HP varuje před malwarovou kampaní ChromeLoader

Podle nové zprávy HP Wolf Security Threat Insights Report útočníci skrývají malware také v dokumentech OneNote a k útoku zneužívají důvěryhodné domény, jejichž prostřednictvím obcházejí kontrolu maker v produktech Office.

Výzkumníci na základě analýzy údajů z milionů koncových zařízení chráněných systémem HP Wolf Security dospěli k následujícím zjištěním:

• Rozšíření Shampoo Chrome se lze jen těžko zbavit. Kampaň šířící malware ChromeLoader přiměje uživatele k instalaci škodlivého rozšíření prohlížeče Chrome s názvem Shampoo. Toto rozšíření dokáže přesměrovat vyhledávací dotazy oběti na škodlivé webové stránky nebo stránky, které útočníkům vydělávají peníze prostřednictvím reklamních kampaní. Tento malware je velmi odolný a pomocí plánovače úloh se každých 50 minut spouští znovu.
• Útočníci obcházejí zásady zabezpečení maker pomocí důvěryhodných domén. Společnost HP zjistila, že i přes to, že makra z nedůvěryhodných zdrojů jsou nyní zakázána, útočníci toto bezpečnostní opatření obcházejí kompromitací důvěryhodného účtu Office 365, nastavením nového firemního e-mailu a distribucí škodlivého souboru ve formátu Excel, který infikuje oběť nástrojem Formbook infostealer.
• Firmy se musí mít na pozoru před tím, co se skrývá uvnitř. Dokumenty OneNote mohou fungovat jako digitální album, takže do nich lze připojit libovolný soubor. Útočníci toho zneužívají ke vkládání škodlivých souborů, které se maskují pod falešnými ikonami „klikněte zde“. Kliknutím na falešnou ikonu se otevře skrytý soubor, spustí se malware a útočníci získají přístup k počítači uživatele – tento přístup mohou dále prodat dalším skupinám kyberzločinců a gangům, útočícím prostřednictvím ransomwaru.

Nebezpečné skupiny jako Qakbot a IcedID poprvé vložily malware do souborů OneNote v lednu. Vzhledem k faktu, že sady pro OneNote jsou nyní k dispozici na hackerských tržištích a jejich použití nevyžaduje velké technické dovednosti, budou tyto malwarové kampaně v nadcházejících měsících pokračovat.

„V zájmu ochrany před nejnovějšími hrozbami doporučujeme uživatelům a firmám, aby se vyhýbali stahování materiálů z nedůvěryhodných stránek, zejména pirátských. Zaměstnanci by si měli dávat pozor na podezřelé interní dokumenty a před otevřením si je ověřit u odesílatele. Podniky by měly zásady pro e-mailové brány a bezpečnostní nástroje nakonfigurovat tak, aby blokovaly soubory OneNote z neznámých externích zdrojů,“ vysvětlil Patrick Schläpfer, analytik malwaru v týmu výzkumu hrozeb divize HP Wolf Security společnosti HP Inc.

Ze zprávy také vyplývá, že v souvislosti s tím, jak se původci hrozeb odklánějí od souborových formátů Office, diverzifikují skupiny kyberzločinců i nadále metody útoků. Pro obcházení e-mailové brány využívají různé metody: od využívání škodlivých archivních souborů až po vpašovávání HTML kódů, tzv. HTML smugglingu. Mezi klíčová zjištění patří:

• Zkoumání hrozeb, kterým divize HP Wolf Security v 1. čtvrtletí zabránila, ukázalo, že nejoblíbenějším způsobem doručení malwaru byly již čtvrté čtvrtletí po sobě archivy (42 %).
• Oproti 4. čtvrtletí loňského roku došlo v 1. letošním čtvrtletí k nárůstu počtu hrozeb, spočívajících ve vpašování HTML kódu, o 37 %.
• U hrozeb využívajících soubory PDF došlo v 1. čtvrtletí oproti 4. čtvrtletí k nárůstu o 4 %.
• U škodlivého softwaru v souborech aplikace Excel došlo v 1. čtvrtletí oproti 4. čtvrtletí k poklesu o 6 % (z 19 % na 13 %), protože spouštět makra v tomto formátu je stále obtížnější.
• 14 % e-mailových hrozeb identifikovaných nástrojem HP Sure Click obešlo v 1. čtvrtletí 2023 jeden nebo více skenerů e-mailových bran.
• Nejčastějším vektorem hrozeb v 1. čtvrtletí byl e-mail (80 %) následovaný stahováním souborů prostřednictvím prohlížeče (13 %).

„Aby se podniky ochránily před stále rozmanitějšími útoky, musí dodržovat zásady nulové důvěry, izolovat a omezit rizikové činnosti, jako je otevírání příloh e-mailů, klikání na odkazy nebo stahování souborů prostřednictvím prohlížeče. Tím se výrazně zmenšuje prostor pro útoky a riziko narušení bezpečnosti,“ připomněl Ian Pratt, ředitel pro oblast zabezpečení osobních systémů ve společnosti HP Inc.

HP Wolf Security spouští rizikové úlohy, jako jsou otevírání e-mailových příloh, stahování souborů a klikání na odkazy, v izolovaných virtuálních počítačích (micro-VM), aby touto cestou chránil uživatele a podrobně zmapoval pokusy o infikování počítače. Technologie izolace aplikací společnosti HP zmírňuje hrozby, které by mohly zůstat nezachycené jinými bezpečnostními nástroji, a poskytuje jedinečné informace o nových technikách napadení a chování útočníků.