Защита корпоративных сетей от современных скрытых угроз: анализ методов
В открытых источниках регулярно появляются сообщения об инцидентах, когда злоумышленники получают устойчивый удалённый доступ к корпоративной инфраструктуре. Согласно отчётам ряда вендоров безопасности, одна из продвинутых APT-групп (отслеживается как Sandworm, APT-C-13) демонстрирует эволюцию тактик: использование связки Tor + SSH с маскировкой трафика через протокол obfs4. В результате традиционные средства защиты, включая межсетевые экраны и антивирусы, могут не фиксировать аномальную активность. Для бизнеса это означает риск длительного нахождения нарушителя в сети, утечки данных и финансовых потерь. В данном материале — анализ открытых данных о методах группы, практические признаки компрометации и рекомендации по выстраиванию защиты.
Общая характеристика угрозы
Группировка, известная как Sandworm (также трекается под именами APT-C-13), по данным открытых источников, может быть связана с деятельностью государственных структур. Основная цель, которую эксперты приписывают этой группе, — не просто хищение документов, а создание устойчивого скрытого канала управления инфраструктурой жертвы. В 2026 году, согласно аналитическим отчётам, методы группировки усложнились: вместо простых шифровальщиков используются многокомпонентные схемы с маскировкой трафика под обычный TLS или случайный мусор. Такая техника позволяет обходить системы глубокого анализа пакетов (DPI) и фильтрацию на сетевом уровне.
Признаки атаки: что сообщается в открытых кейсах
В публичных разборах инцидентов описывается следующая типовая цепочка:
- Первичное проникновение. Сотрудник получает письмо с вложением-архивом (например, ZIP). Внутри архива находится файл-ярлык (.lnk), визуально маскирующийся под PDF-документ. При открытии ярлыка на экране отображается легитимный PDF-приманка, а в фоне запускается PowerShell-скрипт.
- Проверка окружения. Скрипт может проверять наличие средств отладки, виртуальных машин или песочниц. При обнаружении аналитической среды скрипт самоуничтожается.
- Развёртывание инструментов. Вредоносный код копирует на диск легитимные версии Tor и SSH-сервера. В открытых источниках отмечается, что процессы маскируются под имена обычных приложений (например, «svchost.exe» или «dropbox_update.exe»). Запускается скрытый .onion-сервис внутри сети жертвы.
- Закрепление в системе. Создаются скрытые задачи в планировщике Windows с именами, имитирующими легитимные обновления (например, «MicrosoftEdgeUpdateTask»). Задачи запускаются при входе пользователя и могут обновлять вредоносные компоненты.
- Удалённое управление. Атакующий подключается через даркнет к .onion-сервису, получая доступ к RDP, файловым шарам или администрированию серверов. При этом трафик obfs4 неотличим от случайных байтов, что затрудняет его обнаружение.
В ряде публичных кейсов указывается, что злоумышленники также добавляют свои SSH-ключи в файл authorized_users и настраивают локальный SSH-сервер, который слушает только на интерфейсе обратной петли (127.0.0.1). Благодаря этому стандартные сетевые проверки не выявляют открытый порт.
Почему традиционные средства защиты могут быть недостаточно эффективны
Согласно информации от профильных вендоров и данным экспериментов, опубликованных в открытом доступе, протокол obfs4 превращает поток Tor в набор байтов, статистически неотличимый от обычного TLS-трафика. Межсетевые экраны с функцией DPI не всегда способны классифицировать такой трафик как аномальный. Блокировка по спискам IP-адресов Tor-узлов также не даёт результата, поскольку используются публичные мосты, которые меняются каждые несколько часов. Единственным более надёжным подходом является поведенческий анализ конечных точек (EDR) и мониторинг DNS-запросов к .onion-доменам.
Рекомендации по усилению защиты
На основе анализа публичных отчётов и распространённых практик можно сформулировать следующие меры:
- Внедрение EDR-решений с поведенческим анализом. Системы, отслеживающие аномальные действия (например, попытка легитимного процесса создать SSH-туннель), позволяют выявлять скрытую активность.
- Мониторинг планировщика задач. Регулярная выгрузка списка задач (в том числе скрытых) через PowerShell. Обращать внимание на задачи с именами, имитирующими обновления популярных программ.
- Контроль запуска .lnk-файлов из почтовых вложений. Рекомендуется использовать политики ограничения (AppLocker или аналоги) для запрета запуска ярлыков из недоверенных папок.
- Аудит PowerShell. Для версий 5.1 и выше рекомендуется включать логирование всех скриптов и передачу логов в SIEM.
- Использование многофакторной аутентификации для RDP, VPN и почтовых систем. Даже при компрометации пароля это усложняет злоумышленнику доступ.
- Сегментация сети с межсетевыми экранами между сегментами. Критичные серверы (базы данных, 1С, АСУ ТП) должны быть изолированы в отдельных VLAN с жёсткими правилами доступа.
- Регулярное тестирование на проникновение с моделированием APT-групп. Сканеры уязвимостей не обнаруживают обфусцированные скрипты и скрытые задачи.
