Използване на темата за коронавируса в заплахите за киберсигурността

Темата за коронавируса днес заля всички новинарски емисии, а също така се превърна в основен лайтмотив за различни дейности на киберпрестъпниците, експлоатиращи темата за COVID-19 и всичко свързано с нея. В тази бележка бих искал да обърна внимание на някои примери за такава злонамерена дейност, която, разбира се, не е тайна за много специалисти по информационна сигурност, но намаляването на която в една бележка ще улесни подготовката на вашите собствени събития за повишаване на осведомеността сред служителите, някои от които работят дистанционно и все още са по-податливи на различни заплахи за киберсигурността от преди.

Минута грижа от НЛО

Светът официално обяви пандемия от COVID-19, потенциално тежка остра респираторна инфекция, причинена от коронавируса SARS-CoV-2 (2019-nCoV). В Habré има много информация по тази тема - винаги помнете, че тя може да бъде както надеждна/полезна, така и обратното.

Насърчаваме ви да бъдете критични към всяка публикувана информация.

Официални източници

• Уебсайт на Министерството на здравеопазването на Руската федерация
• Сайт на Роспотребнадзор
• уебсайт на СЗО (англ.)
• уебсайт на СЗО
• Обекти и служебни групи на оперативни щабове по райони

Ако не живеете в Русия, моля, вижте подобни сайтове във вашата страна.
Мийте си ръцете, грижете се за близките си, стойте си вкъщи, ако е възможно и работете дистанционно.

Прочетете публикации за: вирус | дистанционна работа

Трябва да се отбележи, че днес няма напълно нови заплахи, свързани с коронавируса. По-скоро говорим за вектори на атака, които вече са станали традиционни, просто използвани под нов „сос“. И така, бих посочил основните видове заплахи:

• фишинг сайтове и съобщения по темата за коронавируса и свързания зловреден код
• Измама и дезинформация за използване на страх или дезинформация относно COVID-19
• атаки срещу организации, участващи в изследване на коронавирус

В Русия, където гражданите традиционно не вярват на властите и вярват, че крият истината от тях, вероятността за успешно „популяризиране“ на фишинг сайтове и пощенски списъци, както и на измамни ресурси, е много по-висока, отколкото в страни с по-отворени власти. Въпреки че днес никой не може да се счита за абсолютно защитен от креативни кибер-измамници, които използват всички класически човешки слабости на човек - страх, състрадание, алчност и т.н.

Вземете например сайт за измама, който продава медицински маски.

Свързан сайт, CoronavirusMedicalkit[.]com, беше затворен от американските власти за безплатно разпространение на несъществуваща ваксина срещу COVID-19, като плащаше „само“ пощенските разходи за изпращане на лекарството. В този случай, при такава ниска цена, изчислението беше на базата на бурното търсене на лекарството на фона на паниката в Съединените щати.

Това не е класическа киберзаплаха, тъй като задачата на нападателите в този случай не е да заразят потребителите и да не откраднат личните им данни или идентификационна информация, а просто на вълната на страха да ги принудят да се бръкнат и да закупят медицински маски на завишени цени 5-10-30 пъти над реалната стойност. Но самата идея за създаване на фалшив уебсайт, използващ темата за коронавируса, е напълно приложима и за киберпрестъпниците. Например, ето един сайт, който съдържа ключовата дума „covid19“ в името си, но който също е сайт за фишинг.

Като цяло, ежедневно наблюдение на нашата служба за разследване на инциденти Разследване на Cisco Umbrella, виждате колко домейна се създават с думите covid, covid19, coronavirus и т.н. в имената си. И много от тях са злонамерени.

В среда, в която част от служителите на компанията са прехвърлени на работа от вкъщи и не са защитени от средства за корпоративна защита, е по-важно от всякога да се следят ресурсите, до които се осъществява достъп от мобилни и стационарни устройства на служителите, съзнателно или без тяхно знание. Ако не използвате услугата Чадър на Cisco за откриване и блокиране на такива домейни (и Cisco оферти сега безплатна връзка с тази услуга), след което най-малкото конфигурирайте вашите решения за наблюдение на уеб достъпа, за да контролирате домейни с подходящите ключови думи. В същото време не забравяйте, че традиционният подход за поставяне на домейни в черен списък, както и използването на бази данни за репутация, може да се провали, тъй като злонамерените домейни се създават много бързо и се използват само в 1-2 атаки за не повече от няколко часа, след което нападателите преминават към нови еднодневни домейни. Компаниите за информационна сигурност просто нямат време бързо да актуализират своите бази знания и да ги разпространят до всички свои клиенти.

