Poistetut haittaohjelmat tekevät paluun – nämä ovat yleisimmät haittaohjelmat joulukuussa 2023

Tutkijat ovat havainneet Qbot-haittaohjelman paluun, joka löydettiin hotelli- ja ravintola-alalle kohdistuneista tietojenkalasteluyrityksistä. Samaan aikaan FakeUpdates-latausohjelma nousi kärkisijalle.

Viimeisimmässä joulukuun 2023 globaalissa uhkaindeksissämme tutkijat havaitsivat Qbotin paluun neljä kuukautta sen jälkeen, kun Yhdysvaltain ja kansainväliset lainvalvontaviranomaiset purkivat sen infrastruktuurin operaatio Duck Huntissa elokuussa 2023. Samaan aikaan JavaScript-latausohjelma FakeUpdates nousi ensimmäiseksi ja koulutus pysyi maailmanlaajuisesti eniten kärsineenä alana.

Viime kuussa Qbotia käytettiin haittaohjelma kyberrikollisten tekemänä osana rajoitettua tietojenkalasteluhyökkäystä, joka kohdistui hotelli- ja ravintola-alan organisaatioihin. Kampanjan aikana tutkijat havaitsivat, että hakkerit esiintyivät Yhdysvaltain verovirastona (IRS) ja lähettivät haitallisia sähköposteja, jotka sisälsivät PDF-liitteitä ja upotettuja URL-osoitteita, jotka linkittivät Microsoftin asennusohjelmaan. Aktivoitumisen jälkeen tämä käynnisti Qbotin näkymättömän version, joka hyödynsi upotettua dynaamista linkkikirjastoa (DLL). Ennen elokuussa tapahtuneen sulkemisensa Qbot hallitsi uhkaindeksiä ja oli yksi kolmesta suurimmasta. haittaohjelmat 10 peräkkäisen kuukauden ajan. Vaikka se ei ole palannut listalle, tulevat kuukaudet ratkaisevat, saavuttaako se takaisin aiemman maineensa.

Samaan aikaan FakeUpdates jatkoi nousuaan kärkeen palattuaan vuoden 2023 lopulla ja saavutti ykkössijan globaalilla vaikutuksellaan 2%. Myös Nanocore säilytti viiden parhaan sijan kuutena peräkkäisenä kuukautena ja sijoittui joulukuussa kolmanneksi Ramnitin ja Glupteban uusien osallistujien myötä.

Qbotin näkeminen toiminnassa alle neljä kuukautta sen jakeluinfrastruktuurin käytöstä poistamisen jälkeen muistuttaa siitä, että vaikka voimmekin mullistaa haitallinen kampanjoissa niiden takana olevat toimijat sopeutuvat uusiin teknologioihin. Siksi organisaatioita kannustetaan omaksumaan ennakoiva lähestymistapa päätepisteiden tietoturvaan ja suorittamaan due diligence -tarkastuksia sähköpostin alkuperän ja tarkoituksen osalta.

HLR paljasti myös, että "Apache Log4j Remote Code Execution (CVE-2021-44228)" ja "Web Servers Malicious URL Directory Traversal" olivat eniten hyödynnettyjä haavoittuvuuksia, jotka vaikuttivat 46 %:ään organisaatioon maailmanlaajuisesti. "Zyxel ZyWALL Command Injection (CVE-2023-28771)" seurasi tiiviisti perässä ja vaikutti maailmanlaajuisesti 43 %:ään.

Suosittuja haittaohjelmaperheitä

*Nuolet viittaavat sijoituksen muutokseen edelliseen kuukauteen verrattuna.

FakeUpdates ja Lomakekirja olivat viime kuun yleisimmät haittaohjelmat, joilla oli vaikutusta 2 % globaalit organisaatiot, ja sen jälkeen Nanocore jolla on maailmanlaajuinen vaikutus 1 %.

