Cílem kyberútoků byly v říjnu nejčastěji vzdělávací a výzkumné organizace

Check Point Research, výzkumný tým společnosti Check Point zveřejnil Celosvětový index dopadu hrozeb, podle kterého byl v říjnu nejrozšířenějším malwarem modulární botnet a bankovní trojan Trickbot. Výzkumný tým také upozorňuje, že největšímu množství kyberútoků čelily v říjnu vzdělávací a výzkumné organizace, následovaly komunikační společnosti a Top 3 uzavírá vládní a vojenský sektor.

Vydán byl i žebříček zemí, které jsou nejčastěji terčem kyberútoků. Česká republika se nadále drží mezi bezpečnějšími zeměmi, v říjnu jí patřila 82. pozice, což je jen drobný posun oproti zářijové 87. příčce. Slovensko se již třetí měsíce za sebou drží kolem 60. místa, v říjnu to byla 62. pozice. Na prvním, tedy nejnebezpečnějším, místě byla už potřetí v řadě Etiopie. Mezi méně bezpečné země se výrazně posunul Mauricius, kterému v září patřila 29. pozice a v říjnu 2. Také Kazachstán se posunul nežádoucím směrem, o 41 míst až na 9. pozici. Naopak Dominikánská republika klesla z 21. příčky až na 71.

Trickbot se zaměřuje především na krádeže finančních informací, přihlašovacích údajů a osobních dat a také se dokáže šířit uvnitř sítí a spouštět ransomwarové útoky. Od lednového odstavení Emotetu se už pětkrát stal nejrozšířenějším malwarem. Navíc je neustále vylepšován, takže je flexibilní a dobře využitelný v rámci víceúčelových kampaní.

„Na začátku října byla odhalena zranitelnost ‚Apache HTTP Server Directory Traversal‘, která už teď patří mezi deset nejčastěji zneužívaných zranitelností, což ukazuje, jak rychle útočníci pracují,“ říká Tomáš Růžička, SE Team leader v kyberbezpečnostní společnosti Check Point Software Technologies. „Je proto nezbytné používat sofistikované preventivní bezpečnostní technologie, které ochrání organizace před známými i neznámými hrozbami. Nejrozšířenějším malwarem je znovu Trickbot, který se často používá v počáteční fázi ransomwarových útoků. Týdně je ransomwarem zasažena každá 61. organizace, což je šokující číslo a společnosti musí při své ochraně udělat mnohem více. Řada útoků začíná obyčejným e-mailem, takže je důležité vzdělávat uživatele, aby poznali potenciální hrozby.“

Top 3 – malware:

Škodlivým kódům nejčastěji použitým k útokům na podnikové sítě vévodil v říjnu Trickbot, který měl dopad na 4 % organizací po celém světě. Na druhou příčku se posunul XMRig s dopadem na 3 % společností. Remcos na třetím místě ovlivnil 2 % podniků.

1. Trickbot je bankovní trojan, který je neustále vylepšován, takže je flexibilní a lze jej využít jako součást víceúčelových kampaní.
2.  XMRig je open-source CPU mining software využívaný pro těžbu kryptoměny Monero. Poprvé byl detekován v květnu 2017.
3. Remcos je RAT (Remote Access Trojan) poprvé detekovaný v roce 2016. Remcos se šíří sám prostřednictvím škodlivých dokumentů Microsoft Office, které jsou připojeny k e-mailovému spamu. Navíc dokáže obejít UAC zabezpečení systému Microsoft Windows a spouštět malware s pokročilými právy.

Top 3 – mobilní malware:

Škodlivým kódům nejčastěji použitým k útokům na podniková mobilní zařízení vládl znovu xHelper. Následoval „malware jako služba“ AlienBot a Android spyware a bankovní trojan xLoader.

1. ↔ xHelper – Škodlivá aplikace pro Android, která byla poprvé detekována v březnu 2019. Používá se ke stahování dalších škodlivých aplikací a zobrazování reklam. Aplikace je schopna skrýt se před uživatelem a mobilními antivirovými programy a znovu se nainstalovat, pokud ji uživatel odinstaluje.
2. ↔ AlienBot – AlienBot je malware jako služba (MaaS) pro zařízení se systémem Android, který vzdálenému útočníkovi umožňuje vložit škodlivý kód do legitimních finančních aplikací, čímž útočník získá přístup k účtům obětí a nakonec zcela ovládne infikované zařízení.
3. ↑ xLoader – xLoader je spyware a bankovní trojan pro Android, který vyvinula čínská hackerská skupina Yanbian Gang. xLoader využívá DNS spoofing k distribuci infikovaných Android aplikací a krade osobní a finanční informace.

Top 3 – zranitelnosti:

Check Point také analyzoval nejčastěji zneužívané zranitelnosti. Kyberzločinci se pro útoky na podnikové sítě snažili zneužívat především zranitelnost „Web Servers Malicious URL Directory Traversal” s dopadem na rekordních 60 % organizací. Druhé místo obsadila zranitelnost „Web Server Exposed Git Repository Information Disclosure“ s dopadem na 55 % společností a Top 3 uzavírá zranitelnost „HTTP Headers Remote Code Execution“ s dopaden na 54 % organizací.

1.  Na různých webových serverech existuje „directory traversal“ zranitelnost, jejíž úspěšné zneužití umožňuje neověřeným vzdáleným útočníkům zveřejnit nebo získat přístup k libovolným souborům na zranitelném serveru.
2. Zranitelnost může být útočníky vzdáleně zneužita zasláním speciálně vytvořeného požadavku oběti. Úspěšné zneužité by umožnilo útočníkům spustit libovolný kód na cílovém počítači.
3.  HTTP Headers Remote Code Execution (CVE-2020-10826,CVE-2020-10827,CVE-2020-10828,CVE-2020-13756) – Vzdálený útočník může zneužít zranitelnou HTTP hlavičku ke spuštění libovolného kódu na počítači oběti.

