Dane Fortinet Global Ransomware wskazują na to, że phishing jest najpopularniejszą metodą wśród cyberprzestępców. W ostatnim czasie stały się jeszcze bardziej skuteczne.
Nie jest żadną tajemnicą, że z roku na rok ataki hakerskie są coraz bardziej powszechne. Nie bez powodu przedsiębiorstwa inwestują w zaawansowane systemy zabezpieczeń i zatrudniają wykwalifikowanych specjalistów od cyberbezpieczeństwa. Czasem jednak nawet to nie jest w stanie im pomóc.

Stara metoda jeszcze bardziej skuteczna. Winne jest AI

– ostrzega Derek Manky, Chief Security Strategist & VP Global Threat Intelligence w firmie Fortinet.
Wraz z rozwojem rozwiązań bazujących na sztucznej inteligencji na znaczeniu zyskuje też rola pracowników w procedurach obrony przedsiębiorstwa przed cyberatakami. Jak przekonują eksperci Fortinet, znajomość „tradycyjnych” cech wiadomości phishingowych to obecnie zbyt mało, by mówić o przygotowaniu firmy na cyberatak. Oczywiście nadal istotne pozostaje korzystanie z narzędzi technicznych, takich jak filtry antyspamowe, czy uwierzytelnianie wieloskładnikowe. Równocześnie jednak eksperci wzywają do priorytetowego traktowania kwestii odpowiedniego przeszkolenia pracowników.
Zagrożenie ze strony phishingu często bywa bagatelizowane. Cyberprzestępcy są jednak świadomi potencjału tej taktyki – wciąż z niej korzystają i odnoszą sukcesy. Według badań zrealizowanych przez Cybersecurity and Infrastructure Security Agency firmy wciąż mają przed sobą długą drogę, jeśli chodzi o edukację personelu. Podczas przeprowadzonej na potrzeby eksperymentu symulacji ataku phishingowego okazało się, że 80% przedsiębiorstw zatrudnia przynajmniej jednego pracownika, który nie był w stanie zidentyfikować wiadomości od cyberprzestępcy.
Rozprowadzane m.in. za pośrednictwem e-maili phishingowych oprogramowanie ransomware wciąż stanowi znaczne zagrożenie dla firm, bez względu na branżę czy region geograficzny. Według raportu Fortinet Global Ransomware, przedstawiciele 78% przedsiębiorstw uważają, że są one przygotowane na atak ransomware w „znacznym” bądź „całkowitym” stopniu. Połowa z nich padła jednak ofiarą złośliwego oprogramowania na przestrzeni ostatnich 12 miesięcy.
 
 

Funkcjonariusze CBZC, współpracując z Europolem i FBI, doprowadzili do zamknięcia usługi hostingowej Lolek Hosted. 
Usługi hostingowe typu bulletproof, a więc takie, które opierają się skargom na działalność swych klientów, kontrowersje budzą już od chwili pojawienia się na rynku. Nie da się bowiem ukryć, że w lwiej części korzystają z nich przestępcy, którzy zyskują bezpieczną przestrzeń do działania.
Taką właśnie usługą był zamknięty 8 sierpnia Lolek Hosted – czytamy w komunikacie Centralnego Biura Zwalczania Cyberprzestępczości. Firma zapewniała rozbudowaną warstwę anonimowości, nie gromadząc żadnych logów, w dodatku przyjmowała płatności w kryptowalutach. Jednocześnie miała niezwykle liberalną politykę wobec klientów, gdyż jedyny zakaz dotyczył umieszczania pornografii dziecięcej.
Usługa ułatwiła dystrybucję złośliwego oprogramowania kradnącego informacje, a także przeprowadzanie ataków DDoS (rozproszona odmowa usługi), fikcyjnych sklepów internetowych, zarządzanie serwerami botnetów i dystrybucję wiadomości spamowych na całym świecie

– wylicza z kolei Europol.
W każdym razie dzisiaj żadna z jej usług nie jest już dostępna, a 5 osób stojących u sterów całego procederu trafiło w ręce funkcjonariuszy. Najpoważniejsze zarzuty postawiono Arturowi Karolowi G., 36-letniemu liderowi grupy, który domenę LolekHosted[,]net miał zarejestrować jeszcze w 2014 roku.
G. został oskarżony m.in. o umożliwienie klientom rejestracji kont na fałszywe dane osobowe, ignorowanie skarg na nadużycia składanych przez osoby trzecie czy powiadamianie klientów o zapytaniach kierowanych w ich sprawie przez służby. Za to wszystko grozi mu nawet 45 lat więzienia, gdyż z uwagi na globalną skalę działania stanąć ma przed sądem w Stanach Zjednoczonych.
Jak dodaje Departament Sprawiedliwości USA, Lolek Hosted pomógł w przeprowadzeniu około 50 ataków ransomware NetWalker. Serwery firmy były wówczas używane w procesie uzyskania nieautoryzowanego dostępu do sieci docelowych oraz do przechowywania narzędzi hakerskich i danych skradzionych ofiarom.
Co więcej, nie wyklucza się, że hosting jest zamieszany w pranie brudnych pieniędzy, pochodzących z cyberprzestępstw. Ostatecznie służby zgodnie mówią o milionach dolarów strat, a potwierdzeniem jest wydany równolegle nakaz zajęcia majątku, który opiewa na sumę 21,5 mln dol., czyli ponad 87 mln zł.

