ניצול נושא הקורונה באיומי אבטחת סייבר

נושא הקורונה היום מילא את כל עדכוני החדשות, והפך גם למוטיב העיקרי לפעילויות שונות של תוקפים המנצלים את נושא COVID-19 וכל מה שקשור אליו. בהערה זו, ברצוני להפנות את תשומת הלב לכמה דוגמאות לפעילות זדונית שכזו, שכמובן אינה סוד עבור מומחי אבטחת מידע רבים, אך הסיכום שלהן בהערה אחת יקל על הכנת המודעות שלך. -העלאת אירועים לעובדים שחלקם עובדים מרחוק ואחרים רגישים לאיומי אבטחת מידע שונים מבעבר.

דקה של טיפול מעב"ם

העולם הכריז רשמית על מגיפה של COVID-19, זיהום חריף שעלול להיגרם על ידי נגיף הקורונה SARS-CoV-2 (2019-nCoV). יש הרבה מידע על Habré בנושא זה - זכרו תמיד שהוא יכול להיות גם אמין/שימושי וגם להיפך.

אנו ממליצים לך להיות ביקורתי כלפי כל מידע שמתפרסם.

מקורות רשמיים

• אתר האינטרנט של משרד הבריאות של הפדרציה הרוסית
• אתר Rospotrebnadzor
• אתר WHO (אנגלית)
• אתר האינטרנט של ארגון הבריאות העולמי
• אתרי אינטרנט וקבוצות רשמיות של המטה המבצעי באזורים

אם אינך גר ברוסיה, אנא עיין באתרים דומים בארצך.
שטפו ידיים, שמרו על יקיריכם, הישארו בבית אם אפשר ועבדו מרחוק.

קרא פרסומים על: וירוס | עבודה מרחוק

יש לציין כי אין כיום איומים חדשים לחלוטין הקשורים לקורונה. במקום זאת, אנחנו מדברים על וקטורי תקיפה שכבר הפכו למסורתיים, פשוט בשימוש ב"רוטב" חדש. אז, הייתי קורא לסוגי האיומים העיקריים:

• אתרי פישינג וניוזלטרים הקשורים לקורונה ולקוד זדוני קשור
• הונאה ודיסאינפורמציה שמטרתם לנצל פחד או מידע חלקי על COVID-19
• התקפות נגד ארגונים המעורבים במחקר נגיף הקורונה

ברוסיה, שבה אזרחים באופן מסורתי אינם סומכים על הרשויות ומאמינים שהם מסתירים מהם את האמת, הסבירות להצליח "לקדם" אתרי דיוג ורשימות תפוצה, כמו גם משאבי הונאה, גבוהה בהרבה מאשר במדינות עם יותר פתוח. רָשׁוּיוֹת. למרות שכיום אף אחד לא יכול לראות את עצמו מוגן לחלוטין מפני רמאים יצירתיים בתחום הסייבר המשתמשים בכל החולשות האנושיות הקלאסיות של אדם - פחד, חמלה, חמדנות וכו'.

קחו, למשל, אתר הונאה שמוכר מסכות רפואיות.

אתר דומה, CoronavirusMedicalkit[.]com, נסגר על ידי הרשויות בארה"ב בשל הפצת חיסון נגד COVID-19 שלא קיים בחינם עם דמי משלוח "בלבד" למשלוח התרופה. במקרה זה, עם מחיר נמוך כל כך, החישוב היה עבור הביקוש העומס לתרופה במצבי פאניקה בארצות הברית.

זה לא איום סייבר קלאסי, שכן המשימה של התוקפים במקרה זה היא לא להדביק משתמשים או לגנוב את הנתונים האישיים או פרטי הזיהוי שלהם, אלא פשוט על גל הפחד כדי לאלץ אותם לצאת ולקנות מסכות רפואיות במחירים מופקעים. פי 5-10-30 מעבר לעלות בפועל. אבל עצם הרעיון של יצירת אתר מזויף המנצל את נושא הקורונה נמצא בשימוש גם על ידי פושעי סייבר. לדוגמה, הנה אתר ששמו מכיל את מילת המפתח "קוביד19", אך הוא גם אתר פישינג.

באופן כללי, ניטור יומיומי של שירות חקירת האירועים שלנו סיסקו מטריה לחקור, אתה רואה כמה דומיינים נוצרים ששמותיהם מכילים את המילים covid, covid19, coronavirus וכו'. ורבים מהם זדוניים.

