистика @П2Т

▶️ EPSS v5

Empirical официально анонсировали EPSS v5 — новую версию одной из наиболее популярных методик приоритизации уязвимостей на базе вероятности реальной эксплуатации. На сайте FIRST пока доступны только данные v4, но в GitHub уже можно посмотреть на данные v5.

По методике авторов выходит, что точность предсказаний улучшилась на 23%. Этого удалось достичь не только калибровкой моделей на всех 318 тыс. ранее опубликованных CVE, но улучшением анализа сырых данных. Теперь глубже анализируют публичные источники вроде GitHub и точнее оценивают, насколько опасен код опубликованных эксплойтов.

Для защитников, использующих EPSS в своих процессах управления уязвимостями, приятной новостью станет бОльшая стабильность V5. Гораздо реже происходят резкие смены рейтинга EPSS для одной и той же уязвимости с течением времени.

#новости #уязвимости @П2Т

Помаши рукой капче, блокировки в Anthropic, шпионы смарт-ТВ и другие важные новости конфиденциальности и личной ИБ

⚽️ Вокруг ЧМ-2026 по футболу развернулась традиционная сеть мошеннических кампаний: фальшивые сайты (платных) трансляций, угон аккаунтов, ставки и коллекционные предметы.

😎 Мощное обновление сервиса reCAPTCHA — чтобы доказать, что вы не робот, надо будет помахать рукой в веб-камеру. Google, конечно, мамой клянётся, что записывается только движение рук, без аудио, и потом сразу всё удаляется, но мы таких клятв уже видели сотни.

🆔 Apple перенесёт адреса email своего приватного сервиса hide my email на отдельный поддомен private.icloud.com, который немедленно начнут блокировать те, кто хочет собирать данные о пользователях. 🤦‍♂️

👀 Anthropic заблокировала модель Fable 5 для всего мира, поскольку не может соблюдать ограничения экспортного контроля и предоставлять сервис только гражданам США. Мы заглянули в хрустальный шарик и вангуем, что новые модели будут подключать клиентам буквально по паспорту. Некоторым приходится предъявлять документики уже сейчас, но у этой практики есть все шансы радикально расшириться.

👾 В Roblox появились специальные типы аккаунтов для детей до 8 лет и до 15 лет, с дополнительными ограничениями и возможностями родительского контроля.

🔄 В Chrome 150 окончательно отключат Manifest v2, поэтому мощные блокировщики рекламы станут менее мощными. То же самое будет в Opera и Edge, так что пора смотреть на альтернативы (об этом у нас есть материал).

🟣Разбор безопасности нового и якобы приватного мессенджера Xchat от одного известного в узких кругах триллионера.

🟣В запрещённой соцсети на букву F производства экстремистской META нынче невесело — по статистике, с начала 2025 года там взрывными темпами растёт деструктивный контент: призывы к насилию, унизительные и провокационные комментарии и тому подобное. Основная причина по словам исследователей — снижение активности модераторов в два раза (их штат резко сократили).

📱 Вероятность невольно присоединиться к сети домашних прокси всё растёт: к новым кампаниям вокруг хорошо известных Android-приставок добавились истории про смарт-ТВ на базе Tizen и WebOS.

🟢Впрочем, даже если не ставить подозрительные приложения, смарт-ТВ как минимум сольёт ваши данные. В Великобритании начали серьёзное расследование незаконных практик сбора данных и выпустили руководство для производителей умных устройств, которому производителям придётся соответствовать.

🍏 В iOS 27 можно будет автоматически менять пароли в онлайн-сервисах, если они оказались скомпрометированы. Якобы, с помощью ИИ, хотя что он там должен делать, не очевидно.

🟢Microsoft идёт по следам Google и Mozilla и тоже переводит Edge на выпуск новых релизов раз в две недели. Обещают быстрее закрывать уязвимости, которые в последние месяцы появляются сотнями.

#дайджест @П2Т

Интересные исследования APT и новости ИБ за неделю

🧐 Подробный разбор вторжений APT UNC6508 в американские компании здравоохранения, предположительно с целью шпионажа. Атакующие компрометировали серверы REDCap, позднее устанавливали ВПО INFINITIRED и воровали учётные данные и переписку

😵‍💫 Крайне опасная история разворачивается с Fortibleed — в Интернете опубликованы админские учётные данные более 75 тыс. Фортиков, многие из которых по-прежнему действительны. Предполагается, что файлы конфигурации, включая хэшированные SHA-256 пароли, выкачали через уязвимость (возможно в Fortigate Management Interface), а затем восстановили пароли перебором.

