Positive Technologies

Больше чем в половине случаев кибератаки нарушают работу бизнеса

К такому выводу пришли эксперты команды PT ESC IR после анализа 140+ проектов по расследованию инцидентов и ретроспективному анализу за последний год.

Все подробности, рекомендации и шокирующиенекоторыхоткрытия — в классном исследовании на сайте и на карточках, но и тут кое-что важное напишем.

Кто пострадавшие

На первое место в списке жертв резко вышла промышленность (с 9 до 22% случаев), за ней — госучреждения, ИТ-компании и торговля.

Поводом для почти двух третей обращений стала подозрительная активность, которую клиенты заметили сами или с нашей помощью. Примерно в трети случаев злоумышленники уже успели зашифровать данные, запросить выкуп или сделать публичное заявление о взломе 🙁

Кто атакует

Почти в половине расследований мы обнаружили следы известных APT-группировок, а еще более чем в трети случаев — киберкриминал, нацеленный на шифрование и уничтожение данных.

Прибыло и в полку APT-группировок. В отчете мы рассказываем о трех новых, обнаруженных нашими экспертами: APT10051, Stingy Basilisk и Chewbacca. Что интересно, некоторые из них (не только новички) умудрялись одновременно заходить в одни и те же инфраструктуры и действовать там одновременно и независимо друг от друга.

Причины не меняются

Успех атак часто базируется на недостатках безопасности, которые некоторые компании, увы, не устраняют годами. Не зря они много лет одни и те же:

• устаревшие ОС и ПО — 30% инцидентов
• отсутствие 2FA — 25%
• слабая сегментация сети — 24%

И инструменты, кстати, тоже

Для получения первоначального доступа, повышения привилегий и отключения средств защиты злоумышленники использовали более 25 различных уязвимостей. При этом больше половины из них на момент атаки были известны не менее двух лет. И никак не пропатчены 😱
«Для успешной атаки злоумышленникам часто не нужны принципиально новые техники. Они используют давно известные уязвимости, которые компании не устранили вовремя. Дольше оставаясь незамеченными, они получают больше времени, чтобы закрепиться в инфраструктуре, собрать информацию и продвинуться к критически важным системам. Поэтому компаниям недостаточно защищать только внешние сервисы. Важно контролировать происходящее внутри корпоративной сети и быстро реагировать на признаки компрометации», — отметил Денис Гойденко, руководитель PT ESC IR.

Читайте, как злоумышленники проникают, закрепляются и действуют в инфраструктуре, а также — что со всем этим делать, на нашем сайте.

#PTESC
@Positive_Technologies

Мы опубликовали все материалы с Positive Security Day

Конференция, на которой мы рассказали, как ИИ меняет индустрию кибербеза и наш продуктовый портфель, а также поделились планами на ближайшее будущее, завершилась неделю назад.

Плейлисты с записями дискуссий и всех выступлений вы можете найти в любом удобном вам месте:

⏺️ YouTube ⏺️ RUTUBE ⏺️ VK Видео ⏺️ Сайт

В них мы:

1️⃣ Обсудили, как ИИ меняет саму суть работы кибербеза, почему его можно считать подрывной технологией и когда нам ждать технологического шторма.

2️⃣ Презентовали каскад ИИ-моделей в MaxPatrol O2, который способен самостоятельно закрыть 68% инцидентов без участия человека, тратя на каждый 15–20 секунд.

3️⃣ Представили коммерческую версию своей платформы больших данных PT Security Lakehouse. Она агрегирует данные из разных средств защиты, чтобы с ними могли работать аналитики, ИИ-агенты и разработчики.

4️⃣ Рассказали, что выходим в новый для нас B2C-сегмент. Рассматриваем несколько направлений: защиту корпоративных смартфонов, решения для банков, которые помогут обезопасить их клиентов, и отдельное приложение для частных пользователей.

5️⃣ Поделились тем, как научили PT Application Firewall защищать языковые модели и ИИ-агентов, выявляя попытки атак, манипулирования промптами и кражи конфиденциальной информации.