בסביבה שבה חלק מעובדי החברה מועברים לעבודה מהבית והם אינם מוגנים באמצעי אבטחה ארגוניים, חשוב יותר מתמיד לנטר את המשאבים שניגשו מהמכשירים הניידים והשולחניים של העובדים, ביודעין או בלעדיהם. יֶדַע. אם אינך משתמש בשירות מטריית סיסקו לזהות ולחסום דומיינים כאלה (וסיסקו מציע החיבור לשירות זה הוא כעת בחינם), ולאחר מכן הגדר לכל הפחות את פתרונות ניטור הגישה לאינטרנט שלך כדי לנטר דומיינים עם מילות מפתח רלוונטיות. יחד עם זאת, זכרו שהגישה המסורתית לרישום דומיינים ברשימה השחורה, כמו גם שימוש במסדי נתונים של מוניטין, עלולה להיכשל, מכיוון שדומיינים זדוניים נוצרים מהר מאוד ומשמשים רק 1-2 התקפות למשך לא יותר מכמה שעות - אז התוקפים עוברים לתחומים חדשים. לחברות אבטחת מידע פשוט אין זמן לעדכן במהירות את בסיסי הידע שלהן ולהפיץ אותם לכל לקוחותיהן.

תוקפים ממשיכים לנצל באופן פעיל את ערוץ הדוא"ל כדי להפיץ קישורי דיוג ותוכנות זדוניות בקבצים מצורפים. והיעילות שלהם גבוהה למדי, מכיוון שמשתמשים, תוך שהם מקבלים דיוור חדשות חוקי לחלוטין על נגיף הקורונה, לא תמיד יכולים לזהות משהו זדוני בנפח שלהם. ובעוד שמספר הנדבקים רק הולך וגדל, גם מגוון האיומים הללו רק יגדל.

לדוגמה, כך נראית דוגמה של דוא"ל דיוג מטעם ה-CDC:

מעקב אחר הקישור, כמובן, אינו מוביל לאתר CDC, אלא לדף מזויף שגונב את פרטי הכניסה והסיסמה של הקורבן:

הנה דוגמה למייל דיוג שכביכול מטעם ארגון הבריאות העולמי:

ובדוגמה זו, התוקפים סומכים על העובדה שאנשים רבים מאמינים שהרשויות מסתירות מהם את היקף ההדבקה האמיתית, ולכן משתמשים בשמחה וכמעט ללא היסוס לוחצים על מכתבים מסוג זה עם קישורים או קבצים מצורפים זדוניים. כביכול יחשוף את כל הסודות.

אגב, יש אתר כזה מטר עולמי, המאפשר לעקוב אחר אינדיקטורים שונים, למשל, תמותה, מספר המעשנים, אוכלוסיה במדינות שונות וכו'. באתר יש גם עמוד המוקדש לקורונה. וכך כשהלכתי אליו ב-16 במרץ, ראיתי עמוד שלרגע גרם לי לפקפק בכך שהרשויות דוברות לנו את האמת (אני לא יודע מה הסיבה למספרים האלה, אולי סתם טעות):

אחת התשתיות הפופולריות שבהן משתמשים התוקפים לשליחת מיילים דומים היא Emotet, אחד האיומים המסוכנים והפופולריים ביותר בתקופה האחרונה. מסמכי Word המצורפים להודעות דואר אלקטרוני מכילים הורדות של Emotet, אשר טוענים מודולים זדוניים חדשים למחשב של הקורבן. Emotet שימש בתחילה לקידום קישורים לאתרי הונאה המוכרים מסכות רפואיות, המכוונות לתושבי יפן. להלן אתה רואה את התוצאה של ניתוח קובץ זדוני באמצעות ארגז חול Cisco Threat Grid, המנתח קבצים לאיתור זדוניות.

אבל התוקפים מנצלים לא רק את יכולת ההשקה ב-MS Word, אלא גם ביישומים אחרים של מיקרוסופט, למשל, ב-MS Excel (כך פעלה קבוצת ההאקרים APT36), ושולחים המלצות למאבק בנגיף הקורונה מממשלת הודו המכילה את ארגמן עכברוש:

מסע פרסום זדוני נוסף המנצל את נושא הקורונה הוא Nanocore RAT, המאפשר להתקין תוכניות במחשבי הקורבן לצורך גישה מרחוק, יירוט לחיצות מקלדת, לכידת תמונות מסך, גישה לקבצים וכו'.

ו- Nanocore RAT מועבר בדרך כלל באמצעות דואר אלקטרוני. לדוגמה, למטה אתה רואה הודעת דואר לדוגמה עם ארכיון ZIP מצורף המכיל קובץ PIF בר הפעלה. על ידי לחיצה על קובץ ההפעלה, הקורבן מתקין תוכנת גישה מרחוק (Remote Access Tool, RAT) במחשב שלו.

