České organizace ohrožuje malware, který krade přihlašovací údaje a sleduje stisknuté klávesy

Check Point Research, výzkumný tým společnosti Check Point, předního světového poskytovatele kyberbezpečnostních řešení, zveřejnil Celosvětový index dopadu hrozeb, podle kterého byl v srpnu nejrozšířenějším malwarem FormBook. Na čele žebříčku nahradil dlouhodobou jedničku Emotet.

FormBook je zlodějský malware, který krade přihlašovací údaje, pořizuje snímky obrazovky, monitoruje a zaznamenává stisknuté klávesy a stahuje a spouští soubory podle příkazů z řídícího serveru (C&C). Na hackerských fórech je prodáván relativně levně coby MaaS (malware jako služba) a využívá řadu pokročilých technik, aby se vyhnul odhalení.

V srpnu jsme viděli také nárůstu útoků malwaru GuLoader, který se používá ke stahování a instalaci trojských koňů pro vzdálený přístup a zlodějských malwarů, jako jsou Netwire, FormBook a AgentTesla. Šíří se prostřednictvím masivních e‑mailových phishingových kampaní, které lákají oběti ke stažení a otevření škodlivého souboru.

Check Point varuje také před útoky mobilního malwaru Joker. Jakmile se dostane do zařízení, může krást SMS zprávy, seznamy kontaktů a informace o zařízení, může dokonce přihlásit oběť k placeným prémiovým službám. Nárůst útoků částečně souvisí i s nedávno odhalenými kampaněmi, při kterých číhal na uživatele v některých aplikacích na Google Play.

Výzkumný tým zároveň upozorňuje, že největšímu množství kyberútoků čelí nadále vzdělávací a výzkumné instituce. Následují vládní a vojenské subjekty a na třetím místě jsou nově zdravotnické organizace, což je znepokojivý trend.

Vydán byl i žebříček zemí, které jsou nejčastěji terčem kyberútoků. Česká republika se v srpnu lehce posunula mezi bezpečnější země a patřila jí celosvětově 34. pozice. Slovensko se po neklidném červenci také posunulo o 8 míst směrem k bezpečnějším zemím a patřilo mu 68. místo. První, tedy nejnebezpečnější, místo obsadilo znovu Mongolsko.

„Srpen přinesl řadu změn. Viděli jsme pád dříve dominantního Emotetu a také vzestup Jokera, který je třetím nejrozšířenějším mobilním malwarem. Je to znovu důrazná připomínka, jak rychle se prostředí hrozeb může změnit a jak důležité je sledovat nejnovější hrozby a trendy. Zásadní je proto prevence napříč sítěmi, koncovými body i cloudem,“ řekl Tomáš Růžička, SE Team Leader z kyberbezpečnostní společnosti Check Point Software Technologies.

Top 3 – malware:

Škodlivým kódům nejčastěji použitým k útokům na podnikové sítě vévodil v srpnu FormBook, který měl v globálním měřítku dopad na 5 % organizací Na druhé příčce se umístil AgentTesla s dopadem na 4 % společností a XMRig na třetím místě ovlivnil celosvětově 2 % organizací.

1. ↑ FormBook – FormBook krade přihlašovací údaje z webových prohlížečů, vytváří snímky obrazovky, monitoruje a zaznamenává stisknuté klávesy a může stahovat a spouštět soubory na základě pokynů z C&C serveru.
2. ↑ AgentTesla – AgentTesla je pokročilý RAT, který krade hesla a funguje jako keylogger. Známý je od roku 2014. Agent Tesla může monitorovat a zaznamenávat stisknuté klávesy na počítači oběti, systémovou schránku, dělat snímky obrazovky nebo krást přihlašovací údaje z různých programů (včetně Google Chrome, Mozilla Firefox a e-mailového klienta Microsoft Outlook)
3. ↔ XMRig – XMRig je open-source CPU mining software využívaný pro těžbu kryptoměny Monero. Poprvé byl detekován v květnu 2017.

Top 3 – mobilní malware:

Škodlivým kódům nejčastěji použitým k útokům na podniková mobilní zařízení vládl AlientBot, následovaly Anubis a Joker.

3. ↔ AlienBot – AlienBot je malware jako služba (MaaS) pro zařízení se systémem Android, který vzdálenému útočníkovi umožňuje vložit škodlivý kód do legitimních finančních aplikací, čímž útočník získá přístup k účtům obětí a nakonec zcela ovládne infikované zařízení.
4. ↔ Anubis – Anubis je bankovní trojan, určený pro mobilní telefony se systémem Android. Postupně je vylepšován, včetně funkcí pro vzdálený přístup, sledování stisknutých kláves, nahrávání zvuku a ransomwarových schopností. Byl odhalen už ve stovkách různých aplikací dostupných v obchodě Google.
5. ↑ Joker – Android spyware, který se často ukrývá v aplikacích v Google Play a krade SMS zprávy, seznamy kontaktů a informace o zařízení. Navíc skrytě přihlašuje oběti k placeným prémiovým službám.

Top 3 – zranitelnosti:

Check Point také analyzoval nejčastěji zneužívané zranitelnosti. Kyberzločinci se pro útoky na podnikové sítě snažili zneužívat především zranitelnost „Apache Log4j Remote Code Execution” s dopadem na 44 % organizací. Těsně v závěsu následovala zranitelnost „Web Server Exposed Git Repository Information Disclosure“ s podobným dopadem na 42 % společností, Top 3 pak uzavírá zranitelnost „Web Servers Malicious URL Directory Traversal“ s dopaden na 39 % organizací.

1. ↑ Apache Log4j Remote Code Execution (CVE-2021-44228) – Úspěšné zneužití této zranitelnosti může vzdálenému útočníkovi umožnit spuštění libovolného kódu na postiženém systému.
2. ↓ Web Server Exposed Git Repository Information Disclosure – Úspěšné zneužití této zranitelnosti by mohlo umožnit neúmyslné zveřejnění informací o účtu.
3. ↔ Web Servers Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530, CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) –Úspěšné zneužití umožňuje vzdáleným útočníkům získat přístup k libovolným souborům na zranitelném serveru.

Check Point analyzoval i malware útočící na podnikové sítě v České republice. Emotet měl v uplynulých měsících dominantní pozici a byl jasnou jedničkou, ovšem v srpnu následoval propad, čehož využil zlodějský malware FormBook, který se posunul na čelo žebříčku. Botnet Cutwail sice celosvětově není nijak výrazný, ale pro české organizace se jedná o nebezpečnou hrozbu. Riziko špionáže a krádeže dat zvýrazňuje na druhém místě Snake Keylogger a na čtvrtém AgentTesla.

Zdroj: Check Point