Анализ киберугроз в облачной среде за второе полугодие 2025 года

В 2025 году заметное развитие получили сервисы, с помощью которых можно быстро и удобно создавать ИИ‑приложения и агентов для решения бизнес‑задач. С ростом их популярности увеличиваются и риски, связанные с разработкой и внедрением ИИ‑агентов на базе LLM. В отдельном руководстве мы уже описывали угрозы и методы защиты для ключевых компонентов ИИ‑агентов, а в этой статье поговорим о защите IT‑инфраструктуры — ведь вместе с ростом зависимости от облаков закономерно повышается интерес злоумышленников.

По данным Microsoft, в Azure рост атак в 2025 году составил 26%. На 87% выросло количество кибератак с использованием программ‑вымогателей, на 23% — попытки кражи учётных данных, на 58% — атаки на конфиденциальные данные. Check Point в отчёте Cloud Security Report 2025 отмечает, что за последний год почти две трети компаний (65%) столкнулись с инцидентом безопасности, связанным с облаком.

Главный метод компрометации облачной инфраструктуры — T1078: Valid Accounts (использование действительных учётных данных). После успешной компрометации злоумышленники создают дополнительные ключи для закрепления.

В условиях, когда злоумышленникам приходится поддерживать множество инфраструктур для проведения атаки и сокрытия следов, одна из популярных техник — прокси. Используются как цепочки прокси, так и внешние прокси с применением утилит ngrok, Gsocket, Localtonet. Примечательно, что туннели до зарубежных сервисов, например Cloudflare, активно используют не только злоумышленники для усложнения расследования, но и легитимные сервисы.

Для снижения рисков и повышения безопасности облачных сервисов мы проанализировали статистику, которую собрали при мониторинге и расследовании инцидентов самого облака и наших клиентов. Уделили особое внимание техникам и целям атакующих, чтобы сформировать рекомендации по улучшению облачной безопасности.

Какие техники атакующие используют чаще всего

Для анализа мы использовали события из Yandex Audit Trails, модулей Yandex Security Deck, коллекторов on‑premises‑инфраструктур, которые обрабатываются в SIEM и озёрах данных. Наши системы обрабатывают более 103 млрд событий в день — это в три раза больше, чем в прошлом году. Использование SIEM‑системы собственной разработки позволило нам собирать дополнительные данные, в том числе и NetFlow‑трафик в облачных сетях.

На основе этой телеметрии мы выделили самые популярные техники атакующих, которые применялись как при первоначальном доступе, так и при развитии атаки:

В лидерах осталась техника использования действительных учётных данных пользователей (T1078: Valid Accounts) с 30% от общего числа атак. Эта техника активно используется как в облачных инфраструктурах, так и on‑premises. Чаще всего валидные учётные данные злоумышленники получали из утечек или после компрометации сторонних доверенных организаций. В облачной инфраструктуре Identity фактически является периметром, и компрометация учётных данных — основная точка входа для облачных атак.

Главный риск связан с утекшими и долгоживущими статическими секретами, которые редко ротируются. Ситуацию усугубляет нарушение принципа наименьших привилегий — сервисным и пользовательским аккаунтам нередко выдают избыточные роли, и это резко ускоряет развитие атаки. Использование избыточных разрешений для получения доступа и повышения привилегий (YC9019: Exploiting Redundant Permissions for Access and Escalation) с 7% хоть и занимает последнее место в статистике, но всегда идет бок и бок с другими. Отдельная опасность — цепочки имперсонаций: зачастую даже непривилегированный аккаунт может через последовательное «перевоплощение» в другие сервисные учётные записи дойти до высоких привилегий.

Согласно статистике Google из отчёта Cloud Threat Horizons Report, компрометация учётных данных и мисконфигурации остаются основными точками проникновения злоумышленников в облачные среды (47,1% и 29,4% соответственно от общего числа первоначальных векторов атак).

На втором месте идут дополнительные облачные учётные данные (T1098.001: Account Manipulation: Additional Cloud Credentials) — 25%. Эта техника тесно связана с T1078: Valid Accounts и предполагает манипуляции с учётными записями — после получения доступа через действительные учётные записи злоумышленники могут генерировать собственные ключи SSH, обновлять статические ключи доступа сервисных аккаунтов или создавать новые.

