Експлоатација на темата коронавирус во заканите за сајбер безбедноста

Темата за коронавирусот денес ги пополни сите вести, а стана и главен лајтмотив за различни активности на напаѓачите кои ја искористуваат темата COVID-19 и се што е поврзано со неа. Во оваа белешка, би сакал да привлечам внимание на некои примери на таква злонамерна активност, што, се разбира, не е тајна за многу специјалисти за информациска безбедност, но чие резиме во една белешка ќе го олесни подготвувањето на сопствената свест -подигање настани за вработените, од кои некои работат од далечина, а други се поподложни на разни закани по безбедноста на информациите од порано.

Момент на грижа од НЛО

Светот официјално прогласи пандемија на СОВИД-19, потенцијално тешка акутна респираторна инфекција предизвикана од коронавирусот SARS-CoV-2 (2019-nCoV). Има многу информации за Хабре на оваа тема - секогаш запомнете дека може да биде и доверливо/корисно и обратно.

Ве охрабруваме да бидете критични кон секоја објавена информација.

Официјални извори

• Веб-страница на Министерството за здравство на Руската Федерација
• Веб-страница на Роспотребнадзор
• Веб-страница на СЗО (англиски)
• Веб-страница на СЗО
• Веб-страници и официјални групи на оперативни штабови во регионите

Ако не живеете во Русија, ве молиме погледнете ги сличните страници во вашата земја.
Измијте ги рацете, грижете се за вашите најблиски, останете дома ако е можно и работете на далечина.

Прочитајте публикации за: корона вирус | работа на далечина

Треба да се напомене дека денес нема целосно нови закани поврзани со коронавирусот. Наместо тоа, зборуваме за вектори за напад кои веќе станаа традиционални, едноставно се користат во нов „сос“. Значи, јас би ги нарекол клучните видови закани:

• фишинг сајтови и билтени поврзани со коронавирусот и поврзаниот злонамерен код
• Измама и дезинформации насочени кон искористување на стравот или нецелосни информации за COVID-19
• напади врз организации вклучени во истражување на коронавирус

Во Русија, каде граѓаните традиционално не им веруваат на властите и веруваат дека ја кријат вистината од нив, веројатноста за успешно „промовирање“ на сајтови за фишинг и мејлинг листи, како и за измамнички ресурси, е многу поголема отколку во земјите со поотворени властите. Иако денес никој не може да се смета себеси за апсолутно заштитен од креативните сајбер измамници кои ги користат сите класични човечки слабости на една личност - страв, сочувство, алчност итн.

Земете, на пример, измамнички сајт кој продава медицински маски.

Слична страница, CoronavirusMedicalkit[.]com, беше затворена од американските власти поради бесплатно дистрибуирање на непостоечка вакцина за COVID-19 со „само“ поштарина за испорака на лекот. Во овој случај, со толку ниска цена, пресметката беше за брзата побарувачка на лекот во услови на паника во САД.

Ова не е класична сајбер закана, бидејќи задачата на напаѓачите во овој случај не е да ги инфицираат корисниците или да ги украдат нивните лични податоци или информации за идентификација, туку едноставно на бранот на страв да ги принудат да купат медицински маски по надуени цени. за 5-10-30 пати надминувајќи ја реалната цена. Но, самата идеја за создавање лажна веб-локација која ја искористува темата за коронавирус се користи и од сајбер-криминалците. На пример, тука е страница чие име го содржи клучниот збор „covid19“, но исто така е и фишинг-страница.

Во принцип, секојдневно ја следиме нашата служба за истрага на инциденти Cisco Umbrella Investigate, гледате колку домени се создаваат чии имиња ги содржат зборовите covid, covid19, coronavirus итн. И многу од нив се злонамерни.

Во средина каде што некои од вработените во компанијата се префрлени на работа од дома и тие не се заштитени со корпоративни безбедносни мерки, поважно е од кога било да се следат ресурсите до кои се пристапува од мобилните и десктоп уредите на вработените, свесно или без нивни знаење. Ако не ја користите услугата Cisco чадор да открие и блокира такви домени (и Cisco понуди врската со оваа услуга сега е бесплатна), потоа барем конфигурирајте ги вашите решенија за следење на веб пристапот за да ги надгледуваат домените со соодветни клучни зборови. Во исто време, запомнете дека традиционалниот пристап за ставање домени на црната листа, како и користењето на базите на податоци за репутација, може да пропадне, бидејќи малициозните домени се создаваат многу брзо и се користат во само 1-2 напади не подолго од неколку часа - тогаш напаѓачите се префрлаат на нови ефемерни домени. Компаниите за безбедност на информации едноставно немаат време брзо да ги ажурираат своите бази на знаење и да ги дистрибуираат до сите свои клиенти.

