Эксперты Positive Technologies проанализировали результаты пилотных проектов PT Network Attack Discovery (PT NAD), проведенных во II полугодии 2025 г. и I полугодии 2026 г. в компаниях России и СНГ. Доля организаций, в которых была зафиксирована активность вредоносного ПО, выросла с 46 до 70%. Чаще всего специалисты обнаруживали резидентные прокси и майнеры, также в сетевом трафике встречались вредоносные программы для удаленного управления и шпионское ПО. Об этом CNews сообщили представители Positive Technologies.
Эксперты Positive Technologies изучили данные пилотных проектов PT NAD в организациях из разных отраслей. Наибольшую долю выборки составили промышленные предприятия — 39%, ИT-компании — 17%, государственные учреждения и организации сферы торговли — по 13%.
Хотя признаков деятельности злоумышленников во время пилотных проектов специалисты не зафиксировали, анализ сетевого трафика позволил выявить многочисленные угрозы и потенциальные векторы компрометации. Так, активность вредоносного ПО была обнаружена в 70% исследованных компаний. Основную долю составили два типа ВПО — резидентные прокси (proxyware) и майнеры. Первые были выявлены в 67% организаций, вторые — в 54%. Вредоносное ПО для удаленного управления встречалось в 22% компаний, шпионское — в 6%.
Резидентные прокси после заражения устройства пропускают через него чужой сетевой трафик. Для этого злоумышленники используют в том числе личные компьютеры и телефоны пользователей, IP-адреса которых имеют чистую репутацию. В отличие от традиционных вредоносных программ, proxyware не крадет пароли и не шифрует данные, однако скрытно использует ресурсы устройства без ведома владельца. Схожим образом майнеры задействуют вычислительные мощности процессора для добычи криптовалюты.
Самым распространенным среди обнаруженных сервисов резидентных прокси стала Infatica — ее активность специалисты зафиксировали в 62% исследованных компаний. Среди майнеров чаще всего встречались программы для добычи криптовалюты Monero — их обнаружили в 47% организаций.
При этом обнаружение активности ВПО в 70% компаний не означает, что вредоносные программы присутствуют непосредственно на корпоративных устройствах. Резидентные прокси могут заражать личные мобильные устройства сотрудников, подключенные к корпоративному Wi-Fi, а криптомайнеры — работать на личных ноутбуках, с которых пользователи подключаются через корпоративный VPN.
Заметную долю занимают и семейства ВПО, способные наносить прямой ущерб: стилеры, средства скрытого удаленного управления и шифровальщики. Вместе с тем большинство срабатываний сигнатур было связано с детонацией образцов в сетевой песочнице: такое ВПО часто приходит во вложениях к электронным письмам, а его трафик фиксируют системы класса NTA/NDR.
Например, в инфраструктурах российских компаний по-прежнему встречается шифровальщик WannaCry, получивший широкое распространение еще в 2017 г. Исследователи обнаруживали отдельные зараженные им хосты. По данным аналитики, в организациях, которые длительное время используют решения класса NTA/NDR, доля инфраструктур с такими хостами стремится к нулю.
Помимо активности ВПО, специалисты Positive Technologies во всех исследованных компаниях зафиксировали потенциальные нарушения регламентов информационной безопасности. В частности, в 87% организаций использовались незащищенные протоколы для передачи учетных данных, в 74% — ПО для удаленного доступа, а в 61% — словарные пароли. Передача аутентификационных данных в открытом виде по LDAP и HTTP была обнаружена в 74% исследованных компаний в каждом случае.
«На пилотных проектах мы регулярно обнаруживаем проблемы, о которых компании до этого могли просто не знать: вредоносную активность, передачу учетных данных в открытом виде, несанкционированные средства удаленного доступа и другие нарушения политик ИБ. Без анализа сетевого трафика значительная часть такой активности остается незаметной. При этом после внедрения NTA/NDR-систем ситуация меняется: постоянный контроль позволяет выявлять нарушения и устранять их, поэтому со временем их количество существенно снижается. Показательно, что на пилотных проектах AnyDesk мы обнаружили в 84% компаний, тогда как среди организаций, уже использующих NTA/NDR, средний показатель составляет 40%. С TeamViewer мы видим похожую картину — 42% на пилотах против 23% среди всех клиентов, — сказал Кирилл Шипулин, руководитель экспертизы PT NAD в Positive Technologies. — Поэтому для защиты сети важно не ограничиваться разовыми проверками, а обеспечивать ее постоянную видимость с помощью NTA/NDR-решений, таких как PT NAD. Это позволяет специалистам по ИБ видеть происходящее в инфраструктуре, контролировать соблюдение политик безопасности и своевременно выявлять потенциально опасную активность».
Чтобы своевременно выявлять такую активность, компаниям важно обеспечивать постоянную видимость происходящего в сети. Решения класса NTA/NDR позволяют обнаруживать признаки вредоносной и аномальной активности в сетевом трафике, контролировать соблюдение политик информационной безопасности и выявлять Shadow IT.
Поделиться
