Атаки стали короче и точнее: от первого доступа до шифрования — в среднем менее суток. Разбираем цепочку и точки, где её можно разорвать.
За последний год характер атак шифровальщиков в регионе заметно изменился. Если раньше между первичной компрометацией и запуском шифрования проходили недели, то теперь злоумышленники укладываются в срок менее суток. Это означает, что классическая схема «раз в неделю посмотрим логи» больше не работает — обнаружение должно быть непрерывным.
Основной вектор первичного доступа остаётся прежним: скомпрометированные учётные записи удалённого доступа без второго фактора и уязвимые публикуемые сервисы. На втором месте — фишинг с вложениями, которые не содержат вредоносного кода напрямую, а лишь ссылку на легитимный файлообменник. Такие письма проходят большинство базовых фильтров.
После получения доступа атакующие почти всегда делают одно и то же: выгружают учётные данные из памяти, ищут учётную запись с правами администратора домена и удаляют резервные копии. Именно удаление бэкапов — последний момент, когда атаку ещё можно остановить без катастрофических потерь.
Что реально снижает риск: многофакторная аутентификация на всех точках удалённого доступа, изолированные и неизменяемые резервные копии, контроль привилегированных сессий и мониторинг с реагированием в режиме 24/7. Технологии без дежурной смены дают лишь отсроченное уведомление о том, что вы уже потеряли данные.