До 70% всех успешных атак шифровальщиков на малый и средний бизнес начинаются с компрометации RDP-сессий, где брутфорс паролей остается основным вектором проникновения. Обычного антивируса с сигнатурным анализом здесь недостаточно, так как злоумышленник заходит в систему легитимно, используя украденные или подобранные учетные данные.
RDP-брутфорс: статистика и стоимость ошибки
Средний словарь для перебора паролей RDP сегодня содержит от 10 000 до 100 000 наиболее популярных комбинаций, что позволяет взломать простой пароль (8-10 символов, без спецсимволов) за период от нескольких часов до 2 суток. В 2023-2024 годах стоимость аренды ботнета для массированного перебора RDP-портов на черном рынке стартует от $50 за целевой диапазон IP-адресов.
Кейс: Компания из 20 рабочих станций оставила открытым порт 3389. За 14 часов брутфорса был подобран пароль администратора, после чего через 30 минут была развернута сеть LockBit. Итог: простой бизнеса 4 дня, стоимость восстановления из бэкапов (которые тоже были зашифрованы) — около 450 000 рублей.
Экспертный вывод: Полагаться на стандартный lockout-механизм Windows (блокировка после 5-10 попыток) бессмысленно, так как атакующие используют распределенный перебор с разных IP.
Функции антивирусного ПО по блокировке RDP-атак
Современные EDR-решения и продвинутые антивирусы внедряют модули поведенческого анализа сетевого трафика. Эффективный инструмент должен отсекать IP-адрес после 3-5 неудачных попыток авторизации на уровне сетевого экрана (Firewall), а не ОС. Разница в эффективности между базовым антивирусом и решением с функцией Host Intrusion Prevention System (HIPS) составляет около 60% в пользу последних при отражении атак типа «slow-brute-force».
Технический нюанс: Многие пользователи путают блокировку учетной записи с блокировкой IP. Если антивирус не умеет динамически менять правила брандмауэра, атакующий просто переключится на другой аккаунт, продолжая перебор.
Экспертный вывод: Выбирайте ПО, которое интегрирует мониторинг событий Event Viewer (события 4625 — ошибка входа) с автоматическим созданием запрещающих правил в фаерволе.
Аутентификация против эксплойтов удаленного доступа
Внедрение двухфакторной аутентификации (2FA) снижает вероятность успешного проникновения через RDP на 99%, даже если пароль был скомпрометирован. Стоимость внедрения сторонних 2FA-модулей для RDP варьируется от $2 до $10 за пользователя в месяц. В сравнении с этим, антивирусная защита от шифровальщиков должна работать как второй эшелон, когда первый (аутентификация) уже пробит.
Сравнение: Обычный пароль (защита 0%) → Сложный пароль + Lockout (защита 20%) → Антивирус с HIPS (защита 50%) → RDP-шлюз + 2FA (защита 99%).
Экспертный вывод: Антивирус не заменяет MFA. Если ваш вендор заявляет, что «защищает от брутфорса» без интеграции с системой аутентификации, он просто фильтрует известные паттерны атак, что бесполезно против точечного таргета.
Связь RDP-проникновения и этапов шифрования
После входа через RDP шифровальщик первым делом отключает теневые копии (VSS) и ищет сетевые шары. Здесь критически важна оценка эффективности функций «песочницы» (Sandboxing) для изоляции подозрительных процессов до начала модификации файлов, так как запуск исполняемого файла от имени администратора RDP-сессии обходит большинство стандартных прав доступа.
Практический пример: При попытке запуска скрипта PowerShell для удаления бэкапов, продвинутый антивирус блокирует процесс по поведенческому признаку (вызов vssadmin.exe), даже если сам файл вируса имеет «чистый» хеш. Это дает окно в 5-10 минут для реакции системного администратора.
Экспертный вывод: Главный критерий выбора ПО — способность детектировать «живого» администратора, который ведет себя как вирус (массовое удаление бэкапов и изменение расширений файлов).
Вывод
Для защиты от шифровальщиков, проникающих через RDP, стратегия «поставил антивирус и забыл» ведет к потере данных. Мой вердикт: начните с закрытия порта 3389 для внешнего мира и перехода на VPN или RDP-шлюз с обязательной 2FA. В качестве программной защиты выбирайте EDR-решения с модулем HIPS и поведенческим анализом, способные блокировать IP на уровне фаервола. Избегайте бесплатных антивирусов, которые работают только по сигнатурам — они бессильны против легитимного входа злоумышленника с правильным паролем.