Prim Hírek

A Trickbot egy botnet és banki trójai program, amely pénzügyi adatokat, felhasználói fiók adatokat és személyes információkat tud ellopni, illetve a hálózaton elterjedve zsaroló programot tud elhelyezni. Az elmúlt hónapban arról számolt be a CPR, hogy 12 hónap alatt 93%-kal nőtt a zsaroló programokat használó támadások heti átlagszáma, ugyanakkor arra is felhívták a figyelmet, hogy bizonyos zsaroló támadások nem zsaroló programokkal indulnak. Például, a Ryuk zsaroló program támadásokban az Emotet nevű kártékony programot használták a hálózatba való bejutáshoz, amit azután a Trickbot fertőzött meg, mielőtt a zsaroló program titkosította volna az adatokat. 

Az Emotet botnet januári megállítása óta a Trickbot trójai és botnet vált közkedvelté. Az utóbbi időben egy új zsaroló programtörzs, a ’Diavol’ kapcsán is előkerült a neve. A Trickbotot folyamatosan új képességekkel, tulajdonságokkal és terjesztési vektorokkal frissítik, ami rugalmas és testre szabható kártékony programmá teszi, és így többcélú kampányok részeként is terjeszthető.

„Az olyan jól ismert zsaroló program csoportok, mint a Ryuk és a REvil a fertőzés kezdeti szakaszaiban különböző kártékony programokra alapoznak, melyek között a június hónap vezető kártékony programja, a Trickbot kulcsfontosságú,” - mondta Maya Horowitz, a Check Point Threat Intelligence & Research, Products igazgatója. „A szervezeteknek fokozottan ismerniük kell a kockázatokat, és gondoskodniuk kell arról, hogy megfelelő megoldásokkal rendelkezzenek. A Trickbot botnet és banki trójai mellett a június havi lista a különböző kártékony programok széles körét tartalmazza, köztük botneteket, információ tolvajokat, ’hátsó ajtókat’, RAT-okat és mobilokat. Különösen fontos a szervezetek számára, hogy a megfelelő technolóigával rendelkezzenek a fenyegetések ilyen széles körével szemben. Amennyiben ez megoldott, a támadások többsége, még az olyan fejlettek is, mint a REvil, a normál üzletmenet megzavarása nélkül kivédhetőek.”

A Check Point Research arra is felhívta a figyelmet, hogy a „HTTP Headers Remote Code Execution” a leggyakrabban kihasznált sérülékenység, világszerte a szervezetek 47%-ánál jelent meg. Ezt követi az „MVPower DVR Remote Code Execution”, mely a szervezetek 45%-ánál bukkant fel. Harmadik helyen áll a „Dasan GPON Router Authentication Bypass”, globális hatása 44%.

2021. június top három kártékony programcsaládja:

*A nyilak a helyezés előző hónaphoz képesti változását jelzik.

A hónap során a Trickbot tartotta első helyét, világszerte a szervezetek 7%-ánál volt jelen, ezt követi az XMRig és a Formbook, mindkettő a szervezetek 3%-ánál jelent meg.

1.↔ Trickbot – Folyamatosan frissített, moduláris botnet és banki trójai. Emiatt rugalmas és testre szabható kártékony program, melyet többcélú kampányok részeként tudnak terjeszteni.

2.↔ XMRig – A még 2017 májusában megjelent XMRig egy nyílt kódú CPU bányász software, melyet a Monero crypto-valuta bányászatára használnak.

3.↔ Formbook – Információ tolvaj, mely a különböző böngészőkből gyűjt be hitelesítő adatokat, képernyőképeket, monitor és billentyűzet-leütés adatokat, és C&C utasításai alapján képes letölteni és végrehajtani utasításokat.

2021. június top három sérülékenysége:

Ebben a hónapban a „HTTP Headers Remote Code Execution” volt a leggyakrabban kihasznált sérülékenység, mely világszerte a vállalatok 48%-ánál jelent meg. Ezt követi az „MVPower DVR Remote Code Execution”, mely a szervezetek 47,5%-ánál bukkant fel. Harmadik helyen áll a „Dasan GPON Router Authentication Bypass”, globális hatása 46%.

1.↑ HTTP Headers Remote Code Execution (CVE-2020-10826, CVE-2020-10827, CVE-2020-10828, CVE-2020-13756) – A HTTP fejléceken keresztül a kliens és a szerver HTTP kéréssel kiegészítő információkat továbbít. A távoli támadó kihasználhatja a sérülékeny HTTP fejlécet és önkényes kódot futtathat az áldozat gépén.

2.↑ MVPower DVR Remote Code Execution – Távoli kódfuttatást lehetővé tévő sérülékenység az MVPower DVR eszközükön. A támadó ezen sérülékenység kihasználásával tetszőleges kódot tud futtatni a megtámadott routeren egy ravasz megkeresésen keresztül.

3.↑ Dasan GPON Router Authentication Bypass (CVE-2018-10561) – A Dasan GPOR routerek jogosulatlansággal összefüggő sérülékenysége. A sikeres kihasználása esetébe a távoli támadók érzékeny információkhoz férhetnek hozzá és jogosulatlanul hozzáférhetnek az érintett rendszerhez.

2021. június top három rosszindulatú mobil családja:

Ebben a hónapban az xHelper a legelterjedtebb program, őt követte a Hiddad és az XLoader. 

1. xHelper. A 2019 márciusában felbukkant alkalmazást más kártevő alkalmazások letöltésére és hirdetések megjelenítésére használják. Képes elrejtőzni a felhasználó elől és újratelepíteni önmagát még akkor is, ha törlik.

2. Hiddad. Az Android alapú kártevő program újracsomagolja a legitim alkalmazásokat, majd egy harmadik fél áruházában helyezi el. Fő funkciója a hirdetések megjelenítése, de képes hozzáférést szerezni az operációs rendszer kulcsfontosságú biztonsági részleteihez is.

3. XLoader – Android spyware és banki trójai program, melyet a Yanbian Gang kínai hacker csoport fejlesztett ki. A kártékony program DNS pózolást használ a fertőzött Android app-ok terjesztéséhez, így gyűjt személyes és pénzügyi információkat.

A Check Point Global Threat Impact Index és a ThreatCloud Map alapja a Check Point ThreatCloudTM intelligence, a legnagyobb, a cyber bűnözéssel szemben harcoló, kollaboráción alapuló hálózat, mely fenyegetésekkel kapcsolatos adatokat és támadási trendekkel kapcsolatos információkat szolgáltat a szenzorok globális hálózata számára. A ThreatCloud adatbázis naponta több mint 3 milliárd weboldalt és 600 millió file-t ellenőriz; 250 milliónál is több kártékony tevékenységet azonosít be minden egyes nap.

A kártékony programcsaládok teljes 2021. júniusi Top 10 listája megtalálható a Check Point Blogon.