Útočníci jsou kreativní, čtvrtletní zpráva HP Wolf Security Threat Insights Report

29. 8. 2023 07:00    Rubrika: Ostatní    Autor: TZ

Informace získané od insiderů působících přímo ve firmách pomáhají útočníkům vyhnout se odhalení a obejít bezpečnostní zásady. Do dnešního dne klikli zákazníci používající řešení HP Wolf Security na více než 30 miliard e-mailových příloh, webových stránek a souborů ke stažení.

Výzkumníci HP, na základě analýzy údajů z milionů koncových zařízení, dospěli k následujícím zjištěním:

• Kyberzločinci své útoky sestavují, jako by si hráli s dětskou stavebnicí: Řetězec, jímž je útok veden, často sestává z osvědčených, dobře prošlapaných cest, jimiž se lze dostat k cíli útoku. V kreativních kampaních QakBot však útočníci využívali různé stavební bloky, ze kterých takové útoky sestávají, a sestavovali z nich jedinečné řetězce napadení. Díky střídání různých typů souborů a technik, se jim podařilo obejít detekční nástroje a bezpečnostní zásady. 32 % řetězců napadení v rámci kampaně QakBot analyzovaných společností HP ve 2. čtvrtletí bylo unikátních.
• Poznejte rozdíl – blogger nebo keylogger: Útočníci, kteří stojí za nedávnými kampaněmi Aggah, nakazili škodlivým kódem oblíbenou blogovací platformu Blogspot. Vzhledem k tomu, že je kód skryt v legitimním zdroji, je pro bezpečnostní experty těžší zjistit, zda uživatel čte blog nebo provádí útok. Útočníci pak využijí svých znalostí systémů Windows k deaktivaci některých funkcí ochrany proti malwaru v počítači uživatele a ke spuštění červa XWorm nebo trojského koně AgentTesla Remote Access (RAT), jejichž prostřednictvím se zmocní citlivých informací.
• V rozporu s protokolem: Společnost HP také identifikovala další útoky Aggah, které k infikování počítače malwarem AgentTesla RAT využívaly dotaz na záznam DNS TXT – tento textový záznam se obvykle používá k přístupu k základním informacím o názvech domén. Původci hrozby vědí, že protokol DNS není bezpečnostními týmy často monitorován ani chráněn, takže je velmi obtížné takový útok odhalit.
• Vícejazyčný malware: V nedávné době použili útočníci více programovacích jazyků, aby se vyhnuli odhalení. Nejprve zašifrují svůj škodlivý kód pomocí šifrovacího programu napsaného v jazyce Go, čímž znemožní skenování antimalwarovým programem, který by jej jinak odhalil. Útok pak pokračuje v jazyce C++, který umožní komunikovat s operačním systémem oběti a spustit v paměti malware napsaný v .NET – a zanechat tak v počítači minimální stopy.

Zpráva podrobně popisuje, jak skupiny kyberzločinců diverzifikují metody útoku, aby obešly bezpečnostní zásady a detekční nástroje. Mezi klíčová zjištění patří:

• Již páté čtvrtletí po sobě byly nejoblíbenějším souborovým typem pro doručení malwaru archivy, a to ve 44 % případů analyzovaných společností HP.
• Ve 2. čtvrtletí došlo ve srovnání s 1. čtvrtletím k 23% nárůstu počtu hrozeb prostřednictvím kódu HTML, které řešení HP Wolf Security eliminovalo.
• V období od 1. do 2. čtvrtletí došlo k nárůstu hrozeb v podobě spustitelných souborů o 4 % ze 14 % na 18 %, což bylo způsobeno zejména používáním souboru PDFpower.exe, který obsahoval software s malwarem pro zneužití zranitelností prohlížeče.
• U škodlivého softwaru v souborech aplikace Excel zaznamenala společnost HP v 1. čtvrtletí ve srovnání se 4. čtvrtletím pokles o 6 procentních bodů (z 19 % na 13 %), jelikož útočníci upouštějí od využívání souborů sady Office, u kterých je spouštění maker stále obtížnější.
• Jeden nebo více skenerů e-mailových bran obešlo ve 2. čtvrtletí přinejmenším 12 % e-mailových hrozeb identifikovaných nástrojem HP Sure Click.
• Nejčastějšími původci hrozeb byly ve 2. čtvrtletí e-maily (79 %) a stahování souborů prostřednictvím prohlížeče (12 %).

Řešení HP Wolf Security spouští rizikové úlohy v izolovaných, hardwarově zabezpečených virtuálních strojích běžících na koncovém zařízení. Podrobně také mapuje pokusy o infikování počítače.

Tato data byla anonymně shromážděna ve virtuálních počítačích zákazníků využívajících nástroj HP Wolf Security v období duben–červen 2023.