Roste počet útoků zaměřených na IoT a síťové zranitelnosti

Významný nárůst počtu útoků, které využívají známé zranitelnosti v zařízeních internetu věcí, zaznamenala společnost Check Point Software Technologies. Jejich počet se od května 2018 více než zdvojnásobil. Útoky využívají tzv. IoT malware, který se šíří prostřednictvím zranitelností. Jde například o kódy Mirai, IoTroop/Reaper nebo VPNFilter. Informaci firma zveřejnila v rámci nového vydání zprávy Global Threat Index.

Zároveň společnost Check Point vydala žebříček zemí, které jsou nejčastěji terčem kyberútoků. Česká republika se i nadále drží mezi bezpečnějšími zeměmi a v červenci jí patřila až 120. příčka, což je posun o 10 míst z červnové 110. pozice. Podobně je na tom i Slovensko, které se umístilo na 124. příčce. Na prvním místě se v Indexu hrozeb nově umístila Bývalá jugoslávská republika Makedonie. Největší skok mezi nebezpečné země zaznamenal Kyrgyzstán, který se posunul o 77 míst až na 2. pozici. Naopak Tunisko se nejvýrazněji posunulo mezi bezpečnější země, když kleslo ze 16. příčky na 73. pozici.

V červenci se do Top 10 nejčastěji zneužitých zranitelností dostaly hned tři IoT zranitelnosti: MVPower DVR router Remote Code Execution (5. příčka), D_Link DSL-2750B router Remote Command Execution (7. pozice) a Dasan GPON router Authentication Bypass (10. pozice). Celkově bylo 45 procent organizací po celém světě ovlivněno útoky zneužívajícími tyto zranitelnosti, ve srovnání s 35 procenty v červnu a 21 procenty v květnu. Zranitelnosti umožňují útočníkům spustit škodlivý kód a získat vzdálenou kontrolu nad cílovým zařízením.

„Známé zranitelnosti poskytují kyberzločincům snadný vstup do podnikových sítí, což umožňuje využít širokou škálu útoků,“ říká Daniel Šafář, Country Manager CZR regionu ve společnosti Check Point. „IoT zranitelnosti jsou často ‚cesta nejmenšího odporu‘, takže jakmile je narušena bezpečnost jednoho zařízení, může být snadné infiltrovat další připojená zařízení. Je tedy zásadní, aby organizace používaly záplaty proti známým zranitelnostem a zajistily tak, že sítě zůstanou bezpečné.“

„Aby bylo možné chránit se před známými i neznámými zranitelnostmi, je důležité, aby organizace nasadily vícevrstvou kyberbezpečnostní strategii, která chrání proti kyberútokům využívajícím známé malwarové rodiny i proti zcela novým hrozbám,“ dodává Šafář.

CoinHive zůstává nejčastěji použitým malwarem k útokům na organizace, dopad měl na 19 procent z nich po celém světě. Cryptoloot a Dorkbot se umístily na druhém a třetím místě, oba měly dopad na 7 procent společností.

Top 3 - malware:

1. ↔ CoinHive – CoinHive je navržen pro těžbu kryptoměny Monero bez souhlasu uživatele. CoinHive implantuje JavaScript, který využívá CPU koncových uživatelů a negativně ovlivňuje výkon stroje.
2. ↔ Cryptoloot - Malware zaměřený na těžbu kryptoměn využívá výkon procesoru nebo grafické karty uživatele pro těžbu kryptoměn. Cryptoloot je konkurence pro CoinHive a snaží se získat výhodu tím, že požaduje od webových stránek menší procento zisků.
3. ↔ Dorkbot - IRC červ, který umožňuje vzdálené spuštění kódu operátorem a stahování dalšího malwaru do infikovaného systému. Jedná se o bankovní trójský kůň, jehož primární motivací je krást citlivé informace a zahajovat DoS útoky.

Škodlivým kódům nejčastěji použitým k útokům na podniková mobilní zařízení vévodil v červenci bankovní trojan Lokibot, následovaly škodlivé kódy Triada a Guerilla.

Top 3 - mobilní malware:

1. Lokibot - Bankovní trojan pro Android a současně malware zaměřený na krádeže informací, který se může změnit také na ransomware. V případě odstranění administrátorských oprávnění zamkne telefon.
2. Triada - Modulární backdoor pro Android, který uděluje superuživatelské oprávnění pro stažení malwaru a pomáhá jej vložit do systémových procesů. Triada umí také zfalšovat URL odkazy uložené v prohlížeči.
3. Guerilla – Malware pro Android zaměřený na podvodná reklamní kliknutí, který může komunikovat vzdáleně s C&C serverem, stahovat další škodlivé plug-iny a agresivně klikat na reklamy bez souhlasu nebo vědomí uživatele.

Check Point také analyzoval nejčastěji zneužívané kyberzranitelnosti. Check Point zjistil, že kyberzločinci se pro útoky na podnikové sítě snažili zneužívat především zranitelnost CVE-2017-7269, která měla celosvětově dopad na 47 procent organizací. Druhá zranitelnost CVE-2017-5638 měla dopad na 42 % organizací po celém světě. OpenSSL TLS DTLS Heartbeat Information Disclosure na třetím místě ovlivnila 41 procent společností.

Top 3 - zranitelnosti:

1. ↔ Microsoft IIS WebDAV ScStoragePathFromUrl Buffer Overflow (CVE-2017-7269) - Odesláním požadavku na Microsoft Windows Server 2003 R2 prostřednictvím služby Microsoft Internet Information Services 6.0 může vzdálený útočník spustit libovolný kód nebo způsobit odmítnutí podmínek služby na cílovém serveru. Patch je k dispozici od března 2017.
2. ↑ Apache Struts2 Content-Type Remote Code Execution (CVE-2017-5638) - V Apache Struts2 používajícím Jakarta multipart parser je zranitelnost umožňující vzdálené spuštění kódu. Útočník může tuto zranitelnost zneužít odesláním neplatného typu obsahu jako součást požadavku na nahrání souboru. Úspěšné zneužití by mohlo vést ke spuštění libovolného kódu na postiženém systému.
3. ↑ OpenSSL TLS DTLS Heartbeat Information Disclosure (CVE-2014-0160; CVE-2014-0346) - V OpenSSL existuje zranitelnost umožňující přístup k informacím. Zranitelnost je způsobena chybou při zpracování TLS/DTLS heartbeat paketů. Útočník může využít tuto zranitelnost k odhalení obsahu paměti připojeného klienta nebo serveru.

Check Point analyzoval i malware útočící na podnikové sítě v České republice. Dominoval především CoinHive, malware těžící kryptoměnu Monero, a i na dalších místech v Top 10 se výrazně prosadil malware těžící kryptoměny. Na druhou příčku se posunul RoughTed a přesto, že červ Dorkbot nebyl v červnu ani v Top 10, v červenci poskočil až na pozici trojky.

Online mapa kybernetických hrozeb ThreatCloud Map sleduje v reálném čase, jak a kde po celém světě probíhají kybernetické útoky. Využívá pro to informací z Check Point ThreatCloud, největší sítě pro spolupráci v boji s kybernetickými hrozbami, a přináší data o hrozbách a trendech z celosvětové globální sítě senzorů. Databáze ThreatCloud analyzuje více než 250 milionů adres a detekuje případné nakažení boty. Obsahuje přes 11 milionů malwarových signatur a více než 5,5 milionu infikovaných webových stránek, každý den identifikuje miliony malwarových typů.