Троян Emotet атакует свыше 100 тыс. пользователей в день

Команда экспертов Check Point Research представила отчет Global Threat Index с наиболее активными угрозами за декабрь 2020 г. Исследователи сообщают, что троян Emotet вернулся на первое место в списке вредоносных программ. Он атаковал 7% организаций во всем мире, а всего спам-кампания была нацелена на более чем 100 тыс. пользователей в день во время праздников.

В сентябре и октябре Emotet стабильно возглавлял рейтинг Global Threat Index и был связан с волной атак программ-вымогателей. В ноябре он опустился на пятое место в рейтинге. Сейчас исследователи заявляют, что он был обновлен. Emotet получил новое вредоносное содержимое и улучшенные возможности уклонения от обнаружения. Его последняя версия создает диалоговое окно, которое помогает избежать обнаружения пользователями. В новой вредоносной кампании злоумышленники используют различные методы распространения Emotet: встроенные ссылки, вложения документов или защищенные паролем ZIP-файлы.

Emotet впервые обнаружили в 2014 г., и с тех пор он регулярно обновляется разработчиками: это поддерживает его эффективность. В Министерстве национальной безопасности США подсчитали, что устранение каждого инцидента с Emotet обходится организациям более чем в 1 млн. долл.

Изначально Emotet, по всей видимости, разрабатывался как банковское вредоносное ПО, которое проникало на компьютеры пользователей для кражи информации. Однако со временем Emotet эволюционировал и теперь рассматривается как одна из самых дорогостоящих и разрушительных вредоносных программ. Теперь продвинутый самораспространяющийся модульный троян. В последнее время он активно используется для дальнейшего распространения вредоносных программ и кампаний. Новый функционал позволяет рассылать фишинговые письма, содержащие вредоносные вложения или ссылки.

Наиболее активное вредоносное ПО в декабре 2020 г. в мире:

Помимо упомянутого Emotet в тройку входят также Trickbot и FormBook – оба затронули по 4% организаций по всему миру.

• Trickbot – один из доминирующих банковских троянов, который постоянно дополняется новыми возможностями, функциями и векторами распространения. Это гибкое и настраиваемое вредоносное ПО, которое может распространяться в рамках многоцелевых кампаний.
• FormBook впервые был обнаружен в 2016 г.: это инфостилер, предназначенный для ОС Windows. На подпольных хакерских форумах он позиционируется как MaaS из-за его развитых методов уклонения и относительно низкой цены. FormBook собирает учетные данные из различных веб-браузеров, делает снимки экрана, отслеживает и регистрирует на нажатие клавиш, а также может загружать и выполнять файлы в соответствии с приказами своего командного сервера.

Самые распространенные уязвимости в декабре:

В декабре уязвимость «Удаленное выполнение кода MVPower DVR» стала наиболее распространенной, затронув 42% организаций во всем мире. За ней следуют «Удаленное выполнение кода в заголовках HTTP (CVE-2020-13756)» (также около 42% организаций во всем мире) и «Раскрытие информации в хранилище Git на веб-сервере» (41%).

1. Удаленное выполнение кода MVPower DVR. В устройствах MVPower DVR существует уязвимость удаленного выполнения кода. Злоумышленник может использовать эту уязвимость для выполнения произвольного кода в уязвимом маршрутизаторе с помощью специально созданного запроса.
2. Удаленное выполнение кода в заголовках HTTP (CVE-2020-13756) – заголовки HTTP позволяют клиенту и серверу передавать дополнительную информацию с помощью HTTP-запроса. Злоумышленник может использовать уязвимый заголовок HTTP для запуска произвольного кода на устройстве жертвы.
3. Раскрытие информации в хранилище Git на веб-сервере. В Git Repository была обнаружена уязвимость, которая могла привести к раскрытию информации учетной записи.

Наиболее активные мобильные угрозы декабря:

Самым активным вредоносом для мобильных устройств в декабре был Hiddad. За ним следуют xHelper и Triada.

• Hiddad – модульный бэкдор для Android, который предоставляет права суперпользователя для загруженного вредоносного ПО, а также помогает внедрить его в системные процессы. Он может получить доступ к ключевым деталям безопасности, встроенным в ОС, что позволяет ему получать конфиденциальные данные пользователя.
• xHelper – вредоносное приложение для Android, активно с марта 2019 г., используется для загрузки других вредоносных приложений и отображения рекламы. Приложение способно скрываться от пользовательских и мобильных антивирусных программ и переустанавливаться, если пользователь удаляет его.
• Triada – модульный бэкдор для Android, предоставляющий права суперпользователя для загруженного вредоносного ПО.