Fortinet: najbardziej dotkliwe cyberataki II kw. 2019 r.

Przeczytaj także: Poznaj najpopularniejsze metody cyberataków na firmy w Polsce

Nowe standardy unikania wykrycia

Obecnie całkiem pokaźna ilość stosowanych przez cyberprzestępców narzędzi malware wyposażona jest w funkcje, które pozwalają uniknąć interakcji z programami ochronnymi i innymi środkami służącymi detekcji cyberataków. Atakujący nie ustają jednak w dążeniach do stosowania coraz to skuteczniejszych sposobów na pozostanie niezauważonymi, stosując w tym celu techniki tzw. zaciemniania kodu i antyanalizy.

Świetnym tego przykładem może być przeprowadzona w Japonii kampania spamowa. Jej twórcy do wiadomości phishingowych dodawali załącznik z uzbrojonym plikiem Excel, w którym kryły się złośliwe makra. Został on zaprojektowany tak, aby mógł wyłączać narzędzia zabezpieczenia, wykonywać dowolne komendy i wywoływać problemy z pamięcią zaatakowanych urządzeń. Zagrożenie było skuteczne jedynie w stosunku do japońskich urządzeń.

Za kolejny przykład skutecznej antydetekcji może posłużyć jedna z wersji trojana bankowego Dridex, który przy każdym logowaniu użytkownika zmieniał nazwy i hashe plików, utrudniając odnalezienie złośliwego oprogramowania w zainfekowanym systemie.

– Coraz powszechniejsze wykorzystywanie antyanalizy i praktyk unikania detekcji przypomina o potrzebie korzystania z ochrony wielowarstwowej i behawioralnego wykrywania zagrożeń – mówi Jolanta Malak, dyrektor polskiego oddziału firmy Fortinet.

Długoterminowa strategia ukrytych cyberataków

Złośliwe oprogramowanie Zegost było zastosowane w kampanii spearphishingowej, która wykorzystywała kilka ciekawych technik. Tak jak w przypadku innych rodzajów oprogramowania typu infostealer, głównym celem Zegosta jest zbieranie i potajemne wydobywanie informacji o urządzeniu ofiary. Wyróżnia go jednak unikalna konfiguracja, która ma chronić przed wykryciem. Zegost wyposażony jest np. w funkcję czyszczenia zapisów zdarzeń, co nie jest zazwyczaj charakterystyczną cechą złośliwego oprogramowania. Kolejną ciekawą funkcją wyróżniającą Zegosta jest komenda, która utrzymywała go w uśpieniu przed 14 lutego 2019. Dopiero po tej dacie rozpoczął się cykl infekowania.

Osoby odpowiedzialne za rozpowszechnianie Zegosta wykorzystują cały arsenał eksploitów, a więc luk w zabezpieczeniach, aby nawiązać i utrzymać połączenie z ofiarą. Dlatego jest to o wiele bardziej długoterminowe zagrożenie w porównaniu z innymi odpowiednikami tego oprogramowania.

Ukierunkowane ataki ransomware

Popularność ransomware’u nie zanika – oprogramowanie to stanowi poważne zagrożenie, czego dowodzą liczne cyberataki na infrastruktury miejskie czy lokalne jednostki samorządowe. Przestępcy korzystający z ransomware odchodzą od strategii szeroko zakrojonych kampanii celujących w przypadkowe ofiary, a skupiają się na ukierunkowanych cyberatakach na ofiary mające możliwości lub powody, aby zapłacić okup. W niektórych przypadkach cyberprzestępcy przeprowadzali dokładny rekonesans przed skierowaniem ransomware’u na starannie dobrane systemy, aby zwiększyć szansę powodzenia ataku.

Dla przykładu ransomware o nazwie RobbinHood zaprojektowano w taki sposób, aby atakował infrastrukturę sieci przedsiębiorstwa. Oprogramowanie było w stanie wyłączać usługi Windows chroniące przed szyfrowaniem danych oraz przerywać połączenie ze współużywanymi dyskami.