Нападателите продължават активно да експлоатират имейл канала, за да разпространяват фишинг връзки и зловреден софтуер в прикачени файлове. И тяхната ефективност е доста висока, тъй като потребителите, докато получават напълно легални новини за коронавируса, не винаги могат да разпознаят нещо злонамерено в техния обем. И докато броят на заразените само расте, обхватът на подобни заплахи също ще расте.

Например, ето пример за фишинг кампания от името на Центъра за контрол и превенция на заболяванията (CDC):

Щракването върху връзката, разбира се, не води до уебсайта на CDC, а до фалшива страница, която краде данните за вход и паролата на жертвата:

А ето и пример за фишинг имейл, за който се твърди, че е от Световната здравна организация:

И в този пример нападателите разчитат на факта, че много хора вярват, че властите крият истинската степен на заразата от тях и следователно потребителите са щастливи и почти без колебание кликват върху този тип писма със злонамерени връзки или прикачени файлове което уж ще разкрие всички тайни.

Между другото, има сайт Светометри, което ви позволява да проследявате различни показатели, като смъртност, брой пушачи, население в различните страни и др. В сайта има и страница, посветена на коронавируса. И когато отидох на него на 16 март, видях страница, която за момент ме накара да се усъмня, че властите ни казват истината (не знам каква е причината за тези числа, може би просто грешка):

Една от популярните инфраструктури, които атакуващите използват за изпращане на подобни имейли, е Emotet, една от най-опасните и популярни заплахи напоследък. Документите на Word, прикачени към имейл съобщения, съдържат програми за изтегляне Emotet, които изтеглят нови злонамерени модули на компютъра на жертвата. Първоначално Emotet беше използван за популяризиране на връзки към измамни сайтове, продаващи медицински маски и насочени към хора в Япония. По-долу можете да видите резултата от анализа на злонамерен файл с помощта на пясъчник. Cisco Threat Grid, който анализира файловете за злонамерен софтуер.

Но нападателите използват не само възможността да работят в MS Word, но и в други приложения на Microsoft, например в MS Excel (така е действала хакерската група APT36), изпращайки препоръки за борба с коронавируса от правителството на Индия, съдържащи Crimson RAT :

Друга злонамерена кампания, използваща темата за коронавируса, е Nanocore RAT, която ви позволява да инсталирате програми на компютри жертви за отдалечен достъп, прихващане на натискания на клавиши, заснемане на екранни изображения, достъп до файлове и т.н.

А Nanocore RAT обикновено се доставя по имейл. Например по-долу виждате примерно имейл съобщение с прикачен ZIP архив, който съдържа изпълним PIF файл. Щраквайки върху изпълнимия файл, жертвата инсталира инструмента за отдалечен достъп (RAT) на своя компютър.

И ето още един пример за кампания, паразитираща на тема COVID-19. Потребителят получава имейл с искане за забавяне на доставката поради коронавируса с прикачена фактура с разширение .pdf.ace. Вътре в компресирания архив има изпълнимо съдържание, което установява връзка със сървъра за управление и управление, за да получава допълнителни команди и да изпълнява други цели на нападателите.

Parallax RAT има подобна функционалност, която разпространява файл с име „нов заразен CORONAVIRUS sky 03.02.2020.pif“ и инсталира злонамерена програма, която взаимодейства с неговия команден и контролен сървър чрез DNS протокола. За борба с такива програми за отдалечен достъп ще помогнат инструменти за защита от клас EDR, пример за които е Cisco AMP за крайни точкии или NGFW (например, Cisco Firepower), или инструменти за наблюдение на DNS (напр. Чадър на Cisco).

В примера по-долу зловреден софтуер за отдалечен достъп е инсталиран на компютъра на жертва, която по някаква неизвестна причина е закупила реклама, в която се казва, че обикновена антивирусна програма, инсталирана на компютър, може да защити от истински COVID-19. И все пак някой се е хванал на такава привидна шега.

Но сред злонамерените програми има и наистина странни неща. Например файлове с шеги, които емулират работата на ransomware. В един случай нашето подразделение Cisco Talos открити файл с име CoronaVirus.exe, който блокира екрана по време на изпълнение и стартира таймер и надпис "изтрийте всички файлове и папки на този компютър - коронавирус."

