Rubrika: Kyberbezpečnost

Ve dnech 2. a 3. listopadu 2022 pořádal Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) v Praze a Brně workshop pro budoucí certifikační orgány, zkušební laboratoře a odbornou veřejnost se zájmem o nadcházející evropské schéma certifikace kybernetické bezpečnosti založené na Common Criteria (EUCC).

Cílem setkání bylo vytvořit prostor pro předání vědomostí a zkušeností s budováním, provozem a financováním certifikačního orgánu a zkušební laboratoře v kontextu již zmíněného schématu EUCC.

Mezi účastníky workshopu patřili odborníci z NÚKIB, Českého institutu pro akreditaci, Úřadu pro technickou normalizaci, metrologii a státní zkušebnictví, Cybersecurity Hubu, Elektrotechnického zkušebního ústavu, NAKIT, CERT-ACO a Masarykovy univerzity.

Za NÚKIB přivítal v Praze účastníky náměstek Sekce informační bezpečnosti Martin Smrčka, v Brně pak ředitel Odboru regulace Adam Kučínský. Oba ve svých úvodních projevech zdůraznili potřebu posilovat vědomí o produktové certifikaci kybernetické bezpečnosti v České republice a záruku maximální podpory partnerům v této oblasti ze strany NÚKIB. Pražský dopolední program zahájil Cyber Attaché Adam Botek, v Brně pak Markéta Šilhavá, vedoucí oddělení výzkumu a mezinárodních spoluprací, prezentací návrhu Cyber Resilience Actu, který představuje pro certifikační orgány zajímavou příležitost v oblasti certifikace produktů informačních a komunikačních technologií (ICT).

Na kolegy z NÚKIB navázal přednáškou vedoucí pracovní skupiny agentury ENISA pro EUCC Philippe Blot, ve které se účastníci dozvěděli jak a proč se stát certifikačním orgánem pro schéma EUCC. Dopolední část workshopu završily kolegyně z BSI Klementina Geyer a Yona Raekow prezentací o stávající německé infrastruktuře pro EUCC a metodice provádění auditu a certifikace systému řízení bezpečnosti informací. Odpolední část byla v režii zástupců francouzské zkušební laboratoře Red Alert Labs, kdy Ronald Atoui a Ayman Khalil seznámili účastníky s procesy budování, řízení a financování laboratoře pro potřeby certifikace ICT produktů kybernetické bezpečnosti a také se podělili o velmi cenné zkušenosti s budováním expertního týmu.

Hlavním cílem workshopu bylo, kromě navázání nových kontaktů, otevřít tuzemské odborné veřejnosti a stakeholderům bránu do světa evropských certifikací kybernetické bezpečnosti pro produkty, služby a procesy a vytvořit podpůrnou a komunikační linku pro další budoucí partnery.

Zdroj: nukib.cz; JM

Společnost Avast vydala zprávu o kyberhrozbách za 3. čtvrtletí 2022 na základě svých telemetrických dat a odborných poznatků. Data ukazují na nárůst aktivity adwaru v počítačích na konci září, konkrétně v Česku o 33 %. Podobně rostl i počet útoků vyděračským ransomwarem v zemích, jako je Kanada, Španělsko a Německo, celosvětově se však mírně snížil. Většina škodlivých aktivit zůstala ve 3. čtvrtletí 2022 stabilní nebo poklesla.

„Zajímavým trendem, který jsme v tomto čtvrtletí zaznamenali, bylo, že kybergangy aktivně verbovaly a odměňovaly lidi za podporu jejich trestné činnosti, včetně vylepšování, propagace či distribuce malwaru,“ říká ředitel výzkumu malwaru v Avastu Jakub Křoustek. „Z hlediska útoků jsme na konci 3. čtvrtletí 2022 zaznamenali nárůst adwaru DealPly, masivní nárůst pokusů o infekci pomocí Raccoon Stealeru, zvýšenou aktivitu botnetu MyKings a mírný rozmach nového botnetu Pitraix napsaného v jazyce Go. Celková úroveň útoků zůstala vysoká, ačkoli se zdálo, že kyberzločinci v letních měsících trochu odpočívali.“

Ransomwarové útoky zaměřeny na exfiltraci dat

Riziko, že se uživatelé setkají s ransomwarem, v aktuálním čtvrtletí ve srovnání s tím předchozím vzrostlo například v Kanadě o 16 %. V Německu a Španělsku byla pravděpodobnost, že se uživatelé setkají s ransomwarem, o 12 % vyšší, celosvětově se však hrozba ransomwarových útoků drobně snížila.