1. ↑ FakeUpdates – FakeUpdates (eli SocGholish) on JavaScriptillä kirjoitettu latausohjelma. Se kirjoittaa hyötykuorman levylle ennen latausten käynnistämistä. FakeUpdates voi johtaa lisähyökkäyksiin muiden haittaohjelmien, kuten GootLoaderin, Dridexin, NetSupportin, DoppelPaymerin ja AZORultin, kautta.
2. ↓ Lomakekirja – Formbook on Windows-käyttöjärjestelmään kohdistuva tietovaras, joka löydettiin ensimmäisen kerran vuonna 2016. Sitä markkinoidaan maanalaisilla hakkerointifoorumeilla nimellä Malware as a Service (MaaS) vahvojen väistötekniikoidensa ja suhteellisen alhaisen hintansa vuoksi. Formbook kerää tunnistetietoja eri selaimista, kerää kuvakaappauksia, valvoo ja kirjaa näppäinpainalluksia sekä voi ladata ja suorittaa tiedostoja komento- ja komentosarjansa käskyjen mukaisesti.
3. ↑ Nanocore – Nanocore on etäkäyttötroijalainen, joka kohdistuu Windows-käyttöjärjestelmän käyttäjiin ja jota havaittiin ensimmäisen kerran luonnossa vuonna 2013. Kaikissa RAT-versioissa on peruslaajennuksia ja -ominaisuuksia, kuten kuvakaappaus, kryptovaluutan louhinta, etätyöpöydän hallinta ja web-kameraistunnon varastamine.
4. ↓ Remcos – Remcos on RAT-haittaohjelma, joka ilmestyi luonnossa ensimmäisen kerran vuonna 2016. Remcos levittää itseään roskapostiviesteihin liitettyjen haitallisten Microsoft Office -asiakirjojen kautta. Se on suunniteltu ohittamaan Microsoft Windowsin käyttäjätilien valvonnan ja suorittamaan haittaohjelmia laajennetuilla oikeuksilla.
5. ↑ AsyncRat – AsyncRat on Windows-alustalle kohdistuva troijalainen. Tämä haittaohjelma lähettää tietoja kohdejärjestelmästä etäpalvelimelle. Se vastaanottaa palvelimelta komentoja ladata ja suorittaa laajennuksia, lopettaa prosesseja, poistaa/päivittää itsensä ja ottaa kuvakaappauksia tartunnan saaneesta järjestelmästä.
6. ↓ AgenttiTesla – AgentTesla on edistynyt RAT-ohjelma, joka toimii näppäinpainallusten tallentajana ja tietojen varastajana., joka voi seurata ja kerätä tallentaa uhrin näppäimistösyötteet, järjestelmänäppäimistön, ottaa kuvakaappauksia ja siirtää tunnistetietoja useisiin uhrin tietokoneelle asennettuihin ohjelmistoihin (mukaan lukien Google Chrome, Mozilla Firefox ja Microsoft Outlook -sähköpostiohjelma).
7. ↑ Phorpiex – Phorpiex on bottiverkko (alias Trik), joka on ollut aktiivinen vuodesta 2010 lähtien ja parhaimmillaan hallitsi yli miljoonaa tartunnan saanutta isäntäkonetta. Se tunnetaan muiden haittaohjelmaperheiden levittämisestä roskapostikampanjoiden kautta sekä laajamittaisten roskaposti- ja seksuaalikiristyskampanjoiden suorittamisesta.
8. ↓ NJRat – NJRat on etäkäyttötroijalainen, jonka ensisijaiset hyökkäykset kohdistuvat Lähi-idän valtion virastoihin ja organisaatioihin. Troijalainen ilmestyi ensimmäisen kerran vuonna 2012, ja sillä on useita toimintoja: näppäinpainallusten sieppaaminen, uhrin kameran käyttö, selaimiin tallennettujen tunnistetietojen varastaminen, tiedostojen lataaminen ja lataaminen, prosessien ja tiedostojen käsittely sekä uhrin työpöydän tarkastelu. NJRat tartuttaa uhreja tietojenkalasteluhyökkäysten ja automaattisten latausten kautta ja leviää tartunnan saaneiden USB-muistitikkujen tai verkkoasemien kautta Command & Control -palvelinohjelmiston tuella.
9. ↑ Runkoniitti – Ramnit-troijalainen on haittaohjelmatyyppi, joka voi varastaa arkaluonteisia tietoja. Tällaisia tietoja voivat olla esimerkiksi pankkitiedot, FTP-salasanat, istuntokohtaiset evästeet ja henkilötiedot.
10. ↑ Glupteba – Vuodesta 2011 tunnettu Glupteba on takaportti, joka kypsyi vähitellen botnetiksi. Vuonna 2019 se sisälsi C&C-osoitteiden päivitysmekanismin julkisten Bitcoin-listojen kautta, integroidun selaimen kaappausominaisuuden ja reitittimen hyökkäyshaavoittuvuuden.