6️⃣ И наконец-то сообщили дату юбилейного киберфеста PHDays Fest, который пройдет с 20 по 22 мая 2027 года в «Лужниках».

И это, конечно, далеко не все. Презентации спикеров уже на сайте, также готовы и фото с первого и второго дней нашей конференции.

Смотрите, читайте и вспоминайте, как это было.

#PSD2026
@Positive_Technologies

«У вас атака, возможно, APT» или что PT X успел за год

Мы презентовали PT X на Positive Security Day в прошлом октябре. И за недолгое время он успел стать надежным защитником для множества компаний из самых разных отраслей: от промышленности и ритейла до ИТ и финансового сектора.

Не будем рисовать «на фюзеляже», сколько кибератак успел отразить продукт, но постараемся рассказать о самых интересных из них, тех, которые обычно остаются в закрытых отчетах об инцидентах, на вебинаре 27 октября в 14:00.

Например, будет кейс про APT-группировку, планам которой наши эксперты успешно мешали раз за разом, и о проникновении в инфраструктуру через доверенного подрядчика.

В каждом из случаев покажем, как команда PT X и PT ESC успевала остановить злоумышленников до того, как они достигли цели, и какие инструменты и технологии в этом помогали.

А еще разберем, кто и на каком этапе берет на себя выявление инцидентов и их валидацию и почему связка «автоматизация + человек» работает там, где по отдельности можно забуксовать. Ну и честно ответим на вопрос, который задают все: почему компании с защитой все равно могут оказаться уязвимыми.

Все по делу: практика и ответы на вопросы, ничего лишнего. Если интересно, регистрируйтесь и присоединяйтесь к нам онлайн 🏃‍♂️

#PTX
@Positive_Technologies

Критическая уязвимость в GitLab 🦊

Не успели отгреметь новости об уязвимостях в PHP, как в тот же день GitLab сообщил о критической уязвимости CVE-2026-110264 (PT-2026-120800) с максимальной оценкой CVSS — 10 баллов из 10.

Разбираемся, чем она опасна, кто в зоне риска, и как от нее защищаться с помощью PT Application Firewall.

Что за уязвимость 🤔

GitLab — платформа, на которой компании хранят исходный код своих программ, управляют разработкой и автоматизируют выпуск обновлений.

Обнаруженная проблема связана с обработкой регулярных выражений — специальных шаблонов для поиска и обработки текста. При определенных условиях специально подготовленное выражение вызывает переполнение целого числа. В результате злоумышленник может выполнить произвольный код на сервере.

Один из сценариев атаки предполагает использование вредоносного файла в формате Org-mode, который GitLab обрабатывает через веб-интерфейс. Самое опасное, что для этого не нужно входить в систему, знать пароль или даже иметь учетную запись.

Уязвимость существовала 12 лет. Под угрозой все версии GitLab CE/EE, начиная с 7.0, выпущенной еще в 2014 году, если на них не установлены исправления. Речь о GitLab, который компании разворачивают на собственных серверах. Облачные GitLab и GitLab Dedicated уже защищены — их клиентам ничего делать не нужно.

Исследователь из Швеции, обнаруживший уязвимость, в одном из своих недавних постов написал:

«ИИ делает доступными многие исследования, которые раньше большинству из нас были не по силам. <..> Попробуйте погуглить название своего любимого продукта вместе с аббревиатурой RCE. Велика вероятность, что в 2026 году в нем обнаружили похожие уязвимости».

Запись была опубликована неделю назад, когда он сообщил о другой найденной уязвимости в GitLab.

Что это дает злоумышленнику 🥷

Взлом сервера GitLab может открыть доступ к исходному коду компании, закрытым репозиториям, токенам доступа, ключам и другим конфиденциальным данным. Многое зависит от того, как настроен сервер.

Особенно опасно то, что GitLab встроен в процесс разработки и выпуска программ. Получив контроль над сервером, злоумышленник может попытаться вмешаться в сборку приложений и внедрить в них вредоносный код. Или использовать сервер для атак на остальную инфраструктуру компании.

