Атаки стали короче и точнее: от первого доступа до шифрования в среднем проходит меньше суток. Разбираем цепочку и точки, где её можно разорвать.
За последний год характер атак шифровальщиков в регионе заметно изменился. Если раньше между первичной компрометацией и запуском шифрования проходили недели, то теперь злоумышленники укладываются меньше чем в сутки. Схема «раз в неделю посмотрим логи» больше не работает: обнаружение должно быть непрерывным.
Основной вектор первичного доступа прежний: скомпрометированные учётные записи удалённого доступа без второго фактора и уязвимые опубликованные сервисы. На втором месте фишинг с вложениями, которые не содержат вредоносного кода напрямую, а лишь ссылку на легитимный файлообменник. Такие письма проходят большинство базовых фильтров.
После получения доступа атакующие почти всегда делают одно и то же: выгружают учётные данные из памяти, ищут учётную запись администратора домена и удаляют резервные копии. Удаление бэкапов — последний момент, когда атаку ещё можно остановить без катастрофических потерь.
Что реально снижает риск: многофакторная аутентификация на всех точках удалённого доступа, изолированные и неизменяемые резервные копии, контроль привилегированных сессий и мониторинг с реагированием 24/7. Технологии без дежурной смены дают лишь отсроченное уведомление о том, что данные уже потеряны.