VulnCheck Canary Intelligence: сбор данных об эксплуатации уязвимостей в реальном времени

Canary Intelligence собирает данные об эксплуатации уязвимостей в реальном времени

VulnCheck представила Canary Intelligence — сервис, который предоставляет информацию об эксплуатации уязвимостей. Продукт показывает, кто именно эксплуатировал уязвимость, какое вредоносное ПО использовал и к какой инфраструктуре подключался. Сервис собирает данные с помощью специально настроенных серверов-приманок (canaries), которые имитируют реальные уязвимые системы. Эти серверы фиксируют попытки взлома и анализируют их.

Canary Intelligence показывает детали эксплуатации уязвимостей

VulnCheck Canary — это реальные, намеренно уязвимые экземпляры программного обеспечения, которые ищут злоумышленники. Это не эмуляторы или поддельные баннеры. Когда атакующий эксплуатирует canary, эксплойт действительно работает, и VulnCheck фиксирует происходящее. Сервис Canary Intelligence предоставляет записи об эксплуатации, включая IP-адрес атакующего, адрес и порт для загрузки вредоносного ПО, а также паттерны для создания правил обнаружения. Эти данные помогают командам безопасности блокировать атакующих и искать следы вторжения в своих логах. Canary Intelligence собирает более 100 новых индикаторов командно-контрольных серверов (C2) в неделю, пока они еще активны. Индикаторы, полученные с задержкой, часто оказываются бесполезными.

Эксплуатация уязвимостей происходит до выхода патчей

VulnCheck Canary зафиксировали эксплуатацию 558 известных уязвимостей. Из них 342 (61%) не входят в список CISA KEV (Known Exploited Vulnerabilities). Для 89 уязвимостей canary VulnCheck стали первым публичным свидетельством эксплуатации, опередив уведомления от вендоров, исследователей и правительственных каталогов. В среднем, canary обнаруживали эксплуатацию за 12 дней до появления других публичных источников. Исследователи отмечают, что разрыв между раскрытием уязвимости и началом её эксплуатации сократился. Атаки через эксплуатацию уязвимостей стали самым частым способом начала взломов, опередив фишинг и кражу учетных данных. Регуляторы учитывают эту тенденцию: директива CISA BOD 26-04 требует от федеральных агентств устранять уязвимости из высшего уровня риска в течение трех дней и проводить криминалистическую проверку на предмет компрометации.

Атакующие используют облачные учетные данные и маскируются под ИИ-ботов

Злоумышленники начали использовать облачные учетные данные. 7947 событий эксплуатации через 37 CVE использовали выполнение кода для запроса конечной точки метаданных облачного экземпляра, такой как 169.254.169.254. Это место хранения временных облачных учетных данных. Атакованное веб-приложение в облаке представляет собой проблему как для управления доступом (IAM), так и для безопасности серверов. Кроме того, злоумышленники начали маскироваться под ИИ-краулеров. Canary зафиксировали 78 061 попытку эксплуатации, в которых User-Agent выдавал себя за ИИ-бота, включая GPTBot, ClaudeBot и PerplexityBot. Почти все эти попытки произошли после августа 2026 года. 84% таких запросов искали секретные данные, такие как файлы .env, резервные копии конфигураций и журналы отладки фреймворков. Настоящие ИИ-краулеры не отправляют эксплойты, поэтому любая подобная активность является обманом. WAF или системы управления ботами, доверяющие строке User-Agent, могут довериться злоумышленнику. Рекомендуется проверять краулеров по их опубликованным диапазонам IP-адресов.