По данным Google, в 2024 году большинство эксплойтов нулевого дня были совершены при поддержке государств

Согласно отчёту группы Threat Intelligence компании Google, в 2024 году большинство известных эксплойтов нулевого дня были совершены хакерами, действующими при поддержке государств. Всего было зафиксировано 75 уязвимостей, что меньше по сравнению с 2023 годом, но соответствует общей тенденции роста с 2022 года. Злоумышленники всё чаще нацеливаются на корпоративные системы безопасности и сетевые продукты, сообщает издание BleepingComputer.

Хакеры, поддерживаемые государствами

Анализ Google за 2024 год показал, что из 75 обнаруженных уязвимостей нулевого дня по 34 удалось определить конкретных злоумышленников. Из этой группы именно государственные кибершпионские операции стали лидирующей категорией, составив 29% всех атак. Это свидетельствует о том, что хотя многие эксплойты нулевого дня остаются без точной атрибуции, государственная активность составляет значительную и идентифицируемую часть киберугроз высокого уровня.

Рост числа атак со стороны государственных структур отражает стратегическую ориентацию на ценные цели и использование более сложных методов взлома. Такие группы обладают серьёзными ресурсами и техническими возможностями, позволяющими им разрабатывать или закупать сложные эксплойты для реализации конкретных задач. Обычно они нацелены на критически важную инфраструктуру, государственные учреждения и организации, владеющие ценными технологиями или стратегической информацией, что делает их особенно опасными участниками киберпространства.

Цели — корпоративные технологии

В 2024 году системы корпоративной безопасности и сетевые продукты стали главными мишенями — более 60% всех атак нулевого дня на предприятия были направлены именно на них. Это стратегический сдвиг: взлом таких устройств позволяет злоумышленникам получить широкий доступ к корпоративной сети через одну уязвимость. В целом, 44% (33 из 75) эксплойтов нулевого дня в 2024 году были направлены на корпоративные платформы (против 37% в 2023 году), что свидетельствует о постепенном отходе от фокуса на устройства конечных пользователей.

Среди наиболее пострадавших оказались системы безопасности от крупных поставщиков, таких как Ivanti, Cisco и Palo Alto Networks. Этот переход отражает как изменение ландшафта угроз, так и эффективность новых мер защиты браузеров и мобильных устройств, число атак на которые резко снизилось (на браузеры — с 17 до 11, на мобильные устройства — с 17 до 9). Атакующие адаптируют свои стратегии, переключаясь на менее защищённые корпоративные технологии, которые сулят большие возможности.

Коммерческие поставщики шпионского ПО

Коммерческие поставщики шпионских решений (CSV) сыграли заметную роль в атакующих действиях с использованием уязвимостей нулевого дня в 2024 году — им приписывается 8 подобных случаев, в том числе компаниям NSO Group и Cellebrite. Эти фирмы разрабатывают и продают сложные инструменты слежки государственным заказчикам, создавая сомнительный серый рынок цифровых атакующих средств. Несмотря на усиливающееся внимание со стороны общественности, CSV улучшили меры собственной операционной безопасности, что затруднило работу исследователей по отслеживанию их действий.

Рост влияния таких компаний говорит о сохраняющемся высоком спросе со стороны правоохранительных органов и спецслужб на средства цифровой слежки. Особенно примечательны случаи использования инструментов судебной экспертизы, таких как эксплойты Cellebrite, направленные на уязвимости Android в рамках целевых атак на активистов. Эта тенденция вызывает серьёзные вопросы по поводу регулирования коммерческого шпионского ПО и соотношения между законной безопасностью и возможными нарушениями прав человека.

Тенденции эксплуатации

Хотя общее количество эксплойтов нулевого дня снизилось с 98 в 2023 году до 75 в 2024-м, долгосрочная динамика указывает на постепенный рост (63 случая в 2022 году), что подтверждает устойчивость этой угрозы. Такие колебания отражают непрерывную «гонку вооружений» между хакерами и специалистами по кибербезопасности, причём злоумышленники регулярно меняют тактику в ответ на усиливающиеся меры защиты.

Меры защиты от поставщиков начинают давать положительные результаты — особенно это касается браузеров и мобильных устройств, где число успешных атак в 2024 году значительно снизилось. Такие функции, как «Режим блокировки» от Apple и Memory Tagging Extension (MTE) от Google, усложнили работу хакеров, заставляя их переключаться на менее защищённые технологии. Тем не менее, киберпреступники продолжают использовать уязвимые системы — 11 эксплойтов были напрямую связаны с атаками программ-вымогателей, нацеленными в первую очередь на корпоративные устройства, такие как VPN и маршрутизаторы.