Eniten hyödynnetyt haavoittuvuudet  

Viime kuukausi oli “"Apache Log4j -koodin etäsuoritus (CVE-2021-44228)"” ja “"Verkkopalvelimen haitallisen URL-hakemiston läpikulku"” eniten hyödynnetyt haavoittuvuudet, jotka vaikuttivat 46 % organisaatioista maailmanlaajuisesti, jota seurasi “"Zyxel ZyWALL -komennon injektio (CVE-2023) -28771)"” jolla on maailmanlaajuinen vaikutus 43 % .

1. ↑ Apache Log4j:n etäkoodin suorittaminen (CVE-2021-44228) – Apache Log4j:ssä on etäkoodin suorittamisen haavoittuvuus. Haavoittuvuuden hyödyntäminen voi antaa etähyökkääjälle mahdollisuuden suorittaa mielivaltaista koodia kyseisessä järjestelmässä.
2. ↔ Verkkopalvelimien haitallisten URL-osoitteiden hakemistojen läpikulku (CVE-2010-4598,CVE-2011-2474,CVE-2014-0130,CVE-2014-0780,CVE-2015-0666,CVE-2015-4068,-72501,-72501,CVE-72541,- CVE-2016-4523,CVE-2016-8530,CVE-2017-11512,CVE-2018-3948,CVE-2018-3949,CVE-2019-18952,CVE-2020-5410,CVE-2602,CVE-2602 Useilla verkkopalvelimilla on hakemiston läpikulkuun liittyvä haavoittuvuus. Haavoittuvuus johtuu verkkopalvelimen syötteen validointivirheestä, joka ei puhdista URI:tä oikein hakemiston läpikulkumallien varalta. Haavoittuvuuden hyödyntäminen voi antaa todentamattomille etähyökkääjille mahdollisuuden paljastaa tai käyttää mielivaltaisia tiedostoja haavoittuvalla palvelimella.
3. ↔ Zyxel ZyWALL -komennon injektio (CVE-2023-28771) – Komentoinjektiohaavoittuvuus on olemassa Zyxel ZyWALLissa. Tämän haavoittuvuuden onnistunut hyödyntäminen antaisi etähyökkääjille mahdollisuuden suorittaa mielivaltaisia käyttöjärjestelmäkomentoja kyseisessä järjestelmässä.
4. ↓ Komennon injektointi HTTP:n kautta (CVE-2021-43936, CVE-2022-24086) – HTTP-protokollan kautta tapahtuvasta komennoninjektiohaavoittuvuudesta on raportoitu. Etähyökkääjä voi hyödyntää tätä ongelmaa lähettämällä uhrille erityisesti muotoillun pyynnön. Onnistunut hyödyntäminen antaisi hyökkääjälle mahdollisuuden suorittaa mielivaltaista koodia kohdetietokoneella.
5. ↑ PHP:n pääsiäismunan tietojen paljastuminen (CVE-2015-2051) – PHP-sivuilla on raportoitu tietojen paljastumishaavoittuvuus. Haavoittuvuus johtuu virheellisestä web-palvelimen määrityksestä. Etähyökkääjä voi hyödyntää tätä haavoittuvuutta lähettämällä erityisesti muodostetun URL-osoitteen haavoittuvuudelle alttiille PHP-sivulle.
6. ↑ MVPower CCTV DVR -laitteen etäkoodin suorittaminen (CVE-2016-20016) - MVPower CCTV DVR -tallentimessa on etäkoodin suorittamisen mahdollistava haavoittuvuus. Haavoittuvuuden hyödyntäminen voi antaa etähyökkääjälle mahdollisuuden suorittaa mielivaltaista koodia kyseisessä järjestelmässä.
7. ↓ WordPress portable-phpMyAdmin -laajennuksen todennuksen ohitus (CVE-2012-5469) – WordPressin portable-phpMyAdmin-laajennuksessa on todennuksen ohitushaavoittuvuus. Haavoittuvuuden hyödyntäminen voi antaa etähyökkääjille mahdollisuuden saada haltuunsa arkaluonteisia tietoja ja luvattoman pääsyn kyseiseen järjestelmään.
8. ↑ OpenSSL TLS DTLS Heartbeat -tietojen paljastuminen (CVE-2014-0160, CVE-2014-0346) – OpenSSL TLS DTLS Heartbeat -tietojen paljastuminen OpenSSL:ssä on tietojen paljastumishaavoittuvuus. Haavoittuvuus, joka tunnetaan myös nimellä Heartbleed, johtuu virheestä TLS/DTLS-heartbeat-pakettien käsittelyssä. Hyökkääjä voi hyödyntää tätä haavoittuvuutta paljastaakseen yhdistetyn asiakkaan tai palvelimen muistisisällön.
9. ↓ HTTP-otsikot Etäkoodin suorittaminen – HTTP-otsikot mahdollistavat asiakkaan ja palvelimen lähettää lisätietoja HTTP-pyynnön mukana. Etähyökkääjä voi käyttää haavoittuvaa HTTP-otsikkoa mielivaltaisen koodin suorittamiseen uhrin tietokoneella.
10. ↑ D-Linkin useiden tuotteiden etäkoodin suorittaminen (CVE-2015-2051) – Useissa D-Linkin tuotteissa on etäkoodin suorittamisen haavoittuvuus. Haavoittuvuuden hyödyntäminen voi antaa etähyökkääjälle mahdollisuuden suorittaa mielivaltaista koodia haavoittuvassa järjestelmässä.

