Експлоатација теме коронавируса у претњама сајбер безбедности

Тема корона вируса данас је испунила све вести, а постала је и главни лајтмотив за разне активности нападача који експлоатишу тему ЦОВИД-19 и свега што је са њим повезано. У овој напомени, желео бих да скренем пажњу на неке примере такве злонамерне активности, што, наравно, није тајна за многе стручњаке за безбедност информација, али ће сажетак у једној напомени олакшати припрему сопствене свести -подизање догађаја за запослене, од којих неки раде на даљину, а други подложнији разним претњама по безбедност информација него раније.

Минут бриге од НЛО-а

Свет је званично прогласио пандемију ЦОВИД-19, потенцијално тешке акутне респираторне инфекције изазване коронавирусом САРС-ЦоВ-2 (2019-нЦоВ). На Хабре-у постоји много информација о овој теми - увек имајте на уму да може бити и поуздано/корисно и обрнуто.

Подстичемо вас да будете критични према свим објављеним информацијама.

Званични извори

• Сајт Министарства здравља Руске Федерације
• Сајт Роспотребнадзора
• Интернет страница СЗО (енглески)
• ВХО вебсите
• Интернет странице и званичне групе оперативних штабова у регионима

Ако не живите у Русији, погледајте сличне сајтове у вашој земљи.
Оперите руке, пазите на своје најмилије, останите код куће ако је могуће и радите на даљину.

Прочитајте публикације о: вирус Корона | рад на даљину

Треба напоменути да данас нема потпуно нових претњи повезаних са корона вирусом. Уместо тога, говоримо о векторима напада који су већ постали традиционални, једноставно коришћени у новом „сосу“. Дакле, ја бих назвао кључне врсте претњи:

• пхисхинг сајтови и билтени у вези са коронавирусом и повезаним злонамерним кодом
• Превара и дезинформације са циљем искоришћавања страха или непотпуних информација о ЦОВИД-19
• напади на организације које се баве истраживањем коронавируса

У Русији, где грађани традиционално немају поверења у власти и верују да крију истину од њих, вероватноћа успешног „промовисања” пхисхинг сајтова и мејлинг листа, као и лажних ресурса, много је већа него у земљама са отворенијим власти. Иако се данас нико не може сматрати апсолутно заштићеним од креативних сајбер превараната који користе све класичне људске слабости човека – страх, саосећање, похлепу итд.

Узмимо, на пример, лажни сајт који продаје медицинске маске.

Сличан сајт, ЦоронавирусМедицалкит[.]цом, затвориле су америчке власти због бесплатне дистрибуције непостојеће вакцине против ЦОВИД-19, уз „само“ поштарину за слање лека. У овом случају, са тако ниском ценом, калкулација је била на брзу потражњу за леком у условима панике у Сједињеним Државама.

Ово није класична сајбер претња, јер задатак нападача у овом случају није да заразе кориснике или украду њихове личне податке или идентификационе податке, већ једноставно на таласу страха да их натерају да се исплате и купе медицинске маске по надуваним ценама. за 5-10-30 пута већи од стварних трошкова. Али саму идеју о стварању лажне веб странице која користи тему коронавируса користе и сајбер криминалци. На пример, ево сајта чији назив садржи кључну реч „цовид19“, али који је такође сајт за крађу идентитета.

Генерално, свакодневно пратимо нашу службу за истраживање инцидента Цисцо Умбрелла Инвестигате, видите колико домена се креира чија имена садрже речи цовид, цовид19, цоронавирус итд. И многи од њих су злонамерни.

У окружењу у којем су неки од запослених у компанији пребачени на посао од куће и нису заштићени корпоративним безбедносним мерама, важније је него икада пратити ресурсе којима се приступа са мобилних и десктоп уређаја запослених, свесно или без њихових знања. Ако не користите услугу Цисцо кишобран за откривање и блокирање таквих домена (и Цисцо понуде конекција са овом услугом је сада бесплатна), а затим у најмању руку конфигуришите своја решења за надгледање приступа Вебу за надгледање домена са релевантним кључним речима. Истовремено, имајте на уму да традиционални приступ стављању домена на црну листу, као и коришћење база података о репутацији, може пропасти, пошто се злонамерни домени креирају веома брзо и користе се у само 1-2 напада не дуже од неколико сати – тада нападачи прелазе на нове ефемерне домене. Компаније за безбедност информација једноставно немају времена да брзо ажурирају своје базе знања и дистрибуирају их свим својим клијентима.

