19.02.2022 11 мин на чтение мин

HP: киберпреступники все чаще используют зараженные файлы Excel

Скрытые методы атак и активное использование вредоносных скриптов в файлах Excel позволяют вымогателям добиваться поставленных целей.

Компания HP Inc. выпустила отчет HP Wolf Security Threat Insights Report, в котором проанализировала произошедшие в IV квартале 2021 кибератаки. Изучив угрозы, которые сумели обойти системы безопасности и добрались до конечных устройств пользователей, специалисты HP Wolf Security сделали выводы о новейших методах атак, используемых киберпреступниками.

Исследовательская группа HP Wolf Security обнаружила волну атак с использованием надстроек Excel, с помощью которых злоумышленники распространяют вредоносный код и получают доступ к устройствам и сетям, чтобы затем похитить данные предприятий или отдельных лиц. Число злоумышленников, использующих вредоносные файлы надстроек Microsoft Excel (.xll) для заражения систем своих жертв, увеличилось почти в 7 раз по сравнению с прошлым кварталом. Такие атаки оказались очень опасными, т.к. для начала работы вредоносного ПО достаточно всего лишь кликнуть по отправленному киберпреступником файлу. Команда также обнаружила в даркнете рекламу «дропперов» (программного обеспечения для доставки и запуска .xll файлов) и целых наборов для создания программ, которые облегчают проведение подобных кампаний для неопытных злоумышленников.

В ходе недавней спам-кампании QakBot злоумышленники распространяли файлы Excel через скомпрометированные учетные записи электронной почты. Преступники перехватывали электронную переписку и отправляли поддельные ответные сообщения с прикрепленным вредоносным файлом Excel (.xlsb). После доставки на устройство жертвы, QakBot внедряется в процессы ОС, чтобы таким образом избежать обнаружения. Вредоносные файлы Excel (.xls) также использовались для распространения банковского трояна Ursnif среди итальяноязычных предприятий и организаций государственного сектора посредством спама. При этом злоумышленники выдавали себя за служащих итальянской курьерской службы BRT. Новые кампании по распространению вредоносных программ Emotet теперь также используют Excel вместо файлов JavaScript или Word.

Среди других заметных угроз, выявленных специалистами по безопасности HP Wolf Security, можно выделить следующие:

Возможное возвращение TA505. Специалисты HP обнаружили фишинговую кампанию MirrorBlast, в рамках которой хакеры использовали те же тактики, методы и процедуры, что и TA505 – группа злоумышленников, известная массовыми кампаниями с рассылкой вредоносного спама и монетизацией доступа к зараженным системам с помощью программ-вымогателей. Новая кампания нацелена на организации и использует троян удаленного доступа FlawedGrace (RAT).
Поддельная игровая платформа, распространяющая вредоносный код RedLine. Специалистами HP был обнаружен поддельный веб-сайт, с клиентом Discord, зараженным кодом RedLine, который похищал данные пользователей.
Использование хакерами необычных типов файлов все еще позволяет обходить системы безопасности. Группа киберпреступников Aggah выбирает в качестве жертв корейскоговорящие организации и использует вредоносные файлы надстроек PowerPoint (.ppa), замаскированные под заказы от клиентов, чтобы заражать системы троянами удаленного доступа. Атаки через распространение зараженных файлов PowerPoint являются весьма непопулярным выбором и составляют всего 1% вредоносных программ.

«Использование стандартных функций программного обеспечения в преступных целях является обычной тактикой для злоумышленников, чтобы избежать обнаружения – равно как и использование необычных типов файлов, которые способны «просочиться» через почтовые шлюзы, не обнаружив себя. Отделам безопасности не следует полагаться исключительно на технологии обнаружения вторжений: важно внимательно следить за появлением новых угроз и соответствующим образом обновлять свою защиту. Так, учитывая всплеск распространения вредоносных файлов .xll, который мы сегодня наблюдаем, мы настоятельно рекомендуем сетевым администраторам настраивать шлюзы электронной почты для блокировки входящих вложений .xll, делая исключения только для надстроек от доверенных партнеров, или полностью отключать надстройки Excel», — комментирует Алекс Холланд (Alex Holland), старший аналитик вредоносных программ в группе исследования угроз HP Wolf Security, HP Inc.

Алексей Воронков, вице-президент и генеральный директор HP Inc. в Восточной Европе: «Злоумышленники постоянно находят новые методы и уловки, позволяющие избегать обнаружения. Киберпреступники сегодня активно используют такие методы атак, как перехват переписки в электронной почте, из-за чего пользователям становится еще труднее отличить коллег и партнеров от мошенников. Именно поэтому важно, чтобы предприятия выстраивали и корректировали свои системы безопасности в зависимости от ландшафта угроз и от бизнес-потребностей своих сотрудников».

