HP: Αύξηση των κακόβουλων εκστρατειών μέσω αρχείων PDF και των exploits του Office

Η HP κυκλοφόρησε την τριμηνιαία έκθεση HP Wolf Security Threat Insights, η οποία δείχνει ότι οι επιτιθέμενοι συνεχίζουν να βρίσκουν καινοτόμους τρόπους για να επηρεάζουν τους χρήστες και να μολύνουν τα τελικά σημεία. Η ομάδα έρευνας απειλών της HP Wolf Security αποκάλυψε αρκετές αξιοσημείωτες εκστρατείες, μεταξύ των οποίων:

• Η εκστρατεία DarkGate χρησιμοποιεί εργαλεία διαφήμισης για να εντύνει τις επιθέσεις: Κακόβουλα συνημμένα αρχεία PDF, που εμφανίζονται ως μηνύματα σφάλματος του OneDrive, κατευθύνουν τους χρήστες σε χορηγούμενο περιεχόμενο που φιλοξενείται σε ένα δημοφιλές δίκτυο διαφημίσεων. Αυτό οδηγεί στο κακόβουλο λογισμικό DarkGate.

• Με τη χρήση υπηρεσιών διαφήμισης, οι φορείς απειλών μπορούν να αναλύσουν ποια τεχνάσματα αναπαράγουν κλικς και μολύνουν τους περισσότερους χρήστες – βοηθώντας τους να βελτιώσουν τις εκστρατείες για μέγιστο αποτέλεσμα.
• Οι φορείς απειλών μπορούν να χρησιμοποιούν εργαλεία CAPTCHA για να αποτρέπουν τα sandboxes από το να σαρώνουν το κακόβουλο λογισμικό και να σταματήσουν τις επιθέσεις, διασφαλίζοντας ότι μόνο πραγματικοί χρήστες κάνουν κλικ.
• Το DarkGate δίνει πρόσβαση σε εγκληματίες του κυβερνοχώρου σε δίκτυα, εκθέτοντας τα θύματα σε κινδύνους όπως η κλοπή δεδομένων και το ransomware.

• Αλλαγή από τις μακροεντολές στα exploits του Office: Το τέταρτο τρίμηνο, τουλάχιστον το 84% των προσπαθειών εισβολής που αφορούσαν υπολογιστικά φύλλα και το 73% που αφορούσαν αρχεία Word, προσπάθησαν να εκμεταλλευτούν τα τρωτά σημεία σε εφαρμογές του Office – συνεχίζοντας την τάση απομάκρυνσης από επιθέσεις με μακροεντολές στο Office. Ωστόσο, οι επιθέσεις με χρήση μακροεντολών εξακολουθούν να υπάρχουν, ιδίως για επιθέσεις που αξιοποιούν φτηνό κακόβουλο λογισμικό όπως το Agent Tesla και το XWorm.
• Το κακόβουλο λογισμικό PDF βρίσκεται σε άνοδο: Το 11% του κακόβουλου λογισμικού που αναλύθηκε το τέταρτο τρίμηνο χρησιμοποίησε αρχεία PDF για την αποστολή κακόβουλου λογισμικού, σε σύγκριση με μόλις 4% το πρώτο και δεύτερο τρίμηνο του 2023. Ένα αξιοσημείωτο παράδειγμα ήταν μια εκστρατεία WikiLoader που χρησιμοποιούσε ένα ψεύτικο PDF αρχείο παράδοσης δεμάτων για να εξαπατήσει τους χρήστες ώστε να εγκαταστήσουν το κακόβουλο λογισμικό Ursnif.
• Το Discord και το TextBin χρησιμοποιούνται για τη φιλοξενία κακόβουλων αρχείων: Οι φορείς απειλών χρησιμοποιούν νόμιμους ιστότοπους κοινής χρήσης αρχείων και κειμένου για να φιλοξενούν κακόβουλα αρχεία. Οι ιστότοποι αυτοί είναι συχνά αξιόπιστοι από οργανισμούς, βοηθώντας τους να αποφεύγουν τους σαρωτές anti-malware, αυξάνοντας τις πιθανότητες των εισβολέων να παραμείνουν απαρατήρητοι.

