Verwijderde malware maakt een comeback – dit zijn de meest voorkomende malware in december 2023

Onderzoekers hebben een opleving ontdekt van Qbot-malware, die werd ontdekt in phishingpogingen gericht op de horeca. Ondertussen is de FakeUpdates-downloader naar de top gestegen.

In onze laatste Global Threat Index voor december 2023 constateerden onderzoekers de heropleving van Qbot, vier maanden nadat Amerikaanse en internationale wetshandhavingsinstanties de infrastructuur ervan hadden ontmanteld tijdens Operatie Duck Hunt in augustus 2023. Ondertussen sprong de JavaScript-downloader FakeUpdates naar de eerste plaats en bleef onderwijs wereldwijd de zwaarst getroffen sector.

Vorige maand werd Qbot gebruikt malware door cybercriminelen als onderdeel van een beperkte phishingaanval gericht op organisaties in de horeca. Tijdens de campagne ontdekten onderzoekers dat hackers zich voordeden als de IRS en kwaadaardige e-mails stuurden met PDF-bijlagen met ingesloten URL's die linken naar een Microsoft-installatieprogramma. Eenmaal geactiveerd, activeerde dit een onzichtbare versie van Qbot die misbruik maakte van een ingesloten Dynamic Link Library (DLL). Voordat Qbot in augustus werd verwijderd, domineerde het de bedreigingsindex en behoorde het tot de top drie. kwaadaardige programma's gedurende 10 opeenvolgende maanden. Hoewel het niet is teruggekeerd op de lijst, zullen de komende maanden bepalen of het de bekendheid die het voorheen had, terugkrijgt.

Ondertussen zette FakeUpdates zijn opmars naar de top voort na een heropleving eind 2023 en bereikte het de nummer één positie met een wereldwijde impact van 2%. Nanocore behield ook zes maanden op rij een top vijf-positie en behaalde in december de derde plaats, met nieuwe spelers van Ramnit en Glupteba.

Het zien van Qbot in het wild, minder dan vier maanden nadat de distributie-infrastructuur ervan werd ontmanteld, is een herinnering dat we weliswaar de wereld kunnen verstoren, maar dat we de wereld nog niet hebben kunnen veranderen. schadelijk Bij het opzetten van campagnes zullen de actoren erachter zich aanpassen aan nieuwe technologieën. Daarom worden organisaties aangemoedigd om een proactieve aanpak te hanteren voor endpoint security en due diligence uit te voeren op de oorsprong en het doel van een e-mail.

HLR onthulde ook dat "Apache Log4j Remote Code Execution (CVE-2021-44228)" en "Web Servers Malicious URL Directory Traversal" de meest uitgebuite kwetsbaarheden waren, met een impact op 46 % van organisaties wereldwijd. "Zyxel ZyWALL Command Injection (CVE-2023-28771)" volgde op de voet met een wereldwijde impact van 43 %.

Populaire malwarefamilies

*De pijlen geven de rangwijziging ten opzichte van de vorige maand aan.

Nepupdates En Formulierboek waren de meest voorkomende malware van vorige maand met een impact op 2 % mondiale organisaties, gevolgd door Nanokern met een wereldwijd effect op 1 %.