😑 Очередная атака на npm проведена через компоненты популярного ИИ-фреймворка Mastra, пострадало минимум 140 пакетов. Примечательно, что это совершенно другое ВПО и вероятно другой актор, ничего общего с Шай-Хулудами.

😐 Технический анализ троянца Backdoor.Turn, применяемого группировкой Dragonforce. Он написан на Go, использует TURN-серверы MS Teams для маскировки трафика С2, а также использует экзотические уязвимые драйверы Huawei для отключения СЗИ.

🤨 Разбор новых атак APT-C-48, направленных на правительственные, научные, образовательные и медицинские организации в ЮВА. Атака начинается с вредоносных писем, маскирующихся под резюме.

🤔 Технический анализ нового ВПО, работающего целиком в памяти, и используемого APT Patchwork/Dropping Elephant.

😬 Шифровальщик Deadlock использует блокчейн Polygon не только в качестве С2, но и для хранения данных о жертвах, фактически это «сайт утечек» (DLS) вымогателей.

🤡 Подробный разбор сложного ВПО, распространяющегося через USB-носители, но ворующего в основном данные криптокошельков.

👾 Технический анализ ВПО, распространяемого через Steam Workshop и приложение Wallpaper Engine.

🌚 Интересный кейс: скомпрометированный терминальный сервер в организации использовался для рассылки фишинга, а вредоносные вложения размещались на скомпрометированном сайте, принадлежащем госструктуре в Боливии.

👀 Рекомендации по разбору eBPF-руткитов на примере Scales, инфостилера из недавней компрометации пакетов Arch Linux.

🍄 Анализ новых Windows-вариантов ВПО SprySOCKS, ранее замеченного только на Linux.

🗿 Технический анализ ботнета Arystinger, компрометирующего роутеры на базе чипа RTL819X для включения в сеть домашних прокси.

😈 Разбор троянца и инфостилера для MacOS, распространяющегося через кампании ClickFix и основанного на AppleScript.

👌 И немного приятных новостей: китайская полиция арестовала почти 70 подозреваемых в причастности APT Silver Fox.

#дайджест #APT @П2Т

🔥 FortiBleed — список жертв расширяется

Список хостов и фирм, затронутых кампанией по похищению и анализу учётных данных с устройств Fortinet, всё расширяется — теперь счёт дошёл уже до 86000 железок. Данные выборочно подтверждены как достоверные, более того, в ряде компаний сообщили о выявленной компрометации инфраструктуры. 86 тысяч — это примерно половина всех Фортиков, доступных из Интернета. У многих из этих устройств в сеть торчат и интерфейсы управления. 🤦‍♂️

Судя по анализу, проведённому независимыми исследователями, учётки были получены экспортом конфигурации устройств, поскольку база содержит данные, которые обычно встречаются только в конфигурационных файлах. Злоумышленники смогли подобрать пароли администраторов, используя взлом хэшей SHA-256, хранившихся в конфигурациях. В прошлом году Fortinet перешла на более безопасное хэширование, однако многие устройства до сих пор либо не обновлены, либо содержат неактивные учётные записи администраторов, владельцы которых не входили в систему с момента перехода с SHA-256 на PBKDF2.

Fortinet настаивает, что о новой уязвимости речи не идёт. Компания связывает сбор учётных данных с комбинацией повторного использования паролей после трёх ранее раскрытых уязвимостей обхода аутентификации (две были закрыты в декабре, ещё одна в январе) и атак на устройства со слабыми паролями и без включённой многофакторной аутентификации. Fortinet уже начала уведомлять затронутых клиентов и подключила правоохранительные органы.

Если вы (ещё) используете FortiGate, первоочередные шаги очевидны:
➡️ завершить все активные сессии администраторов и пользователей на устройстве;
➡️ обновиться до версий прошивки с поддержкой хэширования паролей PBKDF2;
➡️ выполнить ротацию всех учётных данных;
➡️ принудительно включить MFA для всех администраторских и пользовательских аккаунтов;
➡️ ограничить внешний доступ к интерфейсам управления только доверенными хостами.

