Все фреймворки для APT-атак на изолированные сети АСУ ТП используют USB

Все фреймворки для APT-атак на изолированные сети АСУ ТП используют USB

Все фреймворки для APT-атак на изолированные сети АСУ ТП используют USB

Эксперты ESET изучили 17 наборов вредоносных компонентов, которые APT-группы применяли для атак на физически изолированные системы SCADA и АСУ ТП. Как оказалось, все эти фреймворки заточены под Windows, а для вывода данных из закрытой сети используют USB-накопители.

Изоляция SCADA, АСУ ТП или ОТ-инфраструктуры от корпоративной среды и интернета — традиционная мера защиты объектов КИИ от киберугроз. Однако «воздушная прослойка» никогда не обеспечивала полной безопасности, хотя и усложняла взлом критически важных систем.

Связь с изолированной сетью обычно осуществляется с помощью физического устройства — USB-флешки или внешнего жесткого диска. Как оказалось, авторы шпионских атак на КИИ на протяжении15 лет использовали именно этот вектор для проникновения в интересующие их закрытые системы.

Проведенное в ESET исследование показало, что не менее 75% фреймворков для атак на изолированные сети полагаются на вредоносный файл LNK (вспомним Stuxnet) либо AutoRun, записанный на флешку. Зловред при этом может использоваться не только для компрометации целевой системы, но и для дальнейшего продвижения по закрытой сети.

Основным отличительным признаком инструментов атаки, изученных в ESET, является способ заражения USB-накопителя, поэтому эксперты условно разделили фреймворки на две группы — работающие в системе, обеспечивающей связь с изолированной сетью, и работающие офлайн. Первые после установки развертывают вредоносный компонент, который отслеживает подключение флешки и автоматом внедряет в нее код для взлома системы, отделенной «воздушным зазором».

 

Офлайн-фреймворки (Brutal Kangaroo, USBThief, ProjectSauron) предполагают использование заранее подготовленной флешки, способной обеспечить автору атаки бэкдор.

 

Большинство изученных инструментов обеспечивает атакующему одностороннюю связь с целевой системой — для вывода данных. Наиболее продвинутые фреймворки могут поддерживать и обратную связь (на рисунках показано желтыми стрелками).

Некоторые фреймворки, рассмотренные в ESET (полный список см. в полнотекстовом PDF-отчете):

По данным «Лаборатории Касперского», в настоящее время вредоносные USB-устройства — вторая по значимости киберугроза для АСУ ТП (после атак из интернета). Эксперты также отметили растущий интерес APT-групп к таким объектам: раньше они ежегодно фиксировали в этой сфере единичные целевые атаки, теперь счет идет на десятки.

Тревожная кнопка подсветила мелкие хищения

Появление специальной кнопки для сообщения о мошенничестве в банковских приложениях привело к тому, что клиенты стали заметно чаще информировать банки о несанкционированных операциях — в том числе на относительно небольшие суммы. После внедрения этой функции около 40% пострадавших начали обращаться не только в банки, но и в правоохранительные органы.

Об этом рассказал заместитель председателя Банка России Герман Зубарев в интервью «Российской газете», приуроченном к открытию форума «Кибербезопасность в финансах».

Функция оперативного информирования стала обязательной для приложений крупнейших банков с 1 октября 2025 года. При этом, как напомнил Герман Зубарев, ряд кредитных организаций внедрили ее заранее — по собственной инициативе.

По приведенной статистике, в 80% случаев сумма несанкционированных операций составляет 20 тыс. рублей и менее.

В целом, как отметил зампред Банка России, объем похищенных средств стабилизировался и сегодня составляет около 8 копеек на каждые 10 тыс. рублей переводов. Такого результата удалось добиться за счет повышения эффективности антифрод-систем банков, уровень которой превышает 99,9%.

При этом злоумышленники все активнее используют методы социальной инженерии, вынуждая жертв самостоятельно раскрывать конфиденциальные данные или совершать нужные действия: устанавливать вредоносные приложения, переводить деньги, снимать их наличными, конвертировать в золото или ювелирные изделия и передавать курьерам. Технические средства защиты в большинстве таких случаев оказываются бессильны.

Тенденцией 2026 года Герман Зубарев назвал рост использования мошенниками технологий дипфейков, которые делают их схемы и сценарии более убедительными.

«В любом случае, если вы получили видео- или аудиосообщение с просьбой совершить какие-либо действия с деньгами, обязательно свяжитесь с этим человеком альтернативным способом — например, позвоните напрямую, а не через мессенджер. Если такой возможности нет, задайте проверочный личный вопрос, ответ на который не может знать посторонний», — порекомендовал зампред Банка России.

Говоря об атаках на сами финансовые организации, Герман Зубарев также отметил рост числа атак с использованием шифровальщиков. За 2025 год было зафиксировано 10 таких инцидентов, и во всех случаях вредоносное ПО проникало в инфраструктуру банков через подрядчиков.

RSS: Новости на портале Anti-Malware.ru