„Kmeny ransomwaru stále častěji používají složité metody částečného šifrování, například šifrují pouze začátek nebo konec souboru či bloky souborů, aby zašifrování zrychlily a vyhnuly se odhalení uživatelem,“ vysvětluje Jakub Křoustek. „Ransomwarové gangy nyní navíc exfiltrují data firem, vyhrožují zveřejněním citlivých souborů a pak je místo zašifrování mažou nebo poškozují. Zaznamenali jsme také zajímavé dění okolo ransomwarové skupiny LockBit, která nabízí odměny těm, kdo objeví zranitelnosti nebo dodají skupině nové nápady, nebo to, že si lidé nechají vytetovat jejich logo na tělo. V souvislosti s touto skupinou jsme pozorovali i odvetné akce jejích členů, úniky kódu a také konflikt s bezpečnostní společností Entrust.“

Firmy a státní instituce v hledáčku hackerských a APT skupin

Proruská skupina NoName057(16) se od července do října zaměřila na organizace, jako jsou banky a tiskové agentury, a na státní instituce zemí podporujících Ukrajinu. Skupina používá k odvetným DDoS útokům botnet počítačů infikovaných malwarem Bobik. Podle pozorování Avastu má skupina 40% úspěšnost a přibližně 20 % útoků, k nimž se přihlásila, nelze v jejích konfiguračních souborech dohledat. V srpnu tento gang oznámil nový projekt s názvem DDOSIA a vytvořil novou soukromou skupinu na Telegramu s více než 700 členy. Projekt DDOSIA umožňuje komukoli na internetu stáhnout si binární soubor a provádět DDoS útoky na stránky vybrané NoName057(16). Za to je skupina odměňuje v kryptoměnách.

APT skupina Gamaredon se ve stejném období také zaměřila na Ukrajinu, kde útočila na vojenské a státní instituce a velvyslanectví. Skupina do svých nástrojů přidala nástroje pro exfiltraci souborů, různé droppery a nové způsoby distribuce malwaru a IP adresy C&C serverů.

Známá čínsky mluvící skupina LuckyMouse se zaměřila na několik státních institucí ve Spojených arabských emirátech, na Tchaj-wanu a Filipínách. Avast v infikovaných počítačích nalezl zadní vrátka, nástroje pro krádež hesel z prohlížeče Chrome a nástroje s otevřeným zdrojovým kódem, jako je BadPotato, který se používá ke zvyšování oprávnění. Útočníci pravděpodobně infikovali zařízení prostřednictvím napadeného serveru.

Dalšími skupinami, které výzkumníci Avastu sledují, jsou Donot Team, známý také jako APT-C-35, a Transparent Tribe, známý také jako APT36. Skupina Donot Team byla ve 3. čtvrtletí nejaktivnější v Pákistánu. Avast objevil DLL moduly z rámce malwaru yty na několika infikovaných zařízeních. Pravděpodobně pákistánská skupina Transparent Tribe pokračovala v útocích na oběti v Indii a Afghánistánu a infikovala počítače pomocí spear-phishingu a dokumentů Office se škodlivými VBA makry. Výzkumníci Avastu zjistili, že spustitelné soubory patří ke kmeni CrimsonRAT, což je vlastní malware Transparent Tribe používaný k přístupu do infikovaných sítí.

Nárůst DealPly, Racoon Stealeru a MyKings

DealPly, adware instalovaný jiným malwarem, dosáhl vrcholu na konci letošního září. Tento adware je rozšíření prohlížeče Chrome, které upravuje nové stránky v prohlížeči, nahrazuje nově otevřené karty, čte historii prohlížeče, mění záložky, aplikace, rozšíření a motivy v prohlížeči. To umožňuje kyberzločincům upravovat výsledky vyhledávání a nahrazovat je reklamami, číst hesla a údaje o platebních kartách uložené v prohlížeči a číst, co uživatelé zadávají do formulářů (i to, co vyplnili v minulosti).

Raccoon Stealer, nástroj pro krádež informací, který dokáže krást data i stahovat a spouštět další malware, se v minulém kvartálu vrátil na scénu. Ve 3. čtvrtletí 2022 ochránil Avast před tímto stealerem o 370 % více uživatelů.

