Rubrika: Aktuality

Vánoční čas s sebou přináší delší dobu strávenou u počítače nebo telefonu, kde vybíráme a často i online nakupujeme dárky.

Toho si jsou kybernetičtí útočníci velmi dobře vědomi a svou strategii podvodů tomu přizpůsobují. Ve hře jsou například falešné investiční nabídky, nekvalitní produkty či motivace k platbě předem. Společnost ESET proto nabádá k opatrnosti, doporučuje např. stahování aplikací pouze z ověřených zdrojů.

Bezpečnostní specialisté zaznamenali před koncem roku nárůst detekcí u adwaru Pirrit, který je nejčastěji detekovaným škodlivým kódem na platformě macOS v Česku. Počet zachycených případů pak mírně vzrostl i u trojského koně Downloader.Adload, který se v českém prostředí také dlouhodobě objevuje. Opakovaně upozorňují na to, že ačkoli adware není sám o sobě nebezpečným škodlivým kódem, útočníci ho mohou zneužívat jako součást větších útoků a různých podvodů. Apelují tak na uživatele, aby ani tuto hrozbu před koncem roku nepodceňovali. Vyplývá to z pravidelné statistiky kybernetických hrozeb od společnosti ESET.

Před koncem roku je výraznější nárůst hrozeb pro platformu macOS v Česku. Nejčastěji detekovaným škodlivým kódem zůstává adware Pirrit, který se v říjnu objevil téměř ve třetině všech případů. Adware patří mezi škodlivé kódy, které uživatelům zobrazují nevyžádanou agresivní reklamu, v konečném důsledku je ale může odvést na webové stránky, kde mohou narazit na daleko nebezpečnější malware.

„Nárůst detekcí před koncem roku není nic neobvyklého. Kybernetičtí útočníci moc dobře vědí, že v podzimních a zimních měsících trávíme na svých zařízeních daleko víc času, a tomu také přizpůsobují své strategie. Již pár měsíců také pozorujeme, jak zneužívají adware k různým podvodům – setkáváme se s falešnými investičními nabídkami, a to i do kryptoměn, nebo nabídkami nekvalitních produktů či dalších služeb, které mají uživatele motivovat k platbě předem. Opakovaně tak uživatele varujeme, aby byli především v těchto měsících před koncem roku, kdy více nakupujeme a trávíme čas online, opatrní,“ říká Jiří Kropáč, vedoucí virové laboratoře společnosti ESET v Brně.

Nestahujte aplikace z neověřených zdrojů

Za rozšířenost adwaru a za to, že ho útočníci s oblibou využívají ve snaze proniknout k našim financím, může také skutečnost, že si ho do zařízení stahujeme často sami. Útočníci šíří adware jako součást jiných aplikací nebo programů, které mohou být v neoficiálních obchodech s aplikacemi nabízeny zdarma nebo ve výhodných balících s dalším softwarem.

„V říjnu jsme také sledovali pozvolný nárůst detekcí u trojského koně Downloader.Adload, který se snaží uživatele přimět ke stažení dalšího adwaru do zařízení. Útočníci ho velmi často vydávají za populární hry nebo prémiový software, který bude pro uživatele atraktivní a motivovat je ke stažení,“ vysvětluje Kropáč a dodává: „Adload pak v okamžiku, kdy ho stáhneme, do zařízení nainstaluje nějaký další adware, často například v podobě nějaké komponenty nebo doplňku do internetového prohlížeče.“

Adware může zůstat dlouhou dobu v zařízení skrytý a není snadné ho odhalit. Upozorní na sebe většinou až kombinací různých ukazatelů, jako je například výrazný pokles výkonu zařízení, agresivními vyskakovacími okny při prohlížení internetu, která nelze zavřít, nebo právě změnami v nastavení internetového prohlížeče, které ale uživatel neprovedl.

Útočníci zneužívají legitimní online nástroje

Mezi další riziková chování adwaru patří právě jeho vliv a schopnost zneužívat legitimní online nástroje, jako je např. optimalizace pro vyhledávání. Vlivem adwaru mohou útočníci změnit také nastavení internetového prohlížeče uživatele a usnadnit si tak sběr citlivých a soukromých informací.

