Praha 16. prosince 2016 – Bezpečnostní tým Talos společnosti Cisco varuje před novou kampaní počítačových vyděračů. Kampaň, která začala pravděpodobně 24. listopadu, využívá nevyžádanou poštu k šíření vyděračského softwaru Cerber 5.0.1. (TZ)
Provedení útoku je poměrně jednoduché – v nevyžádané poště obdrží oběť jednoduchý odkaz, který využívá přesměrování Google a anonymizační služby Tor. Klikem na odkaz dojde ke stažení infikovaného dokumentu v MS Word. Po rozkliknutí odkazu v něm jsou data oběti zašifrována. Za jednoduchým postupem se však skrývá pokročilé maskování útočníka. Ransomware kampaně vždy využívaly Tor, avšak vůbec poprvé se setkáváme s tím, že Tor slouží k hostingu nakaženého dokumentu i spouštěného souboru. Tento postup znamená, že je mnohem obtížnější odstavit servery, které hostí škodlivý obsah. Nová verze ransomwaru Cerber po obětech nejčastěji vyžaduje platbu v hodnotě téměř 1,4 bitcoinů, tedy zhruba 1000 dolarů. V případě, že částku uživatel neuhradí do 5 dnů, hrozí útočníci zdvojnásobením požadované částky
Nejnovější distribuční kampaň ukazuje, že se útoky počítačových vyděračů neustále vyvíjí. Kyberzločinci využívají stále pokročilejší metody k infikování napadených systémů a zároveň skrývání škodlivé aktivity před odhalením a analýzou. V tomto případě se setkáváme s případem, kdy s využitím systému Tor distribuují nakažený dokument (ve Wordu) i spouštěný soubor.
Nový útok se od jiných vyděračských kampaní liší navenek svojí relativní jednoduchostí – nevyužívá profesionálně vytvořené podvodné e-maily a pokročilé skriptovací techniky ke skryté instalaci vyděračského softwaru. Zprávy naopak působí velmi neprofesionálně, jsou stručné a bez příloh. Zdánlivou legitimitu jim dodává jméno adresáta v předmětu, jehož se snaží přimět ke kliknutí na odkaz v těle zprávy.
Z hlediska technického provedení útoku se však jedná o nový přístup založený na anonymizační službě Tor k zamaskování aktivity a znemožnění vysledování serverů, na nichž je škodlivý software uložen. K němu se uživatel dostane právě kliknutím na odkaz, který zneužívá přesměrování Google. Užití domény „onion.to“ v prvotním přesměrování umožňuje útočníkům využít proxy službu Tor2Web k přístupu ke zdrojům v síti Tor bez nutnosti instalace klienta Tor do napadeného systému. Systém oběti pouze stáhne speciálně upravený dokument MS Word, který po otevření (za předpokladu, že má uživatel povolená makra) do počítače stáhne a spustí samotný vyděračský software Cerber.
Tor je užitečný nástroj k anonymnímu procházení internetu, avšak často zneužívaný útočníky k distribuci škodlivého obsahu. Bezpečnostní experti týmu Talos však doporučují administrátorům zvážit, zda přínos možnosti využití anonymizační služby převažuje případná rizika, protože zablokování provozu se sítí Tor a proxy Tor2Web by popisovanou hrozbu eliminovalo.
Další podrobnosti (anglicky): http://blog.talosintel.com/2016/11/cerber-spam-tor.html
Video s ukázkou útoku ransomwaru Cerber: https://www.youtube.com/watch?v=6OnR62zo_0Q
O Cisco Systems
Cisco, (NASDAQ: CSCO) je celosvětovým technologickým lídrem, který již od roku 1984 pomáhá tomu, aby fungoval internet. Naši zaměstnanci, produkty a partneři pomáhají lidem navazovat bezpečná spojení a již dnes využívat digitální příležitosti zítřka. Další informace naleznete na newsroom.cisco.com nebo nás sledujte na Twitteru na @Cisco.