Дополнительно рекомендуется проверить учётные записи на предмет несанкционированных изменений, просмотреть журналы доступа администраторов и при любых подозрительных находках запускать полноценное реагирование на инцидент, по необходимости — с привлечением внешних экспертов.

#новости @П2Т

🤖 Автономный SOC: конечно, дело не только в ИИ

Многие команды SOC пытаются развернуть ИИ-агентов поверх того, что есть в организации: разношёрстной телеметрии, фрагментированных интеграций и недостаточной операционной дисциплины. В результате ИИ-система в принципе не может показать хорошие результаты из-за низкого качества исходных данных и отсутствия бизнес-контекста. Аналитики будут законно испытывать к выводам ИИ недоверие, а автоматизация лишь сделает существующие пробелы более явными.

Помимо этих фундаментальных организационных проблем, при внедрении ИИ нужно устранять и набор новых рисков. Недетерминированные ответы моделей, слабый audit trail, уязвимость к инъекциям (в том числе через логи) могут отпугнуть даже организацию со зрелым SOC. Впрочем, уже начинают вырисовываться модели контроля, способные закрыть именно эти проблемы: агенты с узкой зоной ответственности, детерминированное исполнение для критических действий, пайплайны контроля и многоуровневая автономность вместо режима «полного автопилота».

Такой подход показывает реальное направление серьёзной автоматизации SOC: речь идёт не столько о полной автономной замене аналитиков, сколько о контролируемых агентских рабочих процессах с явными ограничителями и чёткими процессами согласования.

#ИИ #SOC @П2Т

🏭 Крупные инциденты в промышленной кибербезопасности становятся опасной нормой

Три инцидента из отчёта Kaspersky ICS CERT за первый квартал 2026 года хорошо показывают, как атаки на АСУ ТП изменились не только по уровню сложности, но также по масштабу и последствиям.

Инцидент с Intoxalock продолжался шесть дней и оставил водителей по всей территории США без возможности пользоваться автомобилями. Их «алкозамки» с блокировкой зажигания требовали серверной калибровки, но не могли подключиться из-за отказа систем поставщика. До восстановления сервиса автомобили было невозможно завести.

В порту Виго в конце марта атака вымогателей затронула серверы управления грузопотоком. Грузовые операции пришлось перевести в ручной режим, при этом сроки восстановления не назывались.

Инцидент у Hazeldenes затронул переработчика куриного мяса, который не смог выполнять заказы, поскольку лишился возможности упаковывать продукцию. Сбой привёл к дефициту курятины по всему штату в пабах и магазинах, а сама компания не могла вернуться к штатному производству в течение пяти недель.

Однако самая опасная и потенциально наиболее разрушительная атака была предотвращена. В Польше по заявлению местных властей APT атаковала автоматизированные системы управления ТЭЦ и инфраструктуру управления объектами возобновляемой энергетики с использованием вайпера.

Всего в первом квартале был публично подтверждён 131 инцидент, причём крупнейшей целью оказался производственный сектор, на который пришлось более 36% всех случаев.

🌐 Полный разбор и описания ключевых инцидентов доступны на сайте Kaspersky ICS CERT.

#ICS #статистика @П2Т

🔥 Как ИИ изменил индустрию ИБ в 2026 году?

Именно этой широкой теме посвящён первый выпуск нового сезона подкаста «Смени пароль».
🟣Что опаснее — ИИ, который пишет уязвимости, или ИИ, случайно стирающий важные данные?
🔵Почему традиционный подход к патчингу терпит крах?
🟣Зачем нужен AI firewall и что такое ML SecOps?
🔵Нужно ли бороться с ИИ-ботами, которые тащат контент с веб-сайтов, и как это происходит уже сегодня?
🟣Почему защита «human in the loop» плохо работает на практике?

Обсуждаем проблемы слишком самостоятельного искусственного интеллекта с Владиславом Тушкановым, руководителем группы исследований технологий машинного обучения в «Лаборатории Касперского».

🟢 Слушать подкаст

#ИИ @П2Т

🌎🚀29 лет бережем мир от киберугроз и не планируем останавливаться!

