Φεβρουάριος 2024 Top Malware

Ερευνητές ανακάλυψαν μια νέα εκστρατεία με το FakeUpdates, επίσης γνωστό ως SocGolish, που στοχεύει και θέτει σε κίνδυνο ιστότοπους WordPress με παραβιασμένους λογαριασμούς διαχειριστών. Εν τω μεταξύ, το Play εισήλθε στην πρώτη τριάδα των πιο επιθυμητών ομάδων ransomware και η εκπαίδευση παρέμεινε ο τομέας με τις περισσότερες επιθέσεις παγκοσμίως

H Check Point® Software Technologies Ltd., πάροχος πλατφόρμας κυβερνοασφάλειας υποστηριζόμενης από AI στον κυβερνοχώρο που παρέχεται μέσω cloud, δημοσίευσε τον Παγκόσμιο Δείκτη Απειλών για τον Φεβρουάριο του 2024. Τον περασμένο μήνα οι ερευνητές αποκάλυψαν μια νέα εκστρατεία FakeUpdates που θέτει σε κίνδυνο ιστοσελίδες WordPress. Αυτές οι τοποθεσίες μολύνθηκαν χρησιμοποιώντας παραβιασμένους λογαριασμούς διαχειριστή wp-admin, με το κακόβουλο λογισμικό να προσαρμόζει την τακτική του για να διεισδύσει σε ιστότοπους χρησιμοποιώντας τροποποιημένες εκδόσεις αυθεντικών plugins του WordPress και εξαπατώντας τα άτομα να κατεβάσουν ένα Trojan απομακρυσμένης πρόσβασης.

Εν τω μεταξύ, ακόμη και μετά την κατάργησή του προς τα τέλη Φεβρουαρίου, το Lockbit3 παρέμεινε η πιο διαδεδομένη ομάδα ransomware, υπεύθυνη για το 20% των δημοσιευμένων επιθέσεων, και η εκπαίδευση συνέχισε να είναι ο κλάδος που επηρεάστηκε περισσότερο παγκοσμίως.

Το FakeUpdates, επίσης γνωστό ως SocGholish, λειτουργεί τουλάχιστον από το 2017 και χρησιμοποιεί κακόβουλο λογισμικό JavaScript για να στοχεύει ιστότοπους, ιδίως εκείνους με συστήματα διαχείρισης περιεχομένου. Συχνά κατατάσσεται ως το πιο διαδεδομένο κακόβουλο λογισμικό στον Δείκτη Απειλών, το κακόβουλο λογισμικό FakeUpdates έχει ως στόχο να εξαπατήσει τους χρήστες ώστε να κατεβάσουν κακόβουλο λογισμικό και παρά τις προσπάθειες να σταματήσει, παραμένει μια σημαντική απειλή για την ασφάλεια των ιστότοπων και τα δεδομένα των χρηστών.

Αυτή η εξελιγμένη παραλλαγή κακόβουλου λογισμικού έχει συσχετιστεί στο παρελθόν με τη ρωσική ομάδα κυβερνοεγκλήματος γνωστή ως Evil Corp. Λόγω της λειτουργικότητας του προγράμματος λήψης, πιστεύεται ότι η ομάδα κερδοσκοπεί το κακόβουλο λογισμικό πουλώντας πρόσβαση στα συστήματα που μολύνει, οδηγώντας σε άλλες μολύνσεις κακόβουλου λογισμικού εάν η ομάδα παρέχει πρόσβαση σε πολλούς πελάτες.

“Οι ιστότοποι είναι οι ψηφιακές πύλες του κόσμου μας, ζωτικής σημασίας για την επικοινωνία, το εμπόριο και τη διασύνδεση”, δήλωσε η Maya Horowitz, Αντιπρόεδρος Έρευνας της Check Point Software. “Η υπεράσπισή τους από απειλές στον κυβερνοχώρο δεν αφορά μόνο την προστασία του κώδικα, αλλά και την προστασία της διαδικτυακής μας παρουσίας και των βασικών λειτουργιών της διασυνδεδεμένης κοινωνίας μας. Εάν οι εγκληματίες του κυβερνοχώρου επιλέξουν να τα χρησιμοποιήσουν ως όχημα για την κρυφή εξάπλωση κακόβουλου λογισμικού, αυτό θα μπορούσε να επηρεάσει τη μελλοντική παραγωγή εσόδων και τη φήμη ενός οργανισμού. Είναι ζωτικής σημασίας να ληφθούν προληπτικά μέτρα και να υιοθετηθεί μια κουλτούρα μηδενικής ανοχής για να εξασφαλιστεί η απόλυτη προστασία από τις απειλές”.