W Rosji zajmowanie się cyberbezpieczeństwem to ryzykowna profesja. Kolejny ze specjalistów wylądował w więzieniu po niejawnym „procesie”.
Założyciel i CEO największej rosyjskiej firmy zajmującej się cyberbezpieczeństwem spędzi 14 lat za kratkami, prawdopodobnie w kolonii karnej. To Ilja Saczkow, który założył Group-IB w 2003 roku. Jego firma już od kilku lat ma siedzibę w Singapurze, ale ostatecznie wyszła z Federacji Rosyjskiej dopiero w kwietniu 2023 roku.

Tajne zarzuty i drakoński wyrok

Saczkow, Michajłow, Stojanow i inni

Fałszywe reklamy, zamieszczane na popularne hasła, w 2023 roku stały się prawdziwą plagą – podsumowują eksperci z firmy Sophos. By się naciąć, wystarczy wyszukiwać znanej aplikacji czy serwisu.

Malvertising, czyli nowe stare zagrożenie

Fałszywe reklamy w Google i nie tylko

– tłumaczy Christopher Budd, dyrektor ds. badań nad zagrożeniami w firmie Sophos.
Niestety zdaniem specjalisty to dopiero początek chaosu. Zwłaszcza, że coraz więcej grup cyberprzestępczych oferuje swoje działania w systemie usługowym (ang. cybercrime-as-a-service) na czarnym rynku, jak dodaje Budd. W rezultacie natężenie ataków wzrasta znacznie szybciej niż liczba grup kompetentnych do ich wykonania.

Jak się przed tym chronić?

Liczba cyberataków rośnie na całym świecie. Polska nadal jest pod tym względem stosunkowo bezpieczna, lecz coraz mniej. W drugim kwartale 2023 roku odnotowano drastyczny wzrost hakerów i oszustów w naszym kraju.
Z danych udostępnionych przez Check Point Research wynika, że w drugim kwartale 2023 roku nastąpił ośmioprocentowy wzrost średniej liczby ataków na świecie. Organizacje atakowane są co tydzień aż 1258 razy i jest to najwyższa wartość odnotowana przez Check Point Research ostatnich dwóch latach.

Kogo atakują cyberprzestępcy?

Polska na celowniku cyberprzestępców

Oczywiście nie chodzi o aktualizacje wydane przez Microsoft. Istnieje jednak wirus, który udaje aktualizację.
Chodzi o Big Head. To zagrożenie typu ransomware (żądające okupu za Twoje dane), podszywające się pod aktualizacje systemu Windows lub instalator edytora tekstu Word. Można na niego trafić na przykład za pośrednictwem fałszywej reklamy z informacją o dostępnej aktualizacji.
Big Head został pierwszy raz udokumentowany w czerwcu 2023 roku i specjaliści od razu opisali kilka wariantów zagrożenia. Szkodliwy program szyfruje dane na zainfekowanym komputerze i domaga się wpłaty w kryptowalucie w zamian za ich przywrócenie. Zakres jego działania jest jednak szerszy.

Big Head szyfruje, kradnie i oszukuje

1. 1.exe odpowiada za rozprowadzanie szkodliwego programu dalej,
2. archive.exe wbrew pozorom odpowiada za komunikacjÄ™ przez Telegram,
3. Xarch.exe zaś wyświetla fałszywe okienko aktualizacji systemu i szyfruje dane.

 
Widać, że żądający okupu uczą się na błędach. Big Head nie tylko skutecznie szyfruje dane, ale też utrudnia ich odtworzenie bez płacenia. Ransomware jest bowiem w stanie kasować kopie zapasowe plików, jeśli tylko je znajdzie. Część danych może też wysłać do atakujących, korzystając z otwartoźródłowego modułu WorldWind Stealer. Cyberprzestępcy polują na historię przeglądarki, klucze produktu, zapamiętane sieci, listę plików i listę uruchomionych procesów.


Znaleziono też wariant wyposażony w injector Neshta, zdolny infekować pliki obecne już na komputerze. Specjaliści zaznaczają, że może to być kamuflarz. W ten sposób antywirus zajmie się najpierw injectorem, a ransomware zyska na czasie.
Ponadto Big Head kończy pracę różnych procesów i wyłącza dostęp do Menedżera zadań, by nie było możliwe zakończenie jego procesu ręcznie – to na wypadek, gdyby użytkownik jednak się zorientował, co się dzieje z jego danymi. Ransomware sprawdza również, czy działa w maszynie wirtualnej i jeśli tak, nie uruchamia pełnego arsenału, a nawet może sam się usunąć.
Wisienką na torcie jest to, że pewne osoby są wykluczone z listy celów. Ransomware nie uruchomi się na systemach pracujących w języku rosyjskim, białoruskim, ukraińskim, kazachskim, armeńskim, uzbeckim, tatarskim i kirgiskim. To może sugerować jego pochodzenie, zwłaszcza w połączeniu z komunikacją przez Telegram, ale nie musi. Eksperci z Trend Micro podejrzewają, że zagrożenie pochodzi z Indonezji.