19.11.2019, 18:04
Количество просмотров 89

Troldesh стал лидером по количеству кибератак

Больше половины всех почтовых рассылок вредоносных программ в первой половине 2019 пришлась на вирусы-шифровальщики, при этом самым популярным инструментом у киберпреступников оказался шифровальщик Troldesh. Об этом в день открытия SOC-Forum 2019 сообщает Центр реагирования на инциденты кибербезопасности CERT Group-IB.
Troldesh стал лидером по количеству кибератак

Чтобы обойти антивирусные системы, хакеры отправляют вредоносные ссылки в нерабочее время с отложенной активацией, более 80% всех вредоносных файлов для маскировки доставлялись в архивах zip и rar.

Опасная почта

Исследование CERT-GIB основано на данных, полученных системой Threat Detection System (TDS) Polygon, в рамках предотвращения и обнаружения угроз, распространяющихся в сети Интернет в первом полугодии 2019 года в 60 странах мира.  Согласно выводам отчета, основным способом доставки вредоносных программ — шифровальщиков, банковских троянов, бэкдоров — по-прежнему остается электронная почта. Во второй половине 2018 года доля загрузок вредоносных программ с помощью веб-браузера сократилась до самого минимума и составляла не более 5%, а в первой половине 2019 года только каждая 19-я загрузка не была связана с почтовой рассылкой.

Troldesh стал лидером по количеству кибератак - рис.1

В первой половине 2019 года наблюдается десятикратный рост использования запароленных объектов —  документов или архивов. В 2017 году на запароленные архивы приходилось лишь 0,08% от общего количества вредоносных объектов. В 2018 году их количество выросло до 3,6%. В первой половине 2019 года наблюдается аномальный рост до 27,8%.

Другой тенденцией стала маскировка вредоносного программного обеспечения (ВПО) в письме. Для того, чтобы обойти корпоративные средства защиты, злоумышленники все чаще прибегают к архивации вредоносных вложений. На протяжении первых 6 месяцев 2019 года в архивах доставлялось более 80% всех вредоносных объектов, в основном, для этого использовались форматы zip (32% и rar 25%)  Сам пароль для расшифровки содержимого злоумышленники указывали в письме с вредоносным вложением, в теме письма или в названии архива, либо, в ходе дальнейшей переписки с жертвой.

Злоумышленники все чаще используют ссылки в письмах, ведущие на загрузку вредоносных объектов, вместо уже традиционных вложений: 29% приходится на ссылки, 71% на вложения. Тогда как за весь 2018-й на ссылки приходилось вдвое меньше ВПО.

Другим способом обхода антивирусных средств является таргетированная атака с доставкой письма в нерабочее время: во время проверки средствами защиты ссылка в письме недоступна, что квалифицируется как легитимная почта и письмо успешно доходит до получателя. Злоумышленники активируют вредоносную ссылку в рабочее время, значительно повышая вероятность успешного инфицирования компьютера.

«Современные киберпреступники обладают инструментами, позволяющими убедиться, что рассылаемый вредоносный экземпляр не детектируется популярными антивирусными средствами, — отмечает Александр Калинин, руководитель Центра реагирования на инциденты кибербезопасности CERT-GIB. — Отметим, что схемы с вложенными или запароленными архивами, отложенной активацией и тд. оказываются оперативно обнаруженными только в случае использования продвинутых систем раннего предотвращения кибератак, а вместе со сложным поведенческим анализом позволяют успешно детектировать ранее неизвестные экземпляры ВПО. Получив информацию из нашего исследования, SOC (Security Operation Center) и CERT могут проверить, закрывают ли они перечисленные угрозы или нет: поскольку если они не проверили ссылку, которую получил пользователь, они могут пропустить угрозу, от которой в конечном итоге пострадают их клиенты».

Финансисты в группе риска 

Для того чтобы получатель открыл письмо или распаковал архив, киберпреступники используют методы социальной инженерии. В подавляющем большинстве случаев атакующие используют бухгалтерскую тематику для привлечения особого внимания к своим вредоносным рассылкам. Если раньше отправители в русскоязычном сегменте использовали в качестве названия вредоносных фалов слова «Платеж», «Приглашение», «Скан», «Акт», то в этом году чаще всего используют «Документы», «Заказ», «Ордер» или «Пароль». В атаках на международные организации наиболее часто встречающимися заголовками стали Payment, Scan, Voice Message, New Order, Invoice и тд. Как видно из выборки, в основном популярностью пользуются ключевые слова из финансовой сферы, подогревая интерес у получателя запустить вредоносный аттач. Если рассматривать типовую массовую рассылку, то выбранная тематика позволяет атакующим с большей вероятностью заразить компьютер сотрудника финансового департамента, который в свою очередь, представляет большую ценность для злоумышленника в сравнении с устройствами других сотрудников. В группе риска – специалисты бухгалтерии, финансисты, коммерческие отделы и секретари.

Ренессанс шифровальщиков 

Если в  2018 году угроза потерять деньги была связана с атаками банковских троянов и бекдоров, то в первой половине 2019 года существенно ухудшилась ситуация с шифровальщиками: они вновь уверенно вернулись на первое место (54%).

В топ-3 самых массовых атак вошли следующие вредоносные программы: Troldesh (53%),  RTM (17%), Pony (6%).

По материалам Group-IB

Рубрика:
{}Безопасность
PLUSworld в соцсетях:
telegram
vk
youtube

ТАКЖЕ ПО ТЕМЕ