Ο δείκτης απειλών της Check Point περιλαμβάνει επίσης πληροφορίες από περίπου 200 ιστότοπους “ντροπής” που διαχειρίζονται ομάδες ransomware διπλής εκβίασης, 68 από τις οποίες δημοσίευσαν πληροφορίες για τα θύματα φέτος για να ασκήσουν πίεση σε στόχους που δεν πληρώνουν.

Το Lockbit3 πήρε και πάλι τα πρωτεία τον περασμένο μήνα, αντιπροσωπεύοντας το 20% των περιστατικών που αναφέρθηκαν, ακολουθούμενο από το Play με 8% και το 8base με 7%. Μπαίνοντας στην πρώτη τριάδα για πρώτη φορά, η Play, ανέλαβε την ευθύνη για μια πρόσφατη κυβερνοεπίθεση στην πόλη του Όκλαντ.

Τον περασμένο μήνα, η ευπάθεια με τη μεγαλύτερη εκμετάλλευση ήταν το “Web Servers Malicious URL Directory Traversal”, που επηρέασε το 51% των οργανισμών παγκοσμίως, ακολουθούμενη από το “Command Injection Over HTTP” και το “Zyxel ZyWALL Command Injection” με 50% αντίστοιχα.

Top malware families

*Τα βέλη αφορούν τη μεταβολή της κατάταξης σε σχέση με τον προηγούμενο μήνα.

Το FakeUpdates ήταν το πιο διαδεδομένο κακόβουλο λογισμικό τον περασμένο μήνα με αντίκτυπο 5% σε παγκόσμιους οργανισμούς, ακολουθούμενο από το Qbot με παγκόσμιο αντίκτυπο 3% και το Formbook με παγκόσμιο αντίκτυπο 2%.

1. ↔ FakeUpdates – Το FakeUpdates (AKA SocGholish) είναι ένα πρόγραμμα γραμμένο σε JavaScript. Γράφει τα ωφέλιμα φορτία στο δίσκο πριν από την εκτόξευσή τους. Το FakeUpdates οδήγησε σε περαιτέρω συμβιβασμό μέσω πολλών πρόσθετων κακόβουλων προγραμμάτων, συμπεριλαμβανομένων των GootLoader, Dridex, NetSupport, DoppelPaymer και AZORult. Το FakeUpdates (AKA SocGholish) είναι ένα πρόγραμμα λήψης γραμμένο σε JavaScript. Γράφει τα ωφέλιμα φορτία στο δίσκο πριν από την εκτόξευσή τους. Το FakeUpdates οδήγησε σε περαιτέρω συμβιβασμό μέσω πολλών πρόσθετων κακόβουλων προγραμμάτων, συμπεριλαμβανομένων των GootLoader, Dridex, NetSupport, DoppelPaymer και AZORult.
2. ↔ Qbot – Το Qbot AKA Qakbot είναι ένα κακόβουλο λογισμικό πολλαπλών χρήσεων που εμφανίστηκε για πρώτη φορά το 2008. Σχεδιάστηκε για να κλέβει τα διαπιστευτήρια ενός χρήστη, να καταγράφει τις πληκτρολογήσεις, να κλέβει cookies από προγράμματα περιήγησης, να κατασκοπεύει τραπεζικές δραστηριότητες και να αναπτύσσει πρόσθετο κακόβουλο λογισμικό. Συχνά διανέμεται μέσω spam email, το Qbot χρησιμοποιεί διάφορες τεχνικές anti-VM, anti-debugging και anti-sandbox για να εμποδίσει την ανάλυση και να αποφύγει την ανίχνευση. Ξεκινώντας το 2022, αναδείχθηκε ως ένα από τα πιο διαδεδομένα Trojans.
3. ↔ Formbook – Το Formbook είναι ένα Infostealer που στοχεύει το λειτουργικό σύστημα Windows και εντοπίστηκε για πρώτη φορά το 2016. Διατίθεται στην αγορά ως κακόβουλο λογισμικό ως υπηρεσία (Malware as a Service – MaaS) σε underground φόρουμ hacking για τις ισχυρές τεχνικές αποφυγής και τη σχετικά χαμηλή τιμή του. Το Formbook συλλέγει διαπιστευτήρια από διάφορους περιηγητές ιστού, συλλέγει στιγμιότυπα οθόνης, παρακολουθεί και καταγράφει τις πληκτρολογήσεις και μπορεί να κατεβάζει και να εκτελεί αρχεία σύμφωνα με εντολές από το C&C του.

