CISA: две критически важные инфраструктуры сдали домен, одна не заметила атаку
CISA: две критически важные инфраструктуры сдали домен, одна не заметила атаку Агентство CISA провело одновременные атаки на две организации из секторов госуслуг и водоснабжения. В обоих случаях удалось получить контроль над доменом, проникнуть в чувствительные бизнес-системы и облачные ресурсы. Методы проникновения были схожими, но результаты защиты кардинально отличались. В первой организации (сектор госуслуг) атака началась с веб-приложения с дефолтными учётными записями. Злоумышленники отправили фишинговые письма с внутреннего адреса, подняли привилегии через уязвимости в AD CS и Machine Account Quota, а затем извлекли учётные данные из открытых конфигурационных файлов и статичных AWS-ключей. В облаке были похищены токены и использованы приложения Entra ID с избыточными правами. SOC не обнаружил ни одной активности — поток ложных срабатываний и разрозненные инструменты мониторинга скрыли реальные угрозы. Один из сигналов о подозрительной активности на SCCM-сервере был проигнорирован из-за отсутствия владельца системы. Во второй организации (водоснабжение) SOC отреагировал на фишинговые пейлоады за 2–20 минут, изолировав заражённые рабочие станции. Атакующие всё равно нашли уязвимости — например, открытые пароли в конфигурации SCCM, — но не смогли закрепиться из-за оперативного вмешательства. CISA подчеркнуло: эффективность защиты зависит не столько от инструментов, сколько от процессов и квалификации команды. Источник: https://thehackernews.com/2026/08/cisa-red-team-compromised-two-critical.html #ИБ #уязвимости #инфраструктура