Yleisimmät mobiilihaittaohjelmat

Viime kuussa pysyi Anubis ensimmäiseksi yleisimpänä mobiilihaittaohjelmana, jota seurasi AhMyt ja Piilotettu .

1. Anubis – Anubis on Android-matkapuhelimille suunniteltu pankkitroijalainen haittaohjelma. Ensimmäisen havaitsemisensa jälkeen siihen on lisätty ominaisuuksia, kuten etäkäyttötroijalainen (RAT), näppäinpainallusten tallennin, äänen tallennusominaisuudet ja erilaisia kiristysohjelmaominaisuuksia. Se on havaittu sadoissa eri sovelluksissa, jotka ovat saatavilla Google Storessa.
2. AhMyt – AhMyth on etäkäyttötroijalainen (RAT) joka löydettiin 2017. Sitä levitetään Android-sovellusten kautta, joita löytyy sovelluskaupoista ja useilta verkkosivustoilta. Kun käyttäjä asentaa jonkin näistä tartunnan saaneista sovelluksista, haittaohjelma voi kerätä laitteesta arkaluonteisia tietoja ja suorittaa toimintoja, kuten näppäinpainallusten tallentamista, kuvakaappausten ottamista, tekstiviestien lähettämistä ja kameran aktivointia, joita käytetään yleisesti arkaluonteisten tietojen varastamiseen.
3. Piilotettu – Hiddad on Androidille tarkoitettu haittaohjelma, joka pakkaa uudelleen laillisia sovelluksia ja julkaisee ne sitten kolmannen osapuolen kauppaan. Sen päätehtävänä on näyttää mainoksia, mutta se voi myös käyttää käyttöjärjestelmään sisäänrakennettuja tärkeitä tietoturvaominaisuuksia.

Maailmanlaajuisesti eniten hyökkäysten kohteena olevat toimialat

Koulutus/tutkimus pysyi viime kuussa maailmanlaajuisesti eniten kohdennettuna toimialana., jota seuraavat viestintä ja hallitus/armeija.

1. Koulutus/Tutkimus
2. Viestintä
3. Hallitus/armeija

Check Points Global Threat Impact Index ja sen ThreatCloud-kartta ovat Check Pointin tuottamia. ThreatCloud Älykkyys. ThreatCloud tarjoaa reaaliaikaista uhkatiedustelua, joka on saatu sadoista miljoonista antureista maailmanlaajuisesti verkoissa, päätepisteissä ja mobiililaitteissa. Älykkyyttä rikastetaan tekoälypohjaisilla moottoreilla ja Check Point Researchin ainutlaatuisella tutkimusdatalla., Check Pointin ohjelmistoteknologiat tiedustelu- ja tutkimusosasto.