Fortinet: cyberprzestępcy budują "armię rzeczy"

Przeczytaj także: FORTINET: w 2017 r. cyberprzestępcy nie odpuszczą

Trendy w zakresie infrastruktury oraz ich związek z zagrożeniami

Eksploty, botnety i malware nie dają nam spokoju. Co gorsza, ze względu na rozwój infrastruktury sieciowej sprawne wykrywanie tych zagrożeń staje się coraz większym wyzwaniem.

Dane dowodzą, że ruch szyfrowany za pomocą protokołu SSL to około połowa całego ruchu generowanego przez przedsiębiorstwa. Uwadze nie może umknąć rosnąca popularność protokołu HTTPS. O ile jednak zapewnia on ochronę prywatności, o tyle również nieco utrudnia wykrywanie zagrożeń kryjących się często w zaszyfrowanych komunikatach. Okazuje się jednak, że ruch SSL często nie jest kontrolowany, co wynika przede wszystkim z wysokich kosztów generowanych przez jego odszyfrowanie, kontrolę i ponowne zaszyfrowanie. To wszystko sprawia, że dzisiejsi informatycy zmuszeni są balansować pomiędzy bezpieczeństwem a wydajnością.

Przeciętna liczba wykorzystywanych przez firmy aplikacji w chmurze podskoczyła do 63, co stanowi około jedną trzecią ich ogólnej liczby. Tendencja ta nie pozostaje bez znaczenia dla kwestii związanych z bezpieczeństwem. Dzieje się tak, ponieważ dane przechowywane przez aplikacje działające w chmurze są mniej widoczne, a wgląd w to, kto i jak ich używa - ograniczony. Natomiast stopień wykorzystywania mediów społecznościowych, transmisji strumieniowej audio i wideo oraz aplikacji P2P nie uległ gwałtownemu wzrostowi.

„Armia rzeczy” budowana w cyfrowym półświatku

Urządzenia Internetu Rzeczy (IoT) to łakome kąski dla cyberprzestępców na całym świecie. Budują oni własne „armie rzeczy”, które umożliwiają im replikację ataków w tani i niewiarygodnie szybki sposób oraz na masową skalę. Stanowi to podstawę działania współczesnych cyberprzestępców. Urządzenia IoT przejęte przez botneta Mirai przeprowadziły ataki DDoS na rekordową skalę. Udostępnienie kodu źródłowego Mirai zwiększyło aktywność botnetu 25-krotnie w ciągu tygodnia, a do końca roku aż 125-krotnie.

Na szczycie listy zagrożeń znalazły się eksploity wykorzystujące kilka kategorii urządzeń IoT i szukające luk w zabezpieczeniach domowych routerów i drukarek. Przez pewien czas na szczycie tej listy znajdowały się również rejestratory DVR i NVR, których wykorzystanie do przeprowadzania ataków wzrosło aż 6-krotnie.

Rośnie liczba ataków na urządzenia mobilne

Większym niż dotychczas problemem stało się szkodliwe oprogramowanie na urządzenia mobilne. O ile stanowi ono zaledwie 1,7% łącznego wolumenu szkodliwego oprogramowania, to aż 20% przedsiębiorstw przyznaje, że miało z nim do czynienia – niemal zawsze na systemie Android. W tych przypadkach występują istotne różnice regionalne: 36% ataków było wymierzonych w przedsiębiorstwa z Afryki, 23% – z Azji, 16% – z Ameryki Północnej i zaledwie 8% – z Europy. Dane te są obecnie używane do określania zaufanych urządzeń w sieciach korporacyjnych.

Zautomatyzowane ataki na masową skalę stały się powszechne

Zależność pomiędzy liczbą eksploitów a ich powszechnym występowaniem sugeruje coraz większą automatyzację ataków i niższe koszty szkodliwego oprogramowania oraz narzędzi dystrybuowanych w darknecie. Przeprowadzanie ataków jest tańsze i łatwiejsze niż kiedykolwiek wcześniej.

