A Check Point Software Technologies Ltd. kutatórészlege, a Check Point Research kiadta legújabb, 2021 augusztusára vonatkozó Global Threat Index elemzését. A kutatók jelentése szerint a Formbook jelenleg a legelterjedtebb kártékony program, a Trickbot-tól vette át az első helyet, mely így három hónapos vezetés után visszaesett a második helyre. 

A Qbot banki trójai, melynek a mĹąködtetői láthatóan nyári szünetet tartottak, hosszú idő után teljesen lekerült a top 10-es listáról, miközben a Remcos nevĹą távoli hozzáférés trójai (RAT) az év során első alkalommal került fel a listára, egyből a hatodik helyre.

Az első alkalommal 2016-ban jegyzett Formbook egy információ tolvaj program, mely különböző böngészőkből gyĹąjt be jogosultsági információkat és képernyőmentéseket, billentyĹąleütéseket naplóz, illetve file-okat képes letölteni és végrehajtani C&C parancsok szerint. Legutóbb a Formbook COVID-19 tematikájú kampányokkal és adathalász e-mailekkel terjedt, 2021 júliusában a CPR arról számolt be, hogy a Formbookból eredeztethető, új, XLoader nevĹą kártékony programtípus épp a macOS felhasználókat veszi célba. 

„A Formbook kódját C nyelven írják, ASM betéteketl és számos olyan trükkös megoldást tartalmaz, mely nehezen elemezhetővé teszi a kutatók számára,” - mondta Maya Horowitz, a Check Point Threat Intelligence & Research, Products igazgatója. „Mivel általában adathalász e-mailekkel és csatolmányokkal terjesztik, a Formbook fertőzés legjobb megelőzése, ha minden olyan e-mailt gyanakvással kezelünk, mely furcsának tĹąnik, vagy ismeretlen forrásból származik. Mint mindig, ha úgy tĹąnik, nincs rendben, akkor valószínĹąleg tényleg nincs.”

A Check Point Research arra is felhívta a figyelmet, hogy a „Web Server Exposed Git Repository Information Disclosure” a leggyakrabban kihasznált sérülékenység, világszerte a szervezetek 45%-ánál jelent meg. Ezt követi a „HTTP Headers Remote Code Execution”, mely a szervezetek 43%-ánál bukkant fel. Harmadik helyen áll az „Dasan GPON Router Authentication Bypass”, globális hatása 40%.

2021. augusztus top három kártékony programcsaládja:

*A nyilak a helyezés előző hónaphoz képesti változását jelzik.

A hónap során a Formbook került az első helyre, világszerte a szervezetek 4,5%-ánál volt jelen, ezt követi a Trickbot és az Agent Tesla, előbbi a szervezetek 4%-ánál, utóbbi a 3%-nál jelent meg.

1. ↑ Formbook – Információ tolvaj, mely a különböző böngészőkből gyĹąjt be hitelesítő adatokat, képernyőképeket, monitor és billentyĹązet-leütés adatokat, és C&C utasításai alapján képes letölteni és végrehajtani utasításokat.

2. ↓ Trickbot – Folyamatosan frissített, moduláris botnet és banki trójai. Emiatt rugalmas és testre szabható kártékony program, melyet többcélú kampányok részeként tudnak terjeszteni.

3. ↑ Agent Tesla – Továbbfejlesztett RAT (távoli hozzáférés trójai), mely billentyĹązet-leütés adatokat és információkat lop el. Figyeli és összegyĹąjti az az áldozat billentyĹązetére és a rendszer vágólapjára érkező inputot, rögzíti a képernyőképeket és kivonja a különböző, az áldozat gépére telepített software-ekbe (például Google Chrome, Mozilla Firefox és Microsoft Outlook e-mail kliens) érkező személyi adatokat.

2021. augusztus top három sérülékenysége:

Ebben a hónapban a „Web Server Exposed Git Repository Information Disclosure” volt a leggyakrabban kihasznált sérülékenység, mely világszerte a vállalatok 45%-ánál jelent meg. Ezt követi az „HTTP Headers Remote Code Execution”, mely a szervezetek 43%-ánál bukkant fel. Harmadik helyen áll a „Dasan GPON Router Authentication Bypass”, globális hatása 40%.

1. ↔ Web Server Exposed Git Repository Information Disclosure – A Git Repository-ban jelentett adatszivárgásos sérülékenység, melyen keresztül a felhasználói fiókkal kapcsolatos információk kerülhetnek ki.

2. ↔ HTTP Headers Remote Code Execution (CVE-2020-10826, CVE-2020-10827, CVE-2020-10828, CVE-2020-13756) – A HTTP fejléceken keresztül a kliens és a szerver HTTP kéréssel kiegészítő információkat továbbít. A távoli támadó kihasználhatja a sérülékeny HTTP fejlécet és önkényes kódot futtathat az áldozat gépén.

3. ↑ Dasan GPON Router Authentication Bypass (CVE-2018-10561) – A Dasan GPOR routerek jogosulatlansággal összefüggő sérülékenysége. A sikeres kihasználása esetébe a távoli támadók érzékeny információkhoz férhetnek hozzá és jogosulatlanul hozzáférhetnek az érintett rendszerhez.

2021. július top három rosszindulatú mobil családja:

Ebben a hónapban az xHelper a legelterjedtebb program, őt követte az AlienBot és a FluBot. 

1. xHelper. A 2019 márciusában felbukkant alkalmazást más kártevő alkalmazások letöltésére és hirdetések megjelenítésére használják. Képes elrejtőzni a felhasználó elől és újratelepíteni önmagát még akkor is, ha törlik.

2. AlienBot. Az AlienBot kártékony programcsalád egy Android eszközökre fejlesztett MaaS (Malware-as-a-Service), mely lehetővé teszi a támadó számára, hogy első lépésként kártékony kódot juttasson be a legitim pénzügyi alkalmazásokba. A támadó hozzáférést szerez az áldozat felhasználói fiókjaihoz, végül pedig teljesen átveszi az irányítást az eszköz fölött.

3. FluBot. Az Android alapú kártékony botnet, mely adathalász SMS üzenetekkel terjed, gyakran logisztikai brandeket megszemélyesítve. Ha a felhasználó ráklikkel az üzenetben foglalt linkre, a FluBot installálódik és hozzáfér a telefonon tárolt érzékeny információkhoz.

A Check Point Global Threat Impact Index és a ThreatCloud Map alapja a Check Point ThreatCloudTM intelligence, mely a szenzorok százmillióinak, hálózatokban, végpontokon és mobilokon található globális hálózatából nyert adatok alapján valós idejĹą, fenyegetésekkel kapcsolatos információkat szolgáltat. Mindezt AI-alapú motorokkal és a Check Point Software Technologies kutatórészlege, a Check Point Research exkluzív kutatási adataival bővítik ki. 

A kártékony programcsaládok teljes 2021. augusztusi Top 10 listája megtalálható a Check Point Blogon.