Forescout выкатили отчет об угрозах за 2024 год, констатируя, что протоколы промышленной автоматизации по-прежнему остаются наиболее уязвимыми для атак, нацеленных на операционные технологии (OT), однако все чаще мишенью становятся системы автоматизации зданий. 

В основу исследования положены результаты анализа, зафиксированные ханипотами компании в прошлом году, включая сканирование портов, атаки методом подбора и попытки эксплуатации уязвимостей.

Отчет охватывает воздействия на веб-сервисы и устройства сетевой инфраструктуры, действия после эксплуатации, а также атаки на системы OT и критическую инфраструктуру.

Исследователи также поделились данными о вредоносном ПО и субъектах угроз, которые инициировали эти атаки. 

Что касается атак OT, то в 2024 году наиболее целевым протоколом был Modbus, за которым следуют Ethernet/IP, Step7, DNP3 и BACnet.

Процент атак на Modbus увеличился с 33% до 40% с 2023 по 2024 год, а в случае Ethernet/IP — с 19% до 28%. Атаки на DNP3 и Step7 снизились с 18% до 8% для обоих протоколов OT.

Наиболее уязвимыми по-прежнему остаются протоколы, связанные с системами промышленной автоматизации: на них приходится 79% атак (по сравнению с 71% в 2023 году), далее следуют коммунальные службы с 12% (по сравнению с 28%) и автоматизация зданий с 9% (по сравнению с 1%)

Как отмечают в Forescout, наиболее существенный рост наблюдается в категории автоматизации зданий - особенно если посмотреть на новые протоколы, подвергающиеся атакам.

При этом в прошлом году атаки на автоматизацию зданий были сосредоточены на эксплуатации уязвимостей, а не на прямом взаимодействии с протоколами.

В 2024 исследователи увидели, что интерес к протоколам автоматизации зданий растет, поскольку злоумышленники по-прежнему используют уязвимости на этих устройствах.

Для этого в их распоряжении представлено множество «удобных» уязвимостей, из которых есть что выбирать при проведении атак.

Например, исследователь Джоко Крстич недавно предупредил, что широко используемый продукт управления зданиями от ABB подвержен более чем 1000 уязвимостям, включая недостатки, которые могут подвергнуть многие объекты удаленному взлому.

В целом Forescout обнаружила, что 73% эксплуатируемых уязвимостей не были включены в список KEV CISA, что на 65% больше, чем в 2023 году.

Если рассматривать конкретно уязвимости, затрагивающие ОТ и промышленные продукты IoT, то по крайней мере 25 уязвимостей, эксплуатируемых ботнетами и автоматизированными атаками, не были включены в каталог KEV. 

Сюда входят CVE с 2018 по 2023 год, затрагивающие продукцию Apsystems, Carel, Chiyu, Contec, Eaton, Ecoa, Emerson, Endress+Hauser, Frangoteam, Honeywell, KevinLab, Linear, Loytec, OAS, Schneider Electric, Teltonika, Viessman, Wago и ZKTeco.

Другие подробности исследования - в отчете.

Продолжается мощный накат на китайскую DeepSeek, у которой исследователи Wiz Research случайно обнаружили общедоступную незащищенную базу данных ClickHouse на oauth2callback.deepseek.com:9000 и dev.deepseek.com:9000.

И, по стечению обстоятельств, в ней размещались миллионы строк конфиденциальной информации, включая историю чатов пользователей, API-ключи, логи и даже данные бэкенда с внутренней информацией о работе инфраструктуры.

Как отметили в Wiz, после простой разведки общедоступной инфраструктуры DeepSeek нашлась общедоступная база данных ClickHouse, которая была полностью открыта и не требовала никакой аутентификации.

Любой мог получить доступ к данным и полный контроль над системой без аутентификации, о чем исследователи оперативно сообщили команде DeepSeek, которая немедленно ограничила доступ к БД из Интернета

При этом в Wiz отметили, что обнаружить утечку специалисты смогли буквально в течении нескольких минут, а занялись этим, поскольку DeepSeek произвел фурор в сфере ИИ.