Кто в зоне риска 😱

В России это, например, банки, ИТ-компании, телеком-операторы, промышленные предприятия — в общем, все, кто самостоятельно разрабатывает ПО.

Больше всего рискуют серверы, доступные из интернета. Только в России их тысячи, и сколько из них уязвимы, оценить сложно. Но и внутренний сервер защищен лишь до тех пор, пока злоумышленник не проник в сеть компании.

По данным GitLab, атак пока не зафиксировано. Но в сети уже появился код, который выдают за эксплойт для этой уязвимости, так что ситуация может быстро измениться.

Как защититься 🔥

Главное — как можно скорее установить исправления. Список безопасных версий есть в бюллетене GitLab.

Пока обновление не установлено, снизить риски поможет PT Application Firewall. Мы подготовили дополнительные правила защиты.

PT AF Cloud — правило распространяется среди пользователей сервиса и уже доступно для самостоятельного включения.

PT Application Firewall PRO — правило и инструкции по его применению можно получить через техподдержку Positive Technologies.

Обратите внимание, что правило может повлиять на просмотр документов в формате Org-mode, поскольку именно через такие файлы возможна атака. И помните, что WAF помогает снизить риски отдельных сценариев атаки, но не заменяет обновление самого GitLab.

@Positive_Technologies

Обнаружены две критические уязвимости в PHP

Сегодня все, у кого WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal, WHMCS и вообще что угодно на PHP — как на этом кадре из фильма «Человек-паук 2».

Если вы вдруг еще не в курсе, речь про PHP2Shell — две критические уязвимости, которые позволяют взломать сервер без пароля (кстати, их помогла обнаружить модель GPT-5.6 Sol). Из-за них по всему миру отключают сайты, государственные ресурсы и даже онлайн-игры.

Уязвимости CVE-2026-109618 (PT-2026-118596) и CVE-2026-109619 (PT-2026-118597) получили оценку 9,2 из 10 по шкале CVSS 4.0. С их помощью злоумышленники могут удаленно запускать свой код на сервере без аутентификации.

Проблема затрагивает разные способы запуска PHP, в том числе PHP-FPM и Apache с mod_php. По данным Cloudflare, уже появились первые признаки атак, а в открытом доступе распространяется код для эксплуатации уязвимостей.

Главная рекомендация — как можно скорее обновить PHP. Исправления вышли в версиях 8.5.12, 8.4.27, 8.3.36 и 8.2.35.

🔥 Для пользователей PT Application Firewall мы подготовили дополнительные меры защиты.

В PT AF Cloud защитное правило уже доступно для включения в личном кабинете.

Для PT Application Firewall PRO и PT Application Firewall 3 меры защиты и инструкции по их применению можно получить через техническую поддержку Positive Technologies.

Важно: эти меры не заменяют необходимость обновления PHP. Но и отключать сервера — тоже не нужно. PoC до сих пор выходят, и наша команда внимательно следит за ними, чтобы актуализировать правила защиты.

@Positive_Technologies

Как перестать бояться аудита больших доменных инфраструктур

Чем больше Active Directory, тем сложнее аудит: сканирование тянется часами, диски трещат по швам, а данные копятся быстрее, чем вы успеваете их анализировать.

На вебинаре 22 октября в 14:00 расскажем, как мы переработали подход к сбору и хранению данных Active Directory, чтобы объем хранимой информации для крупных инфраструктур был до 20 раз меньше, а нагрузка на железо при сканировании — ниже.

Чем планируем поделиться:

• Почему старый подход «тянул» из инфраструктуры все соки и как мы это исправили.

• Как обновления отразятся на MaxPatrol VM, MaxPatrol SIEM, MaxPatrol HCC и MaxPatrol Carbon.

• Как подготовить свои PDQL-запросы и автоматизации к новой модели данных, чтобы ничего не сломалось.

