Prim Hírek

Az először 2017-ben beazonosított IcedID március hónap során gyorsan terjedt számos spam kampány révén, világszerte a szervezetek 11%-ánál jelent meg. Az egyik széleskörű kampány COVID-19 tematikával vette rá új áldozatait, hogy nyissanak meg egy kártékony e-mail csatolmányt. Ezek nagy része Microsoft Word dokumentum volt, amikben kártékony, az IcedID telepítőjét hordozó makró volt elrejtve. A telepítést követően a trójai felhasználói fiókok adatait, fizetési jogosultságokat, és más érzékeny információkat kísérel meg eltulajdonítani a felhasználó személyi számítógépéről. Az IcedID más kártékony programokat is használ a terjedésre, és a zsaroló programok műveleteinek első fertőzési szakaszaként alkalmazzák.

„Az IcedID néhány éve jelen van már, de széles körben csak az utóbbi időben terjedt el, ami jól mutatja, hogy a cyber bűnözők továbbra is alkalmazkodnak módszereikkel annak érdekében, hogy kihasználják a szervezeteket, miközben a pandémia álarca mögé bújnak,” - mondta Maya Horowitz, a Check Point Threat Intelligence & Research, Products igazgatója. „Az IcedID egy különösen hatékonyan megbúvó trójai, mely különböző technikákat használ a pénzügyi adatok ellopására, ezért a szervezeteknek robusztus biztonsági rendszerekkel kell bírniuk ahhoz, hogy megvédjék hálózataikat és minimalizálják a kockázati tényezőket. Az alkalmazottak átfogó képzése alapvető annak érdekében, hogy fel legyenek vértezve mindazon készségekkel, melyekre szükség van az IcedID-t és más kártékony programokat terjesztő e-mail típusok beazonosításához.”

A Check Point Research arra is felhívta a figyelmet, hogy a „HTTP Headers Remote Code Execution (CVE-2020-13756)” a leggyakrabban kihasznált sérülékenység, világszerte a szervezetek 45%-ánál jelent meg. Ezt követi a „MVPower DVR Remote Code Execution”, mely a szervezetek 44%-ánál bukkant fel. Harmadik helyen áll a „Dasan GPON Router Authentication Bypass (CVE-2018-10561)”, globális hatása 44%.

2021. március top három kártékony programcsaládja:

*A nyilak a helyezés előző hónaphoz képesti változását jelzik.

A hónap során a Dridex az első helyre került, világszerte a szervezetek 16%-ánál volt jelen, ezt követi szorosan az IcedID és a Lokibot, előbbi a szerveztek 11%-ánál, utóbbi a 9%-ánál jelent meg.

1. ↑ Driex – Windows platformot támadó banki trójai, mely a jelentések szerint spam e-mailek csatolmányaként terjedve töltődik le. A Dridex kapcsolatba lép egy távoli szerverrel, ahova információkat küld a fertőzött rendszerről, de további modulokat is le tud tölteni és működtetni tud a távoli irányításhoz.

2. ↑ IcedID – Banki trójai, mely e-mail spam kampányokkal terjed, rejtőzködő technikákat alkalmazva, mint a folyamat-injektálás és a sztegonográfia, lopja el a felhasználó pénzügyi adatait. 

3. ↑ Lokibot – Főként adathalász e-mailekkel terjedő információ tolvaj, melyet különböző adatok, mint e-mail információk, vagy CryptoCoin tárca és FTP szerver jelszavak eltulajdonítására használnak.

2021. március top három sérülékenysége:

Ebben a hónapban a „HTTP Headers Remote Code Execution (CVE-2020-13756)” volt a leggyakrabban kihasznált sérülékenység, mely világszerte a vállalatok 45%-ánál jelent meg. Ezt követi a „MVPower DVR Remote Code Execution”, mely a szervezetek 44%-ánál bukkant fel. Harmadik helyen áll a „Dasan GPON Router Authentication Bypass (CVE-2018-10561)”, globális hatása 44%.

1. ↑ HTTP Headers Remote Code Execution (CVE-2020-13756) – A HTTP fejléceken keresztül a kliens és a szerver HTTP kéréssel kiegészítő információkat továbbít. A távoli támadó kihasználhatja a sérülékeny HTTP fejlécet és önkényes kódot futtathat az áldozat gépén.

2. ↑ MVPower DVR Remote Code Execution – Távoli kódfuttatást lehetővé tévő sérülékenység az MVPower DVR eszközükön. A támadó ezen sérülékenység kihasználásával tetszőleges kódot tud futtatni a megtámadott routeren egy ravasz megkeresésen keresztül.

3. ↑ Dasan GPON Router Authentication Bypass (CVE-2018-10561) – A Dasan GPOR routerek jogosulatlansággal összefüggő sérülékenysége. A sikeres kihasználása esetébe a távoli támadók érzékeny információkhoz férhetnek hozzá és jogosulatlanul hozzáférhetnek az érintett rendszerhez.

2021. február top három rosszindulatú mobil családja:

Ebben a hónapban a Hiddad maradt a legelterjedtebb program, őt követte az xHelper és a FurBall. 

1. Hiddad. Az Android alapú kártevő program újracsomagolja a legitim alkalmazásokat, majd egy harmadik fél áruházában helyezi el. Fő funkciója a hirdetések megjelenítése, de képes hozzáférést szerezni az operációs rendszer kulcsfontosságú biztonsági részleteihez is.

2. xHelper. A 2019 márciusában felbukkant alkalmazást más kártevő alkalmazások letöltésére és hirdetések megjelenítésére használják. Képes elrejtőzni a felhasználó elől és újratelepíteni önmagát még akkor is, ha törlik.

3. FurBall. Android MRAT (Mobile Remote Acces Trojan), melyet az APT-C-50, az iráni kormányhoz köthető APT-csoport alkalmaz. 2017-ben számos kampányban használták ezt a kártékony programot, és még most is aktív. A FurBall tud többek között SMS üzeneteket, hívásnaplókat, hang- és hívásfelvételeket, média file-okat, helymeghatározási információkat lopni.

A Check Point Global Threat Impact Index és a ThreatCloud Map alapja a Check Point ThreatCloudTM intelligence, a legnagyobb, a cyber bűnözéssel szemben harcoló, kollaboráción alapuló hálózat, mely fenyegetésekkel kapcsolatos adatokat és támadási trendekkel kapcsolatos információkat szolgáltat a szenzorok globális hálózata számára. A ThreatCloud adatbázis naponta több mint 3 milliárd weboldalt és 600 millió file-t ellenőriz; 250 milliónál is több kártékony tevékenységet azonosít be minden egyes nap.

A kártékony programcsaládok teljes 2021. márciusi Top 10 listája megtalálható a Check Point Blogon.