logo ESET software spol. s r. o.
Robert Šuman

Robert Šuman

Vedoucí pražského detekčního a analytického týmu společnosti ESET

LinkedIn

V našich telemetrických datech jsme první indikátory kompromitace viděli v září roku 2020. Aktivita útočníků pokračovala rychlým tempem, až na začátku února 2021 jsme detekovali vysloveně škodlivou aktivitu - v tu chvíli jsme incident nahlásili společnosti BigNox. Máme dostatek důkazů, které potvrzují, že infrastruktura společnosti BigNox byla kompromitována za účelem šíření malware.

Naše nálezy dále naznačují, že došlo také ke kompromitaci API. V některých případech docházelo v rámci aktualizací k dodatečnému stahování dalšího malware ze serverů kontrolovaných útočníky.

Uživatelům doporučujeme přeinstalování aplikace z čistého média. Společnost BigNox již uvedla, že zavedla potřebná opatření, aby si uživatelé mohli aktualizovat službu bez rizika.

Celkově jsme detekovali 29 miliard pokusů o prolomení RDP, respektive RDS. Nejčastěji ve Spojených státech, Polsku, Španělsku, Rusku, Německu, Británii a České republice. V tuto chvíli nelze přesně určit, proč je Česko pro útočníky tolik zajímavé. Svědčí o tom i nárůst detekcí ransomware a penetračních průniků. Je možné, že jen našli dost zranitelných míst.

Apeloval bych proto na všechny instituce, aby zabezpečení bodů vystavených do internetu nepodceňovali. Podle dostupných dat útočníci nejčastěji zneužívají známé zranitelnosti, například BlueKeep a EternalBlue, byť jsou nyní jednoznačně na ústupu, proto bych doporučil dbát na pravidelné aktualizace.

Podvod hraje na naše emoce - ať už je to touha po penězích nebo touha odhalit nějakou konspiraci. Na jedné z nejnovějších stránek najdete i 40-ti vteřinový výstřižek z rozhovoru z populární české talk show, kde jeden finanční analytik popisuje, co je to bitcoin, ale nehovoří vůbec o investicích.

Najdete na nich i příběh fiktivního redaktora a dalších obyčejných lidí, kteří už přes proklamovaný investiční nástroj vydělávají - všechno je ale smyšlené. Na triky podvodníků cílící na důvěřivé investory jsme upozorňovali již letos v lednu.

S podobnými e-maily se setkáváme pravidelně a v různých obměnách. Dříve převládaly anglicky psané zprávy, nyní převládají ty s takřka bezchybnou češtinou. Jde ale o masovou spamovou kampaň, kterou můžeme vidět v soukromých i pracovních e-mailových schránkách. Zároveň jde o podvod, neboť žádnou nahrávkou útočník nedisponuje, a proto není důvod žádné výkupné platit.

V souvislosti s koronavirem lze očekávat podvodné e-maily i SMS, které budou souviset s očkováním. Útočníci tuto oblast monitorují a upravují své aktivity, aby lidem nebyly podezřelé. V prosinci 2020 tak například posílali podvodné SMS s výsledky testů jménem několika pražských nemocnic.

Předpokládáme, že v roce 2021 v Česku pravděpodobně poroste počet útoků na cloudové služby, a to nejen na konkrétní účty uživatelů, ale také na zranitelné funkcionality celých služeb. V takovém případě může útočník využít chybu aplikace a útočit prostřednictvím legitimního nástroje, což je mnohem komplikovanější včas detekovat.

Cloud služby a uložiště využívají i útočníci, vidíme příklon k přesunu kontrolních serverů do cloudu, hostování malware a ukládání ukradených dat v cloudových službách.

Jedná se o takový evergreen podvodů. Detekujeme jej ve více než 20 jazykových mutacích po celém světě. Některé jazykové verze jsou povedenější, některé překlady jsou spíše strojové, nicméně vždy útočníci zneužijí jméno lokálně známé osobnosti.

V Česku takto například zneužívají jména Petra Kellnera, Petra Čecha, Jaromíra Jágra, Jaromíra Soukupa, dále světových inovátorů jako je Elon Musk či Bill Gates.