Istnieje też nowszy ransomware, Sodinokibi, który pod względem funkcjonalności nie różni się znacznie od innych dostępnych narzędzi. Stwarza jednak problem, ponieważ wykorzystuje nową podatność – umożliwia uruchamianie dowolnych skryptów bez konieczności interakcji z użytkownikiem, w porównaniu np. z ransomware’em dostarczanym przez e-maile phishingowe.

Należy więc pamiętać o tym, jak ważne są regularne aktualizacje i szkolenia na temat bezpieczeństwa. Co więcej, podatności typu RDP (Remote Desktop Protocol), takie jak BlueKeep, wskazują, że zdalny dostęp do usług może stanowić okazję dla cyberprzestępców i być wykorzystany jako wektor cyberataku do rozpowszechniania ransomware’u.

Nowe możliwości w przestrzeni cyfrowej

Jednak domowe drukarki i infrastruktura krytyczna w przedsiębiorstwach to niejedyne cele cyberprzestępców. Pomiędzy nimi „wyrosła” nowa kategoria produktów odpowiedzialnych za kontrolowanie rozwiązań IT w gospodarstwach domowych oraz małych firmach. Tego typu inteligentne systemy nie przyciągają dużej uwagi cyberprzestępców w porównaniu z systemami przemysłowymi, ale wkrótce może się to zmienić. W wyniku niedawnych obserwacji zanotowano zwiększoną liczbę przypadków, gdzie celem cyberataków były urządzenia kontrolujące środowisko, kamery i systemy bezpieczeństwa. Co prawda tylko 1% podmiotów zanotował wykrycie złośliwego oprogramowania atakującego rozwiązania do zarządzania budynkami, ale jest to większy odsetek niż zauważa się zazwyczaj w przypadku rozwiązań typu ICS lub SCADA.

Cyberprzestępcy szukają też nowych sposobów na przejęcie kontroli nad urządzeniami w domach i przedsiębiorstwach. Niekiedy są to urządzenia, na które nie zwraca się uwagi przy tradycyjnym zarządzaniu środowiskiem IT. Należy przykładać szczególną uwagę do ich bezpieczeństwa, zwłaszcza że uzyskanie do nich dostępu przez cyberprzestępców może nieść poważne konsekwencje. Jest to szczególnie ważne w środowisku pracy zdalnej, gdzie bezpieczny dostęp odgrywa kluczową rolę.

Jak chronić swoją firmę: rozległe, zintegrowane i zautomatyzowane zabezpieczenia

Dynamiczna, proaktywna i dostępna w czasie rzeczywistym analiza zagrożeń może pomóc w przedstawieniu ewolucji metod cyberataków, a także rozpoznawaniu trendów i wskazywaniu priorytetów higieny cyberbezpieczeństwa,. Reagowanie na informacje o zagrożeniach traci na wartości, jeśli takie działania nie odbywają się w czasie rzeczywistym na każdym urządzeniu. Tylko działające w szerokiej skali, zautomatyzowane i zintegrowane rozwiązania zabezpieczające mogą zapewnić szybką i rozległą ochronę całemu środowisku sieci, od IoT po brzeg sieci, jej rdzeń oraz systemy wielochmurowe.

Informacje o raporcie i indeksie
Najnowszy „Threat Landscape Report” firmy Fortinet to regularny przegląd informacji zebranych w drugim kwartale 2019 r. przez FortiGuard Labs dzięki sieci sensorów rozlokowanych na całym świecie. Raport obejmuje również indeks krajobrazu zagrożeń (Threat Landscape Index) złożony ze wskaźników dotyczących jego trzech głównych obszarów (exploitów, złośliwego oprogramowania i botnetów) oraz prezentujący ich rozpowszechnienie i częstotliwość występowania w danym kwartale.