Κορυφαία τρωτά σημεία που έχουν γίνει αντικείμενο εκμετάλλευσης

Τον περασμένο μήνα, η ευπάθεια “Web Servers Malicious URL Directory Traversal” ήταν η ευπάθεια με τη μεγαλύτερη εκμετάλλευση, επηρεάζοντας το 51% των οργανισμών παγκοσμίως, ακολουθούμενη από τις ευπάθειες “Command Injection Over HTTP” και “Zyxel ZyWALL Command Injection” με παγκόσμιο αντίκτυπο 50% αντίστοιχα.

1. ↑ Web Servers Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530, CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) – Υπάρχει ευπάθεια διέλευσης καταλόγου σε διάφορους διακομιστές ιστού. Η ευπάθεια οφείλεται σε σφάλμα επικύρωσης εισόδου σε έναν διακομιστή ιστού που δεν καθαρίζει σωστά το URI για τα μοτίβα διάσχισης καταλόγου. Η επιτυχής εκμετάλλευση επιτρέπει σε μη εξουσιοδοτημένους απομακρυσμένους επιτιθέμενους να αποκαλύψουν ή να αποκτήσουν πρόσβαση σε αυθαίρετα αρχεία στον ευάλωτο διακομιστή.
2. ↓ Command Injection Over HTTP (CVE-2021-43936, CVE-2022-24086) – Έχει αναφερθεί μια ευπάθεια Injection των εντολών μέσω HTTP. Ένας απομακρυσμένος επιτιθέμενος μπορεί να εκμεταλλευτεί αυτό το πρόβλημα στέλνοντας ένα ειδικά διαμορφωμένο αίτημα στο θύμα. Η επιτυχής εκμετάλλευση θα επέτρεπε στον εισβολέα να εκτελέσει αυθαίρετο κώδικα στο μηχάνημα-στόχο.
3. ↑ Zyxel ZyWALL Command Injection (CVE-2023-28771) – Μια ευπάθεια injection των εντολών βρίσκεται στο Zyxel ZyWALL. Η επιτυχής εκμετάλλευση αυτής της ευπάθειας θα επέτρεπε σε απομακρυσμένους επιτιθέμενους να εκτελέσουν αυθαίρετες εντολές του λειτουργικού συστήματος στο επηρεαζόμενο σύστημα.

Κορυφαία κακόβουλα προγράμματα για κινητά

Τον περασμένο μήνα το Anubis παρέμεινε στην πρώτη θέση ως το πιο διαδεδομένο κακόβουλο λογισμικό για κινητά, ακολουθούμενο από τα AhMyth και Hiddad.

1. Anubis – Το Anubis είναι ένα κακόβουλο τραπεζικό Trojan που έχει σχεδιαστεί για κινητά τηλέφωνα Android. Από τότε που εντοπίστηκε αρχικά, έχει αποκτήσει πρόσθετες λειτουργίες, όπως λειτουργία Remote Access Trojan (RAT), keylogger, δυνατότητες καταγραφής ήχου και διάφορα ransomware χαρακτηριστικά. Έχει εντοπιστεί σε εκατοντάδες διαφορετικές εφαρμογές που είναι διαθέσιμες στο Google Store.
2. AhMyth – Το AhMyth είναι ένα Trojan απομακρυσμένης πρόσβασης (RAT) που ανακαλύφθηκε το 2017. Διανέμεται μέσω εφαρμογών Android που μπορούν να βρεθούν σε καταστήματα εφαρμογών και σε διάφορους ιστότοπους. Όταν ένας χρήστης εγκαθιστά μία από αυτές τις μολυσμένες εφαρμογές, το κακόβουλο λογισμικό μπορεί να συλλέξει ευαίσθητες πληροφορίες από τη συσκευή και να εκτελέσει ενέργειες όπως keylogging, λήψη στιγμιότυπων οθόνης, αποστολή μηνυμάτων SMS και ενεργοποίηση της κάμερας, η οποία συνήθως χρησιμοποιείται για την κλοπή ευαίσθητων πληροφοριών.
3. Hiddad – Το Hiddad είναι ένα κακόβουλο λογισμικό Android που επανασυσκευάζει νόμιμες εφαρμογές και στη συνέχεια τις κυκλοφορεί σε ένα κατάστημα τρίτων. Η κύρια λειτουργία του είναι η εμφάνιση διαφημίσεων, αλλά μπορεί επίσης να αποκτήσει πρόσβαση σε βασικές λεπτομέρειες ασφαλείας που είναι ενσωματωμένες στο λειτουργικό σύστημα.

