Infractorii cibernetici devin creativi cu atacuri de tip "Building Block"

HP a publicat raportul trimestrial HP Wolf Security Threat Insights, care explică cum hackerii înlănţuiesc diferite combinaţii de atacuri, precum cărămizile unui joc de construcţie, pentru a ocoli instrumentele de detectare.

Prin izolarea ameninţărilor care au trecut de instrumentele PC-urilor, HP Wolf Security are o perspectivă specifică asupra celor mai noi tehnici folosite de hackeri, în peisajul în continuă schimbare al criminalităţii cibernetice. Până în prezent, clienţii HP Wolf Security au deschis peste 30 de miliarde de ataşamente de e-mail, pagini web şi fişiere descărcate, fără să fie raportate breşe.

Pe baza datelor provenite de la milioane de puncte terminale care rulează HP Wolf Security, studiul a descoperit:

Hackerii folosesc atacuri de tip "building block". În campaniile QakBot, infractorii cibernetici au conectat diferite instrumente pentru a crea lanţuri de infectare unice. Prin schimbarea diferitelor tipuri de fişiere şi tehnici, aceştia au reuşit să ocolească instrumentele de detectare şi politicile de securitate. 32% dintre lanţurile de infectare QakBot analizate de HP în perioada aprilie-iunie au fost unice.

Blogger sau keylogger? Autorii recentelor campanii Aggah au plasat codul maliţios în cadrul popularei platforme de blogging, Blogspot. Prin ascunderea codului într-o sursă legitimă, au făcut mult mai dificilă detectarea unui eventual atac cibernetic. Hackerii îşi folosesc apoi cunoştinţele despre sistemele Windows pentru a dezactiva unele instrumente anti-malware de pe calculatorul utilizatorului şi a fura informaţii sensibile.

Malware multilingv. O campanie recentă utilizează mai multe limbaje de programare pentru a evita detectarea. Mai întâi, criptează codul cu ajutorul unui program scris în Go, dezactivând funcţiile de scanare anti-malware care, în mod normal, l-ar detecta. Apoi schimbă limbajul în C++ pentru a interacţiona cu sistemul de operare al utilizatorului atacat şi pentru a rula programul malware în memorie, lăsând foarte puţine urme în PC.

Patrick Schläpfer, analist senior în cadrul echipei de cercetare HP Wolf Security, comentează: "Infractorii cibernetici sunt din ce în ce mai bine organizaţi şi mai bine informaţi. Aceştia cercetează şi analizează sistemul de operare, ceea ce face mai simplă exploatarea lacunelor. Ştiind ce butoane trebuie să apese, aceştia pot naviga cu uşurinţă prin sistemele interne, folosind tehnici relativ simple în moduri foarte eficiente - fără a trage un semnal de alarmă."

Raportul detaliază modul în care grupurile de infractori cibernetici îşi diversifică metodele de atac pentru a ocoli politicile de securitate şi instrumentele de detectare. Principalele constatări:

Arhivele au fost cel mai popular tip de livrare de malware pentru al cincilea trimestru consecutiv, fiind folosite în 44% dintre cazurile analizate de HP.

În al doilea trimestru (aprilie-iunie) s-a înregistrat o creştere de 23% a ameninţărilor HTML detectate de HP Wolf Security, comparativ cu primul trimestru.

A existat o creştere de 4% în cazul fişierelor executabile - de la 14% la 18%, între primul şi al doilea trimestru - cauzată în principal de utilizarea fişierului PDFpower.exe, care a grupat software-ul cu un malware de deturnare a browserului.

Principalii vectori de ameninţare în trimestrul al doilea au fost e-mailul (79%) şi descărcările din browser (12%).

HP Wolf Security execută sarcini riscante, cum ar fi deschiderea ataşamentelor de e-mail, descărcarea de fişiere şi link-uri în micro-maşini virtuale (micro-VM) izolate, fără a afecta productivitatea. De asemenea, captează urme detaliate ale încercărilor de infectare. Tehnologia HP de izolare a aplicaţiilor atenuează ameninţările care ar putea trece neobservate de alte instrumente de securitate şi oferă informaţii unice despre noile tehnici abordate de hackeri.