Ewolucja złośliwego oprogramowania II kw. 2017

Przeczytaj także: Ewolucja złośliwego oprogramowania I kw. 2017

Analiza sytuacji z II kwartału br. dowodzi, że na sile przybrały przede wszystkim ataki ukierunkowane, za którymi stali cyberprzestępcy władający rosyjskim, angielskim, koreańskim oraz chińskim. Zdarzenia te nie pozostały oczywiście bez wpływu na bezpieczeństwo IT firm: dziś już nieustannie, niemal w każdym zakątku świata, prowadzona jest wyrafinowana aktywność cyberprzestępcza, która podwyższa ryzyko odniesienia pośrednich szkód w cyberwojnie przez firmy i organizacje niekomercyjne. Pierwszym i najprawdopodobniej nie ostatnim przykładem tej nowej niebezpiecznej tendencji są destrukcyjne epidemie WannaCry i ExPetr, których ofiarą padło wiele firm i organizacji na całym świecie.Pierwsza z nich zaatakowała m.in. rosyjskie MSW oraz brytyjskie szpitale.

Najważniejsze wydarzenia w II kwartale 2017 r.

• Trzy exploity dnia zerowego dla systemu Windows wykorzystywane przez rosyjskojęzyczne ugrupowania przestępcze Sofacy i Turla. Ugrupowanie Sofacy, znane również jako APT28 lub FancyBear, zastosowało exploity skierowane przeciwko licznym celom europejskim, łącznie z organizacjami rządowymi i politycznymi. Ugrupowanie to wypróbowywało również kilka eksperymentalnych metod, w szczególności narzędzie wykorzystane przeciwko członkowi francuskiej partii politycznej w okresie poprzedzającym wybory we Francji.
• Gray Lambert — Kaspersky Lab przeanalizował jak dotąd najbardziej zaawansowany zestaw narzędzi wykorzystywany przez ugrupowanie Lamberts — wysoce wyrafinowaną i złożoną anglojęzyczną rodzinę oprogramowania cyberszpiegowskiego. Zidentyfikowano dwie nowe, powiązane rodziny szkodliwego oprogramowania.
• Ataki WannaCry z 12 maja oraz ExPetr (NotPeyta/Petya) z 27 czerwca. Chociaż różnią się znacząco pod względem charakteru i celów, oba okazały się zaskakująco nieskuteczne pod względem wyłudzania okupu. Błyskawiczne globalne rozprzestrzenianie się oraz nagłośnienie szkodnika WannaCry skierowało uwagę na konto atakujących przeznaczone do wpłaty okupu w bitcoinach, co utrudniło cyberprzestępcom zdeponowanie pieniędzy. To sugeruje, że prawdziwym celem ataku WannaCry było niszczenie danych. Eksperci z Kaspersky Lab odkryli dalsze powiązania między ugrupowaniem Lazarus a WannaCry. Schemat destrukcyjnego szkodliwego oprogramowania zamaskowanego jako oprogramowanie ransomware zaobserwowaliśmy ponownie w przypadku ataku ExPetr.
• ExPetr, który atakował organizacje na Ukrainie, w Rosji i innych państwach w Europie, również wydawał się być oprogramowaniem ransomware jednak jego cel okazał się wyłącznie destrukcyjny. Motyw przeprowadzania ataków ExPetr pozostaje tajemnicą. Eksperci z Kaspersky Lab ustalili przy niskim poziomie pewności powiązanie tego ataku z ugrupowaniem przestępczym o nazwie Black Energy.

Od dawna podkreślaliśmy znaczenie w pełni globalnych danych analitycznych dotyczących zagrożeń w ochronie poufnych i krytycznych sieci. Z jednej strony wzrasta liczba nadgorliwych cyberprzestępców, których zupełnie nie obchodzi stan internetu, z drugiej natomiast coraz więcej osób pracuje w istotnych instytucjach oraz firmach i korzysta z sieci każdego dnia. W sytuacji, gdy cyberszpiegostwo, sabotaż i przestępczość szerzą się w niepohamowany sposób, niezwykle istotne jest, aby obrońcy połączyli siły, przekazując sobie wzajemnie zaawansowaną wiedzę, aby zapewnić lepszą ochronę przed wszystkimi zagrożeniami — powiedział Juan Andres Guerrero-Saade, starszy badacz ds. cyberbezpieczeństwa, Globalny Zespół ds. Badań i Analiz (GReAT), Kaspersky Lab.

W raporcie na temat trendów w zakresie zaawansowanych cyberataków w II kwartale podsumowano wyniki z dokumentów przeznaczonych dla subskrybentów firmy Kaspersky Lab, obejmujących dane analityczne dotyczące zagrożeń. W drugim kwartale 2017 r. Globalny Zespół ds. Badań i Analiz Kaspersky Lab opracował 23 prywatne raporty dla subskrybentów, zawierające oznaki infekcji (IOC) oraz reguły Yara, aby wspomóc kryminalistykę i identyfikację szkodliwego oprogramowania.