Напаѓачите продолжуваат активно да го искористуваат каналот за е-пошта за да дистрибуираат врски за фишинг и малициозен софтвер во прилозите. И нивната ефикасност е доста висока, бидејќи корисниците, иако добиваат целосно легални пораки за коронавирусот, не можат секогаш да препознаат нешто злонамерно во нивниот волумен. И додека бројот на заразени луѓе само расте, опсегот на такви закани исто така само ќе расте.

На пример, вака изгледа примерот на фишинг-пошта во име на ЦДЦ:

Следењето на врската, се разбира, не води до веб-страницата на ЦДЦ, туку до лажна страница што ги краде најавата и лозинката на жртвата:

Еве пример за фишинг-пошта наводно во име на Светската здравствена организација:

И во овој пример, напаѓачите сметаат на фактот дека многу луѓе веруваат дека властите ги кријат вистинските размери на инфекцијата од нив, и затоа корисниците среќно и речиси без двоумење кликнуваат на овие типови писма со малициозни врски или прилози што наводно ќе ги открие сите тајни.

Патем, постои таков сајт Светскиметри, кој ви овозможува да следите различни индикатори, на пример, смртност, број на пушачи, население во различни земји итн. Веб-страницата има и страница посветена на коронавирусот. И така, кога отидов на неа на 16 март, видов страница која за момент ме натера да се сомневам дека властите ни ја кажуваат вистината (не знам која е причината за овие бројки, можеби само грешка):

Една од популарните инфраструктури што напаѓачите ја користат за испраќање слични е-пошта е Emotet, една од најопасните и најпопуларните закани во последно време. Word документите прикачени на е-пораките содржат Emotet преземачи, кои вчитуваат нови малициозни модули на компјутерот на жртвата. Емотет првично се користеше за промовирање врски до лажни сајтови кои продаваат медицински маски, насочени кон жителите на Јапонија. Подолу го гледате резултатот од анализата на злонамерна датотека користејќи песок Cisco мрежа за закани, кој ги анализира датотеките за злонамерност.

Но, напаѓачите ја искористуваат не само можноста за лансирање во MS Word, туку и во други апликации на Microsoft, на пример, во MS Excel (вака дејствувала хакерската група APT36), испраќајќи препораки за борба против коронавирусот од Владата на Индија што содржи Crimson стаорец:

Друга злонамерна кампања што ја искористува темата за коронавирус е Nanocore RAT, која ви овозможува да инсталирате програми на компјутерите на жртвите за далечински пристап, пресретнување на удари на тастатурата, снимање слики на екранот, пристап до датотеки итн.

И Nanocore RAT обично се доставува по е-пошта. На пример, подолу гледате пример за пошта порака со приложена ZIP архива која содржи извршна датотека PIF. Со кликнување на извршната датотека, жртвата инсталира програма за далечински пристап (Remote Access Tool, RAT) на својот компјутер.

Еве уште еден пример на паразит од кампања на тема СОВИД-19. Корисникот добива писмо за наводно доцнење на испораката поради коронавирус со приложена фактура со наставка .pdf.ace. Внатре во компресираната архива има извршна содржина која воспоставува врска со серверот за команди и контрола за да прима дополнителни команди и да извршува други цели на напаѓачот.

Parallax RAT има слична функционалност, која дистрибуира датотека со име „new infected CORONAVIRUS sky 03.02.2020/XNUMX/XNUMX.pif“ и која инсталира злонамерна програма што комуницира со неговиот команден сервер преку протоколот DNS. Алатки за заштита од класа EDR, чиј пример е Cisco AMP за крајни точки, и или NGFW ќе помогне да се следат комуникациите со командните сервери (на пример, Cisco Firepower), или алатки за следење на DNS (на пример, Cisco чадор).

Во примерот подолу, малициозен софтвер за далечински пристап беше инсталиран на компјутерот на жртвата која, од некоја непозната причина, купила за рекламирање дека обична антивирусна програма инсталирана на компјутер може да заштити од вистински COVID-19. И на крајот на краиштата, некој падна на таква навидум шега.

Но, меѓу малициозниот софтвер има и некои навистина чудни работи. На пример, датотеки за шега што ја имитираат работата на откупниот софтвер. Во еден случај, нашата поделба на Cisco Talos откриени датотека со име CoronaVirus.exe, која го блокираше екранот за време на извршувањето и стартуваше тајмер и пораката „бришење на сите датотеки и папки на овој компјутер - коронавирус“.

По завршувањето на одбројувањето, копчето на дното стана активно и при притискање се појави следнава порака која вели дека сето тоа е шега и дека треба да притиснете Alt+F12 за да ја завршите програмата.