Мидори уже защищает другие планеты — в нашем новом праздничном ролике. Смотрим!

FortiBleed ещё хуже, шифровальщики для мейнфреймов и другие важные исследования APT и новости ИБ

🟢Технический анализ ВПО SharkLoader, применявшегося в атаках на организации в Индонезии, Гонконге, Колумбии, Сербии, Ливане, Тайване и других регионах. Среди жертв доминируют госорганизации и разработчики ПО. Компрометация происходит через эксплуатацию публично доступных приложений и пограничных устройств, а в итоге жертвам устанавливают имплант Cobal Strike. В некоторых случаях атакующие также используют дропперы, замаскированные под легитимное ПО, применяемое в бизнесе. В известных атаках не наблюдалась постэксплуатационная активность, кроме закрепления в системе, поэтому цели атакующих пока не ясны.

🟢Разбор любопытного троянца и инфостилера GasLight для macOS, который предположительно создан кластером Lazarus и содержит в своих текстовых строках целый набор промпт-инъекций, призванных сбить с толку набирающие популярность ИИ-помощники для анализа ВПО.

🟢Анализ кампании FortiBleed привёл к обнаружению ВПО FortigateSniffer, способного использовать диагностические возможности FortiOS для перехвата проходящих через устройство пакетов и извлечения данных аутентификации двух десятков популярных протоколов.

🔵Новый бэкдор Mistic (MLTBackdoor) предположительно создан брокерами первоначального доступа Woodgnat/KongTuke и используется на начальных стадиях вымогательских операций, в основном Qilin. Запускается в системе с помощью DLL sideloading и в дальнейшем работает как бесфайловое ВПО.

🔵Интересный обзор атак на системы очистки и подачи воды по всему миру за период с 2024 по 2026 г.

🟣Новая вредоносная кампания распространяет вредоносные сценарии VBScript через сообщения в мессенджере. Жертвы кампании обнаружены в США, России, Бразилии, Мексике, Индии, Великобритании, и других странах, но больше всего их в Малайзии. В конечном счёте жертвам устанавливают легитимное ПО удалённого управления (RMM) ManageEngine.

🟣Новая платформа PhaaS под названием Bluekit обходит алгоритмы антифрода с помощью изощрённой тактики «браузер посередине». Вход в учётную запись жертвы происходит в браузере, запущенном на сервере атакующих, а фишинговый сайт в реальном времени транслирует жертве эту сессию с помощью легитимного инструмента rrweb.

🟣Технический анализ новой версии Millenium RAT 4.0 и профиль операторов, предлагающих это ВПО по модели MaaS.

🔵Новая тактика ClickFix на macOS — выполнение команды монтирует вредоносный образ DMG и запускает инфостилер.

🔵На одном из серверов INC Ransomware обнаружены сборки ВПО для экзотических архитектур целевых серверов, включая мейнфреймы IBM Z. Правда, авторы исследования не уверены в работоспособности и эффективности этих образцов.

🟣Технический анализ бэкдора STOCKSTAY, написанного на .NET и используемого APT Turla.

🟣Разбор вредоносной кампании, использующей уязвимость в Langflow (CVE-2026-33017) для запуска криптомайнинга на мощных серверах, предназначенных для ИИ-задач.

🟣Технический анализ Linux-ВПО MYRA, распространявшегося через npm. Исследователи предполагают, что это может быть инструментом редтиминга.

🔴В США обязали госучреждения перевести критические ИТ-системы на постквантовые алгоритмы согласования ключей до конца 2030 года, и на постквантовые цифровые подписи до конца 2031.

#дайджест #APT @П2Т

📊 Переводим эффективность кибербеза на понятный для CEO язык цифр

Анна Кулашова, вице-президент «Лаборатории Касперского» по развитию бизнеса в России и СНГ, в интервью «Коммерсанту» рассказала о ROI-калькуляторе — инструменте для оценки эффективности инвестиций в ИБ. Его бета-версию мы представили на ПМЭФ 2026.

В интервью обсудили:
🟢как работает ROI-калькулятор и какая методология лежит в его основе;
🟢кому этот инструмент будет полезен в первую очередь;
🟢какие данные и метрики получает пользователь;
🟢можно ли с ним работать без опыта в ИБ.