„Raccoon Stealer se šíří, když se uživatelé pokoušejí stahovat ‚cracknuté‘ verze softwaru, jako je Adobe Photoshop, Filmora Video Editor či uTorrent Pro,“ vysvětluje Jakub Křoustek. „Lidé při pokusech o stažení podobných souborů často ignorují nebo vypínají antivirové štíty, čímž se vystavují riziku stažení malwaru, jako je Raccoon Stealer. Tento dokáže stahovat další škodlivé programy, a takto se šíří například DealPly. Uživatelé by si proto měli nainstalovat antivirový software a nechat ochranu neustále zapnutou.“

Zatímco aktivita botnetů se ve sledovaném kvartále stabilizovala, aktivita botnetu MyKings se zvýšila. MyKings je botnet zaměřený na krádeže kryptoměn, aktivní od roku 2016.

Mobilní malware

Dominantní hrozbou pro mobilní zařízení zůstává adware, přičemž převažují HiddenAds a FakeAdBlockers. Země, kde Avast chránil uživatele před adwarem nejvíce, byly Brazílie, Indie, Argentina a Mexiko.

Navzdory nedávnému rozbití skupiny Flubot Europolem se celosvětové riziko napadení bankovním trojským koněm zvýšilo ve 3. čtvrtletí o 7 % ve srovnání s 2. čtvrtletím. Bankovní trojské koně se šíří hlavně prostřednictvím SMS phishingu, ale mohou se šířit i prostřednictvím malwarových dropperů.

Na mobilní uživatele i nadále mířily TrojanSMS, neboli podvodné prémiové SMS, přičemž v této kategorii vedou SMSFactory a Darkherring, zatímco UltimaSMS a Grifthorse přestali útočníci užívat. SMSFactory a Darkherring se šíří prostřednictvím vyskakovacích oken, malvertisingu a falešných obchodů s aplikacemi. Naproti tomu UltimaSMS a Grifthorse byly distribuovány v Obchodě Google Play až do té doby, co je společnost Google z obchodu odstranila.

Celou zprávu o hrozbách za 3. čtvrtletí 2022 najdete zde.

Zdroj: TZ; JM

Zranitelnosti knihovny OpenSSL ve verzi 3

V úterý 1. listopadu 2022 byla vývojáři vydaná knihovna OpenSSL ve verzi 3.0.7, která opravuje zranitelnosti CVE-2022-3602 a CVE-2022-3786, obě označené na stupnici závažnosti zranitelnosti stupněm Vysoká. Tyto zranitelnosti byly do knihovny začleněny až od verze 3.0.0. Starší a stále velmi rozšířené verze knihovny 1.0 a 1.1 nejsou těmito zranitelnostmi zasaženy.

Obě zranitelnosti byly způsobeny chybnou konverzí e-mailové adresy nacházející se v X.509 certifikátech a týkají se využití knihovny jak na straně serveru, tak na straně klienta. Potenciální útočník tak může pomocí speciálně vytvořeného certifikátu způsobit pád aplikace, a tím odepření služby, ve specifických situacích i vzdálené spuštění kódu.

Původně vývojáři oznámili, že závažnost těchto zranitelností bude označena jako kritická. Díky moderním mitigačním technikám použitým v nových operačních systémech je ale zneužití těchto zranitelností ke vzdálenému spuštění kódu obtížné až nemožné. Zranitelnost byla do kódu začleněna až ve verzi 3.0.0 vydané v roce 2021, a proto se dá předpokládat, že je využívána primárně na operačních systémech, u kterých jsou tyto mitigační techniky aktivní.

Více informací zde.

Zvýšené riziko DDoS útoků

NÚKIB upozorňuje na zvýšené riziko DDoS útoků proti České republice a tuzemským subjektům. V posledním měsíci, mj. v kontextu geopolitické situace ve východní Evropě, eviduje v České republice výrazný nárůst počtu útoků tohoto typu.

Byť mají DDoS útoky obvykle spíše krátkodobý dopad, a to především na fungování webů či služeb na ně navázaných, doporučuje NÚKIB ostražitost a implementaci opatření zmíněných v příloze. Zároveň upozorňuje, že z důvodu DDoS útoků může dojít k dočasným výpadkům systémů, a to včetně kritických služeb (např. portály veřejné správy).

Více informací naleznete na tomto odkazu.

Zdroj: nukib.cz; JM

Ve čtvrtek 3. listopadu 2022 proběhla v pražském Kongresovém centru Prague Cyber Security Conference, největší akce Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB) v rámci českého předsednictví v Radě EU. Konference, která se konala v letošním roce hybridně, navázala na předchozí již tradiční ročníky Prague 5G Security Conference. Celkově se jí zúčastnilo na 500 expertů na kybernetickou bezpečnost z více než 80 zemí světa.

