HP: Útočníci jsou kreativní a své útoky sestavují jako stavebnici

Společnost HP Inc. dnes vydala svoji čtvrtletní zprávu HP Wolf Security Threat Insights Report, ve které ukazuje, jak útočníci sestavují různé způsoby útoků jako dětskou stavebnici, aby se vyhnuli odhalení detekčními nástroji.

Díky izolaci hrozeb, kterým se na počítačích podařilo obejít detekční nástroje, má HP Wolf Security detailní přehled o nejnovějších technikách používaných kybernetickými zločinci v rychle se měnícím světě kyberzločinu. Do dnešního dne klikli zákazníci používající řešení HP Wolf Security na více než 30 miliard e-mailových příloh, webových stránek a souborů ke stažení, aniž by došlo k narušení bezpečnosti.

Výzkumníci na základě analýzy údajů z milionů koncových zařízení chráněných systémem HP Wolf Security dospěli k následujícím zjištěním:

• Kyberzločinci své útoky sestavují, jako by si hráli s dětskou stavebnicí: Řetězec, jímž je útok veden, často sestává z osvědčených, dobře prošlapaných cest, jimiž se lze dostat k cíli útoku. V kreativních kampaních QakBot však útočníci využívali různé stavební bloky, ze kterých takové útoky sestávají, a sestavovali z nich jedinečné řetězce napadení. Díky střídání různých typů souborů a technik, se jim podařilo obejít detekční nástroje a bezpečnostní zásady. 32 % řetězců napadení v rámci kampaně QakBot analyzovaných společností HP ve 2. čtvrtletí bylo unikátních.
• Poznejte rozdíl – blogger nebo keylogger: Útočníci, kteří stojí za nedávnými kampaněmi Aggah, nakazili škodlivým kódem oblíbenou blogovací platformu Blogspot. Vzhledem k tomu, že je kód skryt v legitimním zdroji, je pro bezpečnostní experty těžší zjistit, zda uživatel čte blog nebo provádí útok. Útočníci pak využijí svých znalostí systémů Windows k deaktivaci některých funkcí ochrany proti malwaru v počítači uživatele a ke spuštění červa XWorm nebo trojského koně AgentTesla Remote Access (RAT), jejichž prostřednictvím se zmocní citlivých informací.
• V rozporu s protokolem: Společnost HP také identifikovala další útoky Aggah, které k infikování počítače malwarem AgentTesla RAT využívaly dotaz na záznam DNS TXT – tento textový záznam se obvykle používá k přístupu k základním informacím o názvech domén. Původci hrozby vědí, že protokol DNS není bezpečnostními týmy často monitorován ani chráněn, takže je velmi obtížné takový útok odhalit.
• Vícejazyčný malware: V nedávno době použili útočníci více programovacích jazyků, aby se vyhnuli odhalení. Nejprve zašifrují svůj škodlivý kód pomocí šifrovacího programu napsaného v jazyce Go, čímž znemožní skenování antimalwarovým programem, který by jej jinak odhalil. Útok pak pokračuje v jazyce C++, který umožní komunikovat s operačním systémem oběti a spustit v paměti malware napsaný v .NET – a zanechat tak v počítači minimální stopy.

Patrick Schläpfer, vedoucí analytik se specializací na malware z týmu pro výzkum hrozeb HP Wolf Security, k tomu dodává:

„Dnešní útočníci jsou stále organizovanější a fundovanější. Zkoumají a analyzují vnitřní struktury operačního systému, což jim značně usnadňuje zneužití jakýchkoli bezpečnostních mezer. Díky tomu, že vědí, na která dvířka přitlačit, dokáží snadno procházet vnitřními systémy, a velmi účinným způsobem využívají relativně jednoduché techniky, aniž by spustili poplach.“

Zpráva podrobně popisuje, jak skupiny kyberzločinců diverzifikují metody útoku, aby obešly bezpečnostní zásady a detekční nástroje. Mezi klíčová zjištění patří:

• Již páté čtvrtletí po sobě byly nejoblíbenějším souborovým typem pro doručení malwaru archivy, a to ve 44 % případů analyzovaných společností HP.
• Ve 2. čtvrtletí došlo ve srovnání s 1. čtvrtletím k 23% nárůstu počtu hrozeb prostřednictvím kódu HTML, které řešení HP Wolf Security eliminovalo.
• V období od 1. do 2. čtvrtletí došlo k nárůstu hrozeb v podobě spustitelných souborů o 4 % ze 14 % na 18 %, což bylo způsobeno zejména používáním souboru PDFpower.exe, který obsahoval software s malwarem pro zneužití zranitelností prohlížeče.
• U škodlivého softwaru v souborech aplikace Excel zaznamenala společnost HP v 1. čtvrtletí ve srovnání se 4. čtvrtletím pokles o 6 procentních bodů (z 19 % na 13 %), jelikož útočníci upouštějí od využívání souborů sady Office, u kterých je spouštění maker stále obtížnější.
• Jeden nebo více skenerů e-mailových bran obešlo ve 2. čtvrtletí přinejmenším 12 % e-mailových hrozeb identifikovaných nástrojem HP Sure Click.
• Nejčastějšími původci hrozeb byly ve 2. čtvrtletí e-maily (79 %) a stahování souborů prostřednictvím prohlížeče (12 %).

Dr. Ian Pratt, globální ředitel pro oblast zabezpečení osobních systémů ve společnosti HP Inc., k tomu dodává:

„I když se řetězce napadení mohou případ od případu lišit, způsoby jejich iniciace zůstávají stejné – nevyhnutelně se jedná o to, že uživatel na něco klikne. Namísto snahy předjímat možnou podobu řetězce napadení by měly podniky izolovat a omezit rizikové činnosti, jako je otevírání příloh e-mailů, klikání na odkazy a stahování souborů prostřednictvím prohlížeče.“

Řešení HP Wolf Security spouští rizikové úlohy v izolovaných, hardwarově zabezpečených virtuálních strojích běžících na koncovém zařízení, aby ochránilo uživatele a zamezilo negativnímu dopadu na jeho produktivitu. Podrobně také mapuje pokusy o infikování počítače. Technologie izolace aplikací vyvinutá společností HP zmírňuje hrozby, které by mohly zůstat nezachyceny jinými bezpečnostními nástroji, a poskytuje jedinečné informace o nových technikách napadení a chování útočníků. 

Tato data byla anonymně shromážděna ve virtuálních počítačích zákazníků využívajících nástroj HP Wolf Security v období duben–červen 2023.

Zdroj: HP