Нападачи настављају да активно искоришћавају канал е-поште за дистрибуцију пхисхинг линкова и малвера у прилозима. А њихова ефикасност је прилично висока, јер корисници, док примају потпуно легалне вести о корона вирусу, не могу увек да препознају нешто злонамерно у њиховој количини. И док број заражених само расте, домет оваквих претњи ће такође само расти.

На пример, овако изгледа пример пхисхинг е-поште у име ЦДЦ-а:

Праћење линка, наравно, не води до веб локације ЦДЦ-а, већ до лажне странице која краде жртвино корисничко име и лозинку:

Ево примера пхисхинг е-поште наводно у име Светске здравствене организације:

А у овом примеру, нападачи рачунају на то да многи верују да надлежни од њих крију праве размере заразе, па корисници радо и готово без оклевања кликћу на ове врсте писама са злонамерним линковима или прилозима који наводно ће открити све тајне.

Узгред, постоји такав сајт Ворлдометерс, што вам омогућава да пратите различите показатеље, на пример, морталитет, број пушача, становништво у различитим земљама итд. Сајт такође има страницу посвећену корона вирусу. И тако када сам отишао на то 16. марта, видео сам страницу због које сам на тренутак посумњао да нам надлежни говоре истину (не знам шта је разлог за ове бројке, можда само грешка):

Једна од популарних инфраструктура коју нападачи користе за слање сличних мејлова је Емотет, једна од најопаснијих и најпопуларнијих претњи у последње време. Ворд документи приложени порукама е-поште садрже програме за преузимање Емотет, који учитавају нове злонамерне модуле на рачунар жртве. Емотет је првобитно коришћен за промовисање линкова ка лажним сајтовима који продају медицинске маске, циљајући на становнике Јапана. Испод можете видети резултат анализе злонамерне датотеке помоћу сандбокинга Цисцо Тхреат Грид, који анализира датотеке на злонамерност.

Али нападачи искориштавају не само могућност покретања у МС Ворд-у, већ иу другим Мицрософт апликацијама, на пример, у МС Екцел-у (овако је поступила хакерска група АПТ36), шаљући препоруке о борби против корона вируса од Владе Индије које садрже Цримсон ПАЦ:

Још једна злонамерна кампања која искоришћава тему коронавируса је Наноцоре РАТ, која вам омогућава да инсталирате програме на рачунаре жртве за даљински приступ, пресретање удараца тастатуром, снимање слика на екрану, приступање датотекама итд.

А Наноцоре РАТ се обично доставља е-поштом. На пример, испод видите пример поруке поште са приложеном ЗИП архивом која садржи извршну ПИФ датотеку. Кликом на извршну датотеку, жртва инсталира програм за даљински приступ (Ремоте Аццесс Тоол, РАТ) на свој рачунар.

Ево још једног примера паразитске кампање на тему ЦОВИД-19. Корисник добија писмо о наводном кашњењу испоруке због корона вируса са приложеном фактуром са екстензијом .пдф.аце. Унутар компримоване архиве налази се извршни садржај који успоставља везу са командним и контролним сервером за примање додатних команди и извршавање других циљева нападача.

Сличну функционалност има и Параллак РАТ, који дистрибуира датотеку под називом „нев инфецтед ЦОРОНАВИРУС ски 03.02.2020/XNUMX/XNUMX.пиф“ и која инсталира злонамерни програм који комуницира са својим командним сервером преко ДНС протокола. Алати за заштиту класе ЕДР, чији је пример Цисцо АМП за крајње тачке, а било који НГФВ ће помоћи у надгледању комуникације са командним серверима (на пример, Цисцо Фиреповер), или алатке за праћење ДНС-а (нпр. Цисцо кишобран).

У примеру испод, малвер за даљински приступ је инсталиран на рачунар жртве која је, из неког непознатог разлога, купила рекламирање да обичан антивирусни програм инсталиран на рачунару може да заштити од правог ЦОВИД-19. И уосталом, неко је насјео на такву наизглед шалу.

Али међу злонамерним софтвером постоје и неке заиста чудне ствари. На пример, датотеке шала које опонашају рад рансомваре-а. У једном случају, наша Цисцо Талос дивизија откривено датотека под називом ЦоронаВирус.еке, која је блокирала екран током извршавања и покренула тајмер и поруку „брисање свих датотека и фасцикли на овом рачунару – цоронавирус“.

