Útočníkům často pomáhají insideři působící přímo ve firmách

Díky izolaci hrozeb, kterým se na počítačích podařilo obejít detekční nástroje, má HP Wolf Security detailní přehled o nejnovějších technikách používaných kybernetickými zločinci v rychle se měnícím světě kyberzločinu. Do dnešního dne klikli zákazníci používající řešení HP Wolf Security na více než 30 miliard e-mailových příloh, webových stránek a souborů ke stažení, aniž by došlo k narušení bezpečnosti.

Výzkumníci na základě analýzy údajů z milionů koncových zařízení chráněných systémem HP Wolf Security dospěli k následujícím zjištěním:

• Kyberzločinci své útoky sestavují, jako by si hráli s dětskou stavebnicí: Řetězec, jímž je útok veden, často sestává z osvědčených, dobře prošlapaných cest, jimiž se lze dostat k cíli útoku. V kreativních kampaních QakBot však útočníci využívali různé stavební bloky, ze kterých takové útoky sestávají, a sestavovali z nich jedinečné řetězce napadení. Díky střídání různých typů souborů a technik, se jim podařilo obejít detekční nástroje a bezpečnostní zásady. Např. v kampani QakBot analyzované společností HP bylo ve 2. čtvrtletí unikátních 32 % řetězců napadení.
• Poznejte rozdíl – blogger nebo keylogger: Útočníci, kteří stojí za nedávnými kampaněmi Aggah, nakazili škodlivým kódem oblíbenou blogovací platformu Blogspot. Vzhledem k tomu, že je kód skryt v legitimním zdroji, je pro bezpečnostní experty těžší zjistit, zda uživatel čte blog nebo provádí útok. Útočníci pak využijí svých znalostí systémů Windows k deaktivaci některých funkcí ochrany proti malwaru v počítači uživatele a ke spuštění červa XWorm nebo trojského koně AgentTesla Remote Access (RAT), jejichž prostřednictvím se zmocní citlivých informací.
• V rozporu s protokolem: Společnost HP také identifikovala další útoky Aggah, které k infikování počítače malwarem AgentTesla RAT využívaly dotaz na záznam DNS TXT – tento textový záznam se obvykle používá k přístupu k základním informacím o názvech domén. Původci hrozby vědí, že protokol DNS není bezpečnostními týmy často monitorován ani chráněn, takže je velmi obtížné takový útok odhalit.
• Vícejazyčný malware: V nedávno době použili útočníci více programovacích jazyků, aby se vyhnuli odhalení. Nejprve zašifrují svůj škodlivý kód pomocí šifrovacího programu napsaného v jazyce Go, čímž znemožní skenování antimalwarovým programem, který by jej jinak odhalil. Útok pak pokračuje v jazyce C++, který umožní komunikovat s operačním systémem oběti a spustit v paměti malware napsaný v .NET – a zanechat tak v počítači minimální stopy.

Patrick Schläpfer, vedoucí analytik se specializací na malware z týmu pro výzkum hrozeb HP Wolf Security poznamenal: „Dnešní útočníci jsou stále organizovanější a fundovanější. Zkoumají a analyzují vnitřní struktury operačního systému, což jim značně usnadňuje zneužití jakýchkoli bezpečnostních mezer. Díky tomu, že vědí, na která dvířka přitlačit, dokáží snadno procházet vnitřními systémy, a velmi účinným způsobem využívají relativně jednoduché techniky, aniž by spustili poplach.“

Zpráva podrobně popisuje, jak skupiny kyberzločinců diverzifikují metody útoku, aby obešly bezpečnostní zásady a detekční nástroje. Mezi klíčová zjištění patří:

• Již páté čtvrtletí po sobě byly nejoblíbenějším souborovým typem pro doručení malwaru archivy, a to ve 44 % případů analyzovaných společností HP.
• Ve 2. čtvrtletí došlo ve srovnání s 1. čtvrtletím k 23% nárůstu počtu hrozeb prostřednictvím kódu HTML, které řešení HP Wolf Security eliminovalo.
• V období od 1. do 2. čtvrtletí došlo k nárůstu hrozeb v podobě spustitelných souborů o 4 % ze 14 % na 18 %, což bylo způsobeno zejména používáním souboru PDFpower.exe, který obsahoval software s malwarem pro zneužití zranitelností prohlížeče.
• U škodlivého softwaru v souborech aplikace Excel zaznamenala společnost HP v 1. čtvrtletí ve srovnání se 4. čtvrtletím 2022 pokles o šest procentních bodů (z 19 % na 13 %), jelikož útočníci upouštějí od využívání souborů sady Office, u kterých je spouštění maker stále obtížnější.
• Jeden nebo více skenerů e-mailových bran obešlo ve 2. čtvrtletí přinejmenším 12 % e-mailových hrozeb identifikovaných nástrojem HP Sure Click.
• Nejčastějšími původci hrozeb byly ve 2. čtvrtletí e-maily (79 %) a stahování souborů prostřednictvím prohlížeče (12 %).

Dr. Ian Pratt, globální ředitel pro oblast zabezpečení osobních systémů ve společnosti HP Inc., doplnil: „I když se řetězce napadení mohou případ od případu lišit, způsoby jejich iniciace zůstávají stejné – nevyhnutelně jde o to, že uživatel na něco klikne. Namísto snahy předjímat možnou podobu řetězce napadení by měly podniky izolovat a omezit rizikové činnosti, jako je otevírání příloh e-mailů, klikání na odkazy a stahování souborů prostřednictvím prohlížeče.“

Řešení HP Wolf Security spouští rizikové úlohy v izolovaných, hardwarově zabezpečených virtuálních strojích běžících na koncovém zařízení, aby ochránilo uživatele a zamezilo negativnímu dopadu na jeho produktivitu. Podrobně také mapuje pokusy o infikování počítače. Technologie izolace aplikací vyvinutá společností HP zmírňuje hrozby, které by mohly zůstat nezachyceny jinými bezpečnostními nástroji, a poskytuje jedinečné informace o nových technikách napadení a chování útočníků.