To Emotet παραμένει το πιο διαδεδομένο κακόβουλο λογισμικό

Η Check Point Research αναφέρει ότι τον Απρίλιο παρατηρήθηκε μεγάλη δραστηριότητα από το Formbook και το Lokibot. Αυτό το μήνα είδαμε το Spring4Shell να γίνεται «πρωτοσέλιδο», ωστόσο δεν κατατάσσεται ακόμα στις ευπάθειες που αξιοποιήσαν οι δράστες ώστε να εισβάλουν στα συστήματα

Η Check Point Research, το τμήμα έρευνας της Check Point Software Technologies Ltd., δημοσίευσε το Global Threat Index για τον Απρίλιο του 2022. Οι ερευνητές αναφέρουν ότι το Emotet εξακολουθεί να είναι το πιο διαδεδομένο κακόβουλο λογισμικό που επηρεάζει το 6% των οργανισμών παγκοσμίως. Παρά το γεγονός αυτό, υπήρξε κίνηση για όλα τα άλλα κακόβουλα προγράμματα στη λίστα. Το Tofsee και το Nanocore βγήκαν και αντικαταστάθηκαν από το Formbook και το Lokibot, που είναι πλέον το δεύτερο και το έκτο πιο διαδεδομένο κακόβουλο λογισμικό αντίστοιχα.

To ανώτερο σκορ του Emotet τον Μάρτιο (10%) οφειλόταν κυρίως σε συγκεκριμένες απάτες με θέμα το Πάσχα, αλλά η μείωση αυτού του μήνα θα μπορούσε επίσης να εξηγηθεί από την απόφαση της Microsoft να απενεργοποιήσει συγκεκριμένες μακροεντολές που σχετίζονται με αρχεία του Office, επηρεάζοντας τον τρόπο με τον οποίο το Emotet συνήθως παραδίδεται. Μάλιστα, υπάρχουν αναφορές ότι το Emotet έχει μια νέα μέθοδο παράδοσης- χρησιμοποιώντας μηνύματα ηλεκτρονικού ταχυδρομείου phishing που περιέχουν μια διεύθυνση URL του OneDrive. Το Emotet έχει πολλές χρήσεις αφού καταφέρει να παρακάμψει τo security ενός μηχανήματος. Λόγω των εξελιγμένων τεχνικών διάδοσης και αφομοίωσης, το Emotet προσφέρει επίσης άλλα κακόβουλα προγράμματα σε κυβερνοεγκληματίες σε φόρουμ του σκοτεινού ιστού, συμπεριλαμβανομένων τραπεζικών trojans, ransomwares, botnets κ.λπ. Ως αποτέλεσμα, μόλις η Emotet βρει μια παραβίαση, οι συνέπειες μπορεί να ποικίλλουν ανάλογα με το ποιο κακόβουλο λογισμικό παραδόθηκε μετά την παραβίαση της παραβίασης.

Σε άλλο σημείο του δείκτη, το Lokibot, ένα infostealer, επανήλθε στη λίστα στην έκτη θέση μετά από μια καμπάνια spam με μεγάλη απήχηση που παρέδωσε το κακόβουλο λογισμικό μέσω αρχείων xlsx που μοιάζουν με νόμιμα τιμολόγια. Αυτό, καθώς και η άνοδος του Formbook, είχαν αντίκτυπο στη θέση άλλων κακόβουλων προγραμμάτων, με το προηγμένο trojan απομακρυσμένης πρόσβασης (RAT) AgentTesla, για παράδειγμα, να πέφτει στην τρίτη θέση από τη δεύτερη.

Στα τέλη Μαρτίου, εντοπίστηκαν κρίσιμες ευπάθειες στο Java Spring Framework, γνωστές ως Spring4Shell, και έκτοτε, πολυάριθμοι φορείς απειλών αξιοποίησαν την απειλή για να εξαπλώσουν το Mirai, το ένατο πιο διαδεδομένο κακόβουλο λογισμικό αυτού του μήνα.

“Με το τοπίο των απειλών στον κυβερνοχώρο να εξελίσσεται συνεχώς και με μεγάλες εταιρείες όπως η Microsoft να επηρεάζουν τις παραμέτρους εντός των οποίων μπορούν να δρουν οι εγκληματίες του κυβερνοχώρου, οι δράστες γίνονται πιο δημιουργικοί ως προς τρόπο με τον οποίο διανέμουν κακόβουλο λογισμικό, όπως φαίνεται στη νέα μέθοδο διανομής που χρησιμοποιεί τώρα το Emotet”, δήλωσε η Maya Horowitz, αντιπρόεδρος έρευνας της Check Point. “Επιπλέον, αυτό το μήνα γίναμε μάρτυρες της ευπάθειας Spring4Shell που έγινε πρωτοσέλιδο. Παρόλο που δεν βρίσκεται ακόμα στην πρώτη δεκάδα των ευπαθειών, αξίζει να σημειωθεί ότι πάνω από το 35% των οργανισμών παγκοσμίως έχουν ήδη επηρεαστεί από αυτή την απειλή μόνο τον πρώτο μήνα, και έτσι αναμένουμε να τη δούμε να ανεβαίνει στη λίστα τους επόμενους μήνες”.

