České i světové organizace čelí nejčastěji útokům malwaru Emotet

PRAHA – 17. ledna 2021 — Check Point Research, výzkumný tým společnosti Check Point® Software Technologies Ltd. (NASDAQ: CHKP), předního světového poskytovatele kyberbezpečnostních řešení, zveřejnil Celosvětový index dopadu hrozeb. Výzkumný tým varuje před nárůstem útoků trojanu Emotet, který po měsíční odmlce znovu tvrdě udeřil. Dopad měl na 7 % světových organizací a dokonce na 21 % českých společností. Emotet využíval v prosinci spamové kampaně, které během svátků cílily na více než 100 000 uživatelů denně.

Vydán byl i žebříček zemí, které jsou nejčastěji terčem kyberútoků. Česká republika se lehce posunula mezi méně bezpečné země, o 4 místa na 50. příčku. Slovensku patřila v prosinci 78. pozice. Na prvním místě v Indexu hrozeb skončil nově Bhútán. Mezi méně bezpečné země se nejvýrazněji posunul Uzbekistán, který poskočil o 46 příček až na 15. pozici. Opačným směrem se nejvíce posunula Uruguay, které v listopadu patřila 33. pozice a v prosinci 84.

V září a říjnu 2020 byl Emotet na čele Indexu hrozeb a byl spojován s vlnou ransomwarových útoků. V listopadu klesl až na 5. místo, pravděpodobně v důsledku aktualizace a rozšíření o nové škodlivé schopnosti. Emotet se nyní také umí ještě lépe vyhnout odhalení. Spamové kampaně šířící Emotet využívají vložené odkazy, škodlivé dokumenty i heslem chráněné soubory ZIP.

Emotet byl poprvé odhalen v roce 2014 a pravidelně byl aktualizován a vylepšován. Ministerstvo vnitřní bezpečnosti USA odhaduje, že každý incident zahrnující Emotet stojí organizace při nápravě škod až 1 milion dolarů.

„Emotet byl původně vytvořen jako bankovní malware, který nepozorovaně krade z počítačů obětí citlivé informace. Postupně se ale vyvinul a nyní je považován za jednu z nejnebezpečnějších a nejničivějších malwarových variant,“ říká Peter Kovalčík, Regional Director, Security Engineering EE v kyberbezpečnostní společnosti Check Point. „Organizace musí brát hrozbu vážně. Kromě nasazení robustních bezpečnostních systémů je potřeba také vzdělávat zaměstnance, aby poznali škodlivé e-maily, které šíří Emotet.“

Top 3 – malware:

Emotet se po listopadovém překvapivém pádu znovu vrátil do čela žebříčku nejčastěji použitých škodlivých kódů k útokům na podnikové sítě s globálním dopadem na 7 % organizací. Následovaly škodlivé kódy Trickbot a FormBook, které ovlivnily shodně 4 % společností.

  1. ↑ Emotet – Pokročilý, modulární trojan, který se sám umí šířit. Emotet byl využíván jako bankovní trojan a také pro šíření dalších malwarů a škodlivých kampaní. Používá řadu metod a technik, aby nebyl odhalen. Navíc může být šířen prostřednictvím spamu, který obsahuje škodlivé přílohy nebo odkazy.
  2. ↑ Trickbot – Trickbot je bankovní trojan, který je neustále vylepšován, takže je flexibilní a lze využít jako součást víceúčelových kampaní.
  3. ↑ FormBook – FormBook shromažďuje přihlašovací údaje z různých webových prohlížečů, vytváří snímky obrazovky, monitoruje a zaznamenává stisknuté klávesy a může stahovat a spouštět soubory na základě pokynů z C&C serveru

Top 3 – mobilní malware:

Škodlivým kódům, nejčastěji použitým k útokům na podniková mobilní zařízení, vládl nadále Android malware Hiddad. Na druhé příčce zůstal xHelper a na třetí místo se posunul modulární backdoor Triada.

  1. ↔ Hiddad – Android malware, který přebaluje legitimní aplikace a pak je umísťuje do obchodů třetích stran. Jeho hlavní funkcí je zobrazování reklam, ale může také získat přístup ke klíčovým bezpečnostním informacím obsaženým v operačním systému, což umožňuje útočníkovi získat citlivá uživatelská data.
  2. ↔ xHelper – Škodlivá aplikace pro Android, která byla poprvé detekována v březnu 2019. Používá se ke stahování dalších škodlivých aplikací a zobrazování reklam. Aplikace je schopna skrýt se před uživatelem a mobilními antivirovými programy a znovu se nainstalovat, pokud ji uživatel odinstaluje.
  3. ↑ Triada – Modulární backdoor pro Android, který uděluje superuživatelské oprávnění pro stažení malwaru a pomáhá jej vložit do systémových procesů.

