Обновления и драйверы: новые уязвимости, которые киберпреступники используют для проникновения в информационные системы

Поддержание систем в актуальном состоянии по-прежнему остается одним из основных правил кибербезопасности. Однако механизмы, предназначенные для устранения уязвимостей, сами могут стать объектом злоупотребления. Поддельные исправления, скомпрометированные каналы распространения, легитимные, но уязвимые драйверы: киберпреступники теперь эксплуатируют компоненты, которым системы доверяют в наибольшей степени. Поэтому для руководителей ИТ-отделов управление исправлениями должно включать больше механизмов контроля, не замедляя при этом процесс устранения уязвимостей. 

Когда обновления сами становятся векторами кибератак

Атаки на цепочку поставок программного обеспечения (supply chain) как раз и используют эту доверительную связь. Скомпрометировав разработчика, поставщика услуг или инфраструктуру распространения, злоумышленники могут попытаться внедрить вредоносный код в программное обеспечение или обновление. В результате такой файл может быть распространен через канал, который компания обычно считает легитимным.

Другие атаки основаны на более прямых механизмах. Поддельное уведомление о безопасности, страница, имитирующая сайт производителя, или якобы инструмент для обновления могут побудить пользователя установить вредоносную программу.

Однако доверие к программному компоненту имеет ещё одно ограничение: даже подлинный и правильно подписанный компонент может содержать уязвимость, которую можно использовать.

Уязвимые драйверы: угроза, которую часто недооценивают

Драйверы обеспечивают взаимодействие между операционной системой и аппаратными компонентами. Некоторые из них обладают повышенными привилегиями, вплоть до ядра Windows: в этом случае уязвимость может позволить обойти средства защиты компьютера.

Именно на этом основан принцип атак «Bring Your Own Vulnerable Driver» (BYOVD). Вместо разработки вредоносного драйвера, который может быть заблокирован, злоумышленник внедряет или использует легитимный драйвер, содержащий известную уязвимость. Этот тип атаки иллюстрирует риски, связанные с программными компонентами, которым система предоставляет повышенные привилегии. Она также напоминает о важности анализа рисков, охватывающего всю информационную систему, в соответствии с подходом, отстаиваемым компанией Fidens by TVH Consulting в рамках своих задач по аудиту, анализу рисков и управлению безопасностью.

В августе 2025 года CERT Santé зафиксировал применение этой техники в операциях группы вымогателей Qilin. В частности, злоумышленники использовали TPwSav.sys — подписанный и уязвимый драйвер Toshiba — для вмешательства на уровне ядра Windows и обхода средств защиты.

Увеличение числа уязвимых точек и киберпреступных группировок затрудняет управление рисками

Драйверы — это лишь часть проблемы. На одном рабочем месте сосуществуют операционная система, бизнес-приложения, программное обеспечение безопасности, драйверы периферийных устройств и прошивки. Каждый из этих компонентов имеет свой собственный цикл обслуживания и может быть подвержен специфическим уязвимостям.

Злоумышленники используют в своих целях не только эти различия, но и недостаточную прозрачность в отношении установленных компонентов. Известная уязвимость в устаревшем драйвере может оставаться на нескольких компьютерах, даже если большая часть парка оборудования уже обновлена.

Эта сложность сталкивается со всё более организованной киберпреступностью. «Сегодня киберпреступные группировки структурированы как настоящие компании, с инструментами, процессами и специализациями»,— объясняет Лоран Гальвани, эксперт по кибербезопасности в Fidens by TVH Consulting.

Модель «Ransomware-as-a-Service» (RaaS) наглядно иллюстрирует такую организацию: одни участники разрабатывают или поддерживают инструменты, а другие занимаются проникновением в системы и их эксплуатацией.

Поэтому для компаний задача состоит в том, чтобы точно знать, какие компоненты установлены на их оборудовании, их версии, зависимости и уязвимости, которым они подвержены. Без надёжного инвентаризационного списка управление исправлениями неизбежно останется неполным.