Na Slovensku jsme zaznamenali podvod s Miroslavem Trnkou, spoluzakladatelem společnosti ESET. Útočníci rychle mění webové stránky i adresy kryptopeněženky.

Pro oběti i osobnosti, jejichž jméno je takto zneužité, je velmi složité se bránit.

Pandemie proměnila i svět kybernetických hrozeb, ty se vždy odvíjejí od změn v reálném světě. Když v průběhu prvního a druhého kvartálu klesla cena Bitcoinu, ubylo také pokusů o jeho nelegální těžbu, tzv. cryptojacking. Z preventivních důvodů řada lidí pracuje z domova, v reakci na tuto změnu přibylo útoků na domácí zařízení a jejich prostřednictvím na firemní infrastrukturu.

Pozorujeme také výrazný nárůst tzv. fileless útoků. Jde o metodu, kdy se škodlivý soubor neukládá na disk, ale infikuje zařízení v paměti. Jde o vhodnou metodu pro jednorázové akce, například krádež hesel. Mimo to mírně ustupují sofistikované hrozby, jako je ransomware.

V prvním čtvrtletí jsme ale zachytili jiný nebezpečný trend. Jde o doxing, tedy postup, kdy útočníci vyhrožují zveřejněním získaných dat, pokud oběť nezaplatí.

České výzkumné centrum se loňský rok zaměřilo na bankovní malware v Latinské Americe. Chtěli jsme zjistit, jak spolu souvisí různé druhy malware, jestli budeme schopni identifikovat i nové rodiny v této oblasti a lépe tak uživatele chránit.

Nově objevená rodina malware Amavaldo se šíří prostřednictvím spamové kampaně v podobě příloh maskovaných za legitimní PDF dokumenty. Útočníci tak napadají zejména brazilské a mexické bankovní aplikace.

Pomocí škodlivého kódu, který ESET detekuje jako BackSwap, mění útočníci platební příkazy internetového bankovnictví napadených uživatelů a obchází tak dvoufaktorovou autentizaci. Na účet tzv. bílého koně posílají částky v rozmezí 60000 až 200000 korun. Ty pak zpravidla vybírají z bankomatů komplicové útočníků.

Hrozba se šíří prostřednictvím přílohy elektronické pošty. Aktuální název je VydanaFaktura.zip a obsahuje soubor VydanaFaktura2010091pdf.jse. Identifikace se ale může v průběhu času měnit.

České republice se tato aktuální kampaň prakticky vyhnula. Zaznamenali jsme velice nízký počet detekcí. Rovněž jsme do této chvíle nezaznamenali zasažení ani žádné významné instituce, které by byly alespoň částečně tímto druhem malware ochromeny. Důvody, proč se WannaCry v tuzemsku nešířil více, jsou v tuto chvíli známé dva. Tím prvním je velmi brzká detekce této hrozby, která zamezila větším škodám.

Tím druhým je, že Česká republika pravděpodobně nebyla primárním cílem tohoto útoku. Před aktuální verzí této hrozby Vás bezpečně ochrání pravidelně aktualizovaný bezpečnostní software i operační systém včetně všech bezpečnostních aktualizací. Obecně rovněž platí, že by uživatel měl vždy věnovat pozornost e-mailům, které otevírá.

Zejména pokud je odeslána neznámým uživatelem nebo obsahuje potenciálně nebezpečnou přílohu. Stejně tak je vhodné pravidelně zálohovat data, o která uživatel nechce přijít, a to mimo svůj počítač.

Ransomware WannaCry se v první fázi šíří tradiční cestou a to jako infikovaná příloha poměrně běžného spamového emailu. Pokud tuto přílohu uživatel otevře a nemá spolehlivou antivirovou ochranu, nakazí se tímto ransomwarem. Ten se ale začne posléze sám šířit v lokální síti a to i bez aktivní účasti uživatele.

WannaCry zneužívá chyby v operačním systému Microsoft Windows a šíří se jako síťový červ. Až do doby, kdy se spustí a zašifruje data, jej tak běžný uživatel nemusí vůbec zaznamenat.