Gelöschte Schadsoftware feiert ein Comeback – dies sind die häufigsten Schadprogramme im Dezember 2023

Forscher haben ein erneutes Auftreten der Qbot-Malware festgestellt, die bei Phishing-Angriffen auf das Gastgewerbe entdeckt wurde. Gleichzeitig stieg der FakeUpdates-Downloader an die Spitze der Malware-Charts.

Unser aktueller Globaler Bedrohungsindex für Dezember 2023 zeigte, dass Forscher das Wiederaufleben von Qbot feststellten, vier Monate nachdem US-amerikanische und internationale Strafverfolgungsbehörden im Rahmen der Operation Duck Hunt im August 2023 dessen Infrastruktur zerschlagen hatten. Gleichzeitig sprang der JavaScript-Downloader FakeUpdates auf den ersten Platz, und der Bildungssektor blieb weltweit die am stärksten betroffene Branche.

Im letzten Monat wurde Qbot verwendet. Schadsoftware Im Rahmen einer gezielten Phishing-Attacke von Cyberkriminellen gegen Unternehmen im Gastgewerbe entdeckten Forscher, dass die Hacker sich als Mitarbeiter der US-Steuerbehörde IRS ausgaben und schädliche E-Mails mit PDF-Anhängen verschickten. Diese enthielten eingebettete URLs, die zu einem Microsoft-Installationsprogramm führten. Nach der Aktivierung wurde eine unsichtbare Version von Qbot gestartet, die eine eingebettete Dynamic Link Library (DLL) ausnutzte. Vor seiner Abschaltung im August dominierte Qbot den Bedrohungsindex und zählte zu den drei am stärksten betroffenen Programmen. Schadprogramme Zehn Monate in Folge war es auf der Liste. Obwohl es seitdem nicht mehr vertreten ist, werden die kommenden Monate zeigen, ob es seine frühere Bekanntheit wiedererlangt.

Unterdessen setzte FakeUpdates seinen Aufstieg an die Spitze fort, nachdem es Ende 2023 wieder aufgetaucht war, und erreichte mit einer globalen Reichweite von 2% den ersten Platz. Nanocore behauptete sich ebenfalls sechs Monate in Folge unter den Top Fünf und belegte im Dezember den dritten Platz, wobei Ramnit und Glupteba neu in die Liste aufgenommen wurden.

Dass Qbot weniger als vier Monate nach der Stilllegung seiner Vertriebsinfrastruktur wieder im Einsatz ist, erinnert uns daran, dass wir zwar disruptive Veränderungen bewirken können. schädlich Die Akteure hinter solchen Kampagnen werden sich an neue Technologien anpassen. Deshalb werden Unternehmen dazu angehalten, einen proaktiven Ansatz für die Endpunktsicherheit zu verfolgen und die Herkunft und den Zweck von E-Mails sorgfältig zu prüfen.

HLR gab außerdem bekannt, dass “Apache Log4j Remote Code Execution (CVE-2021-44228)“ und ”Web Servers Malicious URL Directory Traversal“ die am häufigsten ausgenutzten Schwachstellen waren und 46 % Organisationen weltweit betrafen. Dicht dahinter folgte ”Zyxel ZyWALL Command Injection (CVE-2023-28771)“ mit globalen Auswirkungen auf 43 %.

Beliebte Malware-Familien

*Die Pfeile zeigen die Veränderung der Platzierung im Vergleich zum Vormonat an.

FakeUpdates Und Formularbuch waren im letzten Monat die häufigsten Schadprogramme mit Auswirkungen auf 2 % globale Organisationen, gefolgt von Nanokern mit globalen Auswirkungen auf 1 %.

