Хакеры используют PoC-эксплойты в атаках через 22 минуты после их выпуска

Угрожающие субъекты быстро используют доступные эксплойты proof-of-concept (PoC) в реальных атаках, иногда уже через 22 минуты после появления эксплойтов в открытом доступе.

Это следует из отчета Cloudflare о безопасности приложений за 2024 год, который охватывает деятельность с мая 2023 года по март 2024 года и освещает новые тенденции угроз.

Cloudflare, которая в настоящее время обрабатывает в среднем 57 миллионов HTTP-запросов в секунду, продолжает наблюдать повышенную активность сканирования на предмет раскрытых CVE, за которыми следуют инъекции команд и попытки использования доступных PoC.

За исследуемый период наиболее подверженными атакам были дефекты CVE-2023-50164 и CVE-2022-33891 в продуктах Apache, CVE-2023-29298, CVE-2023-38203 и CVE-2023-26360 в Coldfusion, а также CVE-2023-35082 в MobileIron.

Характерным примером роста скорости распространения оружия является CVE-2024-27198, дефект обхода аутентификации в JetBrains TeamCity.

Cloudflare наблюдала случай, когда злоумышленник развернул эксплойт на основе PoC через 22 минуты после его публикации, что практически не оставляло защитникам шансов на исправление ситуации.

По мнению интернет-компании, единственный способ бороться с такой скоростью - использовать помощь искусственного интеллекта для быстрой разработки эффективных правил обнаружения.

"Скорость эксплуатации раскрытых CVE часто превышает скорость, с которой люди могут создавать правила WAF или создавать и развертывать патчи для смягчения атак", - объясняет Cloudflare в своем отчете.

"Это также относится к нашей собственной команде аналитиков по безопасности, которая поддерживает набор управляемых правил WAF, что привело к тому, что мы объединили написанные человеком сигнатуры с подходом на основе ML для достижения оптимального баланса между низким уровнем ложных срабатываний и скоростью реагирования".

По словам Cloudflare, это частично является результатом того, что конкретные субъекты угроз специализируются на определенных категориях CVE и продуктах, развивая глубокое понимание того, как быстро воспользоваться новыми раскрытиями уязвимостей.

6,8 % всего интернет-трафика - это DDoS

Еще один ошеломляющий факт в отчете Cloudflare: 6,8 % всего ежедневного интернет-трафика - это распределенный отказ в обслуживании (DDoS), направленный на то, чтобы сделать онлайн-приложения и сервисы недоступными для легитимных пользователей.

Это заметное увеличение по сравнению с 6 %, зафиксированным за предыдущий 12-месячный период (2022-2023 гг.), что свидетельствует о росте общего объема DDoS-атак.

Cloudflare утверждает, что во время крупных глобальных атак вредоносный трафик может составлять до 12 % от всего HTTP-трафика.

"Если рассматривать только HTTP-запросы, то в первом квартале 2024 года Cloudflare блокировала в среднем 209 миллиардов киберугроз каждый день (+86,6 % по сравнению с прошлым годом) [...что] является значительным ростом по сравнению с тем же временем прошлого года", - говорится в отчете Cloudflare.

В PDF-отчете компании, который можно скачать здесь, содержатся дополнительные рекомендации для защитников и более глубокое понимание собранных статистических данных.