Společnost Eset vydala svou nejnovější zprávu Eset Threat Report H1 2024, v níž shrnuje globální vývoj kybernetických hrozeb na základě dat z telemetrie a odborného pohledu analytiků společnosti, a to od prosince 2023 do května 2024.
Co se dozvíte v článku
Infostealery, se kterými se útočníci pravidelně zaměřují také na Českou republiku, začaly napodobovat generativní AI nástroje jako Midjourney, Sora nebo Gemini.
V oblasti kybernetických hrozeb pro mobilní zařízení se objevil také nový malware GoldPickaxe, který je se svými funkcemi schopný krást data k rozpoznávání obličeje, a tím vytvářet deepfake obsah.
Bezpečnostní experti ve zprávě popsali také kybergang využívající malware Balada Injector, který je nechvalně proslulý zneužíváním zranitelností pluginů WordPress. Skupina útočníků v první polovině roku 2024 kompromitovala přes 20 000 webových stránek, včetně webů v České republice.
Infostealery na vzestupu
„Za sledované období, které pokrývá naše poslední zpráva Eset Threat Report, jsme se setkali s novým chováním infostealerů. S tímto typem škodlivého kódu se pravidelně setkávají i uživatelé v Česku, především v případě operačního systému Windows,“ říká Jiří Kropáč, vedoucí detekcí hrozeb a výzkumné pobočky Esetu v Brně.
„Již od loňského roku sledujeme, jak infostealery postupně nepřímo zneužívají nástroje generativní umělé inteligence. Přestože pokračující vývoj těchto modelů doprovází ochranná opatření, která mají zabránit jejich zneužití, kyberzločincům to nezabránilo, aby zneužili jména nástrojů ve svých útocích – jmenovitě šlo například o napodobeniny služeb Midjourney, Sora nebo Gemini,“ upřesňuje.
„Očekáváme, že tento trend bude pokračovat. Uživatelům proto doporučujeme, aby byli obezřetní při stahování a využívání AI nástrojů a nenechali se zlákat mnohdy výhodnými, ale podvodnými nabídkami, které se objevují na sociálních sítích. Před infostealery a před spywarem je účinnou ochranou bezpečnostní software,“ dodává Jiří Kropáč.
Největší slabiny napadených webů
Eset rovněž informuje, že skupina stojící za malwarem Balada Injector neblaze proslula zneužíváním zranitelností pluginů WordPress. V první polovině roku 2024 byla skupina výjimečně aktivní. Podařilo se jí kompromitovat přes 20 000 webových stránek. Detekční technologie Esetu zaznamenaly více než 400 000 případů, kdy gang v rámci svých kampaní převzal kontrolu nad webovými servery obětí.
Vzhledem k tomu, že škodlivé JavaScript kódy mohou vést až k úplnému ovládnutí webového serveru, je podle bezpečnostních expertů důležité nezapomenout z webu při řešení incidentů odstranit všechny zranitelné pluginy a aktualizovat systém jako ochranu před budoucím zneužitím.
Balada Injector také podle expertů do systému obvykle instaluje mechanismy proti odstranění škodlivého kódu (tzv. mechanismy perzistence). Pro zabezpečení systému je tak důležité odstranit i je, a to prostřednictvím kontroly kompromitovaných administrátorských účtů a souborů na daném webovém serveru. Následně experti doporučují změnit také přihlašovací údaje.
AI nástroje ve službách malwaru
Využití nástrojů umělé inteligence bylo podle expertů během sledovaných šesti měsíců patrné u několika různých typů kybernetických hrozeb. Jednalo se například o hrozby zaměřené na mobilní bankovní služby platformy Android, ať už ve formě „tradičního“ bankovního malwaru nebo tzv. kryptostealerů.
Škodlivé kódy zaměřující se na krádeže informací, tzv. infostealery, nyní mohou napodobovat generativní nástroje AI a nový mobilní malware GoldPickaxe dokonce dokáže krást data pro rozpoznávání obličeje a vytvářet deepfake videa, která útočníci používají k ověření podvodných finančních transakcí.
Infostealery byly ve sledovaném období hrozbou i pro fanoušky gamingu, a to především pro herní nadšence, kteří se pohybují mimo oficiální herní ekosystém. Některé cracknuté videohry a nástroje pro podvádění využívané v online multiplayerových hrách (tzv. cheaty) obsahovaly malwary Lumma Stealer a RedLine Stealer.
Proměny ransomwarové scény
„Z veřejně dostupných údajů na webech informujících o únicích informací vyplývá, že počet útoků ransomwarem v prvním čtvrtletí roku 2024 vzrostl o více než 20 % ve srovnání s prvním čtvrtletím předešlého roku,“ shrnuje Jakub Souček, bezpečnostní expert z pražské výzkumné pobočky Esetu.
Ve druhém čtvrtletí odborníci zaznamenali určitý pokles detekcí, především v důsledku oslabení a rozpadu některých ransomwarových gangů. „Zde je na místě zmínit operaci Cronos z letošního února, která vedla k narušení nechvalně proslulého ransomwarového gangu LockBit,“ upřesňuje Souček.
„Druhá polovina roku 2024 jistě přinese jasnější obrázek o tom, kam se zbylé části a nespokojení partneři dřívějších uskupení přesunuli a s jakými dalšími aktéry uzavřeli nová spojenectví,“ doplňuje.
Šarády LockBitu
Kyberbezpečnostní společnost dále informuje, že mezi ransomwarovými skupinami došlo v únoru 2024 k zásadnímu narušení činnosti přední skupiny LockBit, a to v rámci globální policejní operace Cronos pod vedením britské NCA.
Eset sice zaznamenal ve sledovaném období dvě významné kampaně tohoto ransomwaru, stály za nimi však skupiny, které využívaly pouze veřejně uniklý builder ransomwaru LockBit.
Podle bezpečnostních expertů se LockBit také snaží zachránit svou reputaci například tím, že na svých webových stránkách zveřejňuje až dva roky staré údaje o obětech a vydává je za nové. Cílem je pravděpodobně udržet iluzi, že se policejní operace skupiny nedotkla.
Zdroj: Eset
