Od JS/CoinMiner k JS/Adware.Agent.AA

JS/CoinMiner se držel na první příčce mezi zachycenými online hrozbami až do června. První prázdninový měsíc jej vystřídala další potenciálně nechtěná aplikace JS/Adware.Agent.AA, která si drží prvenství mezi detekovanými škodlivými kódy dodnes. Jde o adware, který se do napadených zařízení stahuje společně s některými nástroji – například video přehrávači, manažery stahování souborů, PDF generátory – volně šířenými po internetu. Poté, co jsou nainstalovány, zobrazují například vyskakovací okna s reklamou, bannery a podobně. Pro jejich autory jsou zdrojem peněz, které plynou z reklamních prokliků.

Konkrétně JS/Adware.Agent.AA se šíří především prostřednictvím webů, které nabízí nelegální kopie filmů. Slibuje instalaci neoficiálního doplňku internetového prohlížeče, který má zrychlit práci s tímto prohlížečem, ale ve skutečnosti jej zpomalí. V době své největší „slávy“ v srpnu letošního roku stál JS/Adware.Agent.AA téměř za třetinou všech zachycených hrozeb, podobně jako v lednu JS/CoinMiner. Poté jeho podíl začal klesat a v závěru roku 2018 se dostal pod podíl 10 %. Během loňského roku nás ale potrápily i méně časté, zato nebezpečnější škodlivé kódy.

QRecorder vysával peníze z účtů

V září jsme upozornili na rizikovou mobilní aplikaci QRecorder, která se objevila v oficiálním obchodě Google Play. Tento oblíbený nástroj pro nahrávání hovorů se po jedné z aktualizací stal pro uživatele hrozbou, která umožňuje útočníkům vzdálený přístup do bankovního účtu napadeného uživatele. Jen v České republice tuto aplikaci používaly desítky tisíc uživatelů. Malware v telefonu čekal na zašifrovaný příkaz z tzv. C&C serveru útočníka, na základě něhož vykonal požadovanou aktivitu. V první fázi zjišťoval, zda jsou v telefonu aplikace, které mohou být pro útočníky zpeněžitelné a nemusí se jednat pouze o bankovní aplikace.

Následně se do telefonu stáhl modul, který vytvořil neviditelnou vrstvu nad cílovou aplikací, například internetovým bankovnictvím, a snímal přihlašovací údaje uživatele. Útočníci dále měli přístup k sms zprávám, které jsou nejčastějším druhým ověřovacím faktorem při převodech peněz. Útočníkům tedy nic nebránilo v tom, aby si vzdáleně posílali peníze z účtu napadeného uživatele na cizí bankovní účty bez jeho vědomí. Trojan cílil na uživatele, kteří měli přednastavenou českou, polskou či německou jazykovou lokalizaci operačního systému Android, což bylo poměrně neobvyklé.

První kód útočící na UEFI a bankovní vir BackSwap

V říjnu jsme objevili a analyzovali zřejmě první škodlivý kód, který infikuje UEFI, tedy moderní náhradu BIOSu v dnešních počítačích. Pojmenovali jsme ho LoJax a na základě několika znaků se domníváme, že za ním stojí nechvalně proslulá skupina Sednit. Ta stála podle amerického ministerstva spravedlnosti za útokem na Demokratický národní výbor ve Spojených státech krátce před prezidentskými volbami v roce 2016. Skupina je bezpečnostními experty rovněž spojována s únikem e-mailů ze Světové antidopingové agentury či za útoky na francouzskou televizní stanici TV5 Monde. V tomto aktuálním případě skupina útočila na vládní instituce ve státech střední a východní Evropy.

Krátce před Vánoci pak na české uživatele internetu zaútočil škodlivý kód BackSwap, který zneužíval škodlivé přílohy e-mailů, s jejichž pomocí útočníci dokázali změnit údaje platebního příkazu a zcizit peněžní částky až do výše 200 000 korun. BackSwap se šířil prostřednictvím přílohy „VydanaFaktura.zip“ nebo „VydanaFaktura.zip.rar“ a umožňoval obcházet dvoufaktorovou autentizaci, tedy potvrzení internetové platby pomocí jednorázového kódu zaslaného formou sms na mobilní telefon uživatele. Na účet bílého koně pak útočníci posílali částky od 60 000 do 200 000 korun, které pak jejich komplicové vybírali z bankomatů.

Kampaň využívající kód detekovaný jako JS/Adware.Agent.AA patří dlouhodobě mezi ty nejrozšířenější, jakkoliv její intenzita od léta 2018 pomalu klesá. Ne jinak tomu bylo i v prosinci 2018, kdy šlo sice o nejčetnější internetovou hrozbu v České republice, její podíl na všech zachycených hrozbách ale klesl z listopadových 8,6 % na prosincových 6,8 %.

Nejčastěji se tato potenciálně nechtěná aplikace vyskytuje na webech, které nabízejí streaming nelegálních kopií filmů. Většinou se s ní uživatel setká jako s reklamou na doplňky internetového prohlížeče. Slibuje zrychlení práce s počítačem, ale pokud si uživatel tento doplněk stáhne, dojde k úplnému opaku. Do stejné skupiny škodlivých kódů patří i JS/Adware.AztecMedia, který byl v prosinci devátou nejčastěji zachycenou škodlivou kampaní v České republice.

