사이버 보안 위협에서 코로나 바이러스 주제 악용

오늘날 코로나바이러스라는 주제는 모든 뉴스피드를 가득 채웠고, 또한 코로나19라는 주제와 이와 관련된 모든 것을 악용하는 공격자들의 다양한 활동에 대한 주요 주제가 되었습니다. 이 노트에서는 그러한 악의적인 활동의 몇 가지 예에 주목하고 싶습니다. 물론 이는 많은 정보 보안 전문가에게는 비밀이 아니지만 한 노트에 요약하면 자신의 인식을 더 쉽게 준비할 수 있습니다. - 직원 중 일부는 원격으로 근무하고 일부는 이전보다 다양한 정보 보안 위협에 더 취약한 직원을 위한 이벤트를 개최합니다.

UFO의 배려의 순간

세계는 공식적으로 SARS-CoV-19 코로나바이러스(2-nCoV)로 인해 발생하는 심각한 급성 호흡기 감염인 코로나2019(COVID-XNUMX)의 세계적 대유행을 선언했습니다. 이 주제에 관해 Habré에 대한 많은 정보가 있습니다. 신뢰할 수 있고 유용할 수 있으며 그 반대의 경우도 마찬가지라는 점을 항상 기억하세요.

게시된 모든 정보에 대해 비판적인 태도를 취하실 것을 권장합니다.

공식 출처

• 러시아 연방 보건부 웹사이트
• Rospotrebnadzor 웹 사이트
• WHO 홈페이지(영어)
• WHO 웹사이트
• 각 지역 운영 본부의 웹사이트 및 공식 그룹

러시아에 거주하지 않는 경우 해당 국가의 유사한 사이트를 참고하세요.
손을 씻고, 사랑하는 사람을 돌보고, 가능하면 집에 머물면서 원격으로 일하세요.

다음에 관한 출판물을 읽어보십시오. 코로나 바이러스 | 원격 근무

오늘날 코로나바이러스와 관련된 완전히 새로운 위협은 없다는 점에 유의해야 합니다. 오히려 우리는 이미 전통적이며 단순히 새로운 "소스"에 사용되는 공격 벡터에 대해 이야기하고 있습니다. 따라서 저는 위협의 주요 유형을 다음과 같이 부를 것입니다.

• 코로나바이러스 및 관련 악성코드 관련 피싱 사이트 및 뉴스레터
• 코로나19에 대한 두려움이나 불완전한 정보를 이용하려는 사기 및 허위 정보
• 코로나바이러스 연구와 관련된 조직에 대한 공격

시민들이 전통적으로 당국을 신뢰하지 않고 진실을 숨기고 있다고 믿는 러시아에서는 피싱 사이트, 메일링 리스트, 사기성 자원을 성공적으로 "홍보"할 가능성이 개방적인 국가보다 훨씬 높습니다. 당국. 오늘날에는 두려움, 연민, 탐욕 등 인간의 모든 전형적인 인간 약점을 이용하는 창의적인 사이버 사기꾼으로부터 자신을 절대적으로 보호한다고 생각할 수는 없습니다.

의료용 마스크를 판매하는 사기 사이트를 예로 들어 보겠습니다.

비슷한 사이트인 CoronaMedicalkit[.]com은 존재하지 않는 코로나19 백신을 무료로 배포했다는 이유로 미국 당국에 의해 폐쇄되었습니다. 이 경우, 그렇게 낮은 가격으로 인해 미국의 공황 상태에서 의약품에 대한 수요가 급증할 것으로 계산되었습니다.

이는 고전적인 사이버 위협이 아닙니다. 이 경우 공격자의 임무는 사용자를 감염시키거나 개인 데이터 또는 식별 정보를 훔치는 것이 아니라 단순히 두려움의 물결에 따라 의료용 마스크를 부풀려진 가격에 구입하도록 강요하는 것이기 때문입니다. 실제 비용의 5~10~30배 정도. 하지만 코로나바이러스 테마를 활용하는 가짜 웹사이트를 만들려는 아이디어 자체도 사이버범죄자들에 의해 사용되고 있습니다. 예를 들어, 다음은 이름에 "covid19"라는 키워드가 포함되어 있지만 피싱 사이트이기도 한 사이트가 있습니다.

일반적으로 당사의 사건 조사 서비스를 매일 모니터링합니다. Cisco Umbrella 조사을 클릭하면 이름에 covid, covid19, corona virus 등의 단어가 포함된 도메인이 몇 개 생성되는지 확인할 수 있습니다. 그리고 그 중 다수는 악의적입니다.