1. ↑ FakeUpdates FakeUpdates (auch bekannt als SocGholish) ist ein in JavaScript geschriebener Downloader. Er speichert die Schadsoftware vor dem Ausführen auf der Festplatte. FakeUpdates kann durch zusätzliche Malware wie GootLoader, Dridex, NetSupport, DoppelPaymer und AZORult zu weiteren Sicherheitslücken führen.
2. ↓ Formularbuch Formbook ist ein Infostealer, der Windows-Betriebssysteme angreift und erstmals 2016 entdeckt wurde. In Untergrund-Hackerforen wird er aufgrund seiner ausgefeilten Verschleierungstechniken und des vergleichsweise niedrigen Preises als Malware-as-a-Service (MaaS) angeboten. Formbook sammelt Anmeldeinformationen von verschiedenen Browsern, erstellt Screenshots, überwacht und protokolliert Tastatureingaben und kann Dateien gemäß den Anweisungen seines Command-and-Control-Servers herunterladen und ausführen.
3. ↑ Nanocore Nanocore ist ein Remote-Access-Trojaner, der es auf Benutzer des Windows-Betriebssystems abgesehen hat und erstmals 2013 in freier Wildbahn beobachtet wurde. Alle Versionen des RAT enthalten grundlegende Plugins und Funktionen wie Screenshot-Aufnahme, Kryptowährungs-Mining, Fernsteuerung des Desktops und Diebstahl von Webcam-Sitzungen.
4. ↓ Remcos – Remcos ist ein RAT, der erstmals 2016 in freier Wildbahn auftauchte. Remcos verbreitet sich über bösartige Microsoft Office-Dokumente, die an SPAM-E-Mails angehängt sind, und ist darauf ausgelegt, die UAC-Sicherheit von Microsoft Windows zu umgehen und Malware mit erhöhten Berechtigungen auszuführen.
5. ↑ AsyncRat – AsyncRat ist ein Trojaner, der Windows-Systeme angreift. Diese Schadsoftware sendet Informationen über das Zielsystem an einen entfernten Server. Vom Server erhält sie Befehle, um Plugins herunterzuladen und auszuführen, Prozesse zu beenden, sich selbst zu deinstallieren/zu aktualisieren und Screenshots des infizierten Systems zu erstellen.
6. ↓ AgentTesla – AgentTesla ist ein hochentwickeltes RAT, das als Keylogger und Informationsdieb fungiert., das überwachen und sammeln kann Die Tastatureingaben des Opfers und die Systemtastatur werden aufgezeichnet, Screenshots erstellt und Anmeldeinformationen für verschiedene auf dem Computer des Opfers installierte Software (einschließlich Google Chrome, Mozilla Firefox und dem E-Mail-Client Microsoft Outlook) exfiltriert.
7. ↑ Phorpiex Phorpiex ist ein Botnetz (auch bekannt als Trik), das seit 2010 aktiv ist und in seiner Blütezeit über eine Million infizierte Rechner kontrollierte. Es ist dafür bekannt, andere Schadsoftware-Familien über Spam-Kampagnen zu verbreiten und groß angelegte Spam- und Sextortion-Kampagnen durchzuführen.
8. ↓ NJRat NJRat ist ein Fernzugriffstrojaner, der vorwiegend Regierungsbehörden und Organisationen im Nahen Osten angreift. Der Trojaner tauchte erstmals 2012 auf und verfügt über verschiedene Funktionen: Er zeichnet Tastatureingaben auf, greift auf die Kamera des Opfers zu, stiehlt im Browser gespeicherte Anmeldeinformationen, lädt Dateien hoch und herunter, manipuliert Prozesse und Dateien und zeigt den Desktop des Opfers an. NJRat infiziert Opfer über Phishing-Angriffe und Drive-by-Downloads und verbreitet sich über infizierte USB-Sticks oder Netzlaufwerke, unterstützt durch Command-and-Control-Server-Software.
9. ↑ Rahmenniete – Der Ramnit-Trojaner ist eine Schadsoftware, die sensible Daten exfiltrieren kann. Zu diesen Daten können unter anderem Bankdaten, FTP-Passwörter, Session-Cookies und persönliche Daten gehören.
10. ↑ Glucteba – Glupteba ist seit 2011 bekannt und eine Hintertür, die sich schrittweise zu einem Botnetz entwickelte. Im Jahr 2019 umfasste sie einen Mechanismus zur Aktualisierung von C&C-Adressen über öffentliche Bitcoin-Listen, eine integrierte Browser-Hijacking-Funktion und eine Router-Schwachstelle.