הנה דוגמה נוספת לטפיל קמפיין בנושא COVID-19. המשתמש מקבל מכתב על עיכוב כביכול באספקה ​​עקב נגיף הקורונה בצירוף חשבונית עם סיומת .pdf.ace. בתוך הארכיון הדחוס נמצא תוכן בר הפעלה היוצר חיבור לשרת הפקודה והבקרה כדי לקבל פקודות נוספות ולבצע מטרות תוקף אחרות.

ל- Parallax RAT יש פונקציונליות דומה, המפיצה קובץ בשם "new infected CORONAVIRUS sky 03.02.2020/XNUMX/XNUMX.pif" ואשר מתקין תוכנה זדונית שמקיימת אינטראקציה עם שרת הפקודות שלה באמצעות פרוטוקול DNS. כלי הגנה מסוג EDR, דוגמה לכך היא Cisco AMP עבור נקודות קצה, וגם NGFW יעזור לנטר תקשורת עם שרתי פקודה (לדוגמה, Cisco Firepower), או כלי ניטור DNS (לדוגמה, מטריית סיסקו).

בדוגמה שלהלן, תוכנות זדוניות בגישה מרחוק הותקנו במחשב של קורבן שמסיבה לא ברורה רכש פרסום שתוכנית אנטי-וירוס רגילה המותקנת במחשב יכולה להגן מפני COVID-19 אמיתי. ואחרי הכל, מישהו נפל לבדיחה כזו לכאורה.

אבל בין תוכנות זדוניות יש גם כמה דברים ממש מוזרים. לדוגמה, קבצי בדיחות שמחקים את העבודה של תוכנות כופר. במקרה אחד, חטיבת Cisco Talos שלנו גילה קובץ בשם CoronaVirus.exe, שחסם את המסך במהלך הביצוע והפעיל טיימר וההודעה "מוחק את כל הקבצים והתיקיות במחשב הזה - וירוס קורונה."

עם השלמת הספירה לאחור, הכפתור בתחתית הפך לפעיל ובלחיצה הוצגה ההודעה הבאה שאומרת שהכל בצחוק ושכדאי ללחוץ על Alt+F12 כדי לסיים את התוכנית.

המאבק נגד דיוור זדוני יכול להיות אוטומטי, למשל, באמצעות Cisco Email Security, המאפשר לזהות לא רק תוכן זדוני בקבצים מצורפים, אלא גם לעקוב אחר קישורי דיוג ולחיצות עליהם. אבל גם במקרה זה, אל תשכחו להכשיר משתמשים ולבצע באופן קבוע סימולציות פישינג ותרגילי סייבר, שיכינו את המשתמשים לטריקים שונים של תוקפים המכוונים נגד המשתמשים שלכם. במיוחד אם הם עובדים מרחוק ודרך האימייל האישי שלהם, קוד זדוני עלול לחדור לרשת הארגונית או המחלקה. כאן אני יכול להמליץ ​​על פתרון חדש כלי למודעות אבטחה של סיסקו, המאפשרת לא רק לערוך הדרכת מיקרו וננו של אנשי צוות בנושאי אבטחת מידע, אלא גם לארגן עבורם סימולציות פישינג.

אבל אם מסיבה כלשהי אינכם מוכנים להשתמש בפתרונות כאלה, אז כדאי לפחות לארגן דיוור קבוע לעובדים שלכם עם תזכורת לסכנת הדיוג, הדוגמאות שלה ורשימת כללים להתנהגות בטוחה (העיקר הוא התוקפים אינם מתחפשים אליהם). אגב, אחד הסיכונים האפשריים כיום הוא דיוור דיוג המתחזה למכתבים מההנהלה שלכם, שמדברים לכאורה על כללים ונהלים חדשים לעבודה מרחוק, תוכנות חובה שיש להתקין במחשבים מרוחקים וכו'. ואל תשכח שבנוסף לאימייל, פושעי סייבר יכולים להשתמש במסרונים מיידיים וברשתות חברתיות.

בסוג זה של דיוור או תוכנית להעלאת מודעות, אתה יכול גם לכלול את הדוגמה הקלאסית ממילא של מפת זיהום מזויפת של נגיף הקורונה, שהיתה דומה לזו הושק אוניברסיטת ג'ונס הופקינס. הֶבדֵל כרטיס זדוני היה שכאשר ניגש לאתר דיוג, הותקנה תוכנה זדונית במחשב של המשתמש, שגנבה פרטי חשבון משתמש ושלחה אותו לפושעי סייבר. גרסה אחת של תוכנית כזו יצרה גם חיבורי RDP לגישה מרחוק למחשב של הקורבן.