Na czele listy wykrytych eksploitów stanowiących poważne lub krytyczne zagrożenie, głównie dla instytucji edukacyjnych, uplasował się SQL Slammer. Drugim najczęściej występującym był eksploit wskazujący na ataki z wykorzystaniem algorytmu siłowego, wymierzone w protokół Microsoft Remote Desktop Protocol (RDP). Eksploit ten inicjował 200 żądań RDP co dziesięć sekund, co tłumaczy dużą liczbę takich przypadków wykrytych w przedsiębiorstwach na całym świecie. Na trzecim miejscu znalazła się sygnatura związana z uszkodzeniem pamięci w programie Windows File Manager, która umożliwia przestępcy zdalne wykonywanie dowolnego kodu w danej aplikacji z użyciem pliku .jpg.

Z kolei najpopularniejszymi botnetami były H-Worm i ZeroAccess. Oba pozwalają przestępcom kontrolować systemy w celu wysysania danych, są używane w procederze określanym jako „click fraud” (nieuczciwe bądź fałszywe kliknięcia w link sponsorowany lub inną formę reklamy w celach zarobkowych) oraz do wykopywania bitcoinów. Prób ataków z wykorzystaniem tych dwóch botnetów najczęściej dokonywano w branży technologicznej i sektorze publicznym.

Oprogramowanie ransomware nie odchodzi do lamusa

Popularność tej niezwykle opłacalnej metody ataku będzie rosnąć z uwagi na coraz większą dostępność usług RaaS (oprogramowanie ransomware jako usługa), dzięki którym nawet niewprawieni przestępcy mogą pobrać odpowiednie narzędzia i użyć ich przeciwko ofierze. Według wyników badania 36% przedsiębiorstw wykryło aktywność botnetów związaną z oprogramowaniem ransomware. Zwycięzcą okazał się TorrentLocker.

Swoje pięć minut miały też dwie rodziny szkodliwego oprogramowania Nemucod i Agent, do których należało aż 81,4% próbek wykrytego malware’u. Rodzina Nemucod jest powszechnie kojarzona z oprogramowaniem ransomware, które jest obecne we wszystkich regionach i sektorach, a zwłaszcza w służbie zdrowia.

Są nowości, ale starsze eksploity mają się dobrze

Aż 86% firm doświadczyło prób ataków z wykorzystaniem luk w zabezpieczeniach starszych niż dziesięć lat. Prawie 40% z nich miało do czynienia z eksploitami wykorzystującymi jeszcze starsze powszechnie znane zagrożenia.

Na jedno przedsiębiorstwo przypadło średnio 10,7 unikalnych eksploitów aplikacji. Około 9 na 10 firm wykryło eksploity stanowiące poważne lub krytyczne zagrożenie. W ujęciu ogólnym Afryka, Bliski Wschód i Ameryka Łacińska cechowały się większą liczbą i zróżnicowaniem przypadków w każdej kategorii zagrożeń w porównaniu ze średnią liczbą eksploitów, szkodliwego oprogramowania i rodzin botnetów wykrytych w przedsiębiorstwach w poszczególnych regionach świata. Różnice te były widoczne zwłaszcza w przypadku botnetów.

Metodologia badania
Raport z globalnego badania zagrożeń przeprowadzonego przez Fortinet stanowi zestawienie danych analitycznych zebranych przez laboratoria FortiGuard Labs w IV kw. 2016 r. w ujęciu globalnym i regionalnym oraz w rozbiciu na poszczególne sektory i przedsiębiorstwa. Badanie skupiło się na trzech głównych i wzajemnie uzupełniających się rodzajach zagrożeń: eksploitach aplikacji, szkodliwym oprogramowaniu i botnetach. Szczegółowe informacje na temat badania znajdują się na blogu Fortinetu.