▶️ Читайте по ссылке

🗣 ИИ в ИБ: как эволюционируют атака и защита

Когда: 1 июля 2026 в 11:00 и 15:00 (МСК)

В информационном шуме вокруг ИИ бывает сложно поймать момент, когда хайп и фантазии превращаются в важные тенденции. Именно этим займутся эксперты ведущих ИБ-компаний на онлайн-конференции AM Live. Тема огромная, поэтому мероприятие пройдёт в двух частях. Первая будет посвящена использованию ИИ в реальных атаках, а вторая — реалистичным и опробованным способам, в которых автоматизация помогает защитникам.

Темы первой части (в 11:00):

▶️ почему ИИ-фишинг всё сложнее отличить от реальной деловой переписки;
▶️ как ИИ усиливает атаки на учётные записи, пароли, токены и сервисные аккаунты;
▶️ может ли ИИ искать уязвимости и проводить разведку в инфраструктуре;
▶️ какой бизнес-процесс сегодня проще всего обмануть с помощью искусственного интеллекта;
▶️ какие три шага стоит сделать уже сейчас, чтобы подготовиться к новому поколению ИИ-атак.

Темы второй части (в 15:00):
▶️ семь ключевых сценариев использования ИИ — от SOC до управления уязвимостями;
▶️ как ИИ помогает выявлять фишинг, дипфейки и социальную инженерию;
▶️ можно ли заранее обнаружить подготовку к утечке или подозрительное поведение сотрудника;
▶️ как ИИ помогает в цифровой криминалистике;
▶️ может ли ИИ прогнозировать вероятность эксплуатации уязвимости с учётом контекста компании;
▶️ какие действия можно доверить ИИ уже сейчас.


👤 От «Лаборатории Касперского» выступят Георгий Кучерин и Андрей Гунькин.

Встречаемся уже завтра: 1 июля 2026
Нужна предварительная регистрация.

Узнать о конференции и зарегистрироваться ⟶

#события @П2Т

〰️ Угрозы МСБ в 2026 году

Небольшие бизнесы остаются привлекательной мишенью злоумышленников. Участились случаи, когда МСБ атакуют ради проникновения в более крупную компанию, куда жертва поставляет товары или услуги.

В проанализированных даркнет-публикациях около 40% брокеров первоначального доступа описывают жертву как компанию малого бизнеса и 20% — среднего.

Методы проникновения в компании не претерпели существенных изменений, но популярность идей про внедрение ИИ в малом бизнесе отразились на структуре приманок. За год впятеро увеличилось число атак, где ВПО было замаскировано под клиенты популярных ИИ-сервисов, в первую очередь ChatGPT и Claude. Несмотря на это, львиную долю ВПО по-прежнему маскируют под мессенджеры и клиенты видеоконференций. Остаются в топе приманок и популярные офисные приложения.

Более подробная статистика ВПО и фишинга, нацеленных на малый бизнес, а также детальные рекомендации по защите опубликованы в отчёте на Securelist.

#статистика #МСБ @П2Т

⚡️ Оценка ИИ-зрелости, EPSS v5, типовые атаки на контейнеры и другие полезные посты июня

В июньском потоке новостей могли затеряться полезные и не сиюминутные материалы нашего канала. Поэтому мы подобрали статьи, которые помогут выстроить эффективные процессы и системы в ИБ. Если вы что-то пропустили, самое время наверстать упущенное!

🟣анализ логов инфостилеров: где и как они отрабатывают в успешных атаках;
🔵реальное использование Claude злоумышленниками: статистика Anthropic, разложенная по ATT&CK;
🟣оценка ИИ-зрелости в ИБ по методике SANS;
🔵что нового в EPSS v5;
⚪️какие «подарочки» встречаются в популярных образа Docker: анализируем вместе с KIRA;
🟢советы по интеграции Kaspersky Scan Engine со сторонними продуктами;
🟣оценка зрелости SOC, и что изменилось за год;
🟢как найти, ограничить и отключить нежелательные ИИ-сервисы в организации (баллада в трёх частях);
🟣типовые векторы атак на контейнерную инфраструктуру;
⚪️подводные камни автономного SOC.

#дайджест @П2Т