„Doporučil bych uživatelům, aby ani riziko v podobě adwaru nepodceňovali. I když se nejedná o srovnatelnou hrozbu s ransomwarem nebo infostealery, i jeho chování může významně ohrozit naše osobní a citlivá data nebo naše finance. Zabezpečení svého zařízení přitom můžeme posílit jednoduše my sami tím, že budeme software a všechny aplikace stahovat pouze z App Store,“ radí Kropáč.

Před webovými stránkami, které mohou být zneužity k různým podvodům či k šíření malwaru, a před potenciálně nechtěnými aplikacemi (tzv. PUA) chrání uživatele také spolehlivý bezpečnostní software.

Nejčastější kybernetické hrozby v České republice pro platformu macOS za říjen 2022:

OSX/Adware.Pirrit (31,52 %)

OSX/TrojanDownloader.Adload (8,70 %)

OSX/Adware.MacSearch (5,43 %)

OSX/TrojanProxy.Agent (4,35 %)

OSX/Adware.Bundlore (4,35 %)

Zdroj: TZ; JM

Ve dnech 2. a 3. listopadu 2022 pořádal Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) v Praze a Brně workshop pro budoucí certifikační orgány, zkušební laboratoře a odbornou veřejnost se zájmem o nadcházející evropské schéma certifikace kybernetické bezpečnosti založené na Common Criteria (EUCC).

Cílem setkání bylo vytvořit prostor pro předání vědomostí a zkušeností s budováním, provozem a financováním certifikačního orgánu a zkušební laboratoře v kontextu již zmíněného schématu EUCC.

Mezi účastníky workshopu patřili odborníci z NÚKIB, Českého institutu pro akreditaci, Úřadu pro technickou normalizaci, metrologii a státní zkušebnictví, Cybersecurity Hubu, Elektrotechnického zkušebního ústavu, NAKIT, CERT-ACO a Masarykovy univerzity.

Za NÚKIB přivítal v Praze účastníky náměstek Sekce informační bezpečnosti Martin Smrčka, v Brně pak ředitel Odboru regulace Adam Kučínský. Oba ve svých úvodních projevech zdůraznili potřebu posilovat vědomí o produktové certifikaci kybernetické bezpečnosti v České republice a záruku maximální podpory partnerům v této oblasti ze strany NÚKIB. Pražský dopolední program zahájil Cyber Attaché Adam Botek, v Brně pak Markéta Šilhavá, vedoucí oddělení výzkumu a mezinárodních spoluprací, prezentací návrhu Cyber Resilience Actu, který představuje pro certifikační orgány zajímavou příležitost v oblasti certifikace produktů informačních a komunikačních technologií (ICT).

Na kolegy z NÚKIB navázal přednáškou vedoucí pracovní skupiny agentury ENISA pro EUCC Philippe Blot, ve které se účastníci dozvěděli jak a proč se stát certifikačním orgánem pro schéma EUCC. Dopolední část workshopu završily kolegyně z BSI Klementina Geyer a Yona Raekow prezentací o stávající německé infrastruktuře pro EUCC a metodice provádění auditu a certifikace systému řízení bezpečnosti informací. Odpolední část byla v režii zástupců francouzské zkušební laboratoře Red Alert Labs, kdy Ronald Atoui a Ayman Khalil seznámili účastníky s procesy budování, řízení a financování laboratoře pro potřeby certifikace ICT produktů kybernetické bezpečnosti a také se podělili o velmi cenné zkušenosti s budováním expertního týmu.

Hlavním cílem workshopu bylo, kromě navázání nových kontaktů, otevřít tuzemské odborné veřejnosti a stakeholderům bránu do světa evropských certifikací kybernetické bezpečnosti pro produkty, služby a procesy a vytvořit podpůrnou a komunikační linku pro další budoucí partnery.