В края на обратното броене бутонът в долната част стана активен и при натискането му се появи следното съобщение, че всичко е шега и трябва да натиснете Alt + F12, за да прекратите програмата.

Борбата срещу злонамерените писма може да бъде автоматизирана, например с помощта на Защита на електронната поща на Cisco, което ви позволява да откривате не само злонамерено съдържание в прикачените файлове, но и да проследявате фишинг връзки и кликвания върху тях. Но дори и в този случай не трябва да забравяте за обучението на потребителите и редовните фишинг симулации и киберупражнения, които ще подготвят потребителите за различни трикове на нападатели, насочени срещу вашите потребители. Особено ако работят от разстояние и чрез личната си поща, зловреден код може да проникне и в корпоративна или ведомствена мрежа. Тук мога да препоръчам ново решение Инструмент за информираност за сигурността на Cisco, което позволява не само да се провежда микро- и нанообучение на персонала по въпросите на информационната сигурност, но и да се организират фишинг симулации за тях.

Но ако по някаква причина не сте готови да използвате такива решения, тогава трябва поне да организирате редовни писма до вашите служители с напомняне за опасността от фишинг, нейните примери и списък с правила за безопасно поведение (основното е, че нападателите правят не се маскират като тях). Между другото, един от възможните рискове в момента е фишинг писма, маскирани като писма от вашето ръководство, в които се твърди, че се говори за нови правила и процедури за дистанционна работа, задължителен софтуер, който трябва да се инсталира на отдалечени компютри и т.н. И не забравяйте, че освен имейл, киберпрестъпниците могат да използват месинджъри и социални мрежи.

В този вид пощенски списък или програма за информираност можете да включите вече класическия пример за фалшива карта на коронавирусна инфекция, която беше подобна на тази стартира Университет Джон Хопкинс. почести злонамерена карта беше, че при достъп до фишинг сайт на компютъра на потребителя беше инсталиран зловреден софтуер, който открадна информацията за потребителския акаунт и я изпрати на киберпрестъпниците. Вариант на такава програма създава и RDP връзки за отдалечен достъп до компютъра на жертвата.

Между другото, относно RDP. Това е друг вектор за атаки, който нападателите започват да използват по-активно по време на пандемията от коронавирус. Много компании, когато преминават към отдалечена работа, използват услуги като RDP, които, ако са неправилно конфигурирани поради бързане, могат да доведат до проникване на нарушители както в компютрите на отдалечените потребители, така и в корпоративната инфраструктура. Нещо повече, дори при правилна конфигурация, различни изпълнения на RDP може да имат уязвимости, използвани от нападателите. Например Cisco Talos открих множество уязвимости във FreeRDP, а през май миналата година беше открита критична уязвимост CVE-2019-0708 в услугата за отдалечен работен плот на Miscrosoft, която позволи изпълнението на произволен код на компютъра на жертвата, злонамерен софтуер и т.н. Дори беше разпространен бюлетин за нея NCCCI, и например Cisco Talos публикувано препоръки за защита срещу него.

Има и друг пример за използване на темата за коронавируса - реална заплаха от заразяване на семейството на жертвата в случай на отказ да се плати откупът в биткойни. За да се засили ефектът, да се придаде значимост на писмото и да се създаде усещане за всемогъществото на изнудвача, в текста на писмото беше вмъкната паролата на жертвата от един от неговите акаунти, получена от публични бази данни за вход и пароли.

В един от примерите по-горе показах фишинг съобщение от Световната здравна организация. И ето още един пример, в който потребителите са помолени за финансова помощ за борба с COVID-19 (въпреки че в заглавието в тялото на писмото грешка в думата „ДАРЕНИЕ“ веднага хваща окото. И те молят за помощ в биткойни за защита срещу проследяване на криптовалута.

И има много такива примери, които използват състраданието на потребителите днес:

Биткойнът е свързан с COVID-19 по друг начин. Например, така изглеждат писмата, получени от много британски граждани, които седят у дома и не могат да печелят пари (в Русия това също ще стане актуално сега).

Маскирани като добре известни вестници и новинарски сайтове, тези пощенски списъци предлагат лесен начин за печелене на пари чрез копаене на криптовалути на специални сайтове. Всъщност след известно време получавате съобщение, че спечелената от вас сума може да бъде изтеглена в специална сметка, но преди това трябва да преведете малка сума данъци. Ясно е, че след като са получили тези пари, измамниците не прехвърлят нищо в отговор и лековерният потребител губи преведените пари.