Ο Alex Holland, Senior Malware Analyst στην ομάδα έρευνας απειλών της HP Wolf Security, σχολίασε: «Οι εγκληματίες του κυβερνοχώρου γίνονται όλο και πιο ικανοί στο να μπαίνουν στο μυαλό μας και να καταλαβαίνουν πώς λειτουργούμε. Για παράδειγμα, ο σχεδιασμός των δημοφιλών υπηρεσιών cloud βελτιώνεται συνεχώς, οπότε όταν εμφανίζεται ένα ψεύτικο μήνυμα σφάλματος, δεν θα σημάνει απαραίτητα συναγερμό, ακόμη και αν ο χρήστης δεν το έχει ξαναδεί. Με το GenAI να παράγει ακόμη πιο πειστικό κακόβουλο περιεχόμενο με ελάχιστο έως καθόλου κόστος, η διαφορά μεταξύ πραγματικού και ψεύτικου θα γίνεται όλο και πιο δύσκολη».

Απομονώνοντας τις απειλές που έχουν διαφύγει από τα εργαλεία ανίχνευσης στους υπολογιστές – αλλά επιτρέποντας στο κακόβουλο λογισμικό να ενεργοποιηθεί με ασφάλεια – το HP Wolf Security έχει συγκεκριμένη εικόνα των πιο σύγχρονων τεχνικών που χρησιμοποιούν οι εγκληματίες του κυβερνοχώρου στο ταχέως μεταβαλλόμενο τοπίο του κυβερνοεγκλήματος. Μέχρι σήμερα, οι πελάτες της HP Wolf Security έχουν κάνει κλικ σε πάνω από 40 δισεκατομμύρια συνημμένα email, ιστοσελίδες και κατεβασμένα αρχεία χωρίς να έχουν αναφερθεί παραβιάσεις.

Η έκθεση περιγράφει λεπτομερώς πώς οι εγκληματίες του κυβερνοχώρου συνεχίζουν να διαφοροποιούν τις μεθόδους επίθεσης για να παρακάμπτουν τις πολιτικές ασφαλείας και τα εργαλεία ανίχνευσης. Άλλα ευρήματα περιλαμβάνουν:

• Τα αρχεία ήταν ο πιο δημοφιλής τύπος παράδοσης κακόβουλου λογισμικού για έβδομο συνεχόμενο τρίμηνο, που χρησιμοποιήθηκε στο 30% του κακόβουλου λογισμικού που αναλύθηκε από την HP.
• Τουλάχιστον το 14% των απειλών ηλεκτρονικού ταχυδρομείου που εντοπίστηκαν από το HP Sure Click παράκαμψαν έναν ή περισσότερους σαρωτές πύλης ηλεκτρονικού ταχυδρομείου.
• Οι κυριότεροι φορείς απειλών στο τέταρτο τρίμηνο ήταν το ηλεκτρονικό ταχυδρομείο (75%), οι λήψεις από προγράμματα περιήγησης (13%) και άλλα μέσα όπως οι μονάδες USB (12%).

Ο Dr. Ian Pratt, Global Head of Security for Personal Systems στην HP Inc., σχολίασε: «Οι εγκληματίες του κυβερνοχώρου εφαρμόζουν τα ίδια εργαλεία που μπορεί να χρησιμοποιήσει μια επιχείρηση για τη διαχείριση μιας εκστρατείας μάρκετινγκ για να βελτιστοποιήσουν τις κακόβουλες εκστρατείες τους, αυξάνοντας την πιθανότητα ο χρήστης να τσιμπήσει το δόλωμα. Για να προστατευτούν από καλά εξοπλισμένους φορείς απειλών, οι οργανισμοί πρέπει να ακολουθούν τις αρχές της μηδενικής εμπιστοσύνης, απομονώνοντας και περιορίζοντας τις επικίνδυνες δραστηριότητες, όπως το άνοιγμα συνημμένων email, το κλικ σε συνδέσμους και τις λήψεις στο πρόγραμμα περιήγησης».

Το HP Wolf Security εκτελεί επικίνδυνες εργασίες σε απομονωμένες, εικονικές μηχανές προστατευμένες με hardware που εκτελούνται στο τελικό σημείο για την προστασία του χρήστη, χωρίς να επηρεάζεται η παραγωγικότητά του. Καταγράφει επίσης αναλυτικά τα ίχνη των επιχειρούμενων επιθέσεων. Η τεχνολογία της HP για την απομόνωση εφαρμογών μετριάζει τις απειλές που μπορούν να ξεφύγουν από άλλα εργαλεία ασφαλείας και παρέχει μοναδικές πληροφορίες σχετικά με τις μεθόδους εισβολής και τη συμπεριφορά των απειλών.