Check Point analyzoval i malware útočící na podnikové sítě v České republice. Modulární botnet a bankovní trojan Trickbot měl dopad na více než 4 % českých společností a potvrdil svou celosvětově silnou pozici. Zlodějský malware AgentTesla oproti září ještě posílil a posunul se až na druhou příčku. Dlouhodobě na čelo českých hrozeb patří kryptominer XMRig. Zlodějský malware FormBook, který byl zářijovou jedničkou, v říjnu z Top 10 vypadl, ale nahradil jej SnakeKeylogger. Z žebříčku vypadl také bankovní trojan Dridex, kterému v září patřila 4. pozice, naopak na 5. pozici vyskočil škodlivý kód Remcos.

Top malwarové rodiny v České republice – říjen 2021

Malwarová rodina	Popis	Dopad ve světě	Dopad v ČR
Trickbot	Trickbot je modulární botnet a bankovní trojan, který se zaměřuje na platformu Windows. Šířen je především spamovými kampaněmi nebo jiným malwarem, jako je například Emotet. Trickbot odesílá informace o infikovaném systému a může také stahovat a spouštět libovolné moduly, od VNC modulu pro vzdálené ovládání až po SMB modul pro šíření v uvnitř napadené sítě. Jakmile je zařízení infikované, kyberzločinci využijí moduly ke krádeži bankovních přihlašovacích údajů, k dalšímu šíření hrozby a špehování napadené organizace a poslední fází je ransomwarový útok na celou společnost.	4,26 %	4,18 %
AgentTesla	AgentTesla je pokročilý RAT, který krade hesla a funguje jako keylogger. Známý je od roku 2014. Agent Tesla může monitorovat a zaznamenávat stisknuté klávesy na počítači oběti, systémovou schránku, dělat snímky obrazovky nebo krást přihlašovací údaje od různých programů (včetně Google Chrome, Mozilla Firefox a e-mailového klienta Microsoft Outlook). Agent Tesla se prodává jako legitimní RAT a zákazníci platí 15–69 dolarů za uživatelskou licenci.	1,40 %	3,62 %
XMRig	XMRig je open-source CPU mining software využívaný pro těžbu kryptoměny Monero. Poprvé byl detekován v květnu 2017.	2,56 %	3,34 %
SnakeKeylogger	Snake je modulární .NET keylogger, který byl poprvé detekován koncem listopadu 2020. Mezi jeho hlavní funkce patří zaznamenávání stisknutých kláves, krádeže přihlašovacích údajů a odesílání ukradených dat útočníkům. Snake představuje hrozbu pro soukromí a online bezpečnost uživatelů, protože může krást prakticky všechny druhy citlivých informací a není snadné ho odhalit.	0,27 %	1,95 %
Remcos	Remcos je RAT (Remote Access Trojan) poprvé detekovaný v roce 2016. Remcos se šíří sám prostřednictvím škodlivých dokumentů Microsoft Office, které jsou připojeny k e-mailovému spamu. Navíc dokáže obejít UAC zabezpečení systému Microsoft Windows a spouštět malware s pokročilými právy.	2,39 %	1,39 %
Tofsee	Tofsee je backdoor trojan, který byl poprvé odhalen v roce 2013. Tofsee je víceúčelový nástroj, který lze použít k DDoS útokům, rozesílání spamu nebo třeba těžbě kryptoměn.	1,50 %	1,11 %
NJRat	njRAT je RAT zaměřený především na vládní agentury a organizace na Středním východě. Trojan, který byl poprvé objeven v roce 2012, má řadu schopností: Sledování stisknutých kláves, přístup k fotoaparátu oběti, krádež přihlašovacích údajů uložených v prohlížečích, nahrávání a stahování souborů atd.	0,83 %	0,84 %
NanoCore	NanoCore je RAT, který byl poprvé objeven v roce 2013 a zaměřuje se na uživatele operačního systému Windows. Všechny verze obsahují základní pluginy a funkce, jako je snímání obrazovky, těžba kryptoměn, vzdálené ovládání atd.	1,28 %	0,84 %
xHelper	Škodlivá aplikace pro Android, která byla poprvé detekována v březnu 2019. Používá se ke stahování dalších škodlivých aplikací a zobrazování reklam. Aplikace je schopna skrýt se před uživatelem a znovu se nainstalovat, pokud ji uživatel odinstaluje.	0,64 %	0,84 %
Mucc	Mucc je trojan, který se většinou šíří jako falešná aktualizace systému Windows nebo program třetích stran. Mucc může v počítači zakázat některé programy, jako jsou antiviry nebo firewall.	0,44 %	0,84 %
Cutwail	Botnet Cutwail rozesílá nevyžádané e-maily. Malware je šířen trojanem Pushdo. Boti se připojují přímo k C&C serveru a dostávají pokyny o rozesílaných e-mailech. Po dokončení úkolu nahlásí boti spammerům přesné statistiky o počtu doručených e-mailů a hlášených chybách. Cutwail mohou hackeři využít také k DDoS útokům.	0,16 %	0,84 %

Online mapa kybernetických hrozeb ThreatCloud Map sleduje v reálném čase, jak a kde po celém světě probíhají kybernetické útoky. Využívá pro to informací z Check Point ThreatCloud, největší sítě pro spolupráci v boji s kybernetickými hrozbami, a přináší data o hrozbách a trendech z celosvětové globální sítě senzorů. Databáze ThreatCloud analyzuje každý den více než 3 miliardy webových stránek a 600 milionů souborů a každý den identifikuje více než 250 milionů škodlivých aktivit.

Zdroj: Check Point