- Система обнаружения аномалий DNS. Настройка DNS-сервера на логирование и блокировку запросов к .onion-доменам (DNS sinkhole).
- Мониторинг мест размещения временных файлов. Отслеживание появления новых исполняемых файлов в папках C:\Users\Public и C:\Temp.
- Регулярное резервное копирование по правилу 3-2-1 (три копии, два разных носителя, одна — вне сети). Бэкапы на изолированных носителях позволяют восстановить данные даже при попытке их уничтожения.
Практические шаги для обнаружения скрытых каналов
Без внедрения дорогостоящих систем можно выполнить следующие проверки (на основе рекомендаций из открытых источников):
- Анализ исходящих подключений. Проверить, не запускается ли процесс tor.exe из нестандартных директорий (например, из профиля пользователя). Создать правило в SIEM на обнаружение запуска tor.exe вне папок Program Files.
- Проверка SSH-ключей. Исследовать файл %USERPROFILE%.ssh\authorized_keys на наличие незнакомых ключей, особенно с нечитаемыми хэшами.
- Анализ локальных сетевых соединений. Команда netstat -ano | findstr 127.0.0.1 позволяет выявить процессы, слушающие на петлевом интерфейсе (например, sshd.exe или tor.exe на портах 9050/22). При отсутствии официального SSH-сервера это может быть признаком закладки.
- Использование Sysmon (бесплатная утилита) с типовыми конфигурациями для логирования создания процессов, сетевых подключений и изменений реестра. Логи передаются в SIEM (например, Wazuh).
Ответы на часто задаваемые вопросы
Вопрос: Может ли данная угроза затронуть системы Linux?
Ответ: Да. Хотя большинство описанных образцов нацелены на Windows, связка Tor+SSH является кроссплатформенной. Известны случаи развёртывания подобных механизмов на Linux-серверах после эксплуатации веб-уязвимостей.
Вопрос: Какой класс средств защиты считается более эффективным?
Ответ: Сигнатурные антивирусы не гарантируют обнаружения из-за обфускации и проверки на песочницы. Эффективнее поведенческие EDR в связке с мониторингом сетевого трафика (NTA/NDR). Ни одно средство не даёт 100% защиты — необходима комбинация мер.
Вопрос: Можно ли обнаружить скрытый .onion-сервис простым сканером портов?
Ответ: Нет, .onion-адрес является хэшем в сети Tor и не соответствует IP-адресу. Обнаружение возможно через анализ аномалий TLS-рукопожатий (отсутствие SNI) или мониторинг DNS-запросов к .onion.
Вопрос: Что делать при обнаружении следов компрометации?
Ответ: Рекомендуется изолировать заражённые хосты от сети, сохранить логи и образы памяти для расследования, после чего обратиться к профильным специалистам по реагированию на инциденты.
Вопрос: Помогает ли DLP против подобных каналов?
Ответ: Стандартные DLP-системы анализируют контент, но при шифровании трафика Tor они не видят передаваемые данные. Для обнаружения самого факта использования Tor требуется NTA/NDR.
Вопрос: Какие бесплатные инструменты можно использовать для мониторинга?
Ответ: Wireshark (локальный анализ), Zeek (сетевой мониторинг), Sysmon + ELK или Wazuh для сбора логов. Однако требуют квалификации для настройки и интерпретации данных.
Особенности для российских организаций
В Российской Федерации действуют требования ФСТЭК и 187-ФЗ «О безопасности КИИ», обязывающие объекты критической информационной инфраструктуры использовать сертифицированные средства защиты. На рынке представлены отечественные EDR и NGFW, которые потенциально способны детектировать Tor-трафик. Однако, по информации из открытых обсуждений, формальное наличие сертифицированных средств без тонкой настройки под конкретные сценарии оставляет возможность для обхода. Поэтому регулярный внутренний аудит безопасности, моделирование атак и проверка настроек являются критически важными.
Заключение
Деятельность APT-групп, использующих связку Tor+SSH+obfs4, демонстрирует, что традиционные периметровые средства защиты могут не обеспечивать достаточного уровня обнаружения. В открытых источниках регулярно описываются инциденты, где злоумышленники находились в сети месяцами. Наиболее эффективным подходом является комбинация поведенческого анализа конечных точек, мониторинга сетевых аномалий, сегментации и регулярной проверки конфигураций безопасности.
Если вам важно понять реальный уровень защищённости вашей инфраструктуры от подобных скрытых угроз, рекомендуется провести аудит безопасности с моделированием действий APT-групп. Это позволит выявить потенциальные каналы скрытого доступа до того, как ими воспользуются злоумышленники.
⚖️ Данный материал носит информационно-аналитический характер. Все выводы основаны на открытых источниках и не являются утверждением фактов, не подтверждённых официально. Материал не является юридической или технической рекомендацией. Любые решения принимаются читателем самостоятельно.
══════
Больше материалов: Центр знаний SecureDefence.
Оставьте заявку на бесплатную консультацию: [Перейти на сайт]