RED Security

🔒 SSH-туннели: когда инструмент админа становится оружием злоумышленника

SSH-туннели — незаменимый помощник для админов. Но именно они могут превратиться в «черный ход» для атакующих, позволяя обойти фаерволлы и скрыть свою активность.

🕵️ В новом материале на Хабре эксперты RED Security — Антон Грищенко и Назар Корниенко — рассказывают и показывают, как детектировать SSH-туннели с помощью логирования системных вызовов демона SSH на Linux-хостах.

Разбираем:

— как работают локальные, удаленные и динамические туннели;
— почему они могут представлять риск для инфраструктуры;
— как анализировать bind и connect через auditd;
— и как создать детектирующую логику для отлова подозрительных подключений.

Полный разбор с примерами правил корреляции читайте в статье.

🚨 Хакеры не дремлют, но SOC тоже не спит

Мы расширяем линейку сервисов и запускаем консалтинг по разработке правил корреляции. Это поможет бизнесу вовремя заметить кибератаку, пока злоумышленники не успели устроить «вечеринку» в вашей инфраструктуре.

Зачем это нужно?

📈 В 2025-м году количество кибератак на российские компании выросло на 27% и перевалило за 63 тысячи инцидентов. И это только то, что попало в статистику.

Чем помогает консалтинг RED Security SOC:

🔒ускоряет выход в продакшн для компаний, создающих собственные корпоративные центры мониторинга и реагирования на киберугрозы (SOC);
🔒 разрабатывает правила под конкретную отрасль и инфраструктуру (никакого копипаста, только кастомные сценарии);
🔒проверяет каждое правило на точность и ложноположительные срабатывания в тестовой среде;
🔒обучает дежурные смены правильному реагированию.

В качестве технологического ядра используются ключевые российские SIEM-системы.

➡️ В итоге SOC-команды получают работающие правила корреляции, которые реально детектят атаки и не спамят ложными тревогами.
А бизнес экономит на найме и обучении специалистов.

А хакеры… ну, им придётся искать другие способы развлечься😎

💡 MFA + UBP: оптимизируйте расходы на кибербезопасность без потерь в защите

Раскрываем возможности экономии в использовании многофакторной аутентификации: подключая распределённые помесячные платежи в RED Security MFA, вы автоматически снижаете затраты по модели UBP.

Что даёт UBP (used based price)

UBP подразумевает оплату только за фактически потреблённые услуги, позволяя компаниям повышать экономическую эффективность защиты своих информационных активов.
✔️ Снижение ежемесячных расходов

Значительно уменьшите средний платеж за MFA без снижения уровня защиты.

✔️ Исключите переплаты

Платите строго за использованные ресурсы. Больше никаких затрат за неиспользуемый потенциал.

✔️ Прозрачность расходов

Полная видимость затрат на кибербезопасность в режиме реального времени для точного бюджетирования и контроля.

🚪 Узнать подробности на лендинге

☀️Как я провёл лето или сколько инфы утекло

🎤 Этим заголовком мы хотим сказать, что скоро будем записывать наш самый неожиданный подкаст. Почему неожиданный? Потому что сделаем его по вашим вопросам и потому что решаемся на него не часто.

🛡 В этот раз хотим подвести итог летних месяцев в сфере ИБ и разобрать самые животрепещущие вопросы и самые больные боли, которые возникли и случились у вас, наших слушателей и зрителей. Еще поговорим про тренды, прогнозы и прочую актуалочку перед бизнес-сезоном.

📇 Вести подкаст будет руководитель группы экспертных продаж RED Security Фёдор Трифонов, к нему придёт генеральный директор RED Security Александр Осипов и другие гости. Какие — зависит от ваших вопросов.

↘️Ждём ваши сочинения вопросы в комментариях

RED Security запускает WAF в формате SaaS

Мы расширили опции сервиса защиты веб-приложений RED Security WAF. Теперь он доступен не только в формате Managed Security Service (MSS), но и по модели SaaS.

📌 Что это значит для бизнеса

▪️SaaS-модель позволит компаниям самостоятельно управлять киберзащитой, сохраняя контроль и гибкость.
▪️MSS остаётся для тех, кто предпочитает делегировать управление экспертам RED Security.

Обе модели используют технологии из Реестра отечественного ПО Минцифры и обеспечивают защиту в условиях растущей сложности киберугроз. Кроме того, клиенты могут выбрать технологическую основу из решений нескольких российских вендоров.

👉 Такой подход даёт нашим клиентам выбор: максимальную автономность или экспертную поддержку при одинаково высоком уровне безопасности.

💡 MFA как OPEX: гибкая модель помесячной оплаты для управляемых расходов на кибербезопасность

Безопасность перестала быть капитальной статьей расходов — это управляемая операционная инвестиция. Сервис многофакторной аутентификации RED Security MFA теперь доступен в помесячной подписке.

