Пост Почему антивирус молчал, пока бизнес терял миллиарды

Почему антивирус молчал, пока бизнес терял миллиарды Лето 2025 года. Сеть «ВинЛаб» стоит несколько дней — убытки, по оценкам СМИ, могли достичь 1,7 млрд рублей. Параллельно лежат «Аэрофлот», аптечные сети «Неофарм» и «Столички» — отменённые рейсы, закрытые точки, перебои с лекарствами в регионах. У всех стояли лицензированные антивирусы. У всех были бэкапы. Ни одно сигнатурное средство не подняло тревогу вовремя. Это не единичный сбой. Это системный провал целого подхода к детектированию. 🔎Цифры за 2025 год По данным RED Security SOC, с начала года зафиксировано свыше 105 тысяч атак на российские компании — рост на 46% к прошлому году. Каждая пятая — критическая: простой ключевых процессов или убытки свыше миллиона. Доля заказных таргетированных атак взлетела с 10% до 44%. Атаки через подрядчиков утроились. Но самое важное — не объём. Изменился сам характер атак. ➡️Почему сигнатуры бессильны Сигнатурный детект работает просто: знаю паттерн — ловлю паттерн. Проблема в том, что современные атакующие целенаправленно обходят эту логику. Вот три типичных сценария: • Атака без малвари. Злоумышленник покупает украденные учётные данные на теневом форуме (медианная цена инфостилера — $400), заходит через RDP как легитимный сотрудник, запускает PowerShell-скрипты прямо в памяти. Файлового артефакта нет. Сигнатуре буквально нечего ловить. • Полиморфизм и билдеры. Билдер шифровальщика стоит около $7500. Каждая сборка — уникальный хеш, перемешанные строки. Сигнатурная база устаревает быстрее, чем обновляется. Защитник всегда догоняет. • Supply chain. Вместо штурма периметра атакующий компрометирует подрядчика с VPN-доступом. Трафик идёт от легитимного партнёра, с валидными credentials — для сигнатурного NIDS это просто нормальная сессия. По данным Unit 42, атакующие начинают сканирование новых CVE в течение 15 минут после публикации. Пятнадцать минут — и эксплойт уже в работе. Вендор сигнатур физически не успевает отреагировать. Что вместо сигнатур? Поведенческая аналитика в SOC смотрит не на «что запущено», а на «как себя ведёт». Бухгалтер подключается к контроллеру домена в три часа ночи? Одна учётка авторизуется на двадцати хостах за минуту? Это аномалии, которые сигнатура не увидит никогда, а поведенческий движок — поймает. Когда 70% атак глобально бьют по критической инфраструктуре, а 83% атак на промсектор используют ВПО для тихого закрепления — вопрос не в том, ставить ли антивирус, а в том, что ставить рядом с ним. Разбор всех трендов, конкретных TTPs и методов детектирования — в полной статье на форуме. https://codeby.net/threads/analiz-kiberintsidentov-v-rossii-2025-proval-signatur.95824/