Η CPR αποκάλυψε επίσης αυτό το μήνα ότι η Εκπαίδευση και η Έρευνα εξακολουθούν να αποτελούν τον πιο στοχευμένο κλάδο από τους εγκληματίες του κυβερνοχώρου παγκοσμίως. Η “Web Server Exposed Git Repository Information Disclosure” είναι η ευπάθεια με τη μεγαλύτερη εκμετάλλευση, επηρεάζοντας το 46% των οργανισμών παγκοσμίως, ενώ ακολουθείται στενά από την “Apache Log4j Remote Code Execution”. Το “Apache Struts ParametersInterceptor ClassLoader Security Bypass” εκτοξεύεται στο δείκτη, καταλαμβάνοντας πλέον την τρίτη θέση με παγκόσμιο αντίκτυπο 45%.

Κορυφαίες οικογένειες κακόβουλου λογισμικού

*Τα βέλη αφορούν τη μεταβολή της κατάταξης σε σχέση με τον προηγούμενο μήνα.

Αυτόν τον μήνα το Emotet εξακολουθεί να είναι το πιο διαδεδομένο κακόβουλο λογισμικό, επηρεάζοντας το 6% των οργανισμών παγκοσμίως, ακολουθούμενο στενά από το Formbook που επηρεάζει το 3% των οργανισμών και το AgentTesla με παγκόσμιο αντίκτυπο 2%.

1. ↔Emotet – Eξελιγμένο modular trojan που αυτοαναπαράγεται. Το Emotet κάποτε λειτουργούσε ως δούρειος ίππος υποκλοπής στοιχείων τραπεζικών λογαριασμών και πρόσφατα χρησιμοποιείται για να διανέμεται άλλο κακόβουλο λογισμικό ή σε εκστρατείες διάδοσης malware. Χρησιμοποιεί πολλές μεθόδους και τεχνικές αποφυγής για να παραμένει στο σύστημα και να αποφεύγει την ανίχνευση. Επιπλέον, μπορεί να διαδίδεται μέσω ανεπιθύμητων email ηλεκτρονικού ψαρέματος (phishing) που περιέχουν συνημμένα ή συνδέσμους με κακόβουλο περιεχόμενο.
2. ↑ Formbook – Το Formbook είναι ένα Infostealer που στοχεύει το λειτουργικό σύστημα Windows και εντοπίστηκε για πρώτη φορά το 2016. Διατίθεται στην αγορά ως Malware-as-a-Service (MaaS) σε υπόγεια φόρουμ hacking για τις ισχυρές τεχνικές αποφυγής και τη σχετικά χαμηλή τιμή του. Το FormBook συλλέγει διαπιστευτήρια από διάφορα προγράμματα περιήγησης στο διαδίκτυο, συλλέγει στιγμιότυπα οθόνης, παρακολουθεί και καταγράφει τις πληκτρολογήσεις και μπορεί να κατεβάζει και να εκτελεί αρχεία σύμφωνα με εντολές από το C&C του.
3. ↓ Agent Tesla – Ο Agent Tesla είναι ένα προηγμένο RAT που λειτουργεί ως keylogger και κλέφτης πληροφοριών, το οποίο είναι ικανό να παρακολουθεί και να συλλέγει την εισαγωγή πληκτρολογίου του θύματος, το πληκτρολόγιο του συστήματος, να λαμβάνει στιγμιότυπα οθόνης και να αποσπά διαπιστευτήρια σε διάφορα λογισμικά που είναι εγκατεστημένα στο μηχάνημα του θύματος (συμπεριλαμβανομένων των Google Chrome, Mozilla Firefox και Microsoft Outlook).

Κορυφαίοι επιτιθέμενοι κλάδοι παγκοσμίως

Αυτόν τον μήνα η εκπαίδευση/έρευνα είναι ο κλάδος με τις περισσότερες επιθέσεις παγκοσμίως, ακολουθούμενος από την κυβέρνηση/στρατό και τους παρόχους υπηρεσιών διαδικτύου & παρόχους διαχειριζόμενων υπηρεσιών (ISP & MSP).

1. Εκπαίδευση και έρευνα 

2. Κυβέρνηση & Στρατός 

3. Παροχείς υπηρεσιών Διαδικτύου & Διαχειριζόμενοι πάροχοι υπηρεσιών (ISP & MSP)

Top Εκμεταλλευόμενες ευπάθειες

This month “Web Server Exposed Git Repository Information Disclosure” is the most exploited vulnerability, impacting 46% of organizations globally, closely followed by “Apache Log4j Remote Code Execution” with a global impact of 46%. “Apache Struts ParametersInterceptor ClassLoader Security Bypass” is now in third place in the top exploited vulnerabilities list, with a global impact of 45%. 

