Na uživatele, používající pirátský software, cílí malware ChromeLoader

2. 7. 2023 07:00    Rubrika: Ostatní    Autor: TZ

Podle nové zprávy HP Wolf Security Threat Insights Report útočníci skrývají malware také v dokumentech OneNote a k útoku zneužívají důvěryhodné domény, jejichž prostřednictvím obcházejí kontrolu maker v produktech Office

Výzkumníci na základě analýzy údajů z milionů koncových zařízení chráněných systémem HP Wolf Security dospěli k následujícím zjištěním:

• Rozšíření Shampoo Chrome se lze jen těžko zbavit. Kampaň šířící malware ChromeLoader přiměje uživatele k instalaci škodlivého rozšíření prohlížeče Chrome s názvem Shampoo. Toto rozšíření dokáže přesměrovat vyhledávací dotazy oběti na škodlivé webové stránky nebo stránky, které útočníkům vydělávají peníze prostřednictvím reklamních kampaní. Tento malware je velmi odolný a pomocí plánovače úloh se každých 50 minut spouští znovu.
• Útočníci obcházejí zásady zabezpečení maker pomocí důvěryhodných domén. Společnost HP zjistila, že i přes to, že makra z nedůvěryhodných zdrojů jsou nyní zakázána, útočníci toto bezpečnostní opatření obcházejí kompromitací důvěryhodného účtu Office 365, nastavením nového firemního e-mailu a distribucí škodlivého souboru ve formátu Excel, který infikuje oběť nástrojem Formbook infostealer.
• Firmy se musí mít na pozoru před tím, co se skrývá uvnitř. Dokumenty OneNote mohou fungovat jako digitální album, takže do nich lze připojit libovolný soubor. Útočníci toho zneužívají ke vkládání škodlivých souborů, které se maskují pod falešnými ikonami „klikněte zde“. Kliknutím na falešnou ikonu se otevře skrytý soubor, spustí se malware a útočníci získají přístup k počítači uživatele – tento přístup mohou dále prodat dalším skupinám kyberzločinců a gangům, útočícím prostřednictvím ransomwaru.

Nebezpečné skupiny jako Qakbot a IcedID poprvé vložily malware do souborů OneNote v lednu. Vzhledem k faktu, že sady pro OneNote jsou nyní k dispozici na hackerských tržištích a jejich použití nevyžaduje velké technické dovednosti, budou tyto malwarové kampaně v nadcházejících měsících pokračovat.

Ze zprávy také vyplývá, že v souvislosti s tím, jak se původci hrozeb odklánějí od souborových formátů Office, diverzifikují skupiny kyberzločinců i nadále metody útoků. Pro obcházení e-mailové brány využívají různé metody: od využívání škodlivých archivních souborů až po vpašovávání HTML kódů, tzv. HTML smugglingu. Mezi klíčová zjištění patří:

• Zkoumání hrozeb, kterým divize HP Wolf Security v 1. čtvrtletí zabránila, ukázalo, že nejoblíbenějším způsobem doručení malwaru byly již čtvrté čtvrtletí po sobě archivy (42 %).
• Oproti 4. čtvrtletí loňského roku došlo v 1. letošním čtvrtletí k nárůstu počtu hrozeb, spočívajících ve vpašování HTML kódu, o 37 procent.
• U hrozeb využívajících soubory PDF došlo v 1. čtvrtletí oproti 4. čtvrtletí k nárůstu o 4 procenta.
• U škodlivého softwaru v souborech aplikace Excel došlo v 1. čtvrtletí oproti 4. čtvrtletí k poklesu o 6 procent (z 19 % na 13 %), protože spouštět makra v tomto formátu je stále obtížnější.
• 14 % e-mailových hrozeb identifikovaných nástrojem HP Sure Click obešlo v 1. čtvrtletí 2023 jeden nebo více skenerů e-mailových bran.
• Nejčastějším vektorem hrozeb v 1. čtvrtletí byl e-mail (80 %) následovaný stahováním souborů prostřednictvím prohlížeče (13 %).

HP Wolf Security spouští rizikové úlohy, jako jsou otevírání e-mailových příloh, stahování souborů a klikání na odkazy, v izolovaných virtuálních počítačích (micro-VM), aby touto cestou chránil uživatele a podrobně zmapoval pokusy o infikování počítače.