27 июня шифровальщик NotPetya за несколько часов остановил работу крупных компаний по всему миру – от логистики до энергетики. Первичный вектор оказался не фишингом и не RDP. Заражение пришло через легитимный канал обновлений украинской бухгалтерской программы M.E.Doc: злоумышленники скомпрометировали сервер обновлений поставщика и разослали троянизированный апдейт под видом штатного. Дальше вредонос распространялся внутри сетей через EternalBlue и кражу учётных данных. Для российского бизнеса и госсектора это не новость с чужого двора – многие используют то же отраслевое ПО и ту же модель доверенных обновлений.

Почему обновление стало оружием

Мы годами учим сотрудников не открывать вложения и обновлять системы вовремя. NotPetya бьёт ровно по этой привычке: обновление пришло от доверенного вендора, подписанное и ожидаемое. Антивирус его пропустил, администратор установил сам.

Это атака на цепочку поставок ПО. Вы доверяете не одной программе, а всей инфраструктуре её разработчика: серверам сборки, ключам подписи, каналу доставки. Если поставщик скомпрометирован, ваш периметр уже не помогает – вредонос входит через парадную дверь с вашего же разрешения. Чем критичнее софт и чем шире он установлен, тем привлекательнее его вендор как мишень.

Второй урок – скорость горизонтального распространения. Получив один узел, NotPetya за минуты захватывал домен через инструменты вроде Mimikatz и PsExec. Плоская сеть без сегментации превращает единичное заражение в полную остановку.

Что делать прямо сейчас

Полностью отказаться от обновлений нельзя – непропатченные системы остаются главной дырой, и управление патчами по-прежнему обязательно. Но процесс обновления надо сделать управляемым, а не слепым.

  • Тестовый контур. Критичные апдейты, особенно отраслевого и бухгалтерского ПО, сначала ставьте на изолированный стенд и наблюдайте за поведением: сетевая активность, новые процессы, обращения к незнакомым адресам.
  • Сегментация и привилегии. Разделите сети, ограничьте права доменных администраторов, отключите устаревшие протоколы SMBv1. Это не остановит заражение, но локализует его.
  • Контроль вендоров. Включите в договоры с поставщиками ПО требования к безопасности их инфраструктуры сборки и подписи. Доверие к вендору – это управляемый риск, а не данность.
  • Проверяемые бэкберапы. NotPetya не расшифровывает данные даже после выкупа – это диверсия под маской вымогателя. Спасают только офлайн-копии, восстановление которых вы реально проверяли.

Это вопрос управления, а не только ИТ

Атака показала, что киберустойчивость – тема для совета директоров, а не для серверной. Простой логистического гиганта измеряется сотнями миллионов. Руководителю нужна не сводка от админа, а понятная картина: какие системы критичны, где зависимость от внешних вендоров, как быстро мы восстановимся. Здесь помогает та же дисциплина, что и в управленческих дашбордах – риск, выраженный в цифрах и приоритетах.

Тема выходит и на государственный уровень. Курс на цифровую экономику подразумевает рост зависимости от ПО и его поставщиков, а значит и рост поверхности атаки. Безопасность цепочки поставок становится частью технологического суверенитета, а не отдельной строкой бюджета.

NotPetya – не разовый инцидент, а модель атаки, которую будут повторять. Защита от неё складывается из безопасной разработки и эксплуатации ПО, сегментации сети и контроля обновлений. Лучше пересмотреть процесс обновлений на спокойную голову сейчас, чем восстанавливать домен из бэкапа в выходные.