Trend Micro: cyberprzestępczość w czasach zarazy

Przeczytaj także: Złośliwe oprogramowanie w dobie pandemii. Koronawirus przynętą na ofiary

Jak wynika z komunikatu opublikowanego przez Trend Micro, najpopularniejszym kanałem rozprzestrzeniania zagrożeń pozostaje spam. W tej kategorii na szczególne wyróżnienie zasługuje BEC, czyli Business Email Compromise - fałszywe wiadomości przesyłane adresatom biznesowym, w których oszuści najczęściej podają się za kontrahenta, dostawcę, wierzyciela, a nawet członka dyrekcji firmy.

Tu, jak zaznacza Trend Micro, cyberprzestępczość wykazuje się nieograniczoną wręcz kreatywnością, a w dobie braku niektórych artykułów, takich jak środki do dezynfekcji, ubrania ochronne, maseczki czy środki higieniczne, okazja czyni złodzieja. Europol (Europejski Urząd Policji) zwraca uwagę między innymi na to zjawisko w swoim raporcie z 27 marca 2020 r. Podają jako przykład śledztwo prowadzone w sprawie wyłudzenia przez przelew 6.6 mln Euro, w celu zakupu maseczek FFP3 oraz żelu do dezynfekcji. Towar nie został nigdy dostarczony.

Sytuacja sprzyja socjotechnikom

W chwili, gdy martwimy się o zdrowie swoje i najbliższych, stajemy się bardziej podatni na różnego rodzaju przekazy. Również te, które mogą okazać się dla nas zgubne. W połowie marca Bank PKO BP ostrzegał przed SMSami wyłudzającymi dane – przestępcy straszyli, że możemy zostać bez pieniędzy, które w przypadku braku naszej natychmiastowej reakcji będą przekazane do rezerw NBP. Wiadomość zwierała link do podstawionej strony, kradnącej tożsamość, a od tego już tylko krok do poważnych strat finansowych.

W związku z wprowadzeniem przepisów tzw. Tarczy Antykryzysowej możemy się spodziewać nowych kampanii wykorzystujących stare sztuczki. Mogą pojawiać się komunikaty typu: „Twoje zaległości w ZUS, US, lub innym miejscu wynoszą 3.24 PLN. W związku z tym, nie będziesz mógł korzystać z pomocy państwa czy zwolnienia ze składek itp., jeśli natychmiast nie uregulujesz należności”. Na odbiorców wiadomości zwykle czeka URL do podstawionej strony banku lub serwisu płatności on-line. W ten sposób cyberprzestępczość próbowała się podszywać pod oficjalny profil Ministerstwa Finansów, o czym informował i ostrzegał CERT Polska.

Wiele wiadomości zawiera również szkodliwe oprogramowanie. Ukryte są na przykład pod postacią informacji dotyczących wysyłek niezbędnych nam w czasie kryzysu towarów czy wyposażenia. Treść takich wiadomości przygotowana jest w taki sposób, aby wystraszyć i wpłynąć na użytkownika, który bez zastanowienia, natychmiast otworzy załącznik lub kliknie link.
Skuteczną przynętą okazały się również wiadomości opisujące „cudowne” lekarstwa lub szczepionki przeciw COVID-19. Wśród nich, nasi badacze wykryli między innymi nowy wariant trojana HawkEye, służącego do kradzieży poufnych informacji. Obserwujemy też powszechne wykorzystanie dobrze znanego trojana EMOTET, który zarówno może być używany do kradzieży tożsamości, jak i instalacji innego rodzaju szkodliwego oprogramowania. To z kolei może doprowadzić do ataków typu ransomware, jak to miało miejsce w szpitalu uniwersyteckim w Brnie w Czechach (cyt. raport Europol-u).

Cyberprzestępczość "wyłudzeniowa

Maile służące wymuszeniom to nic nowego. Pojawiały się wielokrotnie i zwykle związane były z groźbą ujawnienia poufnych i kompromitujących informacji dotyczących adresata przesyłki. W większości wypadków to nieudolne próby wyłudzenia, bazujące znów na mechanizmach socjotechnicznych. Jednakże w dobie COVID-19 okazuje się, że przestępcy nie mają specjalnych zahamowań – potrafią wysyłać maile, które zawierają groźby zakażenia odbiorcy i całej rodziny wirusem COVID-19, jeśli nie zostaną spełnione żądania napastnika.

Próbując uwiarygodnić swoje możliwości, przestępcy podszywają się pod adres mailowy odbiorcy i twierdzą, że wiedzą wszystko o ofierze. Żądają przekazu kwoty w kryptowalucie, grożąc zainfekowaniem ofiary i całej rodziny wirusem oraz zrujnowaniem życia. Jest to typowy SCAM wykorzystujący taktyki zastraszania w celu zmanipulowania użytkownika. Nie należy ulegać tego typu atakom.

Praca zdalna

Uruchomienie możliwości pracy zdalnej to problem, przed którym stanęło wiele organizacji. Wykorzystanie prywatnego sprzętu pracowników to czasem jedyna opcja. Komputery domowe, często wykorzystywane przez wszystkich członków rodziny nie zawsze są odpowiednio zabezpieczone, a często bywają zainfekowane na długo przed pojawieniem się konieczności wykorzystywania do pracy zdalnej.

Może się zdarzyć, że link do instalacji oprogramowania umożliwiającego pracę zdalną, telekonferencję, czy też zabezpieczenie komputera, doprowadzi do instalacji złośliwego oprogramowania (malware). Znana była kampania z wykorzystaniem popularnego oprogramowania do zdalnej pomocy.

Czarny rynek – podziemie cyberprzestępcze

Okazuje się, że i tu widać szybką adaptację do zmieniającej się rzeczywistości. Z jednej strony pojawiają się nowe opcje usług związanych z cyberprzestępczością (jak strony i maile phisingowe), nowe kampanie, szkodliwe oprogramowanie, eksploity. Z drugiej strony oferowane są realne towary, które osiągają obecnie spekulacyjne ceny – maski FFP2/3, środki ochrony osobistej, respiratory, a nawet papier toaletowy.
Marek Krauze, sales engineer z