Представленные в отчете выводы основаны на результатах анализа многих миллионов конечных устройств, на которых работает программное обеспечение HP Wolf Security. Данное ПО от HP отслеживает вредоносные программы, открывая загружаемые файлы на изолированных микро-виртуальных машинах (микро-ВМ), чтобы изучить механику заражения. Понимание поведения вредоносных программ в их естественной среде позволяет исследователям и инженерам HP Wolf Security усиливать защиту конечных устройств и повышать стабильность системы.

Благодаря программному обеспечению HP Wolf Security клиенты смогли открыть более 10 миллиардов вложений электронной почты, веб-страниц и загруженных файлов без каких-либо зафиксированных утечек¹.

Среди других ключевых выводов исследования можно отметить следующие:

13% изолированных вредоносных скриптов, отправленных по электронной почте, обошли хотя бы один сканер безопасности на почтовом шлюзе.
В попытках заразить компьютеры организаций злоумышленники использовали 136 различных расширений файлов.
77% обнаруженных вредоносных программ были доставлены по электронной почте, при этом на загрузку из Интернета приходилось лишь 13% из них.
Наиболее распространенными вложениями, используемыми для доставки вредоносных программ, были документы (29%), архивы (28%), файлы .exe (21%) и электронные таблицы (20%).
Наиболее распространенными фишинговыми приманками стали письма, связанные с Новым годом или бизнес-операциями, например, с такими темами как «Заказ», «2021/2022», «Оплата», «Покупка», «Заявка» и «Счет».

«Сегодня злоумышленники, занимающиеся низкоуровневыми атаками, могут проводить скрытые нападения и продавать полученный доступ организованным группам киберпреступников, использующим в своей деятельности программы-вымогатели. В результате это приводит к масштабным атакам, которые могут вывести из строя ИТ-системы и привести к остановке работы всей организации, — комментирует д-р Йэн Пратт (Ian Pratt), глобальный руководитель отдела безопасности персональных систем, HP Inc. – Организациям следует сосредоточиться на уменьшении поверхности атак и обеспечении быстрого восстановления работоспособности своих систем в случае их компрометации. Это означает следование принципам Zero Trust и введение строгих систем идентификации, предоставление минимальных привилегий пользователям и изоляции устройств, начиная с аппаратного уровня».

Подробнее об использованных данных

Данные для исследования были собраны специалистами HP Wolf Security с виртуальных машин клиентов в период с октября по декабрь 2021 года.

О компании HP Inc.

HP Inc. – технологическая компания, которая верит, что одна продуманная идея способна изменить мир. Ассортимент продуктов и услуг HP Inc., включающий персональные системы, принтеры и решения для 3D-печати, помогает воплотить эти идеи в жизнь.

О HP Wolf Security

HP Wolf Security — новое поколение средств защиты конечных устройств от производителя самых защищённых в мире компьютеров² и принтеров³. Портфель аппаратных средств защиты HP и сервисов безопасности, ориентированных на конечные устройства, призван помочь организациям защитить ПК, принтеры и сотрудников от сетевых злоумышленников. HP Wolf Security обеспечивает комплексную защиту конечных устройств и повышает отказоустойчивость, охватывая все уровни инфраструктуры, от оборудования до ПО и сервисов⁴.

¹Предположения основаны на собственном анализе HP информации, полученной от клиентов, а также их установленной базы.

²Исходя из уникальных и комплексных возможностей безопасности HP, доступных без дополнительной оплаты на компьютерах HP Elite PCs под управлением операционной системы Windows на базе процессоров Intel® от 8-го поколения и новее или процессоров AMD Ryzen™ 4000 и выше; HP ProDesk 600 G6 на базе процессоров Intel® 10-го поколения и выше и на HP ProBook 600 с процессорами AMD Ryzen™ 4000 или Intel® 11-го поколения и выше.

³Самые передовые встроенные функции безопасности HP доступны на устройствах HP Enterprise и HP Managed с установленной прошивкой HP FutureSmart 4.5 или более поздней версии. Заявление основано на обзоре HP опубликованных в 2021 году характеристик аналогичных принтеров этого класса. Только HP предлагает комбинацию функций безопасности для автоматического обнаружения, остановки работы и восстановления после атак с поддержкой перезагрузки с возможностью самовосстановления в соответствии с рекомендациями NIST SP 800-193 в отношении киберустойчивости устройств. Список совместимых продуктов можно найти на сайте hp.com/go/PrintersThatProtect.

⁴HP Security теперь носит название HP Wolf Security. Функции безопасности зависят от платформы. Более подробную информацию см. в спецификациях соответствующих продуктов.