По завршетку одбројавања, дугме на дну је постало активно и када се притисне приказала се следећа порука да је све ово шала и да треба да притиснете Алт+Ф12 да бисте прекинули програм.

Борба против злонамерних порука може се аутоматизовати, на пример, коришћењем Цисцо безбедност е-поште, који вам омогућава да откријете не само злонамерни садржај у прилозима, већ и да пратите пхисхинг везе и кликове на њих. Али ни у овом случају не треба заборавити на обуку корисника и редовно спровођење пхисхинг симулација и сајбер вежби, које ће припремити кориснике на разне трикове нападача усмерене против ваших корисника. Нарочито ако раде на даљину и преко своје личне е-поште, злонамерни код може да продре у корпоративну или одељенску мрежу. Овде бих могао да препоручим ново решење Цисцо алатка за подизање свести о безбедности, који омогућава не само да спроведе микро- и нано обуку особља о питањима безбедности информација, већ и да организује симулације фишинга за њих.

Али ако из неког разлога нисте спремни да користите таква решења, онда је вредно барем организовати редовне поруке својим запосленима са подсетником на опасност од крађе идентитета, њеним примерима и списком правила за безбедно понашање (главно је да нападачи се не маскирају у њих ). Иначе, један од могућих ризика тренутно је пхисхинг маилинг који се маскира у писма вашег менаџмента, у којима се наводно говори о новим правилима и процедурама за даљински рад, обавезном софтверу који се мора инсталирати на удаљеним рачунарима итд. И не заборавите да осим е-поште, сајбер криминалци могу да користе инстант мессенгере и друштвене мреже.

У ову врсту слања поште или програма за подизање свести можете укључити и већ класичан пример лажне мапе заразе коронавирусом, која је била слична оној покренут Универзитет Џонс Хопкинс. Разлика злонамерна картица је да је приликом приступа пхисхинг сајту на рачунар корисника инсталиран малвер, који је украо информације о корисничком налогу и послао их сајбер криминалцима. Једна верзија таквог програма такође је креирала РДП везе за даљински приступ рачунару жртве.

Иначе, о РДП-у. Ово је још један вектор напада који нападачи почињу активније да користе током пандемије коронавируса. Многе компаније, при преласку на рад на даљину, користе сервисе као што је РДП, који, ако су погрешно конфигурисани због журбе, могу довести до тога да се нападачи инфилтрирају како на рачунаре удаљених корисника тако и унутар корпоративне инфраструктуре. Штавише, чак и уз исправну конфигурацију, различите РДП имплементације могу имати рањивости које нападачи могу да искористе. На пример, Цисцо Талос пронађено вишеструке рањивости у ФрееРДП-у, а у мају прошле године откривена је критична рањивост ЦВЕ-2019-0708 у услузи Мицрософт Ремоте Десктоп, која је омогућавала извршавање произвољног кода на рачунару жртве, увођење малвера итд. Чак је дистрибуиран и билтен о њој НКТСКИи, на пример, Цисцо Талос опубликовала препоруке за заштиту од њега.

Постоји још један пример експлоатације теме коронавируса - стварна претња заразе породице жртве ако одбију да плате откуп у биткоинима. Да би се појачао ефекат, да би се писму дао значај и створио осећај свемоћи изнуђивача, у текст писма је убачена лозинка жртве са једног од његових налога, добијена из јавних база података за пријављивање и лозинке.

У једном од горњих примера, показао сам пхисхинг поруку од Светске здравствене организације. А ево још једног примера у којем се од корисника тражи финансијска помоћ у борби против ЦОВИД-19 (иако се у заглављу у телу писма одмах уочава реч „ДОНАТИОН“). И траже помоћ у биткоинима за заштиту од праћење криптовалута.

И данас постоји много таквих примера који искоришћавају саосећање корисника:

Битцоини су повезани са ЦОВИД-19 на други начин. На пример, овако изгледају поште коју добијају многи британски грађани који седе код куће и не могу да зараде (у Русији ће сада и ово постати актуелно).

Маскирајући се у познате новине и сајтове са вестима, ове поруке нуде лак новац рударењем криптовалута на посебним сајтовима. У ствари, после неког времена добијате поруку да се зарађени износ може повући на посебан рачун, али пре тога треба да пребаците мали износ пореза. Јасно је да након пријема овог новца преваранти не преносе ништа заузврат, а лаковерни корисник губи пренесени новац.

