Útočníci ve 3. čtvrtletí cílili na firmy, často přes vzdálenou plochu

Podle analytiků ubylo detekcí webových hrozeb. Jejich pokles souvisí se zánikem malwaru na dvou nejaktivnějších doménách, které útočníci využívali - adobviewe[.]club a fingahvf[.]top. O pětinu také klesly detekce mobilního malwaru pro platformu Android. Podobně jako ve druhém čtvrtletí rostl v červenci a srpnu objem e-mailových hrozeb. V září ale analytici zachytili jejich výrazné oslabení. V případě phishingových e-mailů, jejichž cílem je vylákat z uživatelů osobní údaje, zneužívali útočníci nejčastěji renomé logistické společnosti DHL.

Nejčastější škodlivou přílohou (v 74 % případů) byly různé typy souborů spustitelných ve Windows. Objem spamu se zvýšil o 9 %. V minulosti útočníci ve spamu výrazně zneužívali téma koronaviru. Ve třetím čtvrtletí jsme sledovali pokles koronaviru jako tématu phishingu.

„Z dat plyne, že útočníci ve srovnání s druhým čtvrtletím méně pracovali s tématikou koronaviru. Důvodem je patrně to, že během letních měsíců počet nemocných klesal a toto téma tak nebylo tolik zajímavé. Výjimkou byla spamová kampaň, ve které útočníci předstírali finanční podporu pro lidi postižené dopady nemoci či restrikcemi z fiktivního fondu,“ popsal Václav Zubr, bezpečnostní expert v české pobočce společnosti ESET. „Vzhledem k současným mohutným nárůstům počtu nakažených koronavirem v celé Evropě, lze očekávat opětovný nárůst spamu a phishingu, které budou využívat toto téma,“ dodal Zubr.

Výrazně přibylo útoků na služby využívající RDP

Firmy i nadále využívají ve zvýšené míře různé nástroje umožňující práci na dálku. Jedním z nejběžnějších je protokol vzdálené správy RDP. Útoků na něj v minulém čtvrtletí přibylo o 140 %. Běžným scénářem, jak takovýto útok uskutečnit, je tzv. brute-force. Šlo o postup, kdy útočník typicky pomocí velké sítě infikovaných počítačů hádá přístupové údaje.

„Velmi často útočníci po proniknutí do sítě odcizí data firem. Z našeho výzkumu vidíme stále větší množství hackerských skupin, které si tuto techniku osvojili. Při těchto cílených útocích dochází běžně ke zneužití špatně nastavené služby vzdáleného přístupu, krádeži dat a zašifrování celé sítě prostřednictvím ransomwaru. Cestu do interních sítí pro hackery nepředstavuje zdaleka pouze služba vzdálené plochy a  brute-force techniky. Útočníci cílí i na další služby vypublikované do internetu a jejich případné zranitelnosti. Je ale důležité zmínit, že většinu zranitelností lze jednoduše neutralizovat aplikováním bezpečnostní záplaty. Je proto klíčové, aby firmy dbaly na důslednou aktualizaci svých systémů,“ dodoplnil Zubr.

Ransomware útoky na nemocnice pokračují

Detekce ransomwaru ve třetím čtvrtletí klesly o 20 %. Jako většinový vektor šíření byl využit škodlivý e-mail. V polovině těchto útoků analytici detekovali ransomware WannaCry. Na zranitelnost, která tomuto malwaru umožňuje šíření, přitom existuje od roku 2017 oprava.

Vážným rizikem je i nadále ransomware Ryuk, který je často používán při útocích na zdravotnická zařízení po celém světě. V Česku se objevil na přelomu roku například v nemocnici v Benešově. Ve třetím čtvrtletí zachytili analytici výraznou kampaň, pomocí níž škodlivý kód zašifroval systémy několika set nemocnic a zdravotnických zařízení v USA.

Právě útoky na nemocnice jsou obrovským rizikem. Důkazem může být zářijový útok na nemocnici v Düsseldorfu. Jedna z pacientek v život ohrožujícím stavu musela být kvůli nefungujícím systémům, které ransomware vyřadil, převezena do 30 kilometrů vzdáleného města. Cestou do jiné nemocnice však zemřela. Tamější policie vyšetřuje útok jako vraždu.

Přibylo škodlivých skriptů, v ČR uživatele neohrozily

Přibylo o více než polovinu tzv. VBA detekcí. Jde o škodlivý kód převážně ukrytý v dokumentech sady Office, jehož úkolem je stáhnout do zařízení další malware. Za výrazným nárůstem stojí obnovení aktivity malwaru, přesněji řečeno trojského koně Emotet.

Na přelomu září a října zachytili analytici jeho výraznou kampaň šířící většinou backdoor Trickbot. Jeho škodlivý zásah se ale podařilo výrazně omezit. V průběhu léta totiž bezpečnostní experti několika firem, včetně ESETu a Microsoftu, pracovali na rozbití sítě Trickbot.

„Emotet měl v této kampani za úkol stáhnout malware Trickbot používaný útočníky k ovládání velkých botnetových sítí a šíření dalších hrozeb, zejména spywaru. Podařilo se nám zcela rozbít jeden článek tohoto řetězce,“ popsal Zubr. „ESET se na operaci proti Trickbotu podílel především poskytnutím analytických dat ze svého systému Botnet Tracker. Zjednodušeně řečeno se nám podařilo vytvořit fiktivní síť počítačů infikovaných Trickbotem, které se vydávaly za součást tohoto botnetu a my tak měli možnost zkoumat komunikaci a příkazy útočníků směrem k infikovaným zařízením. To nám umožnilo identifikovat kontrolní servery botnetu a zachytit desetitisíce unikátních vzorků nového malwaru.”

Cena kryptoměn roste

Na konci července začala opět růst cena kryptoměn, v srpnu dokonce dosáhla rekordních hodnot. Ruku v ruce s tím přibývá i útoků a pokusů o nelegální těžbu (tzv. cryptojacking). V září analytici ESETu zaznamenali jejich mírný nárůst.

Příkladem je malware KryptoCibule, který cílil na české a slovenské uživatele. Malware se šířil přes platformu Ulož.to a uměl změnit adresu kryptopeněženky během odesílání platby v bitcoinech.

„Je velmi pravděpodobné, že malware KryptoCibule vytvořili Češi. Útočníci využili lokální platformu Ulož.to a tak i většina našich detekcí byla z České nebo Slovenské republiky. V neposlední řadě kód obsahoval řadu českých slov, jako cibule, heslo či banka. Zajímavé je i ověřování malwaru, zda nemá oběť nainstalovaný ESET. Pokud bylo zařízení chráněno některým z našich produktů, malware se místo páchání škody sám ukončil. S ryze českým výtvorem se nesetkáváme často. Obvykle detekujeme v České republice pouze zahraniční kampaně,” uzavřel Zubr.

Celou zprávu o vývoji malware si můžete stáhnout v PDF zde.