• Что такое новые стандарты контроля AD: проверки учеток пользователей и компьютеров, параметры доменной конфигурации, шаблоны сертификатов. Все то, что нужно для нормального харденинга.

• Куда движется поддержка ALD Pro и других служб каталогов.

Зовем аналитиков SOC, специалистов по управлению уязвимостями и админов Active Directory, а также команды, которые отвечают за харденинг и снижение рисков в домене.

Регистрируйтесь и подключайтесь к нам онлайн 🫲

@Positive_Technologies

Почти каждая компания пользуется «1С». Теперь PT Dephaze проверяет, можно ли его взломать 😱

Когда мы говорим «почти в каждой», мы не шутим. Решениями на базе «1С:Предприятия» пользуются больше 1,6 млн организаций, включая госучреждения, и свыше 11 000 крупных предприятий. Через «1С» проходит почти вся жизнь бизнеса: бухучет, закупки, контрагенты, финансы, поставки, персонал.

Что будет, если «1С» взломают

Злоумышленник, который получил доступ к «1С» снаружи или изнутри, заберет коммерческие документы, данные сотрудников и контрагентов, клиентские базы, финотчетность и внутреннюю переписку.

Он сможет завести фиктивные платежки или подменить документы, а если захватит сервер — продвинуться дальше по инфраструктуре и нарушить рабочие процессы. Поэтому так важно заранее найти слабые места системы и позаботиться о ее защите при помощи системы автопентеста.

И поэтому PT Dephaze теперь умеет проверять возможные способы компрометации «1С:Предприятия»

Во время автопентеста система сама находит сетевой доступ к приложению, проверяет, можно ли без аутентификации достать оттуда список пользователей, ищет учетки с пустыми паролями и пробует авторизоваться при помощи данных, добытых на прошлых этапах автопентеста.

Это дает возможность обнаружить и оперативно закрыть наиболее опасные проблемы в настройках конфигураций безопасности «1С». В будущем мы планируем углубить анализ систем вендора и развивать техники для оценки защищенности других критически важных для бизнеса приложений.

Но мы завезли еще новых фичей в продукт

И все — на основе вашей обратной связи: теперь доступен дополнительный контекст в цепочках атак (IP-адреса и учетные данные на разных этапах), более конкретные рекомендации, расширение области тестирования прямо во время пентеста и подсвечивание слабых мест парольной политики.

Если вы уже используете PT Dephaze, можно прямо сейчас проверить, в безопасности ли ваши данные, а если нет, вы знаете, куда идти 😉

#PTDephaze
@Positive_Technologies

Как наша песочница вычисляет «умные» вредоносы и совершенствует защиту при помощи ML

Атакующие не стоят на месте: они все лучше маскируют вредоносные файлы, чтобы те выглядели безопасно для средств защиты. Поэтому важно, чтобы такие файлы проходили проверку, а при малейших подозрениях попадали в песочницу — например, в нашу PT Sandbox.

На вебинаре уже завтра, 20 октября, в 14:00, расскажем, как новые возможности продукта помогают быстрее обнаруживать и разбирать угрозы, куда движутся его экспертиза и ML-технологии и как извлечь из него максимум пользы для расследования.

Что будет:

1️⃣ Разберем, что нового появилось в экспертизе PT Sandbox и как это помогает в анализе вредоносного ПО.

2️⃣ Представим ByteDog — новую ML-модель внутри песочницы — и объясним, как с ее помощью обнаруживать зловреды.

3️⃣ Расскажем, как подключить большие языковые модели к PT Sandbox и какие возможности это открывает для пользователей.

Будет интересно всем: от исследователей безопасности до аналитиков SOC. Регистрируйтесь и приходите.

#PTSandbox
@Positive_Technologies

PHDays Fest 2027 🌟

Юбилейный киберфестиваль пройдет с 20 по 22 мая в «Лужниках». И мы сделаем его великолепным.

В следующем году PHDays исполнится 15 лет. За это время изменился сам фестиваль, изменились технологии и то, насколько сильно они вошли в нашу жизнь.

