Эксперт особого назначения: как работают компьютерные криминалисты

Лаборатория цифровой криминалистики и исследования вредоносного кода – одно из старейших подразделений компании F6. Более 70 000 часов реагирований на инциденты по всему миру, свыше 3500 экспертиз и исследований – это всё про специалистов Лабы (так уважительно называют подразделение внутри компании). Лаба – один из главных поставщиков данных для решений F6 о тактиках, техниках и процедурах, которые используют в своих атаках киберпреступные группировки: эти сведения специалисты добывают во время реагирований на инциденты и при проведении различных исследований. Больше месяца мы ждали, когда в графике руководителя Лаборатории Антона Величко появится свободный час для того, чтобы рассказать об особенностях национального кибербеза: «Сейчас очень много работы, и она только прибавляется. Последние два года мы неделями не вылезаем из реагирований».

Полная версия интервью, всё самое интересное – в блоге на сайте F6. Ниже – выдержки из публикации.

До февраля 2022 года в плане кибербезопасности Россия, на мой взгляд, находилась в тепличных условиях. Да, были атаки на корпоративный сектор, которые совершали разные группировки, те же OldGremlin, Buhtrap, различные группировки с Ближнего Востока, такие как LokiLocker/BlackBit, RCRU64, Proton и др. Атак и ущерба от них было меньше в сравнении с тем, что происходит сейчас. Атаковали в основном Запад. С началом СВО правило «Не работаем по .ru» для многих выходцев из постсоветского пространства перестало действовать. И они начали атаковать Россию.

Сейчас в нашей стране под угрозой, наверное, каждая компания, включая малый бизнес. Небольшие организации атакуют, как правило, только для наживы. Что касается средних и крупных предприятий, зависит от специализации. Если на атаке такой компании можно заработать и ажиотажа вокруг её взлома не возникнет – будут атаковать, чтобы нажиться. Если организация связана с госкомпаниями, персональными данными, скорее всего, злоумышленники попытаются похитить её данные, а затем уничтожить инфраструктуру – в последнее время стало больше именно таких атак. 

Статистика первых месяцев 2025 года подтверждает прогноз нашей компании по кибератакам на Россию: продолжается их неуклонный рост. Львиную долю из них составляют атаки с использованием программ-вымогателей. Текущая геополитическая обстановка привлекла профессиональных киберпреступников и желающих воспользоваться этой ситуацией ради собственной наживы. В таких условиях всё сложнее становится предсказать конечные цели преступников.

За последние 2 года наиболее популярными у атакующих стали программы-вымогатели LockBit 3 и Babuk, нередко злоумышленники используют их совместно для атак на различные программные платформы. Шифровальщик LockBit 3 стал уже своего рода автоматом Калашникова в среде вымогателей. Создатели этого «оружия» вряд ли могли предположить, что оно когда-то будет активно использоваться против России.

С начала 2025 года растёт количество политически мотивированных атак против России. Если в прошлом году мы видели много атак, где злоумышленники использовали программы-вымогатели для уничтожения данных, то в этом фиксируем больше атак, где злоумышленники не шифруют, а удаляют данные, порой затирая дисковое пространство, разрушая дисковые массивы. Образно говоря, выжигают всё.

Прочитать интервью полностью можно на сайте F6.