회사 직원 중 일부가 재택근무하고 회사 보안 조치로 보호되지 않는 환경에서는 직원의 모바일 및 데스크톱 장치에서 고의로 또는 자신의 정보 없이 액세스하는 리소스를 모니터링하는 것이 그 어느 때보다 중요합니다. 지식. 서비스를 이용하지 않는 경우 시스코 우산 그러한 도메인(그리고 Cisco 제공 이 서비스에 대한 연결은 이제 무료입니다.) 그런 다음 최소한 관련 키워드로 도메인을 모니터링하도록 웹 액세스 모니터링 솔루션을 구성하십시오. 동시에, 평판 데이터베이스를 사용하는 것뿐만 아니라 도메인을 블랙리스트에 올리는 전통적인 접근 방식은 실패할 수 있다는 점을 기억하십시오. 악성 도메인은 매우 빠르게 생성되고 몇 시간 이내에 1-2번의 공격에만 사용되기 때문입니다. 공격자는 새로운 임시 도메인으로 전환합니다. 정보 보안 회사는 지식 기반을 신속하게 업데이트하고 이를 모든 고객에게 배포할 시간이 없습니다.

공격자들은 계속해서 이메일 채널을 적극적으로 악용하여 첨부 파일에 포함된 피싱 링크와 악성 코드를 배포합니다. 그리고 사용자는 코로나바이러스에 대한 완전히 합법적인 뉴스 메일을 수신하면서도 그 양에서 악의적인 내용을 항상 인식할 수는 없기 때문에 효율성이 상당히 높습니다. 감염된 사람의 수가 점점 늘어나고 있는 반면, 그러한 위협의 범위도 더욱 커질 것입니다.

예를 들어 CDC를 대표하는 피싱 이메일의 예는 다음과 같습니다.

물론 링크를 따라가면 CDC 웹사이트로 연결되지 않고 피해자의 로그인과 비밀번호를 훔치는 가짜 페이지로 연결됩니다.

다음은 세계보건기구(WHO)를 대표하는 것으로 추정되는 피싱 이메일의 예입니다.

그리고 이 예에서 공격자는 많은 사람들이 당국이 실제 감염 규모를 숨기고 있다고 믿고 있으므로 사용자는 거의 주저 없이 악의적인 링크나 첨부 파일이 포함된 이러한 유형의 문자를 클릭한다는 사실을 믿고 있습니다. 아마도 모든 비밀이 드러날 것입니다.

그런데 그런 사이트가 있군요 월드 미터를 사용하면 사망률, 흡연자 수, 여러 국가의 인구 등 다양한 지표를 추적할 수 있습니다. 이 웹사이트에는 코로나바이러스 전용 페이지도 있습니다. 그래서 16월 XNUMX일에 접속했을 때 당국이 우리에게 진실을 말하고 있는지 잠시 의심하게 만드는 페이지를 보았습니다(이 숫자의 이유가 무엇인지는 모르겠습니다. 아마도 단지 실수일 수도 있습니다).

공격자가 유사한 이메일을 보내는 데 사용하는 널리 사용되는 인프라 중 하나는 최근 가장 위험하고 인기 있는 위협 중 하나인 Emotet입니다. 이메일 메시지에 첨부된 Word 문서에는 피해자의 컴퓨터에 새로운 악성 모듈을 로드하는 Emotet 다운로더가 포함되어 있습니다. Emotet은 처음에 일본 거주자를 대상으로 의료용 마스크를 판매하는 사기 웹사이트에 대한 링크를 홍보하는 데 사용되었습니다. 아래는 샌드박스를 이용한 악성파일 분석 결과입니다. 시스코 위협 그리드, 파일의 악성 여부를 분석합니다.

그러나 공격자는 MS Word뿐만 아니라 다른 Microsoft 애플리케이션(예: MS Excel)에서도 실행하는 기능을 악용하여(APT36 해커 그룹이 행동한 방식) 크림슨이 포함된 인도 정부로부터 코로나바이러스 퇴치에 대한 권장 사항을 보냅니다. 쥐:

코로나바이러스 테마를 악용하는 또 다른 악성 캠페인은 Nanocore RAT입니다. 이를 통해 피해자 컴퓨터에 원격 액세스, 키보드 스트로크 가로채기, 화면 이미지 캡처, 파일 액세스 등을 위한 프로그램을 설치할 수 있습니다.

