Команда исследователей Check Point Research, подразделения Check Point Software Technologies, поставщика решений в области кибербезопасности, представила отчет Global Threat Index о самых активных угрозах в мае 2021 г. CPR сообщает, что Trickbot, который впервые вошел в топ-лист в апреле 2019 г., теперь занял первое место, а Dridex (который был одной из самых популярных вредоносных программ в последние месяцы на фоне глобального всплеска программ-вымогателей), вышел из рейтинга. В России первое место занимает банковский троян Qbot – Trickbot сейчас на втором месте.
Пока не известно, почему Dridex не вошел в топ, но недавно были новости, что хакерская группировка Evil Corp (которая широко известна приверженностью Dridex), изменила свой подход к атакам, чтобы уклониться от преследования министерства финансов США.
Первое место в майском рейтинге занимает Trickbot — ботнет и банковский троян, который может красть финансовые и учетные данные, личную информацию. Он также способен распространять программы-вымогатели, например, Ryuk. Trickbot постоянно дополняется новыми возможностями, функциями и векторами распространения. Это гибкое и настраиваемое вредоносное ПО, которое может распространяться в рамках многоцелевых кампаний. Trickbot стал особенно популярным после ликвидации ботнета Emotet в январе и попал в заголовки новостей на прошлой неделе, когда Министерство юстиции США предъявило обвинение гражданке Латвии за ее роль в создании и распространении Trickbot.
С начала 2021 г. команда CPR наблюдает значительный рост кибератак на предприятия. По сравнению с маем 2020 г. количество кибератак в Северной и Южной Америке увеличилось на 70%, в регионе EMEA — на 97%, а в Азиатско-Тихоокеанском регионе — ошеломляющее увеличение на 168% в годовом исчислении.
«Мы наблюдаем огромный рост числа кибератак, как в мире, так и в России. Это серьезная и очень тревожная тенденция, — сказал Василий Дягилев, глава представительства Check Point Software Technologies в России и СНГ. — Сейчас мы видим, что российские компании подвергаются серьезным атакам банковских троянов, например, таких как Trickbot и Qbot. Это одни из самых опасных угроз как в России, так и по всему миру. Они могут похищать платежные и учетные данные жертв, а также денежные средства с банковских счетов. Их атаки очень успешны, потому что они могут обходить механизмы защиты – например, двухфакторную аутентификацию. Часто для незаметной загрузки вредоносного ПО злоумышленники используют дропперы — программы, которые сами по себе не содержат вредоносный код и поэтому остаются незаметными для традиционных систем безопасности. Организации должны знать о рисках и заботиться о надежных решениях. Важно помнить, что лучше всего не обнаружить вовремя атаку, а предотвратить ее. При наличии правильных технологий большинство атак (и нулевого дня, и просто очень сложных) можно предотвратить, не нарушая бизнес-процессы».
Самое активное вредоносное ПО в мае 2021 в России: Qbot — банковский троян. Впервые появился в 2008 г., был предназначен для кражи банковских учетных данных и данных от нажатий клавиш у пользователей. Qbot часто распространяется через спам и использует несколько методов защиты от виртуальных машин и песочниц, чтобы затруднить анализ и уклониться от обнаружения. Затронул 21,5% организаций; Trickbot — один из доминирующих банковских троянов, который постоянно дополняется новыми возможностями, функциями и векторами распространения. Trickbot – гибкое и настраиваемое вредоносное ПО, которое может распространяться в рамках многоцелевых кампаний. Затронул 12% организаций; XMRig — программное обеспечение с открытым исходным кодом, впервые обнаруженное в мае 2017 г. Используется для майнинга криптовалюты Monero. Затронул 9% организаций.
Самое активное вредоносное ПО в мае 2021 в мире: в мае Trickbot стал самым популярным вредоносным ПО, атаковав 8% организаций по всему. За ним следуют XMRig и FormBook, затронувшие по 3% организаций каждый; Trickbot — один из доминирующих банковских троянов, который постоянно дополняется новыми возможностями, функциями и векторами распространения. Trickbot – гибкое и настраиваемое вредоносное ПО, которое может распространяться в рамках многоцелевых кампаний; XMRig — программное обеспечение с открытым исходным кодом, впервые обнаруженное в мае 2017 г. Используется для майнинга криптовалюты Monero; FormBook — впервые обнаружен в 2016 г. Это инфостилер, предназначенный для ОС Windows. На подпольных хакерских форумах он позиционируется как MaaS из-за его развитых методов уклонения и относительно низкой цены. FormBook собирает учетные данные из различных веб-браузеров, делает снимки экрана, отслеживает и регистрирует на нажатие клавиш, а также может загружать и выполнять файлы в соответствии с приказами своего командного сервера.
Самые распространенные уязвимости в мае 2021 в мире: в этом месяце «Раскрытие информации в хранилище Git на веб-сервере» стала самой эксплуатируемой уязвимостью, затрагивающей 48% организаций во всем мире. На втором и третьем месте «Удаленное выполнение кода в заголовках HTTP (CVE-2020-13756)» и «Удаленное выполнение кода MVPower DVR» с охватом 47,5% и 46% соответственно.
Раскрытие информации в хранилище Git на веб-сервере — уязвимость в Git-репозитории, которая способствует непреднамеренному раскрытию информации учетной записи.
Удаленное выполнение кода в заголовках HTTP (CVE-2020-13756) — заголовки HTTP позволяют клиенту и серверу передавать дополнительную информацию с помощью HTTP-запроса. Злоумышленник может использовать уязвимый заголовок HTTP для запуска произвольного кода на устройстве жертвы.
Удаленное выполнение кода MVPower DVR — в устройствах MVPower DVR существует уязвимость удаленного выполнения кода. Злоумышленник может использовать ее для выполнения произвольного кода в уязвимом маршрутизаторе с помощью специально созданного запроса.
Самые активные мобильные угрозы в мае 2021: в этом месяце xHelper стал самым популярным вредоносным ПО для мобильных устройств. За ним следуют Triada и Hiddad.
xHelper — вредоносное приложение для Android, активно с марта 2019 г., используется для загрузки других вредоносных приложений и отображения рекламы. Приложение способно скрываться от пользовательских и мобильных антивирусных программ и переустанавливаться, если пользователь удаляет его.
Triada –– модульный бэкдор для Android, предоставляющий права суперпользователя для загруженного вредоносного ПО.
Hiddad — модульный бэкдор для Android, который предоставляет права суперпользователя для загруженного вредоносного ПО, а также помогает внедрить его в системные процессы. Он может получить доступ к ключевым деталям безопасности, встроенным в ОС, что позволяет ему получать конфиденциальные данные пользователя.
Global Threat Impact Index и ThreatCloud Map разработаны ThreatCloud intelligence — совместной сетью по борьбе с киберпреступностью, которая предоставляет данные об угрозах и тенденциях атак из глобальной сети датчиков угроз. База данных ThreatCloud ежедневно проверяет более 3 млрд веб-сайтов, 600 млн файлов и выявляет более 250 млн вредоносных программ каждый день.