1. ↑ Nepupdates FakeUpdates (ook bekend als SocGholish) is een downloader geschreven in JavaScript. Het schrijft de payload naar schijf voordat deze wordt gestart. FakeUpdates kunnen leiden tot verdere hacks via aanvullende malware, waaronder GootLoader, Dridex, NetSupport, DoppelPaymer en AZORult.
2. ↓ Formulierenboek Formbook is een infostealer die zich richt op Windows OS en werd voor het eerst ontdekt in 2016. Het wordt op ondergrondse hackforums op de markt gebracht als Malware as a Service (MaaS) vanwege de krachtige ontwijkingstechnieken en relatief lage prijs. Formbook verzamelt inloggegevens van verschillende browsers, maakt screenshots, registreert en registreert toetsaanslagen en kan bestanden downloaden en uitvoeren zoals voorgeschreven door de C&C.
3. ↑ Nanokern – Nanocore is een trojan voor toegang op afstand die zich richt op gebruikers van het Windows-besturingssysteem en voor het eerst in het wild werd waargenomen in 2013. Alle versies van de RAT bevatten basisplug-ins en functies zoals screenshots maken, cryptocurrency-mining, beheer van externe bureaubladen en diefstal van webcamsessies.
4. ↓ Remcos – Remcos is een RAT die voor het eerst in het wild opdook in 2016. Remcos verspreidt zichzelf via schadelijke Microsoft Office-documenten, die zijn bijgevoegd bij SPAM-e-mails, en is ontworpen om de UAC-beveiliging van Microsoft Windows te omzeilen en malware uit te voeren met verhoogde rechten.
5. ↑ AsyncRat – AsyncRat is een Trojaans paard dat zich richt op het Windows-platform. Deze malware stuurt informatie over het beoogde systeem naar een externe server. Het ontvangt opdrachten van de server om plug-ins te downloaden en uit te voeren, processen te beëindigen, zichzelf te verwijderen/bij te werken en screenshots van het geïnfecteerde systeem te maken.
6. ↓ AgentTesla AgentTesla is een geavanceerde RAT (Remote Access Trojan) die fungeert als keylogger en informatie-diefstaltool. Het is in staat om de toetsenbordinvoer van het slachtoffer te monitoren en te verzamelen, schermafbeeldingen te maken en inloggegevens te stelen voor diverse software die op de computer van het slachtoffer is geïnstalleerd (waaronder Google Chrome, Mozilla Firefox en de Microsoft Outlook-e-mailclient).
7. ↑ Phorpiex – Phorpiex is een botnet (alias Trik) dat sinds 2010 actief is en op het hoogtepunt meer dan een miljoen geïnfecteerde hosts controleerde. Het staat bekend om de verspreiding van andere malwarefamilies via spamcampagnes en het uitvoeren van grootschalige spam- en sextortioncampagnes.
8. ↓ NJRat – NJRat is een trojan voor toegang op afstand, voornamelijk gericht op overheidsinstanties en organisaties in het Midden-Oosten. De trojan verscheen voor het eerst in 2012 en heeft verschillende functies: het vastleggen van toetsaanslagen, toegang verkrijgen tot de camera van het slachtoffer, het stelen van inloggegevens in browsers, het uploaden en downloaden van bestanden, het uitvoeren van proces- en bestandsmanipulaties en het bekijken van het bureaublad van het slachtoffer. NJRat infecteert slachtoffers via phishingaanvallen en drive-by downloads, en verspreidt zich via geïnfecteerde USB-sticks of netwerkschijven, ondersteund door Command & Control-serversoftware.
9. ↑ Frameklinknagel – De Ramnit Trojan is een type malware dat gevoelige gegevens kan exfiltreren. Dit type gegevens kan van alles omvatten, van bankgegevens en FTP-wachtwoorden tot sessiecookies en persoonlijke gegevens.
10. ↑ Glupteba – Glupteba, bekend sinds 2011, is een backdoor die geleidelijk is uitgegroeid tot een botnet. In 2019 omvatte het een mechanisme voor het updaten van C&C-adressen via openbare Bitcoin-lijsten, een geïntegreerde mogelijkheid om browsers te kapen en een router-exploit.

Meest misbruikte kwetsbaarheden  

Vorige maand was “Apache Log4j-code-uitvoering op afstand (CVE-2021-44228)” En “Kwaadaardige URL-directorytraversal van webserver” de meest uitgebuite kwetsbaarheden, die van invloed waren 46 % van organisaties wereldwijd, gevolgd door “Zyxel ZyWALL Command Injection (CVE-2023) -28771)” met een wereldwijd effect op 43 % .