Top 3 – zranitelnosti:

Check Point analyzoval také nejčastěji zneužívané zranitelnosti. Kyberzločinci se pro útoky na podnikové sítě snažili zneužívat především zranitelnost „MVPower DVR Remote Code Execution“ s dopadem na 42 % organizací. Na druhé místo klesla zranitelnost „HTTP Headers Remote Code Execution (CVE-2020-13756)“ se shodným dopadem na 42 % společností a Top 3 uzavírá zranitelnost „Web Server Exposed Git Repository Information Disclosure“ s dopaden na 41 % organizací.

  1. ↑ MVPower DVR Remote Code Execution – Zranitelnost, umožňující vzdálené spuštění kódu, byla objevena v zařízeních MVPower DVR. Útočníci mohou vzdáleně zneužít slabinu a spustit libovolný kód v daném routeru prostřednictvím speciálně vytvořeného požadavku.
  2. ↓ HTTP Headers Remote Code Execution (CVE-2020-13756) – Vzdálený útočník může zneužít zranitelnou HTTP hlavičku ke spuštění libovolného kódu na počítači oběti.
  3. ↑ Web Server Exposed Git Repository Information Disclosure – Úspěšné zneužití této zranitelnosti by mohlo umožnit neúmyslné zveřejnění informací o účtu.

Check Point analyzoval i malware útočící na podnikové sítě v České republice. I zde dominoval po listopadovém poklesu Emotet. Zajímavostí je, že na čele českého žebříčku jsou i některé malwarové rodiny, které ve světě nemají tak výrazný dopad. Qbot měl v prosinci dopad na 11,55 % českých organizací, přitom v listopadu to bylo jen 1,54 % %. Dridex je dlouhodobě oblíbeným škodlivým kódem používaným k útokům na české organizace, podobně jako RigEK, který oproti listopadu zaznamenal téměř 3,5násobný růst.

Top malwarové rodiny v České republice – prosinec 2020
Malwarová rodinaPopisDopad ve světěDopad v ČR
EmotetEmotet je pokročilý modulární trojan, který se může sám šířit. Emotet byl využíván jako bankovní trojan a nyní se používá především pro šíření dalšího malwaru a škodlivých kampaní.  Šířit se může i prostřednictvím phishingových e-mailů se škodlivou přílohou nebo odkazem a využívá řadu technik, jak se vyhnout detekci.7,01 %21,45 %
QbotQbot je backdoor patřící do rodiny Qakbot. Je schopen stáhnout další malware a také vytváří spojení se vzdáleným HTTP serverem bez souhlasu uživatele a může ukrást důležité informace.2,71 %11,55 %
DridexBankovní trojan, který cílí na platformu Windows a šíří se prostřednictvím spamových kampaní a exploit kitů, které využívají techniku WebInjects k zachycení a přesměrování bankovních přihlašovacích údajů na server ovládaný útočníkem. Dridex kontaktuje vzdálený server, odesílá informace o infikovaném systému a může také stahovat a spouštět další moduly pro vzdálené ovládání.4,06 %8,58 %
RigEKRigEK byl poprvé použitý v roce 2014. Od té doby získal řadu velkých updatů a je aktivní dodnes. V roce 2015 došlo v důsledku vnitřního konfliktu mezi jeho operátory k úniku zdrojového kódu. Rig umožňuje zneužít zranitelnosti ve Flashi, Javě, Silverlightu a Internet Exploreru. Infekce začíná přesměrováním na vstupní stránku obsahující JavaScript, který zjistí a umožní zneužití zranitelných plug-inů.1,90 %7,59 %
TrickbotTrickbot je varianta malwaru Dyre, která se poprvé objevila v říjnu 2016. Zaměřuje se především na uživatele bankovních služeb převážně v Austrálii a U.K. a v poslední době také v Indii, Singapuru a Malajsii.4,29 %4,29 %
FormBookFormBook je škodlivý kód, který krade informace a zaměřuje se na operační systém Windows. Poprvé byl detekován v roce 2016 a je prodáván na nelegálních hackerských fórech. I když je jeho cena relativně nízká, má velmi dobré maskovací schopnosti. FormBook shromažďuje přihlašovací údaje z různých webových prohlížečů, vytváří snímky obrazovky, monitoruje a zaznamenává stisknuté klávesy a může stahovat a spouštět soubory na základě pokynů z C&C serveru.4,26 %2,64 %
XMRigXMRig je open-source CPU mining software využívaný pro těžbu kryptoměny Monero. Poprvé byl detekován v květnu 2017.2,93 %2,31 %
TsunamiTsunami je backdoor zaměřený na platformu Linux. Malware Tsunami lze ovládat prostřednictvím IRC kanálu s různými řídicími příkazy. Navíc má schopnost stahovat libovolné soubory a může v infikovaném systému spouštět libovolné shell příkazy. Tato konkrétní varianta byla údajně šířena prostřednictvím zranitelnosti Ruby on Rails, označené jako CVE-2013-0156.1,24 %1,65 %
CpuMiner-MultiCpuMiner-Multi je kryptominer, který zneužívá zařízení oběti a může také špehovat uživatele nebo provádět jiné škodlivé aktivity.0,73 %1,65 %
xHelperŠkodlivá aplikace pro Android, která byla poprvé detekována v březnu 2019. Používá se ke stahování dalších škodlivých aplikací a zobrazování reklam. Aplikace je schopna skrýt se před uživatelem a mobilními antivirovými programy a znovu se nainstalovat, pokud ji uživatel odinstaluje.0,98 %1,65 %
RemcosRemcos je RAT (Remote Access Trojan) poprvé detekovaný v roce 2016. Remcos se šíří sám prostřednictvím škodlivých dokumentů Microsoft Office, které jsou připojeny k e-mailovému spamu, a je navržen tak, aby obešel UAC zabezpečení systému Microsoft Windows a spouštěl malware s vysokými právy.1,01 %1,65 %

