HP: Infractorii cibernetici "Excel"-ează în tehnici de corupere a utilizatorilor

HP a lansat cel mai recent studiu global HP Wolf Security Threat Insights Report, care analizează atacuri cibernetice reale. Izolând ameninţările care au trecut de barierele de securitate şi au ajuns la utilizatorul final, raportul HP Wolf Security oferă informaţii specifice legate de cele mai noi tehnici utilizate de infractorii cibernetici.

Raportul a identificat un val de atacuri care folosesc fişiere de tip add-in Excel pentru a răspândi malware. Astfel, hackerii ajung la ţintele vizate, iar companiile şi utilizatorii sunt expuşi la furt de date şi atacuri de tip ransomware. Raportul relevă o creştere uriaşă, de peste 500% (+588%) comparativ cu trimestrul anterior (Q4 2021 vs Q3 2021), a campaniilor care folosesc fişiere compromise add-in Microsoft Excel (.xll) pentru a infecta sisteme - o tehnică foarte periculoasă având în vedere că e nevoie de un singur click pentru a răspândi malware. De asemenea, echipa HP a descoperit pe piaţa neagră oferte pentru fişiere corupte .xll şi kit-uri de răspândire de malware, ceea ce înseamnă că şi atacatori mai puţin experimentaţi au acces la aceste instrumente şi pot lansa campanii de hacking.

Fişiere infectate Excel (.xls) au fost folosite pentru a răspândi troianul bancar Ursnif în companii şi organizaţii din sectorul public din Italia, prin campanii de tip spam în care atacatorii se dădeau drept serviciul de curierat italian BRT. Campanii noi care răspândesc malware Emotet utilizează acum fişiere Excel în locul celor JavaScript sau Word.

Alte ameninţări importante identificate de echipa HP Wolf Security:

• Revenirea TA505? HP a identificat o campanie MirrorBlast de phishing pe email cu multe elemente comune (tactici, tehnici, proceduri) cu TA505 - un grup infracţional motivat financiar recunoscut pentru campanii masive de tip malware spam. Atacul a vizat organizaţii prin troianul FlawedGrace Remote Access (RAT).

• Platformă falsă de gaming care infectează victimele cu RedLine. A fost descoperit un website fals care păcălea vizitatorii să descarce RedLine, programul care fură informaţii personale.

• Grupul infracţional Aggah a vizat organizaţii coreene cu fişiere corupte Power Point add-in (.ppa) deghizate în comenzi, care au infectat sistemele cu troieni accesaţi remote. Utilizarea de fişiere PowerPoint malware este neobişnuită - astfel de atacuri reprezintă 1% din malware.

"Folosirea caracteristicilor software legitime pentru a trece de barierele de securitate este o practică uzuală a hackerilor, la fel ca utilizarea fişierelor atipice care pot trece de sisteme de securitate ale e-mailului. Echipele de securitate cibernetică nu trebuie să se bazeze doar pe instrumentele de detectare a posibilelor ameninţări. Trebuie să fie la curent cu ultimele metode şi să-şi adapteze sistemele de protecţie ţinând cont de acestea. De exemplu, bazându-ne pe creşterea atacurilor care folosesc fişiere cu extensia .xll, i-aş avertiza pe administratorii de reţea să configureze sisteme de protecţie pentru conturile de e-mail, care să blocheze ataşamentele .xll, permiţând accesul doar celor venite de la utilizatori de încredere", a explicat Alex Holland, senior malware analyst în cadrul echipei HP Wolf Security, HP Inc. "Infractorii cibernetici au investit în tehnici, iar acum este foarte greu pentru utilizatori să-şi dea seama dacă un email este curat sau compromis."

Concluziile raportului se bazează pe informaţii obţinute de la milioane de puncte terminale care rulează HP Wolf Security. HP Wolf Security scanează malware-ul deschizând şi izolând fişierele compromise, pentru a înţelege şi identifica întreg lanţul de infectare, ajutând la înţelegea ameninţărilor cibernetice care au trecut de barierele de securitate. Astfel, clienţii au putut să acceseze peste 10 miliarde de ataşamente, pagini web şi fişiere descărcate fără să raporteze probleme . Înţelegând modul în care acţionează programele malware, cercetătorii şi inginerii din echipa HP Wolf Security pot îmbunătăţi sistemele de protecţie a punctelor terminale şi rezilienţa sistemului, în general.

Alte concluzii ale raportului:

• 13% dintre programele malware trimise pe e-mail, care au fost izolate, au trecut de cel puţin o barieră de securitate.

• Au fost folosite 136 de extensii de fişiere diferite în încercările de a infecta organizaţii.

• 77% dintre programele malware detectate au fost livrate prin email, iar fişierele descărcate de pe internet au reprezentat 13%.

• Cele mai folosite fişiere pentru a livra malware au fost documentele (29%), arhivele (28%), executabilele (21%), foile de calcul Excel (20%).

• Cele mai uzuale momeli tip phishing au avut legătură cu Anul Nou sau cu tranzacţii de business folosind cuvinte cheie, precum: "comandă", "2021/2022", "plată", "cumpărare", "cerere" şi "factură".

"În prezent, infractorii cibernetici cu expunere limitată pot lansa atacuri ascunse şi apoi vinde informaţiile obţinute unor grupuri organizate motivate financiar, ceea ce poate provoca o breşă importantă de securitate care să paralizeze sistemele IT şi să blocheze operaţiunile", a declarat Dr. Ian Pratt, Global Head of Security Personal Systems la HP Inc. "Organizaţiile ar trebui să aibă în vedere reducerea punctelor vulnerabile, concentrându-se şi pe metodele de recuperare rapidă în cazul unei breşe de securitate. Acest lucru înseamnă respectarea principiilor Zero Trust."