Druhé místo v žebříčku prosincových online hrozeb obsadila generická detekce webových stránek obsahujících injektovaný programový kód nazvaný HTML/ScrInject. Ten návštěvníky napadených stránek automaticky přesměrovává na webové stránky se škodlivým softwarem. Během prosince stál HTML/ScrInject za 5,57 % z námi detekovaných škodlivých kódů. Oproti listopadu jde o pokles o téměř půldruhého procentního bodu.

Bezmála stoprocentní nárůst zaznamenala třetí nejčetnější prosincová hrozba, kterou byl trojan Win32/Exploit.CVE-2017-11882. Ten se šíří prostřednictvím příloh phishingových e-mailů, které obsahují dokument zneužívající zranitelnost CVE-2017-11882 v Microsoft Office. Po úspěšném zneužití dochází k instalaci zadních vrátek do systému umožnujícím kyberzločincům pomocí příkazů z C&C serveru vzdáleně ovládat napadené zařízení.

Nechtěným bonusem je zobrazení phisingové zprávy tvářící se jako od Ministerstva financí Spojeného království a informující o údajném přeplatku na daních. K získání přeplatku stačí jen maličkost, zadat číslo a CVV kód vaší platební karty.

Uživatelé našich bezpečnostních prodůktů byli před všemi těmito hrozbami chráněni.

Nejčastější internetové hrozby v České republice za prosinec 2018:

• JS/Adware.Agent.AA (6,8 %)
• HTML/ScrInject (5,57 %)
• Win32/Exploit.CVE-2017-11882 (4,51 %)
• JS/CoinMiner (3,74 %)
• SMB/Exploit.DoublePulsar (2,94 %)
• JS/TrojanDownloader.Nemucod (2,8 %)
• Win32/GenKryptik (2,34 %)
• JS/Redirector (2,1 %)
• JS/Adware.AztecMedia (1,86 %)
• Java/Adwind (1,36 %)

Logickou volbou pro takové fanoušky je internet, čehož využívá celá řada neoficiálních streamovacích webů. Na černo streamují přímé přenosy fotbalových utkání a zneužívají zájmu diváků pro šíření škodlivých internetových kampaní.

Na co si tedy dát pozor?

Některé weby s údajnými fotbalovými streamy rovnou přesměrovávají uživatele na stránky, jež pro sledování fotbalu požadují vyplnění formuláře s osobními údaji. Důvěřivý fanoušek takto může vyzradit svoje přístupová hesla k internetovým účtům a nejen že se na fotbal nepodívá, ale může přijít o svoji e-mailovou schránku nebo účet na sociálních sítích.

Metody sociálního inženýrství jsou velmi rozšířené a rozhodně se neomezují pouze na fotbalový šampionát. Významná sportovní událost ale přímo láká tvůrce těchto kampaní, kteří chtějí využít masového zájmu uživatelů internetu.

Pokud se chcete vyhnout problémům, sledujte fotbalový šampionát na oficiálních stránkách

Velmi častým způsobem, jak se útočníci snaží od obětí vylákat osobní data, je přesměrování na „soutěžní stránky“ na sociálních sítích. Lidé zde pod vidinou výhry vyplní osobní údaje, případně je stránka vyzve, aby se kvůli účasti znovu přihlásili ke svému účtu na sociální síti. Přihlašovací formulář je ale falešný a zadané údaje okamžitě putují ke zločincům, kteří je obratem zneužijí a získají kontrolu nad profilem oběti. Ten poté mohou dále zneužít a klamat přátele původního majitele účtu.

Jaké další situace mohou nastat?

Dalším velmi rozšířeným způsobem škodlivých kampaní jsou weby s javovým skriptem, který slouží ke skryté těžbě kryptoměn. Zájemce si otevře stránku, která slibuje přenosy z fotbalového šampionátu a společně s HTML kódem této stránky se mu načte i škodlivý skript. Jde o tzv. potenciálně nechtěnou aplikaci, která poté zneužívá výkonu počítače ke skryté těžbě kryptoměn. V České republice jsou tyto skriptry aktuálně nejčastěji zachytitelnými internetovými hrozbami. Uživatel je většinou odhalí kvůli výraznému snížení výkonu počítače.

Pokud se chcete těmto problémům vyhnout, sledujte fotbalový šampionát na oficiálních stránkách. V České republice jej může na internetu streamovat pouze Česká televize, přenosy naleznete na webu www.ivysilani.cz v sekci Sport.

Na různé hackerské útoky a malwarové nákazy jsou náchylné i chytré televizory s operačním systémem Android TV. Pokud MS sledujete raději přes chytrou TV, mohl by vás zajímat tento článek, kde se dozvíte, jak chytrou televizi zabezpečit.

K těmto číslům je důležité podotknout, že jsou ve skutečnosti ještě vyšší, záznamy totiž neobsahují tzv. zranitelnosti nultého dne.