Mezi dvěma desítkami řečníků byli čeští i zahraniční státníci, přední osobnosti EU a NATO či zástupci z Asie. Hlavním tématem diskusí byla bezpečnost dodavatelského řetězce a nových technologií, což je zároveň jednou z priorit českého předsednictví. Akce byla součástí dvoudenní konference EU Secure and Innovative Digital Future, kterou NÚKIB spolupořádal s Ministerstvem průmyslu a obchodu, Úřadem vlády a v koordinaci s Ministerstvem zahraničních věcí.

„Bezpečná digitální budoucnost vyžaduje nejen silnou kybernetickou obranu, ale mnohem víc. Vyžaduje zabezpečenou infrastrukturu, spolehlivé partnery a odolné dodavatelské řetězce. A na tom Evropa pracuje,“ pronesla předsedkyně Evropské komise Ursula von der Leyen ve své řeči při zahájení konference. V podobném duchu se ve svých projevech vyjádřili také premiér České republiky Petr Fiala, estonský ministr podnikání a informačních technologií Kristjan Järvan, australská ministryně vnitra a ministryně pro kybernetickou bezpečnost Clare O’Neil a zástupce generálního tajemníka NATO Mircea Geoană. Mezi řečníky nechyběl ani ředitel NÚKIB Lukáš Kintr, jako hlavní představitel organizátora akce, který mimo jiné ve svém projevu uvedl: „Musíme přehodnotit naše myšlení, ujasnit si naši evropskou strategii a dlouhodobě posílit odolnost naší digitální páteře. Propojená Evropa bude tak bezpečná, jak bezpečné budou technologie, na nichž bude postavena.“

Panelové diskuse se týkaly bezpečnosti dodavatelských řetězců ICT

Na zdravice čestných hostů navázala série 4 diskusních panelů, ve kterých experti z různých částí světa debatovali o bezpečnosti dodavatelských řetězců do informačních a komunikačních technologií (ICT), jejich vývoji, výzvách, důsledcích a řešeních. Panely tak volně navázaly na nedávno přijaté závěry Rady EU, která jednohlasným stanoviskem dala najevo významnost tohoto tématu pro všechny unijní země. Výměna dobrých zkušeností je základem pro zvládnutí výzev, které tato problematika klade před demokratické země. Ruská invaze na Ukrajinu ukázala možné dopady závislosti na nespolehlivém dodavateli, v tomto případě ruském plynu a ropě, který zároveň nesdílí západní hodnoty a zájmy. Vzhledem k závislosti dnešní společnosti na ICT, by v případě podobné krize v tomto odvětví byly důsledky pro naši společnost ještě o mnoho závažnější.

Přednášející i diskutující se shodli, že pro budování odolné a bezpečné infrastruktury postavené na důvěryhodných technologiích je zcela zásadní spolupráce s národními i mezinárodními partnery, stejně jako spolupráce státní, akademické a soukromé sféry. Během diskusních panelů konference dále experti zmínili nutnost rozmanitosti poskytovatelů pro zajištění jejich zcela zásadního spolehlivého a bezpečného fungování, jak pro společnost, tak stát i další regionální aktéry.

První den konference EU Secure and Innovative Digital Future uzavřeli svými proslovy ministr zahraničních věcí České republiky Jan Lipavský a ředitel NÚKIB Lukáš Kintr, který ve své řeči nejen poděkoval účastníkům a organizátorům Prague Cyber Security Conference, ale také zdůraznil nutnost ochrany kritické informační infrastruktury, nezbytnost mezinárodní kooperace a potřebu okamžitého soustředění se na bezpečnost celého ekosystému dodavatelského řetězce ICT.

Proběhla také bilaterální jednání

Podobné události jako pražská konference jsou také příležitostí k formálním a neformálním setkáním, během nichž bývá možné s partnery a spojenci sdílet informace a zkušenosti získané z praxe ve svých zemích. Zástupci NÚKIB v čele s ředitelem úřadu se setkali mimo jiné bilaterálně s delegacemi z Austrálie a Spojených států amerických. Zatímco s australským ministerským radou pro vnitřní záležitosti pro Evropu Jaycobem MacMahonem ředitel Kintr jednal o odolnosti národní infrastruktury a školství, se zástupcem ministerstva vnitřní bezpečnosti USA Irangem Kahangamou diskutovali o společných cvičeních a posílení sdílení informací se Cybersecurity and Infrastructure Security Agency. Pro obě jednání, stejně jako pro celou konferenci, bylo společné téma bezpečnosti dodavatelského řetězce.