그리고 Nanocore RAT는 일반적으로 이메일로 전달됩니다. 예를 들어, 아래에는 실행 가능한 PIF 파일이 포함된 ZIP 아카이브가 첨부된 메일 메시지의 예가 나와 있습니다. 피해자는 실행 파일을 클릭함으로써 자신의 컴퓨터에 원격 접속 프로그램(Remote Access Tool, RAT)을 설치하게 됩니다.

다음은 코로나19를 주제로 기생하는 캠페인의 또 다른 예입니다. 사용자는 확장자가 .pdf.ace인 청구서가 첨부된 코로나바이러스로 인한 예상 배송 지연에 대한 편지를 받습니다. 압축된 아카이브 내부에는 추가 명령을 수신하고 다른 공격자의 목표를 수행하기 위해 명령 및 제어 서버에 대한 연결을 설정하는 실행 가능한 콘텐츠가 있습니다.

Parallax RAT에는 "새로 감염된 CORONAVIRUS sky 03.02.2020/XNUMX/XNUMX.pif"라는 파일을 배포하고 DNS 프로토콜을 통해 명령 서버와 상호 작용하는 악성 프로그램을 설치하는 유사한 기능이 있습니다. EDR 클래스 보호 도구의 예는 다음과 같습니다. 엔드포인트용 Cisco AMP, NGFW 중 하나는 명령 서버와의 통신을 모니터링하는 데 도움이 됩니다(예: 시스코 화력) 또는 DNS 모니터링 도구(예: 시스코 우산).

아래 예에서는 알 수 없는 이유로 PC에 설치된 일반 바이러스 백신 프로그램이 실제 코로나19로부터 보호할 수 있다는 광고를 사들인 피해자의 컴퓨터에 원격 액세스 악성 코드가 설치되었습니다. 그리고 결국 누군가는 그런 농담에 빠졌습니다.

하지만 악성 코드 중에는 정말 이상한 것들도 있습니다. 예를 들어, 랜섬웨어 작업을 에뮬레이트하는 조크 파일입니다. 한 경우에는 Cisco Talos 사업부가 발견 실행 중에 화면을 차단하고 타이머를 시작한 CoronaVirus.exe라는 파일과 "이 컴퓨터의 모든 파일과 폴더 삭제 중 - 코로나바이러스"라는 메시지가 표시됩니다.

카운트다운이 완료되자 하단의 버튼이 활성화됐고, 누르면 이게 다 농담이고 프로그램을 종료하려면 Alt+F12를 눌러야 한다는 내용의 다음과 같은 메시지가 떴다.

예를 들어 다음을 사용하여 악성 메일링과의 싸움을 자동화할 수 있습니다. 시스코 이메일 보안를 사용하면 첨부 파일의 악성 콘텐츠를 탐지할 수 있을 뿐만 아니라 피싱 링크 및 클릭도 추적할 수 있습니다. 그러나 이 경우에도 사용자를 교육하고 정기적으로 피싱 시뮬레이션 및 사이버 훈련을 수행하는 것을 잊어서는 안 됩니다. 이를 통해 사용자는 사용자를 겨냥한 공격자의 다양한 속임수에 대비할 수 있습니다. 특히 원격으로 근무하거나 개인 이메일을 통해 근무하는 경우 악성코드가 기업이나 부서 네트워크에 침투할 수 있다. 여기서 새로운 솔루션을 추천할 수 있습니다. Cisco 보안 인식 도구이를 통해 정보 보안 문제에 대한 직원의 마이크로 및 나노 교육을 수행할 수 있을 뿐만 아니라 피싱 시뮬레이션을 구성할 수도 있습니다.

그러나 어떤 이유로 그러한 솔루션을 사용할 준비가 되지 않은 경우에는 피싱 위험, 그 예 및 안전한 행동 규칙 목록을 상기시켜주는 정기적인 메일링을 직원에게 최소한 구성하는 것이 좋습니다. 공격자는 자신을 자신으로 위장하지 않습니다.) 그런데 현재 가능한 위험 중 하나는 원격 작업에 대한 새로운 규칙 및 절차, 원격 컴퓨터에 설치해야 하는 필수 소프트웨어 등에 대해 설명하는 경영진의 편지로 가장한 피싱 메일입니다. 그리고 사이버 범죄자는 이메일 외에도 인스턴트 메신저와 소셜 네트워크를 사용할 수 있다는 사실을 잊지 마십시오.

