​Kyberzločinci operující s pokročilými trvalými hrozbami (APT) začali ve třetím čtvrtletí tohoto roku využívat řadu nových a doposud neznámých škodlivých nástrojů. Díky nim se snaží vyhnout detekci. Tyto a další APT trendy vztahující se i k České republice obsahuje nejnovější report společnosti Kaspersky.

Report, pokrývající oblast pokročilých trvalých hrozeb za červenec až září, vychází jak z vlastních poznatků o kybernetických hrozbách společnosti Kaspersky, tak i dalších zdrojů, které se zabývají hlavními vývojovými trendy v oboru.

V letních měsících zaznamenali odborníci z Kaspersky snahy kyberzločinců diverzifikovat nástroje svých APT hrozeb. Největší změny provedli tito aktéři:

• Turla (skupina známá také pod názvy Venomous Bear, Uroburos nebo Waterbug) výrazně změnila své zhoubné nástroje. V průběhu vyšetřování škodlivých aktivit v centrální Asii se odborníkům z Kaspersky podařilo identifikovat nový backdoor, který s největší pravděpodobností patří této APT skupině. Malware pojmenovaný „Tunnus“ je dotnetový (.NET) backdoor schopný spouštět příkazy nebo provádět souborové aktivity na infikovaném systému. Výsledky této aktivity pak zasílá svým C&C serverům. Doposud hackeři svou infrastrukturu budovali pomocí napadených webů se zranitelnými Wordpress objekty. Z firemní telemetrie vyplývá, že je Tunnus aktivní od letošního března.
• Skupina Turla rovněž změnila svůj známý javascriptový malware KopiLuwak na nový dropper pojmenovaný „Topinambour“. Jedná se o nový dotnetový soubor, který skupina používá k distribuci a spuštění svého JavaScript KopiLuwak prostřednictvím infikovaných instalačních balíčků legitimních softwarových programů jako jsou například VPNky. Některé z těchto změn mají zabránit odhalení skupiny. Dvě podobné verze KopiLuwaku – dotnetový trojský kůň „RocketMan“ a PowerShell „MiamiBeach Trojan“ – hackeři využívají ke kybernetické špionáži. Hackeři jsou dokonce schopni těmito verzemi infikovat i uživatele, jejichž bezpečnostní software KopiLuwak detekuje. Všechny tři verze dokáží identifikovat své oběti, shromažďovat informace o systémových a síťových adaptérech, krást soubory, stahovat a spouštět další malware.
• Kyberzločinecká skupina HoneyMyte (též označovaná jako Temp.Hex nebo Mustang Panda), která je aktivní už řadu let, během uplynulého roku změnila techniky, jimiž provádí útoky. Nově se také zaměřuje na nové cíle. Jejich nejaktuálnější kampaň cílila na vládní subjekty z Myanmaru, Mongolska, Etiopie, Vietnamu a Bangladéše. Útoky se přitom spoléhaly na rozmanité spektrum nástrojů: a) PlugX implants; b) několika stupňový balíček připomínající stager CobaltStrike a stageless droppery s PowerShell a VB skripty, spustitelné dotnetové soubory, cookies-stealers a další; c) zneužití ARP společně s malwarem pro DNS hijacking, jejichž prostřednictvím nainstalují zákeřný Flash a aktualizace Microsoftu skrz http umožňující další nepozorované šíření; d) různé systémové a síťové služby. Vzhledem k tomu, že HoneyMyte cílil na vládní organizace spravující přírodní zdroje v Myanmaru a velkou organizaci ve střední Africe, se odborníci domnívají, že hlavní motivací této skupiny je získávání důležitých a tajných geopolitických a ekonomických informací.

Data o kybernetických hrozbách týkajících se České republiky ve třetím čtvrtletí:

• 3 537 768 internetových malwarových incidentů detekovaly bezpečnostní produkty na počítačích českých uživatelů. Celkově tak bylo ve třetím čtvrtletí napadeno webovými hrozbami 12 % uživatelů. Česká republika se tímto podílem řadí na 146. místo v celosvětovém žebříčku rizik spojených s prohlížením webu.
  Na první příčce se umístil Nepál (43,1 %), následovaný Alžírskem (42,3 %), Albánií (40,8 %), Filipínami (37,2 %) a Tuniskem (36 %).
• 2 399 524 malwarových incidentů způsobených offline metodami. Celkově tak bylo napadeno 17,5 % českých uživatelů.
  Nejvyšší procento napadených uživatelů offline malwarovými metodami zaznamenal Afghánistán (67,5 %), Myanmar (63,7 %), Nepál (62,9 %), Jemen (62,2 %) a Laos (61,5 %).
• 217 439 zaznamenaných škodlivých malwarových incidentů způsobených zdroji z České republiky. Toto číslo představuje ve světovém množství 0,02% podíl a řadí Česko na 37. příčku.
  Těmto statistikám vévodí Spojené státy (72,33 %), Nizozemí (14,23 %), Německo (2,15 %), Francie (1,68 %) a Rusko (0,96 %).

Celý report o APT hrozbách ve třetím čtvrtletí se dočtete na blogu Securelist.com.