Zdroj: nukib.cz; JM

Společnost Avast vydala zprávu o kyberhrozbách za 3. čtvrtletí 2022 na základě svých telemetrických dat a odborných poznatků. Data ukazují na nárůst aktivity adwaru v počítačích na konci září, konkrétně v Česku o 33 %. Podobně rostl i počet útoků vyděračským ransomwarem v zemích, jako je Kanada, Španělsko a Německo, celosvětově se však mírně snížil. Většina škodlivých aktivit zůstala ve 3. čtvrtletí 2022 stabilní nebo poklesla.

„Zajímavým trendem, který jsme v tomto čtvrtletí zaznamenali, bylo, že kybergangy aktivně verbovaly a odměňovaly lidi za podporu jejich trestné činnosti, včetně vylepšování, propagace či distribuce malwaru,“ říká ředitel výzkumu malwaru v Avastu Jakub Křoustek. „Z hlediska útoků jsme na konci 3. čtvrtletí 2022 zaznamenali nárůst adwaru DealPly, masivní nárůst pokusů o infekci pomocí Raccoon Stealeru, zvýšenou aktivitu botnetu MyKings a mírný rozmach nového botnetu Pitraix napsaného v jazyce Go. Celková úroveň útoků zůstala vysoká, ačkoli se zdálo, že kyberzločinci v letních měsících trochu odpočívali.“

Ransomwarové útoky zaměřeny na exfiltraci dat

Riziko, že se uživatelé setkají s ransomwarem, v aktuálním čtvrtletí ve srovnání s tím předchozím vzrostlo například v Kanadě o 16 %. V Německu a Španělsku byla pravděpodobnost, že se uživatelé setkají s ransomwarem, o 12 % vyšší, celosvětově se však hrozba ransomwarových útoků drobně snížila.

„Kmeny ransomwaru stále častěji používají složité metody částečného šifrování, například šifrují pouze začátek nebo konec souboru či bloky souborů, aby zašifrování zrychlily a vyhnuly se odhalení uživatelem,“ vysvětluje Jakub Křoustek. „Ransomwarové gangy nyní navíc exfiltrují data firem, vyhrožují zveřejněním citlivých souborů a pak je místo zašifrování mažou nebo poškozují. Zaznamenali jsme také zajímavé dění okolo ransomwarové skupiny LockBit, která nabízí odměny těm, kdo objeví zranitelnosti nebo dodají skupině nové nápady, nebo to, že si lidé nechají vytetovat jejich logo na tělo. V souvislosti s touto skupinou jsme pozorovali i odvetné akce jejích členů, úniky kódu a také konflikt s bezpečnostní společností Entrust.“

Firmy a státní instituce v hledáčku hackerských a APT skupin

Proruská skupina NoName057(16) se od července do října zaměřila na organizace, jako jsou banky a tiskové agentury, a na státní instituce zemí podporujících Ukrajinu. Skupina používá k odvetným DDoS útokům botnet počítačů infikovaných malwarem Bobik. Podle pozorování Avastu má skupina 40% úspěšnost a přibližně 20 % útoků, k nimž se přihlásila, nelze v jejích konfiguračních souborech dohledat. V srpnu tento gang oznámil nový projekt s názvem DDOSIA a vytvořil novou soukromou skupinu na Telegramu s více než 700 členy. Projekt DDOSIA umožňuje komukoli na internetu stáhnout si binární soubor a provádět DDoS útoky na stránky vybrané NoName057(16). Za to je skupina odměňuje v kryptoměnách.

APT skupina Gamaredon se ve stejném období také zaměřila na Ukrajinu, kde útočila na vojenské a státní instituce a velvyslanectví. Skupina do svých nástrojů přidala nástroje pro exfiltraci souborů, různé droppery a nové způsoby distribuce malwaru a IP adresy C&C serverů.

Známá čínsky mluvící skupina LuckyMouse se zaměřila na několik státních institucí ve Spojených arabských emirátech, na Tchaj-wanu a Filipínách. Avast v infikovaných počítačích nalezl zadní vrátka, nástroje pro krádež hesel z prohlížeče Chrome a nástroje s otevřeným zdrojovým kódem, jako je BadPotato, který se používá ke zvyšování oprávnění. Útočníci pravděpodobně infikovali zařízení prostřednictvím napadeného serveru.