이러한 종류의 메일링 또는 인식 제고 프로그램에는 이미 고전적인 가짜 코로나바이러스 감염 지도의 예를 포함할 수도 있습니다. 발사 존스홉킨스대학교. 차이점 악성 카드 피싱 사이트 접속 시 사용자 컴퓨터에 악성코드가 설치돼 사용자 계정 정보를 탈취해 사이버범죄자들에게 보냈다는 점이었다. 이러한 프로그램의 한 버전은 피해자의 컴퓨터에 대한 원격 액세스를 위한 RDP 연결도 생성했습니다.

그건 그렇고, RDP에 대해서. 이는 공격자들이 코로나바이러스 팬데믹 기간 동안 더욱 적극적으로 사용하기 시작한 또 다른 공격 벡터입니다. 많은 회사가 원격 작업으로 전환할 때 RDP와 같은 서비스를 사용합니다. 이 서비스가 서둘러서 잘못 구성되면 공격자가 원격 사용자 컴퓨터와 기업 인프라 내부에 모두 침투할 수 있습니다. 또한 올바른 구성을 사용하더라도 다양한 RDP 구현에는 공격자가 악용할 수 있는 취약점이 있을 수 있습니다. 예를 들어 시스코 탈로스 발견하다 FreeRDP에는 여러 가지 취약점이 있으며, 작년 2019월에는 Microsoft 원격 데스크톱 서비스에서 치명적인 취약점 CVE-0708-XNUMX이 발견되었습니다. 이 취약점은 피해자의 컴퓨터에서 임의 코드가 실행되고 악성 코드가 유입되는 등을 허용했습니다. 그녀에 관한 뉴스레터가 배포되기도 했습니다. NKTSKI및 예를 들어 Cisco Talos опубликовала 이에 대한 보호를 위한 권장 사항.

코로나바이러스 주제를 악용한 또 다른 예는 피해자 가족이 비트코인으로 몸값 지불을 거부할 경우 감염될 수 있다는 실제 위협입니다. 효과를 높이고 편지에 의미를 부여하고 강탈범의 전능감을 조성하기 위해 공개 로그인 및 비밀번호 데이터베이스에서 얻은 계정 중 하나의 피해자 비밀번호를 편지 텍스트에 삽입했습니다.

위의 예 중 하나에서는 세계보건기구(WHO)의 피싱 메시지를 보여주었습니다. 그리고 여기 사용자들이 코로나19와 싸우기 위해 재정적인 도움을 요청하는 또 다른 예가 있습니다.(편지 본문의 헤더에 “DONATIONTION”이라는 단어가 즉시 눈에 띄지만) 그들은 보호하기 위해 비트코인으로 도움을 요청합니다. 암호화폐 추적.

오늘날에는 사용자의 연민을 활용하는 사례가 많이 있습니다.

비트코인은 또 다른 방식으로 코로나19와 관련이 있습니다. 예를 들어, 집에 앉아 돈을 벌 수 없는 많은 영국 시민이 받은 우편물은 다음과 같습니다(이제 러시아에서도 관련이 있습니다).

잘 알려진 신문과 뉴스 사이트로 가장한 이러한 메일링은 특수 사이트에서 암호화폐를 채굴하여 손쉬운 돈을 제공합니다. 실제로 시간이 좀 지나면 적립한 금액을 특별계좌로 인출할 수 있다는 메시지를 받게 되는데, 그 전에 소액의 세금을 이체해야 합니다. 이 돈을 받은 후 사기꾼은 대가로 아무것도 이체하지 않으며 속기 쉬운 사용자는 이체된 돈을 잃게 됩니다.

세계보건기구(WHO)와 관련된 또 다른 위협이 있습니다. 해커들은 가정 사용자와 소규모 기업이 자주 사용하는 D-Link 및 Linksys 라우터의 DNS 설정을 해킹하여 WHO 앱을 설치해야 한다는 팝업 경고와 함께 가짜 웹사이트로 리디렉션했습니다. 코로나바이러스에 관한 최신 뉴스를 알려드립니다. 게다가 애플리케이션 자체에는 정보를 훔치는 악성 프로그램 Oski가 포함되어 있었습니다.

현재 코로나19 감염 상태가 포함된 애플리케이션과 유사한 아이디어가 안드로이드 트로이 목마인 코비드락(CovidLock)에 의해 악용되는데, 이는 미국 교육부, WHO 및 전염병 통제 센터에서 "인증"한 것으로 추정되는 애플리케이션을 통해 배포됩니다( 질병통제예방센터).