Переосмысление управления исправлениями: не просто обновлять, а осуществлять постоянный контроль

Установка исправления сразу после его появления может показаться лучшей защитой. На практике управление обновлениями требует поиска баланса между снижением риска и обеспечением непрерывности работы.

Неисправный сетевой драйвер может сделать рабочее место недоступным. Новая версия прошивки может изменить поведение оборудования. И наоборот, слишком длительная отсрочка установки критического исправления оставляет уязвимость, которую можно использовать.

Перед любым развертыванием необходимо проверить происхождение и целостность файлов с помощью механизмов, предоставляемых разработчиками. Затем наиболее критические исправления можно протестировать на репрезентативной выборке, чтобы выявить возможные несовместимости.

Поэтапное развертывание позволяет ограничить последствия инцидента: сначала несколько пилотных машин, затем более широкая группа, а уже потом — повсеместное внедрение. Такой подход также предполагает заблаговременное определение условий отката в случае, если изменение вызывает сбой в работе.

Автоматизация способствует обеспечению воспроизводимости этих операций при одновременном сохранении контрольных точек. Важность мониторинга инфраструктуры, проверки отклонений и автоматизации исправлений также рассматривается в аналитической статье , которую можно прочитать в издании «Le Monde Informatique».

Автоматизация и мониторинг: на пути к проактивному управлению уязвимостями

Эффективный мониторинг объединяет инвентаризацию компонентов, отслеживание уязвимостей и развертывание исправлений.

Актуализированный реестр позволяет определить версии, установленные на оборудовании. Информация, публикуемая разработчиками и организациями по кибербезопасности, может затем сопоставляться с этим реестром для выявления устройств, затронутых уязвимостью.

Такая наглядность облегчает расстановку приоритетов. Уязвимость, активно эксплуатируемая на сервере, подключенном к Интернету, как правило, требует более оперативного реагирования, чем уязвимость той же теоретической степени серьезности, затрагивающая изолированный и неиспользуемый компонент.

Инструменты мониторинга и администрирования парка оборудования могут автоматизировать часть работы: обнаружение устаревших версий, отслеживание развертываний, регистрация ошибок и формирование отчетов о соответствии. Как регулярно напоминает сайт Cloudlist.fr, в последние несколько лет эта задача входит в число приоритетных задач ИТ-подразделений. Однако запуск обновления не означает, что оно было установлено. Выключенный компьютер, отложенная перезагрузка или незаметный сбой могут привести к тому, что уязвимость останется. Поэтому мониторинг должен охватывать фактическое состояние оборудования после вмешательства.

Для критически важных драйверов такой мониторинг может быть дополнен механизмами контроля приложений и блокировки уязвимых драйверов с учётом их возможного влияния на совместимость оборудования.

Сделать управление исправлениями (patch management) настоящей опорой киберуправления

Эффективное управление обновлениями не зависит исключительно от инструментов. Оно требует выработки единой политики, согласованной между эксплуатационными командами, специалистами по безопасности и бизнес-подразделениями. В частности, эта политика должна четко определять ожидаемые сроки исправления в зависимости от степени критичности, процедуры валидации, круг ответственности, а также условия, при которых допускается отсрочка обновления. Если исправление не может быть применено немедленно, необходимо рассмотреть компенсационные меры и задокументировать остаточный риск.

Кроме того, NIST (Национальный институт стандартов и технологий) рассматривает управление исправлениями как часть профилактического обслуживания, включающего выявление, приоритизацию, установку и проверку исправлений. Этот подход предполагает участие не только технических специалистов, но и представителей бизнес-подразделений, если операции могут повлиять на доступность сервисов.

Существует ряд показателей, позволяющих контролировать результаты: доля обновленного оборудования, количество неисправленных критических уязвимостей, среднее время устранения, сбои при развертывании или исключения, ожидающие обработки.

Обновления по-прежнему необходимы для обеспечения безопасности информационных систем. Однако атаки, использующие доверие к драйверам и механизмам распространения, напоминают о том, что этот процесс должен находиться под контролем. Управление рисками теперь основано на способности выявлять уязвимые компоненты, внедрять соответствующие исправления и постоянно проверять их эффективность.