Online mapa kybernetických hrozeb ThreatCloud Map sleduje v reálném čase, jak a kde po celém světě probíhají kybernetické útoky. Využívá pro to informací z Check Point ThreatCloud, největší sítě pro spolupráci v boji s kybernetickými hrozbami, a přináší data o hrozbách a trendech z celosvětové globální sítě senzorů. Databáze ThreatCloud analyzuje každý den více než 3 miliardy webových stránek a 600 milionů souborů a každý den identifikuje více než 250 milionů škodlivých aktivit.

Více informací o aktuálních kyberhrozbách a útocích najdete zde: http://www.checkpoint.com/threat-prevention-resources/index.html

Sledujte novinky o bezpečnostním týmu Check Point Research:

Blog: https://research.checkpoint.com/ 

Twitter: https://twitter.com/_cpresearch_ 

Sledujte novinky o společnosti Check Point:
Twitter: http://www.twitter.com/checkpointsw
Facebook: https://www.facebook.com/checkpointsoftware
Blog: http://blog.checkpoint.com 
YouTube: http://www.youtube.com/user/CPGlobal
LinkedIn: https://www.linkedin.com/company/check-point-software-technologies

O výzkumném týmu Check Point Research 

Check Point Research poskytuje zákazníkům společnosti Check Point Software a širší bezpečnostní komunitě detailní informace o kyberhrozbách. Výzkumný tým shromažďuje a analyzuje data o globálních kyberútocích ze sítě ThreatCloud, chrání tak před hackery a zajišťuje, že všechny produkty Check Point jsou aktualizované a mají nejnovější ochranu. Výzkumný tým se skládá z více než 100 analytiků a výzkumných pracovníků, kteří spolupracují také s dalšími bezpečnostními společnostmi, donucovacími orgány a organizacemi CERT.

O společnosti Check Point Software Technologies

Check Point Software Technologies Ltd. (www.checkpoint.com) je přední poskytovatel kyberbezpečnostních řešení pro vlády a organizace po celém světě. Chrání zákazníky před kyberútoky 5. generace prostřednictvím unikátních řešení, která nabízí bezkonkurenční úspěšnost zachycení malwaru, ransomwaru a jiných pokročilých cílených hrozeb. Check Point nabízí víceúrovňovou bezpečnostní architekturu, Infinity Total Protection s pokročilou prevencí hrozeb 5. generace, a tato kombinovaná produktová architektura chrání podnikové sítě, cloudová prostředí a mobilní zařízení. Check Point navíc poskytuje nejkomplexnější a nejintuitivnější nástroje pro správu zabezpečení. Check Point chrání více než 100 000 organizací všech velikostí.