오늘날 많은 사용자는 자가 격리 상태에 있으며 요리할 의지가 없거나 요리할 수 없는 상황에서 음식, 식료품 또는 화장지와 같은 기타 물품 배달 서비스를 적극적으로 이용하고 있습니다. 공격자들도 자신들의 목적을 위해 이 벡터를 마스터했습니다. 예를 들어, 다음은 Canada Post가 소유한 합법적인 리소스와 유사한 악성 웹사이트의 모습입니다. 피해자가 받은 SMS 링크는 추가로 지불해야 하는 3달러만 누락되어 주문한 제품을 배송할 수 없다는 웹사이트로 연결됩니다. 이 경우 사용자는 신용 카드 세부 정보와 그에 따른 모든 결과를 표시해야 하는 페이지로 이동하게 됩니다.

결론적으로, 코로나19와 관련된 사이버 위협의 두 가지 사례를 더 들어보고 싶습니다. 예를 들어, "COVID-19 코로나바이러스 - 라이브 맵 WordPress 플러그인", "코로나바이러스 확산 예측 그래프" 또는 "Covid-19" 플러그인은 인기 있는 WordPress 엔진을 사용하여 사이트에 내장되어 있으며, 바이러스 확산 지도를 표시합니다. 코로나바이러스에는 WP-VCD 악성코드도 포함되어 있습니다. 그리고 온라인 이벤트의 증가로 엄청난 인기를 끌었던 Zoom이라는 회사는 전문가들이 말하는 "Zoombobing"에 직면하게 되었습니다. 공격자들은 사실은 평범한 포르노 트롤들이었지만, 온라인 채팅과 온라인 모임에 접속해 각종 음란 영상을 보여줬다. 그건 그렇고, 오늘날 러시아 기업에서도 비슷한 위협에 직면하고 있습니다.

저는 우리 대부분이 팬데믹의 현재 상태에 대해 공식적이거나 공식적이지 않은 다양한 자료를 정기적으로 확인한다고 생각합니다. 공격자들은 이 주제를 악용하여 "당국이 귀하에게 숨기고 있는" 정보를 포함하여 코로나바이러스에 대한 "최신" 정보를 제공하고 있습니다. 하지만 최근에는 일반 일반 사용자들도 '지인', '친구'로부터 검증된 사실을 담은 코드를 보내 공격자를 돕는 경우가 많다. 심리학자들은 자신의 시야에 들어오는 모든 것을 보내는 "경보" 사용자의 이러한 활동(특히 이러한 위협에 대한 보호 메커니즘이 없는 소셜 네트워크 및 인스턴트 메신저에서)이 그들이 전쟁에 참여하고 있다는 느낌을 갖게 한다고 말합니다. 세계적인 위협이며, 심지어 코로나바이러스로부터 세상을 구하는 영웅처럼 느껴질 수도 있습니다. 그러나 불행하게도 특별한 지식이 부족하면 이러한 좋은 의도가 "모든 사람을 지옥으로 인도"하여 새로운 사이버 보안 위협이 발생하고 피해자 수가 확대된다는 사실로 이어집니다.

사실 코로나바이러스와 관련된 사이버 위협의 예를 계속 들어볼 수 있습니다. 더욱이, 사이버 범죄자들은 ​​가만히 있지 않고 인간의 열정을 이용하는 새로운 방법을 점점 더 많이 찾아냅니다. 하지만 내 생각엔 여기서 멈출 수 있을 것 같다. 상황은 이미 명확하며 가까운 시일 내에 상황이 더욱 악화될 것임을 알려줍니다. 어제 모스크바 당국은 인구 천만 명의 도시를 자가 격리 조치했습니다. 모스크바 지역과 러시아의 다른 많은 지역 당국, 그리고 구 소련 시대 이후의 공간에서 가장 가까운 이웃들도 같은 일을 했습니다. 이는 사이버 범죄자의 표적이 되는 잠재적 피해자의 수가 몇 배로 늘어날 것임을 의미합니다. 따라서 최근까지 회사 또는 부서 네트워크만 보호하고 어떤 보호 도구가 부족한지 평가하는 데 중점을 두었던 보안 전략을 재검토할 뿐만 아니라 직원 인식 프로그램에 제공된 예를 고려하는 것도 가치가 있습니다. 원격 근무자를 위한 정보 보안 시스템의 중요한 부분이 되었습니다. ㅏ 콤파니야 시스코 당신을 도울 준비가되었습니다!

추신. 이 자료를 준비하는 데에는 Cisco Talos, Naked Security, Anti-Phishing, Malwarebytes Lab, ZoneAlarm, Reason Security 및 RiskIQ 회사, 미국 법무부, Bleeping Computer resources, SecurityAffairs 등의 자료가 사용되었습니다.

출처 : habr.com