Хакеры стали чаще атаковать уязвимые сервисы несмотря на снижение числа киберинцидентов

В июле — сентябре количество инцидентов сократилось на 12% относительно предыдущих трех месяцев. Одновременно компания сообщила об увеличении числа попыток эксплуатации уязвимостей на 8%, а сетевого сканирования — на 4%. Для двух последних показателей в переданных редакции материалах период сравнения указан неоднозначно.

Статистика основана на событиях в инфраструктуре организаций, обслуживаемых центром мониторинга SOC «Перспективного мониторинга». География и количество клиентов в опубликованных материалах не раскрываются. Поэтому эти результаты нельзя распространять на весь российский рынок. Кроме того, обнаруженная попытка атаки еще не означает успешного проникновения в систему.

Сканирование обычно предшествует поиску способов взлома. Злоумышленники проверяют доступные из интернета узлы, открытые порты и версии программ, а затем ищут подходящие ошибки. Число подтвержденных взломов в материалах не приводится.

В числе главных целей — три ошибки 2025 года

Среди уязвимостей, которые пытались использовать чаще других, специалисты назвали CVE-2025-29927 в Next.js, CVE-2025-55182 в React Server Components и CVE-2025-30208 в Vite. Все три проблемы известны с прошлого года. Обновления, закрывающие их, уже доступны, однако попытки эксплуатации продолжаются.

В Next.js речь идет об обходе проверки прав доступа через middleware. Если разработчик поручил этому компоненту решать, кого пускать в закрытый раздел сайта, уязвимость CVE-2025-29927 позволяет обойти установленное ограничение. Разработчики фреймворка выпустили исправления в марте 2025 года, но проблема по-прежнему встречается в статистике атак.

Другая ошибка затрагивает React Server Components. CVE-2025-55182, получившая название React2Shell, позволяет при определенных условиях выполнить произвольный код на сервере без авторизации. Ей присвоена максимальная оценка критичности — 10 баллов по CVSS. О проблеме разработчики React сообщили в декабре 2025 года и одновременно опубликовали обновления.

В Vite злоумышленники используют CVE-2025-30208 для чтения файлов, которые сервер разработки не должен предоставлять извне. Здесь важна конфигурация: под угрозой находятся случаи, когда этот сервер открыт для сетевых подключений. Само использование Vite при сборке сайта не означает, что он уязвим.

По подсчетам SOC, четверть уязвимостей, которые атакующие пытались эксплуатировать в третьем квартале, относится к 2025 году. Некоторые из них были исправлены более года назад. Из квартальной статистики неясно, сколько попыток завершилось успешным проникновением.

Майнеры, вымогатели и трояны дали 73% атак с вредоносным ПО

В июле — сентябре большую часть атак с применением вредоносного ПО составили криптовалютные майнеры, вымогатели и трояны. Вместе на эти категории пришлось 73% случаев, зарегистрированных SOC. Распределение долей между ними компания не раскрыла.

Майнеры используют мощности чужих компьютеров для добычи криптовалюты, вымогатели блокируют или шифруют файлы, а трояны нередко дают злоумышленникам удаленный доступ и возможность загружать дополнительные компоненты.

Для корпоративных систем это разные угрозы. Скрытый майнер может длительное время расходовать вычислительные ресурсы, тогда как атака вымогателя способна привести к остановке рабочих процессов. Троянское ПО часто используют для закрепления в инфраструктуре перед дальнейшим развитием атаки.

В отчете не уточняется, какая часть обнаруженного вредоносного ПО привела к остановке сервисов, потере данных или другим последствиям для организаций. Показатель 73% относится только к атакам с ВПО, а не к общему числу зарегистрированных инцидентов.

Какие меры защиты предлагают специалисты

Технический директор «Перспективного мониторинга» Артем Савчук обратил внимание на долю уязвимостей 2025 года в квартальной статистике. По его оценке, организациям необходимо своевременно обновлять ПО, проверять состояние ИТ-инфраструктуры и отслеживать новые способы атак.

Эксперты рекомендуют дополнять сигнатурное обнаружение анализом поведения пользователей и систем. Такой контроль позволяет заметить действия, для которых еще нет готового правила: например, необычное обращение учетной записи к серверу или запуск неизвестного процесса. Подозрительные события затем проверяют специалисты SOC.

Для организаций, использующих Next.js, React Server Components и Vite, первоочередная задача — проверить установленные версии и доступность уязвимых компонентов извне. Исправления для всех трех перечисленных ошибок уже выпущены.

Среди рекомендаций «Перспективного мониторинга» также названы обучение сотрудников правилам информационной безопасности и защита от фишинга. Злоумышленники продолжают использовать электронные письма с вредоносными вложениями и ссылками для первоначального проникновения в корпоративные сети.

Ранее ICT-Online.ru сообщал об обзоре киберугроз «Перспективного мониторинга» за III квартал 2026 года. В том исследовании среди распространенного вредоносного ПО назывались троян Phantomcore backdoor, вымогатель LockBit 3.0 и стиллер Blank Grabber.