Постоји још једна претња повезана са Светском здравственом организацијом. Хакери су хаковали ДНС подешавања Д-Линк и Линксис рутера, које често користе кућни корисници и мала предузећа, како би их преусмерили на лажну веб локацију са искачућим упозорењем о потреби да инсталирају апликацију СЗО, која ће их задржати у току са најновијим вестима о корона вирусу. Штавише, сама апликација је садржала злонамерни програм Оски, који краде информације.

Сличну идеју са апликацијом која садржи тренутни статус инфекције ЦОВИД-19 користи Андроид тројанац ЦовидЛоцк, који се дистрибуира преко апликације коју су наводно „сертификовали“ Министарство образовања САД, СЗО и Центар за контролу епидемија ( CDC).

Многи корисници данас су у самоизолацији и, не желе или не могу да кувају, активно користе услуге доставе хране, намирница или друге робе, као што је тоалет папир. Нападачи су такође савладали овај вектор за своје потребе. На пример, овако изгледа злонамерна веб локација, слично легитимном ресурсу у власништву Цанада Пост. Линк из СМС-а који је жртва примила води до веб странице која извештава да наручени производ не може бити испоручен јер недостаје само 3 долара, што се мора додатно платити. У овом случају корисник се усмерава на страницу на којој мора да наведе податке о својој кредитној картици... са свим последицама које из тога произилазе.

На крају, желео бих да наведем још два примера сајбер претњи у вези са ЦОВИД-19. На пример, додаци „ЦОВИД-19 Цоронавирус - Ливе Мап ВордПресс Плугин“, „Цоронавирус Спреад Предицтион Грапхс“ или „Цовид-19“ уграђени су у сајтове који користе популарни ВордПресс механизам и, заједно са приказом мапе ширења цоронавирус, такође садрже ВП-ВЦД малвер. А компанија Зоом, која је, након раста броја онлајн догађаја, постала веома, веома популарна, суочила се са оним што су стручњаци назвали „Зумбомбовање“. Нападачи, али у ствари обични порно тролови, повезивали су се на онлајн четове и онлајн састанке и приказивали разне непристојне видео снимке. Иначе, са сличном претњом данас се сусрећу и руске компаније.

Мислим да већина нас редовно проверава различите изворе, и званичне и не тако званичне, о тренутном статусу пандемије. Нападачи користе ову тему, нудећи нам „најновије“ информације о корона вирусу, укључујући информације „које власти крију од вас“. Али чак и обични обични корисници у последње време често помажу нападачима слањем кодова проверених чињеница од „познаника“ и „пријатеља“. Психолози кажу да таква активност корисника „алармиста“ који шаљу све што им дође у видно поље (посебно на друштвеним мрежама и инстант месинџерима, који немају механизме заштите од таквих претњи), омогућава им да се осећају укљученима у борбу против глобална претња и чак се осећају као хероји који спасавају свет од коронавируса. Али, нажалост, недостатак посебних знања доводи до тога да те добре намере „воде све у пакао“, стварајући нове претње сајбер безбедности и повећавајући број жртава.

У ствари, могао бих да наставим са примерима сајбер претњи повезаних са коронавирусом; Штавише, сајбер криминалци не мирују и смишљају све више нових начина да искористе људске страсти. Али мислим да ту можемо стати. Слика је већ јасна и говори нам да ће се у блиској будућности ситуација само погоршавати. Московске власти јуче су десетмилионски град ставиле у самоизолацију. То су учиниле и власти Московске области и многих других региона Русије, као и наши најближи суседи на бившем постсовјетском простору. То значи да ће се број потенцијалних жртава на мети сајбер криминалаца вишеструко повећати. Стога је вредно не само да преиспитате своју безбедносну стратегију, која је донедавно била усмерена на заштиту само корпоративне или мреже одељења, и процените који алати заштите вам недостају, већ и да узмете у обзир примере дате у вашем програму подизања свести особља, који је постајући важан део система информационе безбедности за удаљене раднике. А Цисцо спреман да вам помогне у овоме!

ПС. У припреми овог материјала коришћени су материјали компанија Цисцо Талос, Накед Сецурити, Анти-Пхисхинг, Малваребитес Лаб, ЗонеАларм, Реасон Сецурити и РискИК, Министарства правде САД, Блеепинг Цомпутер ресоурцес, СецуритиАффаирс итд. П.

Извор: ввв.хабр.цом