1. ↑ Apache Log4j-uitvoering van code op afstand (CVE-2021-44228) – Er bestaat een kwetsbaarheid voor het uitvoeren van code op afstand in Apache Log4j. Succesvolle exploitatie van deze kwetsbaarheid kan een externe aanvaller in staat stellen willekeurige code uit te voeren op het getroffen systeem.
2. ↔ Kwaadaardige URL-directorytraversal van webservers (CVE-2010-4598,CVE-2011-2474,CVE-2014-0130,CVE-2014-0780,CVE-2015-0666,CVE-2015-4068,-72501,-72501,CVE-72541,- CVE-2016-4523,CVE-2016-8530,CVE-2017-11512,CVE-2018-3948,CVE-2018-3949,CVE-2019-18952,CVE-2020-5410,CVE-2602,CVE-2602 ) Er bestaat een kwetsbaarheid met betrekking tot directory traversal op diverse webservers. Deze kwetsbaarheid wordt veroorzaakt door een fout bij de invoervalidatie in een webserver die de URI voor directory traversal-patronen niet correct opschoont. Succesvolle exploitatie zou niet-geverifieerde externe aanvallers in staat kunnen stellen willekeurige bestanden op de kwetsbare server openbaar te maken of te openen.
3. ↔ Zyxel ZyWALL Command Injection (CVE-2023-28771) – Er bestaat een command-injectiekwetsbaarheid in Zyxel ZyWALL. Succesvolle exploitatie van deze kwetsbaarheid zou externe aanvallers in staat kunnen stellen willekeurige besturingssysteemcommando's uit te voeren op het getroffen systeem.
4. ↓ Command Injection via HTTP (CVE-2021-43936, CVE-2022-24086) – Er is een kwetsbaarheid gemeld voor command injection via HTTP. Een externe aanvaller zou dit probleem kunnen misbruiken door een speciaal opgesteld verzoek naar het slachtoffer te sturen. Bij succesvolle misbruik zou een aanvaller willekeurige code op de doelcomputer kunnen uitvoeren.
5. ↑ PHP Easter Egg-informatie openbaarmaking (CVE-2015-2051) Er is een kwetsbaarheid gemeld die informatie openbaar maakt in PHP-pagina's. Deze kwetsbaarheid is te wijten aan een onjuiste configuratie van de webserver. Een externe aanvaller zou deze kwetsbaarheid kunnen misbruiken door een speciaal gemanipuleerde URL naar een getroffen PHP-pagina te sturen.
6. ↑ MVPower CCTV DVR-code-uitvoering op afstand (CVE-2016-20016)- Er is een kwetsbaarheid voor het uitvoeren van code op afstand in MVPower CCTV DVR. Succesvolle exploitatie van deze kwetsbaarheid zou een externe aanvaller in staat kunnen stellen willekeurige code uit te voeren op het getroffen systeem.
7. ↓ WordPress draagbare phpMyAdmin Plugin Authenticatie Bypass (CVE-2012-5469) – Er is een kwetsbaarheid in de WordPress portable-phpMyAdmin-plug-in die authenticatie omzeilt. Succesvolle uitbuiting van deze kwetsbaarheid kan externe aanvallers in staat stellen gevoelige informatie te verkrijgen en ongeautoriseerde toegang te krijgen tot het getroffen systeem.
8. ↑ OpenSSL TLS DTLS Heartbeat-informatie openbaarmaking (CVE-2014-0160, CVE-2014-0346) – OpenSSL TLS DTLS Heartbeat-informatie openbaarmaking Er bestaat een kwetsbaarheid in OpenSSL die informatie openbaar maakt. Deze kwetsbaarheid, ook wel Heartbleed genoemd, wordt veroorzaakt door een fout in de verwerking van TLS/DTLS heartbeat-pakketten. Een aanvaller zou deze kwetsbaarheid kunnen misbruiken om de geheugeninhoud van een verbonden client of server openbaar te maken.
9. ↓ HTTP-headers Uitvoering van externe code – HTTP-headers stellen de client en server in staat om aanvullende informatie met een HTTP-verzoek te versturen. Een externe aanvaller zou een kwetsbare HTTP-header kunnen gebruiken om willekeurige code uit te voeren op de computer van het slachtoffer.
10. ↑ D-Link Meerdere Producten Op Afstand Code Uitvoering (CVE-2015-2051) – Er is een kwetsbaarheid met betrekking tot de uitvoering van code op afstand in diverse D-Link-producten. Succesvolle uitbuiting van deze kwetsbaarheid zou een externe aanvaller in staat kunnen stellen willekeurige code uit te voeren op het getroffen systeem.

Top mobiele malware

Vorige maand bleef Anubis op de eerste plaats als meest voorkomende mobiele malware, gevolgd door AhMyth En Verborgen .

1. Anubis Anubis is een malware voor bankieren via een Trojan, ontworpen voor Android-telefoons. Sinds de eerste ontdekking heeft het extra functies gekregen, waaronder Remote Access Trojan (RAT), keylogger, audio-opnamemogelijkheden en diverse ransomwarefuncties. Het is gedetecteerd in honderden verschillende apps in de Google Store.
2. AhMyth – AhMyth is een Remote Access Trojan (RAT) die werd ontdekt 2017. Het wordt verspreid via Android-apps die te vinden zijn in app stores en op diverse websites. Wanneer een gebruiker een van deze geïnfecteerde apps installeert, kan de malware gevoelige informatie van het apparaat verzamelen en acties uitvoeren zoals keylogging, het maken van screenshots, het versturen van sms-berichten en het activeren van de camera. Deze acties worden vaak gebruikt om gevoelige informatie te stelen.
3. Verborgen – Hiddad is malware voor Android die legitieme apps herverpakt en vervolgens publiceert in een externe appstore. De belangrijkste functie is het weergeven van advertenties, maar het kan ook toegang krijgen tot belangrijke beveiligingsfuncties in het besturingssysteem.

Wereldwijd de meest aangevallen industrieën

Afgelopen maand bleef onderwijs/onderzoek wereldwijd de meest getroffen sector, gevolgd door communicatie en overheid/defensie.

1. Onderwijs/Onderzoek
2. Communicatie
3. Overheid/Leger

Controlepunten wereldwijd De Threat Impact Index en de bijbehorende ThreatCloud-kaart worden aangestuurd door Check Point Bedreigingswolk Inlichtingen. ThreatCloud levert realtime dreigingsinformatie afkomstig van honderden miljoenen sensoren wereldwijd, verspreid over netwerken, endpoints en mobiele apparaten. De informatie wordt verrijkt met KI-gebaseerde engines en exclusieve onderzoeksgegevens van Check Point Research, de inlichtingen- en onderzoeksafdeling van Check Point Software Technologies.