Има и друга заплаха, свързана със Световната здравна организация. Хакери хакнаха DNS настройките на D-Link и Linksys рутери, често използвани от домашни потребители и малки фирми, за да ги пренасочат към фалшив сайт с изскачащо предупреждение за инсталиране на приложението WHO, за да бъдат в крак с последните новини относно коронавируса. В същото време самото приложение съдържа зловредния софтуер Oski, който краде информация.

Подобна идея на приложение, съдържащо актуален статус за инфекция с COVID-19, се използва от троянския кон CovidLock Android, който се разпространява чрез приложение, за което се твърди, че е „сертифицирано“ от Министерството на образованието на САЩ, СЗО и Центровете за Контрол и превенция на заболяванията (CDC).

Много потребители днес са в самоизолация и без да искат или не знаят как да готвят, използват активно услуги за доставка на храна, хранителни стоки или други стоки, като тоалетна хартия. Нападателите са усвоили този вектор за свои собствени цели. Например, ето как злонамерен сайт изглежда като законен ресурс, собственост на Canada Post. Линкът от SMS-а, получен от жертвата, води до уебсайт, който съобщава, че поръчаният продукт не може да бъде доставен, тъй като липсват само 3 долара, които трябва да бъдат доплатени. Това отвежда потребителя до страница, където трябва да въведе данните за кредитната си карта... с всички произтичащи от това последствия.

В заключение бих искал да дам още два примера за киберзаплахи, свързани с COVID-19. Например плъгините „COVID-19 Coronavirus – WordPress Plugin за карта на живо“, „Coronavirus Spread Prediction Graphs“ или „Covid-19“ са вградени в сайтове на популярния двигател на WordPress и освен че показват картата на разпространение на коронавируса, също съдържат зловреден софтуер WP-VCD. И Zoom, който стана много, много популярен в резултат на нарастването на броя на онлайн събитията, се натъкна на това, което експертите нарекоха „Zoombombing“. Нападателите, а всъщност обикновени порно тролове, се свързваха с онлайн чатове и онлайн срещи и показваха различни нецензурни видеоклипове. Между другото, днес подобна заплаха срещат руските компании.

Мисля, че повечето от нас редовно проверяват различни източници, официални и не толкова, разказващи за текущото състояние на пандемията. Нападателите експлоатират тази тема, като ни предлагат „актуална“ информация за коронавируса, включително информация, „която властите крият от вас“. Но дори обикновените обикновени потребители напоследък често помагат на нападателите, като изпращат проверени факти от „познати“ и „приятели“. Психолозите казват, че подобна активност на потребители „алармисти“, които изпращат всичко, което попада в полезрението им (особено в социалните мрежи и месинджърите, които нямат механизми за защита срещу подобни заплахи), им позволява да се чувстват въвлечени в борбата срещу глобална заплаха и дори се чувстват като герои, спасяващи света от коронавируса. Но, за съжаление, липсата на специални знания води до факта, че тези добри намерения „водят всички в ада“, създавайки нови заплахи за киберсигурността и увеличавайки броя на жертвите.

Всъщност мога да продължа с примери за киберзаплахи, свързани с коронавируса; особено след като киберпрестъпниците не стоят неподвижни и измислят все повече и повече начини да експлоатират човешките страсти. Но мисля, че можем да спрем до тук. Картината вече е ясна и ни подсказва, че в близко бъдеще ситуацията само ще се влошава. Вчера московските власти прехвърлиха десетмилионния град на самоизолация. Властите на Московска област и много други региони на Русия, както и нашите най-близки съседи в бившето постсъветско пространство, направиха същото. Това означава, че броят на потенциалните жертви, върху които ще бъдат насочени усилията на киберпрестъпниците, ще се увеличи многократно. Следователно си струва не само да преразгледате стратегията си за сигурност, доскоро фокусирана върху защитата само на корпоративна или ведомствена мрежа, и да прецените какви инструменти за защита ви липсват, но и да вземете предвид тези примери в програмата си за информираност на персонала, която става важна част от системата за информационна сигурност за отдалечени работници. А Cisco готов да ви помогне с това!

PS. При подготовката на този материал са използвани материали от Cisco Talos, Naked Security, Anti-Phishing, Malwarebytes Lab, ZoneAlarm, Reason Security и RiskIQ, Министерството на правосъдието на САЩ, Bleeping Computer, SecurityAffairs и др. P.

Източник: www.habr.com