➡️ Оптимизация Cash Flow

Распределите расходы на кибербезопасность равномерно, избегая крупных единовременных платежей.

➡️Гибкое планирование

Масштабируйте защиту в соответствии с текущими бизнес-потребностями и сезонностью без переплат.

➡️Доступно при небольших бюджетах

Обеспечьте необходимый уровень защиты информационных активов даже для начинающего бизнеса.

➡️ Эффективное управление ресурсами

Сконцентрируйтесь на стратегических инициативах без потери уровня защищённости в информационных средах.

🚪 Узнать подробности на лендинге

С начала года количество DDoS-атак на российские компании выросло в четыре раза и превысило 69 тысяч

Об этом сообщили аналитики RED Security по итогам свежего исследования.

📌 Основной всплеск пришёлся на май и июнь — более 35 тысяч атак. Эти месяцы совпали с важными государственными праздниками, что указывает на политически мотивированный характер атак (так называемый хактивизм).

🎯 Главные цели злоумышленников — компании из сфер телекоммуникаций, ИТ и промышленности. При этом впервые в топ по количеству атак попала и сфера развлечений: - при этом впервые заметную долю заняли атаки на сферу развлечений.

⚙️ Используются всё более мощные инструменты: автоматизированные ботнеты, генераторы трафика, а в некоторых случаях — ИИ-алгоритмы. RED Security фиксирует растущее количество атак-шантажей — когда после атаки требуют выкуп за восстановление доступа.

📎По итогам полугодия 59% атак пришлись на Москву, однако в первом квартале ситуация была обратной - 54% атак были направлены на региональные организации.

💬 Михаил Горшилин, RED Security:
«DDoS стал не только инструментом хактивистов, но и экономического давления. Учитывать и блокировать эти угрозы — вопрос устойчивости бизнеса».

🔒 Рекомендации экспертов — защищать инфраструктуру заранее и использовать сервисы активной фильтрации трафика, такие как RED Security Anti-DDoS

Возможно ли защитить бизнес с бюджетом 300 000 ₽ в год?

Шифровальщики, фишинг, утечки данных — эти угрозы касаются даже компаний с 10–50 сотрудниками. При этом у малого и среднего бизнеса часто нет ИБ-отдела или выделенного бюджета. Как защитить компанию в этих условиях?

На онлайн-конференции AM Live «Кибербезопасность среднего и малого бизнеса» эксперты расскажут:

➡️Как правильно оценить риски и угрозы для малого предприятия

➡️Какие три самые важные, но недорогие средства защиты можно порекомендовать малому бизнесу

➡️Что делать, если у вас один ИТ-специалист на всё или его вообще нет

➡️Какие бесплатные сервисы и источники данных об угрозах доступны малому и среднему бизнесу

📇 Модератор дискуссии — Александр Осипов, генеральный директор RED Security.

📅 13 августа 2025 г., 11:00

➡️ Регистрация и подробности по ссылке ⬅️

🔒 Встроенный SMS-шлюз в RED Security MFA: убираем головную боль с интеграцией и оплатой SMS

Устраняем операционные сложности в организации многофакторной аутентификации по SMS! Больше не нужны отдельные договоры и счета от разных контрагентов — мы встроили SMS-шлюз в наш сервис RED Security MFA.

✔️Экономьте своё время и деньги

Исключите затраты времени и ресурсов на поиск контрагента, согласование договора, нейминга отправителя и шаблонов сообщений.

✔️ Упростите операции

Уберите лишний элемент из цепочки поставки ИТ-сервисов. RED Security MFA — единая точка ответственности за доставку SMS-кода.

✔️ Предсказуемая доставка

Шлюз оптимизирован для кодов аутентификации с высоким SLA доставки. Упрощайте инфраструктуру и фокусируйтесь на важном!

➡️ Узнать подробности на лендинге ⬅️

🔐 Аналитика RED Security 2025: меньше массовых атак, больше точечных и сложных.

Аналитики центра мониторинга и реагирования на кибератаки RED Security SOC изучили киберугрозы за первое полугодие 2025 года. Вот ключевые выводы исследования:

➡️63 000+ атак за полгода — это на 27% больше, чем за тот же период в 2024 году. Но темпы роста числа инцидентов замедляются. Если с 2022 года количество атак удваивалось ежегодно, то сейчас динамика снижается. Причина — переход хакеров от массовых атак к целенаправленным. Такие инциденты дольше готовят, но настраивают под конкретную компанию, используя сложные методы взлома. Они дольше остаются незаметными и наносят больший ущерб.

➡️Пик активности пришёлся на апрель и май. Это связано с попытками хакеров приурочить атаки к крупным государственным праздникам.

➡️Больше всего атак зафиксировано в сферах телекоммуникаций (35%), ИТ (19%) и финансов (17%). Эти отрасли — приоритетные цели из-за объёма данных и критической значимости для экономики.

➡️Впервые за несколько лет отрасль промышленности не вошла в топ по числу атак. Но хакеры всё чаще применяют против индустриальных компаний APT-атаки — сложные, целевые и незаметные.