Но одно осталось прежним: интерес к людям, которые хотят понять, как все устроено, и попробовать сделать по-своему.

Именно эта идея легла в основу концепции юбилейного PHDays Fest — «Технологии — отражение тебя».

В «Лужниках» вновь соберутся все, кому интересно, как устроен цифровой мир: от любопытных новичков до профессионалов индустрии.

Традиционно будет открытая зона для всех желающих, выступления экспертов со всего мира, деловые дискуссии и, конечно, легендарная кибербитва Standoff.

Что мы еще готовим к юбилею — расскажем, как только будем готовы (скоро).

А пока сохраняйте даты в календарях: с нетерпением ждем встречи и обещаем удивлять!

#PHDays
@Positive_Technologies

PT Application Firewall научился защищать ИИ-агентов и сервисы на основе LLM от кибератак

🤖 Сервисы на основе больших языковых моделей уже стали полноценными участниками бизнес-процессов. Они работают незаменимыми ассистентами и личными секретарями, неутомимыми аналитиками, внимательными сотрудниками техподдержки и отделов продаж, джунами, тестировщиками и даже киберзащитниками.

Но кто защитит самих виртуальных помощников, у многих из которых есть доступ к персональным данным, корпоративным документам и информационным системам? Встречайте нашего супергероя LLM Firewall — новый модуль в составе решения для защиты веба PT Application Firewall, смело встающий на киберзащиту ИИ-сервисов.
 
Как это работает

Представьте, что у вас есть ИИ-бот, который принимает у клиентов заказы или занимается их жалобами. И вот, злоумышленник, выдавая себя за клиента, отправляет ему хитрый запрос. Составлен он так, чтобы обойти установленные ограничения, и заставить бота выдать закрытую информацию или выполнить нежелательное действие.

Так работает один из любимых приемов киберпреступников — инъекция промптов (prompt injection), похожим образом бота могут взломать при помощи документов, которые обрабатывает LLM. Причем традиционные средства веб-защиты воспринимают это как обычное сообщение от пользователя, а не как атаку.

Модуль LLM Firewall встает между приложением и языковой моделью, внимательно проверяя входящие запросы и ответы. Ищет джейлбрейки, попытки вытащить системные инструкции или использовать возможности ИИ-агента в интересах атакующего. Находит — блокирует или фиксирует для разбора.

А еще — контролирует, какую информацию пользователи передают ИИ в своих запросах. При этом обращает внимание как на персональные данные, пароли, ключи доступа и другие секреты, так и на токсичный, запрещенный и потенциально опасный контент.

Двусторонняя проверка позволяет компаниям контролировать и входящую информацию, и исходящую, избегая репутационных рисков из-за некорректных ответов бота пользователям.

Кому пригодится такая защита

Можем честно сказать, что всем. Но в первую очередь организациям, много общающимся с пользователями через ИИ-сервисы или внедряющим их прямо сейчас. Например, банкам, ретейлерам, маркетплейсам, телеком-операторам и ИТ-компаниям. Здесь риски атак на LLM-модели выше, а компрометация чувствительных данных может привести к утечкам информации, финансовым потерям и сбоям в работе бизнеса.

«Мы прогнозируем рост числа атак, при которых злоумышленники будут пытаться манипулировать поведением ИИ-ассистентов, чтобы выполнять вредоносные действия в корпоративной сети от их имени. По мере расширения возможностей таких помощников растут и последствия их компрометации. Поэтому компаниям важно учитывать эти риски уже при внедрении ИИ в свои сервисы», — говорит Павел Пархомец, руководитель продукта PT AF Cloud.

Как подключить модуль

Хорошая новость: модуль уже интегрирован в PT AF Cloud и подключается к обмену данными через API, совместимый с OpenAI. Отдельная консоль не нужна. Скоро он будет и в on-premise версии PT AF PRO.

Так что вам останется только настроить политики и выбрать режим — мониторинга или блокировки, чтобы спать спокойно не переживать о безопасности своих ИИ-помощников.

#PTAFCloud
@Positive_Technologies