Групата Librarian Ghouls успя да се инфилтрира в мрежите на технически университети и индустриални предприятия в Русия, Беларус и Казахстан, без да предизвика подозрения. Техният подход не включва сложен малуер, а използването на валидни потребителски имена и пароли, чрез които нападателите се придвижват странично в инфраструктурата и избягват аларми от стандартните защитни системи.

Стелт тактика с легитимни инструменти

За разлика от други APT групи, Librarian Ghouls не разчита на собствени зловредни програми. Вместо това използва легитимни софтуерни решения на трети страни – инструменти за отдалечен достъп, архиватори, SMTP приложения – за да създаде перфектно имитиращи фишинг кампании. Те често включват защитени с парола файлове и дори полиморфен малуер, който се променя в реално време, за да избегне откриване.

Когато сигурността работи на „острови“

Случаят подчертава критичен проблем – когато EDR, защитните стени и системите за удостоверяване работят изолирано, съществува риск заплахи да останат незабелязани:

• EDR може да игнорира легитимни административни инструменти, ако те не проявяват явно зловредно поведение.

• Файъруолите могат да сигнализират за подозрителни външни връзки, но без контекст за конкретния потребител или устройство.

• Системите за удостоверяване може да регистрират валидни логини, без да разпознаят модел на странично движение.

В резултат компаниите често имат фалшиво чувство за сигурност – множество решения създават аларми, но липсва ефективна корелация, която да покаже, че сигналите заедно означават реална атака.

MDR – интегриран подход за модерна защита

Решението е Managed Detection and Response (MDR) – услуга, която обединява напреднали технологии, анализ и човешка експертиза, за да следи, разследва и реагира на заплахи 24/7. MDR не работи в изолация, а корелира данни от крайни точки, мрежи, облаци и идентичностни системи, като осигурява:

• Ранно откриване на реални заплахи – чрез свързване на отделни сигнали (например блокирана връзка от файъруола и подозрително поведение, засечено от EDR).

• Бърза и точна реакция – ускорено разследване и автоматизирани действия за ограничаване на щетите.

• Намаляване на „шума“ – ИИ филтрира фалшиви позитиви, приоритизира критични събития и добавя контекст за по-информирани решения.

Голямата картина

Инцидентът с Librarian Ghouls е ясен пример: отделните технологии откриват сигнали, но само чрез интегриран подход те могат да се комбинират в цялостна картина на атаката. MDR позволява на организациите да „видят иглата в купа сено“ – да разпознаят и блокират заплахи, които иначе биха останали незабелязани с месеци.