Эту статистику подтверждают постоянные сканирования Yandex Cloud в рамках услуги Security Checkup: топ нарушений приходится на публично доступные ресурсы и редко ротируемые секреты.

Третье место с 16% от общего числа атак занимает использование перенаправления сетевого трафика для сокрытия следов или создания резервных каналов доступа (T1090: Proxy). Зачастую инциденты в этой категории выявляются благодаря интеграции с сервисами Threat Intelligence.

Злоумышленники маскируют свои IP‑адреса через цепочку прокси и используют TOR. После компрометации для создания туннелей и маршрутизации трафика активно используются утилиты ngrok, Gsocket и Localtonet, также мы видим большое количество создания туннелей до зарубежных провайдеров, например Cloudflare. Туннели через Cloudflare работают на базе легковесного «демона» cloudflared, который устанавливается в инфраструктуре и инициирует исходящие соединения к глобальной сети Cloudflare, не требуя публично маршрутизируемого IP‑адреса. Такие туннели атакующие могут использовать для маскировки и затруднения расследования — большое количество легитимных сервисов используют аналогичное туннелирование для своей работы. Детектирование таких туннелей строится на поиске характерных DNS‑запросов.

Эксплуатация уязвимостей в публичных приложениях (T1190: Exploit Public‑Facing Application) занимает 8% и остаётся популярной техникой. Постоянно появляются новые уязвимости, например критическая уязвимость в React Server Components и Next.js (CVE‑2025‑55182). Эта уязвимость не затронула инфраструктуру и сервисы Yandex Cloud, но большое количество клиентских приложений использовали уязвимые компоненты. Поэтому наша команда в очень короткий срок зафиксировала активные попытки её использования, быстро сообщила клиентам об использовании уязвимых версий ПО и обновила правила в сервисе Yandex Smart Web Security.

Наряду с эксплуатацией последних уязвимостей всё ещё активно используются уязвимости «старые» — в CMS и почтовых серверах. В on‑premises остаётся актуальной проблема с легаси‑системами во внешнем периметре. Чаще всего такие системы не только не обновлены, но и не контролируются командами SOC. Поэтому эксплуатация уязвимостей приводит к тому, что данные утекают, а злоумышленники перемещаются во внутреннюю инфраструктуру.

Появление новых уязвимостей в широко используемых компонентах также напоминает о необходимости внедрения подходов SDLC — важно знать, какие библиотеки и версии используются, откуда они получены и как связаны зависимости.

Анализ техник публичных отчётов

Для приоритизации угроз, написания актуальных правил корреляции и проверки гипотез threat hunting мы подсчитали топ техник, которые встречались в мировых публичных отчётах за 2025 год:

Анализируя этот список, можно сделать выводы:

1. Злоумышленники предпочитают самый «дешёвый» первоначальный доступ: использование валидных учётных данных (T1078), эксплуатация публично доступных приложений (T1190) и фишинг (T1566) остаются ключевыми точками проникновения.

2. В ходе развития атаки часто встречаются использование командных интерпретаторов (T1059), скачивание инструментов (T1105), разведка (T1082), использование вредоносных файлов (T1204.002), применение обфускации для затруднения обнаружения (T1027). Если использование легитимных учётных данных или эксплуатацию уязвимостей на периметре не всегда удаётся обнаружить вовремя, то на этих этапах атакующий, как правило, оставляет значительно больше следов — в телеметрии хостов (процессы или командные строки), сетевых соединениях, DNS‑логах, прокси. Поэтому именно здесь важно максимально рано «поймать» злоумышленника.

Мы видим уже некий устоявшийся тренд в основных техниках атакующих: использование действительных учётных записей, манипуляции с аккаунтами, эксплуатация уязвимостей и мисконфигураций. Важно продолжать совершенствовать меры безопасности и уделять внимание защите Identity, контролю доступа, мониторингу и аудиту систем.

Какие цели у злоумышленников

В 2025 году можно выделить две основные цели злоумышленников:

1. Кража данных и получение финансовой выгоды — через вымогательство (угроза публикации), а также перепродажу украденной информации. Похищенные данные часто выкладывают или продают в даркнете, что также способствует популярности техники T1078: Valid Accounts.

