Промышленную инфраструктуру атакуют программы-вымогатели

Вредоносное ПО, а именно трояны-вымогатели и трояны-шпионы, стали главным способом атак на промышленную инфраструктуру в России и мире — на них приходится 80% всех известных хакерских атак. Причем все чаще эти атаки происходят по заказу третьей стороны. К такому выводу пришли в Экспертно-аналитическом центре ГК InfoWatch в ходе исследования «Тенденции развития киберинцидентов АСУ ТП за 2023 год». В рамках исследования эксперты проанализировали особенности атак на промышленную инфраструктуру и те угрозы, которыми грозят их последствия для мировой индустрии.

Число атак программ-вымогателей на IT-инфраструктуру промышленных предприятий за 2023 год выросло, по разным оценкам, на 50%–70%. Эксперты ожидают, что рост продолжится и в текущем году. Также наметилась интересная тенденция: в прошлом году значительно выросла доля случаев, когда внедрение вредоносного ПО и DDoS-атаки проводились по заказу, то есть злоумышленники предоставляли программы-вымогатели как услугу. Это подтверждает и тот факт, что автоматизированных нападений на промышленные предприятия стало меньше, а количество атак программ-вымогателей, управляемых человеком, выросло более чем в три раза. Также в числе наиболее часто встречающихся методов кибератаки вошли случаи использования изменения статусов устройств АСУ ТП — их отметили 64% опрошенных специалистов по информационной безопасности, на третьем месте — эксплуатация существующих уязвимостей IT-инфраструктуры.

«Одна из основных проблем ИБ на предприятиях состоит в том, что устройства АСУ ТП, как правило, имеют ряд уязвимостей, которые хорошо известны злоумышленниками и используются ими для несанкционированного доступа к инфраструктуре. В настоящее время известные уязвимости имеют 75–80% устройств АСУ ТП. При этом 45–50% уязвимостей не поддаются исправлению», — отметил руководитель Экспертно-аналитического центра ГК InfoWatch Михаил Смирнов.

Любопытно, что вредоносный софт может проявлять себя как незамедлительно, так и с отсрочкой по времени — например, в тот момент, когда злоумышленники решат запустить массированную атаку.

«Нередко современные хакерские группировки создают так называемые «спящие ботнеты». Вредоносное ПО атакует уязвимые устройства интернета вещей и устаревшее сетевое оборудование без дальнейшего распространения атаки. «Спящие ботнеты» можно использовать в нужный момент, а также уничтожить после обнаружения или тогда, когда они перестанут быть полезными. Это значительно увеличивает их опасность и усложняет борьбу с ними. Причем ботнеты уже проявили себя в качестве действенного инструмента киберпреступников — в частности, в начале этого года с их помощью была атакована инфраструктура водоснабжения малых городов США», — рассказал Михаил Смирнов.

Изучили аналитики и то, какие мотивы двигают киберпреступниками при совершении атак. Так, согласно результатам исследования, 60% злоумышленников преследуют финансовые цели, а 20% из них являются хактивистами — то есть людьми, которые действуют по политическим или идеологическим мотивам. В отдельную категорию были вынесены и АРТ группировки (от англ. advanced persistent threat — постоянная серьезная угроза), которые занимаются кибершпионажем — на их долю также приходится 20% инцидентов.

«Порядка 80% устройств АСУ ТП не видны средствам мониторинга и управления IT-инфраструктурой. Большинство руководителей, отвечающих за информационную безопасность, понимают риски этой ситуации — по этой причине ее исправление ставят для себя в качестве главной задачи 62% из них», — подчеркнул Михаил Смирнов.

Вслед за видимостью устройств АСУ ТП промышленные предприятия отмечают важность инвестиций в оценку рисков и управление уязвимостями — эти направления определяют в качестве главного приоритета, 48% и 42% респондентов соответственно.

В числе отраслей, которые наиболее часто подвергаются хакерским атакам, аналитики указали машиностроение, автопром, производство электроники и полупроводников, а также металлургию и энергетику. И если большинство этих предприятий выделяют значительные средства на поддержание безопасности АСУ ТП, то затраты машиностроителей оцениваются исследователями как недостаточные для поддержания ИБ на фоне высокого уровня киберугроз.

В рамках данного исследования использовались в значительной мере собственные данные ГК InfoWatch, включая базу инцидентов в промышленности и энергетике, а также находящаяся в открытом доступе информация более чем от:

• 150 вендоров ИБ АСУ ТП,
• 30 аналитических и консалтинговых компаний,
• 40 промышленных ассоциаций,
• 50 информационных агентств в сфере информационных и операционных технологий,
• 30 крупнейших сервис-провайдеров.