Am häufigsten ausgenutzte Sicherheitslücken  

Der letzte Monat war “Apache Log4j Remote Code Execution (CVE-2021-44228)” Und “Bösartige URL-Verzeichnisdurchquerung des Webservers” die am häufigsten ausgenutzten Schwachstellen, die folgende Auswirkungen hatten: 46 % von Organisationen weltweit, gefolgt von “Zyxel ZyWALL Command Injection (CVE-2023) -28771)” mit globalen Auswirkungen auf 43 % .

1. ↑ Apache Log4j Remote Code Execution (CVE-2021-44228) – In Apache Log4j besteht eine Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Bei erfolgreicher Ausnutzung dieser Sicherheitslücke könnte ein Angreifer aus der Ferne beliebigen Code auf dem betroffenen System ausführen.
2. ↔ Schwachstelle in Webservern: URL-Verzeichnisdurchquerung durch böswillige Angreifer (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-72501, CVE-72541, CVE-2016-4523, CVE-2016-8530, CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2602) Auf verschiedenen Webservern besteht eine Directory-Traversal-Schwachstelle. Diese Schwachstelle entsteht durch einen Fehler bei der Eingabevalidierung, der die URI nicht ausreichend auf Directory-Traversal-Muster überprüft. Eine erfolgreiche Ausnutzung dieser Schwachstelle ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien auf dem betroffenen Server einzusehen oder darauf zuzugreifen.
3. ↔ Zyxel ZyWALL Command Injection (CVE-2023-28771) – Es besteht eine Schwachstelle durch Befehlsinjektion. in Zyxel ZyWALL. Eine erfolgreiche Ausnutzung dieser Sicherheitslücke würde es Angreifern ermöglichen, beliebige Betriebssystembefehle auf dem betroffenen System auszuführen.
4. ↓ Command Injection über HTTP (CVE-2021-43936, CVE-2022-24086) Es wurde eine Sicherheitslücke in der HTTP-Verbindung entdeckt, die das Einschleusen von Befehlen ermöglicht. Ein Angreifer könnte diese Schwachstelle ausnutzen, indem er eine speziell präparierte Anfrage an das Opfer sendet. Bei erfolgreicher Ausnutzung könnte der Angreifer beliebigen Code auf dem Zielrechner ausführen.
5. ↑ Offenlegung von Informationen über PHP-Easter-Eggs (CVE-2015-2051) Es wurde eine Sicherheitslücke in PHP-Seiten entdeckt, die die Offenlegung von Informationen ermöglicht. Die Schwachstelle beruht auf einer fehlerhaften Webserver-Konfiguration. Ein Angreifer kann diese Sicherheitslücke ausnutzen, indem er eine speziell präparierte URL an eine betroffene PHP-Seite sendet.
6. ↑ MVPower CCTV DVR Remote Code Execution (CVE-2016-20016)- Im MVPower CCTV DVR besteht eine Sicherheitslücke, die die Ausführung von Remote-Code ermöglicht. Bei erfolgreicher Ausnutzung dieser Sicherheitslücke könnte ein Angreifer aus der Ferne beliebigen Code auf dem betroffenen System ausführen.
7. ↓ WordPress portable-phpMyAdmin Plugin Authentifizierungsumgehung (CVE-2012-5469) – Im WordPress-Plugin portable-phpMyAdmin besteht eine Sicherheitslücke, die die Authentifizierung umgehen kann. Bei erfolgreicher Ausnutzung dieser Sicherheitslücke könnten Angreifer aus der Ferne sensible Informationen erlangen und unbefugten Zugriff auf das betroffene System erhalten.
8. ↑ Offenlegung von OpenSSL TLS DTLS Heartbeat-Informationen (CVE-2014-0160, CVE-2014-0346) OpenSSL-TLS/DTLS-Heartbeat-Informationsleck: In OpenSSL besteht eine Sicherheitslücke, die die Offenlegung von Informationen ermöglicht. Diese Schwachstelle, auch bekannt als Heartbleed, entsteht durch einen Fehler bei der Verarbeitung von TLS/DTLS-Heartbeat-Paketen. Ein Angreifer könnte diese Schwachstelle ausnutzen, um den Speicherinhalt eines verbundenen Clients oder Servers offenzulegen.
9. ↓ HTTP-Header Remote-Codeausführung – HTTP-Header ermöglichen es Client und Server, zusätzliche Informationen mit einer HTTP-Anfrage zu senden. Ein Angreifer könnte einen anfälligen HTTP-Header ausnutzen, um beliebigen Code auf dem Computer des Opfers auszuführen.
10. ↑ Sicherheitslücke bei mehreren D-Link-Produkten: Remote-Codeausführung (CVE-2015-2051) In mehreren D-Link-Produkten besteht eine Sicherheitslücke, die die Ausführung von Schadcode aus der Ferne ermöglicht. Bei erfolgreicher Ausnutzung dieser Sicherheitslücke könnte ein Angreifer beliebigen Code auf dem betroffenen System ausführen.