↘️Вывод: массовых атак становится меньше, но хакеры переходят к комплексным операциям против конкретных компаний. Ландшафт угроз усложняется, и защита бизнеса требует не только базовых мер ИБ, но и постоянного мониторинга, анализа и быстрого реагирования.

⭐️Полную версию исследования читайте по ссылке.

‼️ RED Security рекомендует принять меры защиты ввиду распространения атаки с эксплуатацией критических уязвимостей в Microsoft SharePoint CVE-2025-53770 и CVE-2025-53771 (BDU:2025-08714) с оценкой 9,8 по шкале CVSS.

Данные уязвимости позволяют неавторизованному злоумышленнику через сетевой доступ выполнить произвольный код на сервере. В настоящее время уязвимости используются в атаках на компании по всему миру, в том числе и в России.

Уязвимое ПО: SharePoint Server 2016, SharePointServer 2019, SharePoint Server Subscription Edition.

Рекомендации по защите:
1️⃣ Установить обновления от Microsoft:
— SharePoint Server 2016: KB5002744;
— SharePoint Server 2019: KB5002754;
— SharePoint Server Subscription Edition: KB5002768.
2️⃣ Использовать на сервере SharePoint средства антивирусной защиты.
3️⃣ Включить AMSI-защиту на сервере SharePoint.
4️⃣ Ограничить доступ к сервису SharePoint из сети Интернет.
5️⃣ Выполнять ротацию ключей машины SharePoint Server ASP.NET.
6️⃣ Мониторить POST-запросы вида "/_layouts/15/ToolPane.aspx?DisplayMode=Edit".

📌 Подробная информация об уязвимостях опубликована на сайте Microsoft.

Упустил отчёт RED Security и CICADA8 о новой группировке Cloaked Shadow. Её активность исследователи отслеживают уже больше года. Группировка ориентирована на шпионаж и проводит целевые атаки на российские организации сфер ОПК и IT. В её арсенале как открытые инструменты, так и софт собственной разработки (в отчёте, впрочем, он описан только общими словами). Особенностью группировки исследователи называют разнообразные способы маскировки, включая, например, подстраивание командной инфраструктуры под используемые конкретной жертвой сервисы:

«Одной из крайне интересных деталей является именование C2-серверов злоумышленников. В одной из компаний-жертв использовался сервис для сбора данных с YouTube через youtube-dl. Попав на этот хост, злоумышленники создали файл youtube-dl.service, который являлся уже упомянутым reverse-socks5 с C2-сервером youtube-dl[.]ignorelist[.]com. Таким образом они старались остаться незамеченными внутри инфраструктуры жертвы».

В конце приведён большой список индикаторов компрометации. Что интересно, многие домены полностью зелёные на VirusTotal (на «Мультисканере» не проверял).

Скин из Fortnite? Нет, новая APT-группировка.

🎯 Наши коллеги из RED Security SOC и CICADA8 обнаружили новую хакерскую группировку, которая ведет сложные целенаправленные атаки на крупнейшие российские организации сфер ИТ и промышленности.
🥷 Участники группировки прилагают массу усилий к тому, чтобы остаться незамеченными, а в случае обнаружения - максимально затруднить расследование, поэтому коллеги дали ей название Cloaked Shadow.
🔎 Ключевая цель злоумышленников - длительный и масштабный шпионаж за промышленными и ИТ-компаниями.

📌 Индикаторы компрометации, а также все детали о тактиках, техниках и процедурах злоумышленников ищите на на нашем сайте.

Иногда они возвращаются...

⚡RED Security SOC зафиксировал атаки группировки GOFFEE (Paper Werewolf) с применением новых методик.

Описание актуальных TTP, разбор киллчейна и индикаторы компрометации ищите в статье ведущего аналитика SOC Никиты Полосухина.

Недавно мы успешно завершили проект интеграции многофакторной аутентификации RED Security MFA в сети одного из ведущих ретейлеров России.

В интервью Anti-Malware Павел Пивак, Руководитель направления информационной безопасности сети гипермаркетов О’КЕЙ, рассказал:

❓ В чем особенности защиты крупного ретейла от киберугроз
❓ Как проходил проект по внедрению RED Security MFA
❓Как реализовать импортозамещение с учётом запросов ИБ
❓ Как практики ИБ подходят к концепции вендорских экосистем

Читайте интервью по ссылке и узнайте больше - об угрозах и рисках ИБ, аутсорсинге и обучении сотрудников киберграмотности .

Уже завтра в "Лужниках" стартует одно из крупнейшизх мероприятий в сфере кибербезопасности - Positive Hack Days Fest. На протяжении нескольких дней ведущие эксперты отрасли, в том числе и из RED Security, будут делиться мнениями, кейсами и лайфхаками по защите от киберугроз. Заносим в календарь, чтобы ничего не пропустить!