Dalšími skupinami, které výzkumníci Avastu sledují, jsou Donot Team, známý také jako APT-C-35, a Transparent Tribe, známý také jako APT36. Skupina Donot Team byla ve 3. čtvrtletí nejaktivnější v Pákistánu. Avast objevil DLL moduly z rámce malwaru yty na několika infikovaných zařízeních. Pravděpodobně pákistánská skupina Transparent Tribe pokračovala v útocích na oběti v Indii a Afghánistánu a infikovala počítače pomocí spear-phishingu a dokumentů Office se škodlivými VBA makry. Výzkumníci Avastu zjistili, že spustitelné soubory patří ke kmeni CrimsonRAT, což je vlastní malware Transparent Tribe používaný k přístupu do infikovaných sítí.

Nárůst DealPly, Racoon Stealeru a MyKings

DealPly, adware instalovaný jiným malwarem, dosáhl vrcholu na konci letošního září. Tento adware je rozšíření prohlížeče Chrome, které upravuje nové stránky v prohlížeči, nahrazuje nově otevřené karty, čte historii prohlížeče, mění záložky, aplikace, rozšíření a motivy v prohlížeči. To umožňuje kyberzločincům upravovat výsledky vyhledávání a nahrazovat je reklamami, číst hesla a údaje o platebních kartách uložené v prohlížeči a číst, co uživatelé zadávají do formulářů (i to, co vyplnili v minulosti).

Raccoon Stealer, nástroj pro krádež informací, který dokáže krást data i stahovat a spouštět další malware, se v minulém kvartálu vrátil na scénu. Ve 3. čtvrtletí 2022 ochránil Avast před tímto stealerem o 370 % více uživatelů.

„Raccoon Stealer se šíří, když se uživatelé pokoušejí stahovat ‚cracknuté‘ verze softwaru, jako je Adobe Photoshop, Filmora Video Editor či uTorrent Pro,“ vysvětluje Jakub Křoustek. „Lidé při pokusech o stažení podobných souborů často ignorují nebo vypínají antivirové štíty, čímž se vystavují riziku stažení malwaru, jako je Raccoon Stealer. Tento dokáže stahovat další škodlivé programy, a takto se šíří například DealPly. Uživatelé by si proto měli nainstalovat antivirový software a nechat ochranu neustále zapnutou.“

Zatímco aktivita botnetů se ve sledovaném kvartále stabilizovala, aktivita botnetu MyKings se zvýšila. MyKings je botnet zaměřený na krádeže kryptoměn, aktivní od roku 2016.

Mobilní malware

Dominantní hrozbou pro mobilní zařízení zůstává adware, přičemž převažují HiddenAds a FakeAdBlockers. Země, kde Avast chránil uživatele před adwarem nejvíce, byly Brazílie, Indie, Argentina a Mexiko.

Navzdory nedávnému rozbití skupiny Flubot Europolem se celosvětové riziko napadení bankovním trojským koněm zvýšilo ve 3. čtvrtletí o 7 % ve srovnání s 2. čtvrtletím. Bankovní trojské koně se šíří hlavně prostřednictvím SMS phishingu, ale mohou se šířit i prostřednictvím malwarových dropperů.

Na mobilní uživatele i nadále mířily TrojanSMS, neboli podvodné prémiové SMS, přičemž v této kategorii vedou SMSFactory a Darkherring, zatímco UltimaSMS a Grifthorse přestali útočníci užívat. SMSFactory a Darkherring se šíří prostřednictvím vyskakovacích oken, malvertisingu a falešných obchodů s aplikacemi. Naproti tomu UltimaSMS a Grifthorse byly distribuovány v Obchodě Google Play až do té doby, co je společnost Google z obchodu odstranila.

Celou zprávu o hrozbách za 3. čtvrtletí 2022 najdete zde.

Zdroj: TZ; JM