Když se podíváte na tyto záznamy, stojí za to podotknout, že v roce 2017 bylo hlášeno průměrně čtyřicet zranitelností denně, přitom v roce 2016 to bylo pouze sedmnáct zranitelností denně.

Roste také počet zranitelností s vysokou a kritickou závažností

Vážnost zranitelností je určována na základě různých faktorů, například jejich vliv na důvěrnost, integritu nebo dostupnost dat. Také je zohledněna komplexnost útoku, požadovaná privilegia nebo jakákoli interakce s uživatelem. K vypracování je potřeba systém pro vypočítání negativních účinků.

Systém hodnocení zranitelností CVSS (The Common Vulnerability Score System) byl navržen k poskytování otevřené standardizované metody posuzování vlivu zranitelností a využívá se k vyčíslení vážnosti jednotlivých zranitelností. V tuto chvíli se využívají dvě verze tohoto systému (CVSS v2.0 a CVSS v3.0).

V roce 2017 bylo v průměru nahlášeno 40 zranitelností denně

V obou případech systém hodnocení obsahuje tři skupiny metrik použitých pro výpočet skóre. První skupina, nazvaná základní skupina, představuje vnitřní vlastnosti této zranitelnosti.

Druhá skupina, známá také jako dočasná skupina, odráží charakteristiky, které se během času mění. Třetí, skupina měřítek životního prostředí, bere v úvahu charakteristiky zranitelností, které jsou jedinečné pro kontext uživatele provádějícího hodnocení.

Přiřazením hodnot k základním metrikám vznikne skóre mezi 0 a 10, což reprezentuje vážnost zranitelností. V CVSS v2.0 jsou zranitelnosti rozděleny do tří kategorií: nízké 0 – 3,9; střední 4 – 6,9; vysoké 7 – 10. V CVSS v3.0 je kategorií pět: žádné 0; nízké 0,1 – 3,9; střední 4 – 6,9; vysoké 7 – 8,9; kritické 9 – 10.

Stojí za to zmínit, že v roce 2017 se podle databáze NVD (National Vulnerability Database) zvýšil počet zranitelností hodnocených jako vysoké (podle CVSS v2.0) a kritické (podle CVSS v3.0).

Zranitelnosti považované za kritické významně narostly za posledních pět let, od roku 2016 se téměř zdvojnásobily.

U zranitelností považovaných v hodnocení CVSS v2.0 za vysoké si můžete také všimnout nárůstu o více než 60 %, z 2 470 v roce 2016 na 4 148 ke konci roku 2017.

Na grafu výše můžete vidět velký nárůst počtu zranitelností nahlášených v předchozích měsících. S vědomím, že došlo k velkému nárůstu zranitelností označených jako vysoké a kritické, je příznačné označit rok 2017 jako rok zranitelností.

Zajímá vás, jaké největší internetové hrozby se objevily v České republice za loňský rok? Pokud ano, určitě si přečtěte článek Co nás nejvíce ohrožovalo v roce 2017.

„K jeho šíření útočníci zneužili několik her typu MMORPG jež modifikovali přidáním trojan downloaderu pro stahování dalšího malwaru,“ vysvětluje Václav Zubr, bezpečnostní expert společnosti ESET.

ESET zjistil, že útočníci zneužili několik her vytvořených společností Aeria Games

Pozměněné verze potom podstrčili návštěvníkům neoficiálních herních webů. Infikované počítače odesílaly na řídící server útočníků informace o nakaženém počítači a stahovaly další škodlivé komponenty jako software pro DDoS útok a kód pro špehování své oběti.

„Celý proces infekce je před oběťmi dobře skryt. Modifikované hry fungují tak, jak mají. Když se uživatel rozhodne stáhnout si takto upravenou hru, nic nebude nasvědčovat tomu, že je něco v nepořádku. Hráči bez spolehlivého bezpečnostního softwaru si takto nakazí své zařízení,“ varuje Zubr.

Uživatelé mohou přítomnost infekce zjistit tak, že si dají ve svém zařízení vyhledat soubor mskdbe.dll, což je knihovna tohoto škodlivého kódu. Útočníci však mohou tento soubor kdykoli přejmenovat, proto by měli hráči infekci vyhledat prostřednictvím bezpečnostních programů, například jednorázovým skenem u bezplatného nástroje ESET Online Scanner. ESET blokuje poslední aktivní web šířící hry, které obsahují tento škodlivý kód, a informoval o tom i společnost Aeria Games.

Tipy pro hráče, jak mají chránit svá zařízení:

• Vždy, když to je možné, upřednostňujte oficiální zdroje.
• Aktualizujte si hry.
• I během hraní používejte spolehlivé a aktualizované bezpečnostní řešení s cloudovou ochranou. Některá z těchto řešení nabízí hráčům speciální herní mód.
• Na fórech pro hráče buďte obezřetní. Útočníci se mohou vydávat za zdatné hráče, kteří chtějí pomoci těm méně zkušeným. Rozhodně proto nikomu nesdělujte své přihlašovací údaje hry.
• Po ukončení používání služeb jakými jsou například Steam nebo Origin se z této služby odhlaste.