Борбата против злонамерните пораки може да се автоматизира, на пример, со користење Сиско безбедност на е-пошта, кој ви овозможува да откриете не само злонамерна содржина во прилозите, туку и да ги следите врските за фишинг и кликовите на нив. Но, дури и во овој случај, не треба да заборавите на обуката на корисниците и редовното спроведување на симулации за фишинг и сајбер вежби, што ќе ги подготви корисниците за разни трикови на напаѓачи насочени против вашите корисници. Особено ако работат од далечина и преку нивната лична е-пошта, малициозниот код може да навлезе во корпоративната или одделенската мрежа. Тука би можел да препорачам ново решение Алатка за свесност за безбедноста на Cisco, што овозможува не само да се спроведе микро-и нано-обука на персоналот за прашања поврзани со безбедноста на информациите, туку и да се организираат симулации за фишинг за нив.

Но, ако поради некоја причина не сте подготвени да користите такви решенија, тогаш вреди барем да организирате редовни пораки до вашите вработени со потсетник за опасноста од фишинг, нејзините примери и список на правила за безбедно однесување (главната работа е што напаѓачите не се маскираат како нив). Патем, еден од можните ризици во моментов се фишинг пораките кои се маскирани како писма од вашето раководство, кои наводно зборуваат за нови правила и процедури за работа на далечина, задолжителен софтвер што мора да се инсталира на оддалечени компјутери итн. И не заборавајте дека покрај е-поштата, сајбер-криминалците можат да користат инстант-месинџери и социјални мрежи.

Во овој вид на мејлинг или програма за подигање на свеста, можете исто така да го вклучите веќе класичниот пример на лажна мапа на инфекција со коронавирус, која беше слична на онаа лансиран Универзитетот Џон Хопкинс. Разлика злонамерна картичка беше тоа што при пристап до локација за фишинг, на компјутерот на корисникот беше инсталиран малициозен софтвер, кој ги украде информациите на корисничката сметка и ги испраќа до сајбер-криминалците. Една верзија на таква програма, исто така, создаде RDP врски за далечински пристап до компјутерот на жртвата.

Патем, за RDP. Ова е уште еден вектор на напад што напаѓачите почнуваат да го користат поактивно за време на пандемијата на коронавирус. Многу компании, кога се префрлаат на работа од далечина, користат услуги како што е RDP, кои, доколку се погрешно конфигурирани поради брзање, може да доведат до инфилтрирање на напаѓачите и во компјутерите на оддалечените корисници и во корпоративната инфраструктура. Покрај тоа, дури и со правилна конфигурација, различните имплементации на RDP може да имаат пропусти што можат да бидат искористени од напаѓачите. На пример, Cisco Talos откриени повеќекратни пропусти во FreeRDP, а во мај минатата година, беше откриена критична ранливост CVE-2019-0708 во услугата Microsoft Remote Desktop, која овозможи да се изврши произволен код на компјутерот на жртвата, да се воведе малициозен софтвер итн. Дури беше дистрибуиран билтен за неа НКТСКИ, и, на пример, Cisco Talos објавено препораки за заштита од него.

Има уште еден пример за искористување на темата на коронавирусот - вистинската закана од инфекција на семејството на жртвата доколку одбие да го плати откупот во биткоини. За да се подобри ефектот, да се даде значење на буквата и да се создаде чувство на семоќ на изнудувачот, во текстот на писмото била вметната лозинката на жртвата од една од неговите сметки, добиена од јавните бази на податоци за најавувања и лозинки.

Во еден од примерите погоре, покажав порака за фишинг од Светската здравствена организација. А еве уште еден пример во кој од корисниците се бара финансиска помош за борба против СОВИД-19 (иако во заглавјето во телото на буквата веднаш се забележува зборот „ДОНАЦИЈА“) и бараат помош во биткоини за заштита од следење на криптовалути.

И денес има многу такви примери кои го користат сочувството на корисниците:

Биткоините се поврзани со СОВИД-19 на друг начин. На пример, вака изгледаат пораките што ги добиваат многу британски граѓани кои седат дома и не можат да заработат пари (во Русија сега и ова ќе стане актуелно).

Маскирани како познати весници и сајтови за вести, овие пораки нудат лесни пари со ископување криптовалути на специјални сајтови. Всушност, по одредено време добивате порака дека сумата што сте ја заработиле може да се повлече на посебна сметка, но пред тоа треба да префрлите мал износ на даноци. Јасно е дека по добивањето на овие пари, измамниците не префрлаат ништо за возврат, а лековерниот корисник ги губи префрлените пари.