Οι κλάδοι που δέχονται τις περισσότερες επιθέσεις παγκοσμίως

Τον περασμένο μήνα, η Εκπαίδευση/Ερευνα παρέμεινε στην πρώτη θέση των επιτιθέμενων κλάδων παγκοσμίως, ακολουθούμενη από την Κυβέρνηση/Στρατιωτικό τομέα και την Υγεία.

1. Εκπαίδευση/Ερευνα
2. Κυβέρνηση/Στρατός
3. Υγεία

Κορυφαίες ομάδες Ransomware

Αυτή η ενότητα περιλαμβάνει πληροφορίες που προέρχονται από σχεδόν 200 “ιστοσελίδες ντροπής” ransomware που διαχειρίζονται ομάδες ransomware διπλού εκβιασμού. Οι εγκληματίες του κυβερνοχώρου χρησιμοποιούν αυτές τις τοποθεσίες για να ενισχύσουν την πίεση στα θύματα που δεν πληρώνουν αμέσως τα λύτρα. Τα δεδομένα από αυτές τις τοποθεσίες ντροπής φέρουν τις δικές τους προκαταλήψεις, αλλά εξακολουθούν να παρέχουν πολύτιμες πληροφορίες για το οικοσύστημα ransomware, το οποίο αποτελεί σήμερα τον υπ’ αριθμόν ένα κίνδυνο για τις επιχειρήσεις.

Η LockBit3 ήταν η πιο διαδεδομένη ομάδα ransomware τον περασμένο μήνα, υπεύθυνη για το 20% των δημοσιευμένων επιθέσεων, ακολουθούμενη από την Play με 8% και την 8base με 7%.

1. Lockbit3 – Το LockBit3 είναι ένα ransomware, που λειτουργεί σε μοντέλο RaaS και αναφέρθηκε για πρώτη φορά τον Σεπτέμβριο του 2019. Το LockBit στοχεύει μεγάλες επιχειρήσεις και κυβερνητικούς φορείς από διάφορες χώρες και δεν στοχεύει ιδιώτες στη Ρωσία ή στην Κοινοπολιτεία Ανεξάρτητων Κρατών.
2. Play – Το Play είναι το όνομα ενός προγράμματος τύπου ransomware. Το κακόβουλο λογισμικό που κατηγοριοποιείται ως τέτοιο λειτουργεί κρυπτογραφώντας δεδομένα και απαιτώντας λύτρα για την αποκρυπτογράφηση.
3. 8base – Η ομάδα απειλών 8Base είναι μια ομάδα ransomware που δραστηριοποιείται τουλάχιστον από τον Μάρτιο του 2022. Απέκτησε σημαντική φήμη στα μέσα του 2023 λόγω της αξιοσημείωτης αύξησης των δραστηριοτήτων της. Αυτή η ομάδα έχει παρατηρηθεί να χρησιμοποιεί διάφορες παραλλαγές ransomware, με κοινό στοιχείο το Phobos. Η 8Base λειτουργεί με ένα επίπεδο πολυπλοκότητας, το οποίο αποδεικνύεται από τη χρήση προηγμένων τεχνικών στο ransomware της. Οι μέθοδοι της ομάδας περιλαμβάνουν τακτικές διπλού εκβιασμού.

Ο πλήρης κατάλογος των δέκα κορυφαίων οικογενειών κακόβουλου λογισμικού τον Φεβρουάριο βρίσκεται στο ιστολόγιο της Check Point.