Αυτόν τον μήνα η “ Web Server Exposed Git Repository Information Disclosure ” είναι η ευπάθεια με τη μεγαλύτερη εκμετάλλευση, επηρεάζοντας το 46% των οργανισμών παγκοσμίως, ενώ ακολουθεί η “Απομακρυσμένη εκτέλεση κώδικα Apache Log4j” με παγκόσμιο αντίκτυπο 46%. Το “Apache Struts ParametersInterceptor ClassLoader Security Bypass” βρίσκεται πλέον στην τρίτη θέση της λίστας με τις πιο συχνά εκμεταλλευόμενες ευπάθειες, με παγκόσμιο αντίκτυπο 45%.

1. ↑ Web Server Exposed Git Repository Information Disclosure– Έχει αναφερθεί μια ευπάθεια αποκάλυψης πληροφοριών στο Git Repository. Η επιτυχής εκμετάλλευση αυτής της ευπάθειας θα μπορούσε να επιτρέψει την ακούσια αποκάλυψη πληροφοριών λογαριασμού.
2. ↓ Apache Log4j Remote Code Execution (CVE-2021-44228)– Μια ευπάθεια απομακρυσμένης εκτέλεσης κώδικα υπάρχει στον Apache Log4j. Η επιτυχής εκμετάλλευση αυτής της ευπάθειας θα μπορούσε να επιτρέψει σε έναν απομακρυσμένο εισβολέα να εκτελέσει αυθαίρετο κώδικα στο επηρεαζόμενο σύστημα.
3. ↑ Apache Struts ParametersInterceptor ClassLoader Security Bypass (CVE-2014-0094,CVE-2014-0112,CVE-2014-0113,CVE-2014-0114)– Μια ευπάθεια παράκαμψης ασφαλείας υπάρχει στον Apache Struts. Η ευπάθεια οφείλεται στην ανεπαρκή επικύρωση των δεδομένων που επεξεργάζεται ο ParametersInterceptor, επιτρέποντας τη χειραγώγηση του ClassLoader. Ένας απομακρυσμένος επιτιθέμενος θα μπορούσε να εκμεταλλευτεί αυτή την ευπάθεια παρέχοντας μια παράμετρο κλάσης σε μια αίτηση.

Top κακόβουλα προγράμματα για κινητά τηλέφωνα

Αυτόν τον μήνα το AlienBot είναι το πιο διαδεδομένο κακόβουλο λογισμικό για κινητά, ακολουθούμενο από τα FluBot και xHelper.

1. AlienBot – Η οικογένεια κακόβουλου λογισμικού AlienBot είναι ένα Malware-as-a-Service (MaaS) για συσκευές Android που επιτρέπει σε έναν απομακρυσμένο εισβολέα, σε πρώτο στάδιο, να εισάγει κακόβουλο κώδικα σε νόμιμες οικονομικές εφαρμογές. Ο επιτιθέμενος αποκτά πρόσβαση στους λογαριασμούς των θυμάτων και τελικά ελέγχει πλήρως τη συσκευή τους.
2. FluBot– Το FluBot είναι ένα κακόβουλο λογισμικό Android που διανέμεται μέσω μηνυμάτων SMS phishing (Smishing), τα οποία τις περισσότερες φορές υποδύονται μάρκες παράδοσης logistics. Μόλις ο χρήστης κάνει κλικ στο σύνδεσμο μέσα στο μήνυμα, ανακατευθύνεται στη λήψη μιας ψεύτικης εφαρμογής που περιέχει το FluBot. Μόλις εγκατασταθεί, το κακόβουλο λογισμικό έχει διάφορες δυνατότητες για τη συλλογή διαπιστευτηρίων και την υποστήριξη της ίδιας της επιχείρησης Smishing, συμπεριλαμβανομένης της μεταφόρτωσης της λίστας επαφών, καθώς και της αποστολής μηνυμάτων SMS σε άλλους τηλεφωνικούς αριθμούς. 
3. xHelper – Μια κακόβουλη εφαρμογή που κυκλοφορεί στη φύση από τον Μάρτιο του 2019 και χρησιμοποιείται για τη λήψη άλλων κακόβουλων εφαρμογών και την εμφάνιση διαφημίσεων. Η εφαρμογή είναι ικανή να κρύβεται από τον χρήστη και να επανεγκαθίσταται σε περίπτωση που έχει απεγκατασταθεί.

Ο Παγκόσμιος Κατάλογος Επίπτωσης Απειλών και ο Χάρτης ThreatCloud της Check Point Software, βασίζονται στο ThreatCloud intelligence της; Εταιρείας, στο μεγαλύτερο δίκτυο συνεργασίας για την καταπολέμηση του κυβερνοεγκλήματος, το οποίο παρέχει δεδομένα για τις απειλές και τις τάσεις που επικρατούν στις επιθέσεις, αξιοποιώντας ένα παγκόσμιο δίκτυο ανιχνευτών απειλών. Η βάση δεδομένων ThreatCloud περιλαμβάνει πάνω από 3 δισεκατομμύρια ιστότοπους και 600 εκατομμύρια αρχεία καθημερινά και εντοπίζει περισσότερες από 250 εκατομμύρια δραστηριότητες malware κάθε μέρα.

Η πλήρης λίστα με τις 10 κορυφαίες οικογένειες κακόβουλου λογισμικού τον Απρίλιο του 2022 βρίσκεται στο blog της Check Point.