По всей видимости, к развернувшейся против DeepSeek кампании подключены все имеющиеся ресурсы, будем следить за развитием ситуации.

Исследователи BI.ZONE сообщают об обнаружении широкомасштабной кампании, нацеленной на российские организации разных отраслей, в которой задействуется стиллер NOVA - новый форк SnakeLogger с прайсом от 50$.

В ходе наблюдаемой кампании злоумышленники распространяли NOVA в прикрепленных к фишинговым письмам архивах, маскируя под договоры (например, Договор.exe).

Примечательно, что атакующие не использовали ни двойное расширение, ни иконку, позволяющие замаскировать вредоносный файл под легитимный документ.

После запуска вредоносный файл осуществляет декодирование данных, скрытых с помощью стеганографии, из ресурсов с именем zabawa2, а затем копирует себя под другим именем в AppData\Roaming и запускает PowerShell для добавления файла в исключения Microsoft Defender.

Для закрепления в скомпрометированной системе вредоносный файл использует планировщик заданий Windows.

Далее вредоносный файл запускает себя в состоянии suspended и осуществляет внедрение расшифрованной нагрузки в собственный дочерний процесс.

Цепочка API‑вызовов выглядит следующим образом: CreateProcessInternalA (suspended) - VirtualAllocEx - WriteProcessMemory - SetThreadContext - ResumeThread.

Примечательно, что вредоносный файл содержит строки на польском языке. При этом внедряемая вредоносная нагрузка представляет собой стилер NOVA, форк другого популярного стилера - SnakeLogger.

Для получения информации об IP и стране скомпрометированной системы NOVA осуществляет запросы к веб-ресурсам checkip[.]dyndns[.]org и reallyfreegeoip[.]org.

Стилер собирает сохраненные аутентификационные данные из различных источников, фиксирует нажатия клавиш, а также делает скрины экрана и извлекает данные из буфера обмена.

Эксфильтрация реализуется по SMTP.

Также образец потенциально способен отключать Microsoft Defender, диспетчер задач, редактор реестра и командной строки.

Функции с соответствующими названиями в стиллере присутствуют, однако в них отсутствует код, необходимый для выполнения вредоносных действий.

Кроме того, обнаружена функция, которая ограничивает выполнение ВПО после определенной даты.

NOVA распространяется по модели MaaS (имеется даже свой канал в Telegram) и широко используется в киберподполье как минимум с августа 2024 года.

При этом разработчик предлагает не только стилер, но и криптор.

Стоимость стилера начинается от 50$ за месячную лицензию и доходит до 630$ за бессрочную, у криптора - от 60$ (за месяц) до 150$ (за 3 месяца).

Технические подробности и IoC - в отчете.

ShadowServer предупреждает о массированном бруте с задействованием 2,8 млн. IP-адресов для нацеливания на сетевые устройства широкого спектра, в том числе Palo Alto Networks, Ivanti и SonicWall.

По данным платформы, атаки продолжаются с прошлого месяца, но недавно она приобрела гораздо большие масштабы с ежедневным вовлечением миллионов различных IoT-устройств и маршрутизаторов MikroTik, Huawei, Cisco, Boa и ZTE.

По состоянию на 9 января 2025 года число участвующих IP-адресов превысило 1,7 млн. Для сравнения, до 18 января 2025 года этот показатель колебался ниже 100 000.

Атакующие IP-адреса распределены по многим сетям и автономным системам и, вероятно, представляют собой ботнет или какую-то операцию, связанную с сетями резидентных прокси.

Ранее нечто подобное детектили в Cisco, предупреждая о широкомасштабной кампании по перебору учетных данных, нацеленной на устройства Cisco, CheckPoint, Fortinet, SonicWall и Ubiquiti по всему миру.

Исследователи продолжают следить за ситуацией и призывают сетевых администраторов расследовать вредоносную активность в своих сетях.

Вообще же, столь высокие показатели может и оправданы для атак в отношении Palo Alto Networks и SonicWall, а для успешной эксплуатации Ivanti потребовался, пожалуй, десяток IP.