Постои уште една закана поврзана со Светската здравствена организација. Хакери ги хакирале поставките за DNS на рутерите D-Link и Linksys, кои често ги користат домашните корисници и малите бизниси, со цел да ги пренасочат на лажна веб-локација со скокачко предупредување за потребата да се инсталира апликацијата на СЗО, што ќе ги задржи во тек со најновите вести за коронавирусот. Згора на тоа, самата апликација ја содржеше злонамерната програма Оски, која краде информации.

Слична идеја со апликација која го содржи моменталниот статус на инфекција со COVID-19 е искористена од Android Trojan CovidLock, кој се дистрибуира преку апликација која наводно е „сертифицирана“ од Министерството за образование на САД, СЗО и Центарот за контрола на епидемијата ( ЦДЦ).

Многу корисници денес се во самоизолација и, не сакаат или не можат да готват, активно користат услуги за испорака на храна, намирници или друга стока, како што е тоалетна хартија. Напаѓачите исто така го совладале овој вектор за свои цели. На пример, вака изгледа злонамерна веб-локација, слично на легитимен ресурс во сопственост на Canada Post. Врската од СМС-пораката што ја добила жртвата води до веб-локација која известува дека нарачаниот производ не може да се испорача бидејќи недостасуваат само 3 долари, кои мора да се доплатат. Во овој случај, корисникот е упатен на страница каде што мора да ги наведе деталите за неговата кредитна картичка... со сите последици што следуваат.

Како заклучок, би сакал да дадам уште два примери на сајбер закани поврзани со СОВИД-19. На пример, приклучоците „COVID-19 Coronavirus - Live Map WordPress Plugin“, „Coronavirus Spread Prediction Graphs“ или „Covid-19“ се вградени во сајтови со помош на популарниот WordPress мотор и, заедно со прикажување мапа на ширењето на коронавирус, исто така, го содржат малициозниот софтвер WP-VCD. И компанијата Zoom, која, во пресрет на растот на бројот на онлајн настани, стана многу, многу популарна, се соочи со она што експертите го нарекоа „Зумбомбање“. Напаѓачите, но всушност обични порно тролови, се поврзувале со онлајн разговори и онлајн состаноци и прикажувале разни непристојни видеа. Инаку, со слична закана денеска се среќаваат и руските компании.

Мислам дека повеќето од нас редовно проверуваат различни ресурси, и официјални и не толку официјални, за моменталниот статус на пандемијата. Напаѓачите ја искористуваат оваа тема, нудејќи ни ги „најновите“ информации за коронавирусот, вклучително и информациите „што властите ги кријат од вас“. Но, дури и обичните обични корисници неодамна често им помагаат на напаѓачите со испраќање шифри со проверени факти од „познаници“ и „пријатели“. Психолозите велат дека ваквата активност на „алармистите“ корисници кои испраќаат сè што доаѓа во нивното видно поле (особено во социјалните мрежи и инстант-месинџерите, кои немаат механизми за заштита од такви закани), им овозможува да се чувствуваат вклучени во борбата против глобална закана, па дури и да се чувствувате како херои кои го спасуваат светот од коронавирусот. Но, за жал, недостатокот на посебно знаење води до фактот дека овие добри намери „ги водат сите во пеколот“, создавајќи нови закани за сајбер безбедноста и зголемувајќи го бројот на жртви.

Всушност, би можел да продолжам со примери на сајбер закани поврзани со коронавирусот; Освен тоа, сајбер-криминалците не стојат во место и смислуваат сè повеќе нови начини за искористување на човечките страсти. Но, мислам дека можеме да застанеме тука. Сликата е веќе јасна и ни кажува дека во блиска иднина ситуацијата само ќе се влошува. Вчера московските власти го ставија градот со десет милиони луѓе во самоизолација. Истото го направија и властите на Московската област и на многу други региони на Русија, како и нашите најблиски соседи на поранешниот постсоветски простор. Тоа значи дека бројот на потенцијални жртви на мета на сајбер-криминалците ќе се зголеми многукратно. Затоа, вреди не само да ја преиспитате вашата безбедносна стратегија, која до неодамна беше фокусирана на заштита само на корпоративна или одделенска мрежа и да процените какви заштитни алатки ви недостигаат, туку и да ги земете предвид примерите дадени во вашата програма за подигање на свеста за персоналот, што е станувајќи важен дел од системот за безбедност на информации за работниците од далечина. А Cisco компанија подготвени да ви помогнат со ова!

П.С. При подготовката на овој материјал, користени се материјали од компаниите Cisco Talos, Naked Security, Anti-Phishing, Malwarebytes Lab, ZoneAlarm, Reason Security и RiskIQ, Министерството за правда на САД, ресурсите на Bleeping Computer, SecurityAffairs итн.

Извор: www.habr.com