Киберпрестъпниците изоставят шумните атаки и се скриват зад легитимни инструменти

Светът на рансъмуера преминава през сериозна трансформация. Според прогнозите на WatchGuard за киберсигурността през 2026 г., традиционният модел, при който данните се криптират и след това се изисква откуп, постепенно отстъпва място на по-бързи и по-ефективни схеми, базирани основно на кражба на информация и изнудване.

Тази промяна пренасочва вниманието на нападателите към един от най-критичните етапи на всяка атака – придвижването в компрометираната инфраструктура след първоначалния пробив. Именно тук Remote Desktop Protocol (RDP) се превръща в едно от най-предпочитаните средства за действие.

Според данни на Google Threat Intelligence Group, RDP присъства в приблизително 85% от атаките, включващи странично придвижване (lateral movement) в корпоративни среди.

Рансъмуерът вече не разчита само на криптиране

През последните години много престъпни групи осъзнаха, че кражбата на чувствителни данни и заплахата за тяхното публикуване често носят по-бърза възвръщаемост от традиционното криптиране.

Новият модел предлага няколко предимства за нападателите:

• по-бързо реализиране на атаката;
• по-ниски технически изисквания;
• по-малък риск от засичане;
• възможност за изнудване без необходимост от масово криптиране на системи.

В резултат фокусът се измества от първоначалното проникване към ефективното придвижване вътре в мрежата и достигането до най-ценните активи.

Защо RDP е толкова привлекателен за нападателите

RDP е стандартен инструмент в почти всяка корпоративна среда.

Системните администратори и доставчиците на управлявани услуги (MSP) го използват ежедневно за:

• дистанционно управление на сървъри;
• поддръжка на работни станции;
• внедряване на конфигурации;
• отстраняване на технически проблеми.

Точно тази легитимност го превръща в идеално средство за прикриване на злонамерена активност.

След като получат достъп до мрежата, престъпниците използват RDP за:

• ескалация на привилегии чрез компрометирани акаунти;
• придвижване между различни системи;
• достигане до критични сървъри;
• подготовка за кражба на данни;
• разгръщане на последващи атаки.

Тъй като RDP трафикът изглежда напълно нормален за повечето организации, атакуващите могат да останат незабелязани в продължение на дни или седмици.

Най-голямото предизвикателство е разграничаването между легитимна и злонамерена дейност

За MSP доставчиците и ИТ отделите ежедневната картина включва хиляди нормални действия:

• дистанционни влизания;
• прехвърляне на файлове;
• административни операции;
• промени по конфигурации.

Киберпрестъпниците се възползват именно от тази среда.

Вместо да използват лесно разпознаваем зловреден код, те прилагат стратегията “Living off the Land”, при която злоупотребяват със стандартни системни инструменти.

Това значително затруднява откриването на атаките, тъй като злонамерената активност визуално не се различава от ежедневните административни действия.

Как организациите могат да откриват странично придвижване

Съвременната защита вече не може да разчита единствено на класическо антивирусно решение.

Необходим е много по-широк подход, включващ:

Непрекъснат мониторинг на крайните устройства

Организациите трябва да разполагат с постоянна видимост върху:

• потребителските действия;
• процесите;
• мрежовите връзки;
• промените в системата.

Корелация на събитията

Единичните аларми често не разкриват цялостната картина.

Съвременните решения трябва да свързват множество отделни събития в единна времева линия на атаката.

Приоритизиране според риска

Не всяка аларма изисква еднакво внимание.

Успешните центрове за сигурност насочват ресурсите си към инцидентите с най-висок потенциален риск за бизнеса.

Ролята на ИИ-базираните EDR решения

Съвременните платформи за откриване и реакция при инциденти (EDR), подпомагани от ИИ, се превръщат в ключов инструмент срещу подобни заплахи.

Те осигуряват:

Пълна видимост върху крайните устройства

Обединяване на информация за:

• процеси;
• потребители;
• мрежови връзки;
• системни събития.

Откриване на странично придвижване

Системите могат да засичат:

• необичайни RDP връзки;
• подозрителни административни действия;
• манипулации на идентификационни данни;
• нетипични модели на достъп.

Автоматична корелация на инциденти

Свързването на множество събития в единна атака намалява информационния шум и улеснява анализа.

Бърза реакция

При необходимост решенията могат автоматично да:

• изолират компрометирани устройства;
• прекратяват подозрителни процеси;
• ограничават достъпа до мрежови ресурси.

Ефективно управление на множество клиенти

За MSP организациите мултитенант архитектурите позволяват управление на повече клиенти без увеличаване на оперативната сложност.

Видимостта е новата линия на защита

Фактът, че RDP участва в огромна част от съвременните атаки, показва една фундаментална промяна в поведението на заплахите.

Днешните нападатели не се стремят да бъдат шумни. Напротив – те искат да изглеждат като обикновени администратори.

Колкото повече една атака прилича на стандартна бизнес дейност, толкова по-голяма е вероятността да остане незабелязана.

Затова модерната киберзащита вече не се измерва единствено с това дали може да блокира зловреден код. Истинската стойност идва от способността да предоставя контекст, поведенчески анализ и пълна видимост върху случващото се в инфраструктурата.

Преминаването на рансъмуер групите към модели, базирани на кражба на данни и изнудване, превръща страничното придвижване в основен етап от атаката. RDP остава предпочитано средство за тази цел, тъй като позволява на нападателите да се сливат с нормалния трафик и да използват легитимни инструменти вместо традиционен зловреден код.

За организациите това означава, че бъдещето на киберзащитата е свързано не само с предотвратяване на пробиви, а с непрекъсната видимост, поведенчески анализ и бърза реакция при подозрителна активност.