2. Максимальный ущерб IT‑инфраструктуре и остановка бизнес‑процессов — злоумышленники чаще всего используют программы‑вымогатели, основанные на исходных кодах вредоносных программ Babuk и LockBit.

Эти цели применимы и к облачной инфраструктуре: в качестве первоначальной точки входа злоумышленники используют украденные валидные учётные данные, а также неправильно настроенные ресурсы и контроли доступа. Причём кража данных часто возможна не только после компрометации учётных данных, но и из‑за неверно настроенного публичного доступа, например до бакетов. Для нанесения ущерба инфраструктуре в облаке используется не сложное ВПО, а встроенные функции облака для удаления или перезаписи данных.

Чаще всего атакуют облачные компоненты, которые хранят критичные данные или обеспечивают быстрое восстановление: объектные хранилища (файлы, бэкапы, логи, конфиги и артефакты), виртуальные машины и снимки дисков, управляемые сервисы различных баз данных, а также сервисы по управлению образами для деплоя. Google отмечает, что злоумышленники всё чаще выбирают системы резервного копирования в качестве основной цели, бросая вызов традиционным методам восстановления из бэкапов.

Помимо целенаправленных атак мы видим растущую тенденцию в роботизированных автономных сканированиях и попытках эксплуатации типовых уязвимостей. Согласно нашим данным, попытки компрометации публично доступного контейнера или виртуальной машины происходят в первые сутки, а компрометация слабо сконфигурированного публично доступного сервиса Hadoop^® происходит в считанные часы через встроенную функциональность YARN Resource Manager. При этом первые индикаторы сканирования на уязвимости обнаруживаются практически мгновенно, так как списки публично доступных IP‑адресов провайдеров, как правило, заранее известны. Это подтверждает и Microsoft в отчёте Microsoft Defender for Cloud, отмечая, что компрометация контейнеров в облачных средах случается в первые 48 часов после развертывания.

Это подчеркивает необходимость контроля правильной конфигурации облачных ресурсов (например, с помощью модуля контроля Kubernetes^® в сервисе Yandex Security Deck) и защиты рантайма. В частности, криптомайнинг отлично поддаётся автоматизации, позволяя злоумышленникам быстро заражать не только контейнеры, но и другие облачные сервисы.

Во втором полугодии мы зафиксировали более 25 тыс. алертов на майнинговую активность в различных сервисах облака. Эта угроза остаётся актуальной как для облачных инфраструктур, так и для on‑premises. Самая популярная среди злоумышленников монета — Monero. Она гарантирует полную анонимность транзакций и может добываться на CPU. Может показаться, что майнеры — это не самая опасная угроза, но, во‑первых, из‑за высокой нагрузки на ресурсы системы они значительно её замедляют (в облачной инфраструктуре это ещё и повышенные расходы на инфраструктуру), а, во‑вторых, наличие майнера на хосте указывает на более серьёзную дыру в безопасности, которая может развиться до кражи данных или программ‑вымогателей.

Какие отрасли интересуют злоумышленников

Лидирующие позиции занимают ритейл (34%), IT‑компании (31%), промышленность (22%), финансовые услуги (10%) и образование (3%).

• Ритейл по‑прежнему интересен из‑за большого количества персональных данных: имён, телефонов, реквизитов карт. Всё это можно использовать для последующего фишинга или простого мошенничества.

• Компании в области разработки и интеграционных услуг интересны злоумышленникам, с одной стороны, благодаря ценности интеллектуальной собственности, а с другой — из‑за развития будущих атак на другие организации через доверительные отношения или цепочку поставок.

• Производственные компании в 2025 году ощутили огромный прирост атак, причём во многом интерес злоумышленников сменился со шпионажа и финансовой мотивации в сторону нанесения ущерба инфраструктуре путём шифрования. Так, «Инфосистемы Джет» отмечают, что 76% кибератак в 2025 году были направлены на уничтожение инфраструктуры.

• Финансовые организации стабильно занимают место в топе интересов злоумышленников из‑за возможности получить доступ не только к данным, но и напрямую к финансам.

• Образование усиливают своё присутствие в цифровом пространстве, поэтому закономерно становится целью злоумышленников.

