Эксперты Positive Technologies проанализировали данные о вредоносном программном обеспечении, найденном в инфраструктуре организаций в ходе пилотных проектов по внедрению песочницы PT Sandbox; подавляющую часть обнаруженных вредоносов составили трояны, большинство из которых оказались шпионским ПО, сообщает компания в пятницу.

Больше всего вредоносов было обнаружено в почтовом трафике организаций, более половины из них — во вложениях с расширением .exe.

В ходе пилотных проектов по внедрению песочницы PT Sandbox в компаниях было выявлено 122 семейства ВПО и более 1800 вредоносных файлов. Больше всего ВПО (49%) было найдено в почтовом трафике. Треть всех вредоносных файлов была извлечена из сетевого трафика. Каждый пятый экземпляр ВПО найден в общих папках и хранилищах или загружен для проверки вручную через веб-интерфейс.

В почтовом трафике больше всего ВПО было замечено в электронных письмах, которые приходили в утренние часы (с 4:00 до 7:00) и в обеденное время (с 13:00 до 15:00). Чаще всего злоумышленники маскировали свои письма под запросы с целью уточнения цен на товары или стоимости услуг (35%), сообщения на тему оплаты (20%) и заказа (17%), на тему доставки документов и товаров (13%). В 15% писем на тему оплаты отправитель требовал незамедлительно ответить или предпринять определенные действия, что является одним из признаков вредоносных сообщений. Почти все сообщения с пометкой «срочно» содержали просьбы подтвердить платеж, уточнить платежные реквизиты или цены на товары и услуги для проведения оплаты. Поддельные формы аутентификации содержались в 27% писем.

По данным исследования, трояны составили 91% среди найденных вредоносов. Большинство образцов оказались шпионским ПО (32%). Это программы, которые следят за активностью пользователя и передают информацию злоумышленнику. Такие программы могут перехватывать нажатия клавиш, делать снимки экрана, записи с микрофона или веб-камеры, сохранять учетные данные из приложений, собирать адреса электронной почты и данные банковских карт. Средства кражи учетных данных составили 21%; такие программы похожи на трояны-шпионы, но их основными функциями являются перехват и компрометация учетных данных пользователя. Среди образцов ВПО было также проанализировано множество поддельных форм ввода, они составили 16% вредоносных файлов. Такие формы содержат скрипты, которые отправляют введенную информацию злоумышленникам и обычно используются для кражи учетных данных.

Результатом заражения информационных систем вредоносами могут стать нарушения важных рабочих процессов, работоспособности инфраструктуры и клиентских сервисов, мошеннические операции, атаки на клиентов компании и другие негативные события — вплоть до недопустимых, способных поставить под угрозу существование бизнеса компаний-жертв. По данным Positive Technologies, в предыдущем квартале треть атак привела к нарушениям основной деятельности организаций.

По мнению экспертов Positive Technologies, важно выявить угрозу на ранней стадии, как только вредонос попытается проникнуть на устройство и прежде чем он успеет нанести непоправимый вред корпоративной инфраструктуре. Чтобы своевременно обнаружить ВПО и предотвратить серьезные последствия, необходимо использовать разные технологии. Практически в каждом классе ВПО нашлись вредоносы, которые были выявлены только с помощью какой-то одной технологии, а две и больше одновременно срабатывали только в 31% случаев. Исследование показало, что поведенческий и статический анализаторы сработали в 40% и 15% случаев соответственно.

В исследование вошли результаты 18 пилотных проектов PT Sandbox, которые проводились со второй половины 2021 по первую половину 2022 года и целью которых была демонстрация выявления реальных угроз. Большая часть проектов проводилась на промышленных предприятиях. В исследование также включены «пилоты» в финансовых организациях, СМИ, государственных и медицинских учреждениях.

В ходе поведенческого анализа PT Sandbox запускает файл на специально подготовленной виртуальной машине и отслеживает его поведение, включая запуск процессов, выполнение интернет-запросов, изменение оперативной памяти и системного реестра. Статический анализ — это проверка файлов по технологии экспертного центра Positive Technologies, в основе которой лежат правила из собственной базы знаний.