אגב, לגבי RDP. זהו וקטור תקיפה נוסף שתוקפים מתחילים להשתמש בו באופן פעיל יותר במהלך מגיפת הקורונה. חברות רבות, בעת המעבר לעבודה מרחוק, משתמשות בשירותים כגון RDP, שאם מוגדרים בצורה שגויה עקב חיפזון, עלולים להוביל לחדירת תוקפים הן למחשבי משתמשים מרוחקים והן בתוך התשתית הארגונית. יתרה מכך, אפילו עם תצורה נכונה, מימושי RDP שונים עשויים להיות בעלי נקודות תורפה שיכולות להיות מנוצלות על ידי תוקפים. לדוגמה, Cisco Talos גילה פרצות מרובות ב-FreeRDP, ובמאי אשתקד, התגלתה פגיעות קריטית CVE-2019-0708 בשירות Microsoft Remote Desktop, שאפשרה להפעיל קוד שרירותי במחשב של הקורבן, להכניס תוכנות זדוניות וכו'. אפילו הופץ עלון עליה NKTSKI, ולדוגמה, Cisco Talos опубликовала המלצות להגנה מפניו.

ישנה דוגמה נוספת לניצול נושא הקורונה - האיום האמיתי בהדבקה של משפחת הקורבן אם תסרבו לשלם את הכופר בביטקוין. כדי להעצים את האפקט, לתת למכתב משמעות וליצור תחושת אומניפוטנטיות של הסוחט, הוכנסה לטקסט של המכתב סיסמת הקורבן מאחד מחשבונותיו, המתקבלת ממאגרי מידע ציבוריים של כניסות וסיסמאות.

באחת הדוגמאות למעלה, הראיתי הודעת דיוג מארגון הבריאות העולמי. והנה עוד דוגמה שבה משתמשים מתבקשים עזרה כספית כדי להילחם ב-COVID-19 (אם כי בכותרת בגוף המכתב, המילה "DONATIONTION" בולטת מיד). והם מבקשים עזרה בביטקוין כדי להגן מפני מעקב אחר מטבעות קריפטוגרפיים.

והיום יש הרבה דוגמאות כאלה המנצלות את החמלה של המשתמשים:

ביטקוין קשורים ל-COVID-19 בדרך אחרת. כך למשל נראים הדיוור שמקבלים אזרחים בריטים רבים שיושבים בבית ולא יכולים להרוויח כסף (ברוסיה עכשיו זה גם יהפוך לרלוונטי).

דיוור אלו, המתחפשים לעיתונים ואתרי חדשות ידועים, מציעים כסף קל על ידי כריית מטבעות קריפטוגרפיים באתרים מיוחדים. למעשה, לאחר זמן מה, אתה מקבל הודעה שניתן למשוך את הסכום שהרווחת לחשבון מיוחד, אבל צריך להעביר סכום קטן של מיסים לפני כן. ברור שלאחר קבלת הכסף הזה, הרמאים לא מעבירים שום דבר בתמורה, והמשתמש הפתי מפסיד את הכסף שהועבר.

קיים איום נוסף הקשור לארגון הבריאות העולמי. האקרים פרצו את הגדרות ה-DNS של נתבי D-Link ו-Linksys, המשמשים לעתים קרובות על ידי משתמשים ביתיים ועסקים קטנים, כדי להפנות אותם לאתר מזויף עם אזהרה מוקפצת על הצורך להתקין את אפליקציית WHO, שתשמור עליהם מעודכן בחדשות האחרונות על נגיף הקורונה. יתרה מכך, האפליקציה עצמה הכילה את התוכנה הזדונית Oski, אשר גונבת מידע.

רעיון דומה עם אפליקציה המכילה את הסטטוס הנוכחי של הדבקה ב-COVID-19 מנוצל על ידי ה-Android Trojan CovidLock, המופץ באמצעות אפליקציה שכביכול "אושרה" על ידי משרד החינוך האמריקאי, WHO והמרכז לבקרת מגיפות ( CDC).