Как злоумышленники и безопасники используют ИИ

Киберпреступники всё активнее используют соцсети и мессенджеры как каналы первоначального доступа и воздействия на сотрудников. Благодаря ИИ‑технологиям атаки через мессенджеры становятся более персонализированными и реалистичными — так, технологии дипфейков идут бок о бок с техникой «фейковый босс».

При этом классические фишинговые атаки никуда не исчезли: они по‑прежнему популярны из‑за низкой стоимости, простоты и высокой конверсии. ИИ здесь сильно помогает уменьшить стоимость кампаний, усилить правдоподобность, использовать различную локализацию, подстроить стиль текста. McKinsey отмечает рост фишинговых атак на 1200% с момента появления искусственного интеллекта нового поколения в конце 2022 года.

Помимо точечных задач для ИИ в 2025 году злоумышленники всё чаще используют агентов для оркестрации атак. Атакующие обходят встроенные защитные механизмы, разбивая задачи на «невинные» подзадачи и представляя ИИ как сотрудника легитимной компании. Далее агент начинает оркестрировать атаку с помощью MCP и других инструментов (веб‑поиска, сканеров и т. д.). Это позволяет выполнять большинство работ автономно, быстро обрабатывая множество запросов.

На стороне защиты ИИ в первую очередь становится ответом на операционную перегрузку SOC: по данным отраслевых опросов, объём алертов часто превышает реальную способность аналитиков качественно их разбирать. Поэтому ИИ всё сильнее занимает позицию «советника в принятии решений»: обогащение событий, первичный анализ логов и корреляций, генерация и актуализация плейбуков, подготовка черновиков отчётов, ответы на вопросы по инциденту и подсказки по резолюции алертов.

Большое упрощение и ускорение работы аналитика достигается за счёт единого окна его взаимодействия с таким ИИ‑ассистентом:

Благодаря ИИ‑помощникам на базе технологий Yandex AI Studio нам удалось автоматизировать 39% рутинных задач, а время, затрачиваемое аналитиками на обработку некорректных оповещений, сократилось на 86%. Об этом мы рассказывали в отдельной статье.

Какие сервисы могут помочь

Ключевыми проблемами в контексте киберугроз в облаке остаются компрометация учётных данных, неправильные конфигурации и уязвимое ПО — все они относятся к основным точкам для первоначального доступа.

В ходе аудита и мониторинга облачной инфраструктуры важно инвентаризировать виртуальные машины и управляемые сервисы, API, секреты сервисных аккаунтов, группы безопасности частных сетей. При проведении аудита безопасности или проектировании конфигурации в облаке обращайтесь к требованиям стандарта по защите облачной инфраструктуры Yandex Cloud.

Статистика подтверждает, что ключевой риск в облаке связан не со сложными атаками, а с ошибками конфигураций и легитимными действиями в рамках облачных сервисов. Поэтому эффективная защита облачной инфраструктуры должна быть выстроена как непрерывный контроль конфигураций и исполнения по всему стеку: от объектного хранилища, управляемых баз данных и вычислительных ресурсов до контейнерных образов, кластеров Kubernetes^® и рантайм‑среды. Такой подход требует централизованного управления телеметрией, рисками и политиками безопасности и может быть реализован через CNAPP‑платформу, например Yandex Security Deck.

Приоритет в защите важно отдавать безопасности идентификационных данных и надёжным механизмам восстановления. В Yandex Cloud эти задачи закрывает сервис Yandex Identity Hub для централизованного управления учётными записями пользователей и доступом к корпоративным ресурсам (SSO).

Также важно проверять актуальность версий своих публичных веб‑приложений, чтобы не допустить эксплуатации уязвимостей и проникновения злоумышленников в свой веб‑периметр. В Yandex Cloud эти и другие задачи по защите веб‑периметра (WAF, Anti‑DDoS, Anti‑Bot) закрывает сервис Yandex Smart Web Security.

Важно выстраивать правильный мониторинг в облачных средах:

• логирование действий пользователей и сервисов,
• сохранение резервных копий логов,
• контроль изменений конфигураций ресурсов,
• анализ аномальной активности в облачной среде.

В Yandex Cloud эти задачи закрывает сервис Yandex Cloud Detection and Response, который собирает телеметрию облачных сервисов и пользовательских действий и используется как базовый источник событий для выявления инцидентов и последующего на них реагирования.