„Обновявайте редовно софтуера!“ Този съвет, чуваме от почти всеки експерт по киберсигурност. Причината е ясна: новите версии отстраняват слабости, които киберпрестъпниците познават и обикновено използват. През август 2026 г. обаче има два случая, които преобръщат логиката. Тогава на преден план излиза въпросът какво се случва, ако самият доверен канал за актуализации бъде компрометиран.
Единият засяга руската платформа за видеоконференции TrueConf, широко използвана в корпоративния и държавния сектор като алтернатива на Zoom и Microsoft Teams. Хакерска група използва уязвимост в необновени сървъри и успява да замени един от инсталаторите за корпоративни клиенти. Служителят го изтегля от мястото, което познава и на което има доверие, но заедно с обновлението получава PhantomCore, инструмент за отдалечен достъп, невидим за потребителя.
Почти по същото време, на другия край на света, атаката ChainDrop засяга npm, американско хранилище за готови софтуерни компоненти, използвано от над 17 млн. разработчици по целия свят и най-популярното хранилище от този тип. Компрометиран е GitHub акаунтът на един разработчик, след което заразата достига до над 1300 пакета с близо 2 милиарда месечни сваляния. Засегнати са компании като Deliveroo, Picsart и ServiceTitan не защото са атакувани директно, а защото използват компонент, който е бил компрометиран.
Разработчиците са минали през стандартна процедура за актуализация. И точно това прави подобни атаки толкова трудни за управление.
Заплаха с доверен произход
При класическата представа за кибератака има защита, която трябва да бъде преодоляна. Докато при атаките по веригите на доставка подходът е различен: вместо крайната организация се компрометира продукт, доставчик, библиотека или акаунт, който е част от веригата. В казуса с ChainDrop инсталационните пакети изглеждат напълно редовни. При TrueConf е подменен легитимният инсталатор. И в двата случая крайният потребител получава нещо, което му изглежда познато и съответно безопасно.
Проблемът се задълбочава от начина, по който днес се разработва софтуер. Един проект може да използва стотици външни компоненти, зад които стоят различни разработчици и акаунти. Средностатистическият разработчик използва над 500 такива компонента в един проект. Това означава, че за да достигне до голяма компания, киберпрестъпникът невинаги трябва да насочи усилията си към нея, а към някой от по-уязвимите ѝ партньори.
Какво прави софтуерът след инсталацията
Само проверката на произхода вече не е достатъчна. От значение е и поведението на програмата, след като е попаднала в устройството. При ChainDrop изследователите установяват, че злонамереният код изтегля допълнителен компонент, изпълнява скрипт за кражба на данни и след това се изтрива, още преди инсталацията да е приключила.
Това променя и логиката на защитата. Ако един файл идва от познат източник и не съвпада с вече известна заплаха, традиционните проверки могат да не открият нищо подозрително. Действията му след стартиране обаче разказват друга история: необичайни процеси, опити за достъп до чувствителна информация или комуникация с външни системи.
При подобен сценарий в българска компания решаваща би била именно възможността заплахата да бъде разпозната по поведението ѝ, а не само по това откъде идва. Такъв тип защита осигурява A1 Endpoint Protect, която следи крайните устройства и открива атаки по начина им на действие, включително zero-day заплахи като ChainDrop, при които злонамереният код е напълно нов. При засечен инцидент услугата дава възможност за връщане на засегнатата система в състоянието отпреди атаката. Така една подозрителна активност може да бъде спряна, дори когато е започнала с на пръв поглед напълно легитимен софтуер.
Случаят с ChainDrop напомня и за още нещо: в началото на дългата технологична верига често стои съвсем обикновен потребителски акаунт. Ако той бъде компрометиран чрез фишинг, слаба парола или друг сравнително прост метод, последствията могат да достигнат до организации, които нямат никаква пряка връзка с първоначалната жертва.
И тук защитата започва още преди технологията да се намеси. За българския бизнес решението A1 Security Awareness Training дава възможност рискът да бъде ограничен още на ниво служител. Корпоративното обучение по киберсигурност помага на хората в организацията да разпознават фишинг имейли, фалшиви линкове, рискови пароли и заплахи при работа с лични устройства и да изградят навици за реакция при инцидент.
ENISA отчита значителен ръст на атаките по веригата на доставки, а NIS2 поставя допълнителен фокус върху рисковете, свързани с използвания софтуер, външните доставчици и технологичните партньори. Това не означава, че компаниите трябва да ограничат външния софтуер или да отлагат обновяванията. При TrueConf именно необновените сървъри дават възможност на атакуващите да проникнат в системата. Редовните актуализации остават една от основните мерки за защита, но случаите от август показват, че сами по себе си вече не са достатъчни.
TrueConf и ChainDrop показват колко размита е станала границата между собствения и външния риск. Един компрометиран акаунт, софтуерен компонент или подменен инсталатор може да пренесе проблема към десетки други организации, без те да бъдат атакувани директно. Съвременният софтуер се изгражда именно чрез такава мрежа от разработчици, доставчици и готови компоненти. Тя прави работата по-бърза и ефективна, но разширява и периметъра, за който бизнесът трябва да мисли, когато планира защитата си.