משתמשים רבים כיום נמצאים בבידוד עצמי, ובחוסר רצון או חוסר יכולת לבשל, ​​משתמשים באופן פעיל בשירותי משלוח של מזון, מצרכים או מוצרים אחרים, כגון נייר טואלט. התוקפים גם שלטו בוקטור זה למטרותיהם. לדוגמה, כך נראה אתר זדוני, בדומה למשאב לגיטימי בבעלות קנדה פוסט. הקישור מה-SMS שקיבל הנפגע מוביל לאתר שמדווח שלא ניתן לספק את המוצר שהוזמן מכיוון שחסרים 3$ בלבד, אותם יש לשלם תוספת. במקרה זה, המשתמש מופנה לעמוד בו עליו לציין את פרטי כרטיס האשראי שלו... עם כל ההשלכות הנובעות מכך.

לסיכום, אני רוצה לתת עוד שתי דוגמאות לאיומי סייבר הקשורים ל-COVID-19. לדוגמה, התוספים "COVID-19 Coronavirus - Live Map WordPress Plugin", "Coronavirus Spread Prediction Graphs" או "Covid-19" מובנים באתרים המשתמשים במנוע וורדפרס הפופולרי ויחד עם הצגת מפה של התפשטות וירוס הקורונה, מכילים גם את התוכנה הזדונית WP-VCD. וחברת זום, שבעקבות הגידול במספר האירועים המקוונים, הפכה לפופולרית מאוד, עמדה בפני מה שמומחים כינו "הפצצת זום". התוקפים, אך למעשה טרולי פורנו רגילים, התחברו לצ'אטים ולפגישות מקוונות והציגו סרטונים מגונים שונים. אגב, איום דומה נתקלות היום בחברות רוסיות.

אני חושב שרובנו בודקים באופן קבוע משאבים שונים, רשמיים ולא כל כך רשמיים, לגבי המצב הנוכחי של המגיפה. התוקפים מנצלים את הנושא הזה, ומציעים לנו את המידע ה"עדכני ביותר" על נגיף הקורונה, כולל מידע "שהרשויות מסתירות מכם". אבל אפילו משתמשים רגילים רגילים עזרו לאחרונה לתוקפים על ידי שליחת קודים של עובדות מאומתות מ"מכרים" ו"חברים". פסיכולוגים אומרים שפעילות כזו של משתמשים "מתריעים" ששולחים את כל מה שנכנס לשדה הראייה שלהם (במיוחד ברשתות חברתיות ובמסרים מיידיים, שאין להם מנגנוני הגנה מפני איומים כאלה), מאפשרת להם להרגיש מעורבים במאבק נגד איום עולמי ואפילו מרגישים כמו גיבורים שמצילים את העולם מקורונה. אבל, למרבה הצער, חוסר הידע המיוחד מוביל לכך שהכוונות הטובות הללו "מובילות את כולם לגיהנום", יצירת איומי אבטחת סייבר חדשים והרחבת מספר הקורבנות.

למעשה, אני יכול להמשיך עם דוגמאות לאיומי סייבר הקשורים לקורונה; יתרה מכך, פושעי סייבר אינם עומדים במקום וממציאים עוד ועוד דרכים חדשות לנצל את התשוקות האנושיות. אבל אני חושב שאנחנו יכולים לעצור שם. התמונה כבר ברורה והיא אומרת לנו שבעתיד הקרוב המצב רק יחמיר. אתמול הכניסו השלטונות במוסקבה לבידוד עצמי של העיר המונה עשרה מיליון בני אדם. השלטונות של אזור מוסקבה ואזורים רבים אחרים ברוסיה, כמו גם שכנינו הקרובים ביותר במרחב הפוסט-סובייטי לשעבר, עשו את אותו הדבר. המשמעות היא שמספר הקורבנות הפוטנציאליים שממוקדים על ידי פושעי סייבר יגדל פי כמה. לכן, כדאי לא רק לשקול מחדש את אסטרטגיית האבטחה שלך, שעד לאחרונה התמקדה בהגנה על רשת ארגונית או מחלקתית בלבד, ולהעריך אילו כלי הגנה חסרים לך, אלא גם לקחת בחשבון את הדוגמאות שניתנו בתוכנית המודעות שלך לעובדים, שהיא הופך לחלק חשוב ממערכת אבטחת המידע עבור עובדים מרוחקים. א חברת סיסקו מוכן לעזור לך עם זה!

נ.ב. בהכנת החומר הזה, נעשה שימוש בחומרים מחברות Cisco Talos, Naked Security, Anti-Phishing, Malwarebytes Lab, ZoneAlarm, Reason Security ו-RiskIQ, משרד המשפטים האמריקני, משאבי מחשב מצמרר, SecurityAffairs וכו'.

מקור: www.habr.com