Zdroj: nukib.cz; JM

Společnost Microsoft informovala Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) o chybně nakonfigurovaném tzv. endpoint u jejich společnosti.

Tato chybná konfigurace mohla způsobit neověřené přístupy k některým údajům o obchodních transakcích, které odpovídají interakcím mezi společností Microsoft a potenciálními zákazníky, jako je plánování nebo potenciální implementace a poskytování služeb společnosti Microsoft. Nejedná se tedy o data zákazníků, která mají u Microsoftu v cloudových službách uložené. Ve svém vyjádření Microsoft informuje, že po upozornění na chybnou konfiguraci byl endpoint rychle zabezpečen a nyní je přístupný pouze s požadovaným ověřením. Microsoft již přímo informoval všechny zákazníky, jejichž data o obchodních transakcích mohla být předmětem úniku.

NÚKIB na této věci se společností Microsoft nyní intenzivně spolupracuje. Pověřené týmy odborníků zjišťují příčiny celého incidentu i jeho možné dopady, a to jak na běžného uživatele, tak na státní správu a kritickou informační infrastrukturu státu. Cílem je nejen zabránit, aby se podobná chyba opakovala, ale také minimalizovat případné dopady.

„Po nahlášení chybné konfigurace v tzv. endpoint jsme okamžitě zahájili spolupráci s protějšky ve firmě Microsoft. Naše specializované týmy pracují na společné strategii, jak ve věci nyní postupovat. Klademe velký důraz na důkladnou analýzu celého incidentu. Důležité je, že dle dosavadních zjištění nebyla bezprostředně ohrožena bezpečnost státu ani běžných uživatelů,“ sdělil k věci ředitel NÚKIB Lukáš Kintr.

Zdroj: nukib.cz; JM

Téma posilování bezpečnosti dodavatelského řetězce informačních a komunikačních technologií (ICT) představuje jednu z priorit Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), a potažmo České republiky, pro předsednictví v Radě EU. Schválením závěrů Rady se na významnosti tohoto tématu shodly všechny členské státy EU. V návaznosti na závěry, které na půdě Rady EU iniciovali a dojednali zástupci NÚKIB, budou nyní podniknuty kroky k posílení bezpečnosti dodavatelských řetězců ICT v celé Unii.

V současné geopolitické krizi spojené s válkou na Ukrajině se ukazuje, jak závažné důsledky mohou mít strategické závislosti unijních států na fosilních palivech pocházejících ze třetích států, jako je Ruská federace. Jednomyslným odsouhlasením závěrů se unijní státy shodly na potřebě se v budoucnu vyhnout podobným závažným strategickým závislostem ve vztahu k ICT, které budou tvořit pomyslnou digitální páteř naší společnosti. „Jedná se o velký úspěch našeho Úřadu, potažmo naší republiky v rámci českého předsednictví v Radě EU. Jsme rádi, že celá Unie vnímá potřebu poučit se z aktuální situace a že jako celek chceme jednotně pracovat na naší kybernetické bezpečnosti,“ řekl ředitel NÚKIB Lukáš Kintr.

Jak odhalily zkušenosti s incidenty jako Solarwinds nebo NotPetya, kybernetické útoky skrze dodavatelský řetězec mohou mít rozsáhlý negativní dopad na naši společnost a ekonomiku. Lze předpokládat, že výskyt podobných útoků se s velkou pravděpodobností bude v budoucnu zvyšovat. Tuto rostoucí hrozbu je nutné aktivně řešit a být na ní připraveni, a to nejen na národní, ale i evropské úrovni. Závěry proto přichází ruku v ruce s celou řadou opatření, jak se této hrozbě jednotně spolu s ostatními členskými státy EU postavit.

Mezi konkrétní kroky patří například vytvoření ICT Toolboxu, inspirovaného 5G Toolboxem, vypracování metodických vodítek k tomu, jak zahrnout kyberbezpečnostní aspekty do procesu zadávání veřejných zakázek nebo zhodnocení možnosti financování náhrady nedůvěryhodných technologií s vysokou mírou rizika.

O závěrech jednání Rady EU se můžete dočíst také zde.

Zdroj: nukib.cz; JM