Top mobile Malware

Letzten Monat Anubis blieb an erster Stelle als häufigste mobile Malware, gefolgt von AhMyth Und Versteckt .

1. Anubis Anubis ist ein Banking-Trojaner, der speziell für Android-Mobiltelefone entwickelt wurde. Seit seiner Entdeckung hat er zusätzliche Funktionen erhalten, darunter die eines Remote-Access-Trojaners (RAT), eines Keyloggers, Audioaufzeichnungsfunktionen und verschiedener Ransomware-Funktionen. Er wurde in Hunderten von Apps im Google Play Store entdeckt.
2. AhMyth – AhMyth ist ein Remote-Access-Trojaner (RAT). was entdeckt wurde 2017. Die Malware wird über Android-Apps verbreitet, die in App-Stores und auf verschiedenen Websites zu finden sind. Installiert ein Nutzer eine dieser infizierten Apps, kann die Malware sensible Daten vom Gerät sammeln und Aktionen wie Keylogging, das Erstellen von Screenshots, das Versenden von SMS und das Aktivieren der Kamera durchführen – allesamt gängige Methoden zum Diebstahl sensibler Informationen.
3. Versteckt Hiddad ist eine Schadsoftware für Android, die legitime Apps neu verpackt und anschließend in einem Drittanbieter-App-Store veröffentlicht. Ihre Hauptfunktion besteht in der Anzeigenschaltung, sie kann aber auch auf wichtige, im Betriebssystem integrierte Sicherheitsfunktionen zugreifen.

Die am häufigsten angegriffenen Branchen weltweit

Im vergangenen Monat blieb der Bildungs-/Forschungssektor weltweit der am stärksten betroffene Wirtschaftszweig., gefolgt von Kommunikation und Regierung/Militär.

1. Bildung/Forschung
2. Kommunikation
3. Regierung/Militär

Check Points Global Der Threat Impact Index und seine ThreatCloud-Karte werden von Check Point bereitgestellt. ThreatCloud Intelligence. ThreatCloud liefert Echtzeit-Bedrohungsinformationen, die von Hunderten Millionen Sensoren weltweit in Netzwerken, Endpunkten und Mobilgeräten stammen. Die Informationen werden durch KI-basierte Engines und exklusive Forschungsdaten von Check Point Research angereichert., Check Point Software Technologies Geheimdienst- und Forschungsabteilung.