Rośnie liczba zagrożeń mobilnych. iPhone atakowany czterokrotnie częściej niż w sierpniu

Badacze z firmy Check Point, wykryli prawie 400 proc. wzrost liczby ataków kryptominerów, czyli skryptów, których celem jest „kopanie” kryptowalut na zainfekowanych urządzeniach, skierowanych na iPhone'y. Wzrost zaobserwowano w ostatnich dwóch tygodniach września. To zjawisko zbiegło się w czasie z falą innych ataków, skierowanych przeciwko użytkownikom przeglądarki Safari firmy Apple.

Analitycy zwracają uwagę, że wydobywanie kryptowalut od dłuższego czasu jest dominującym zagrożeniem, zarówno dla firm, jak i osób prywatnych. Za atakami na urządzenia mobilne przemawia kilka argumentów, w tym brak przyzwyczajenia użytkowników do stosowania dodatkowych zabezpieczeń i programów ochronnych. Ponadto wiele osób nie uważa za dziwne tego, że smartfon bardzo szybko zużywa energię, więc skrypty kopiące mogą działać niezauważone tygodniami. Przyczyna ataków konkretnie na urządzenia Apple nie jest jeszcze znana, ale możemy spekulować, że przyciągają atakujących relatywnie dużą mocą obliczeniową. Ponadto urządzenia mobilne są płaszczyzną często nie uwzględnianą przez działy IT podczas audytów bezpieczeństwa i nie są chronione na równi z intranetem czy służbowymi laptopami, przez co często są słabym punktem w korporacyjnych systemach zabezpieczeń.

W całym świecie mobilnym liderem ataków po raz kolejny jest Lokibot – hybrydowy trojan bankowy na Androida z przykrą niespodzianką. Może on podszywać się pod aplikacje bankowe i komunikatory, by wykraść dane logowania i przeprowadzać nieautoryzowane transakcje. Przy próbie usunięcia zaś może przeistoczyć się w ransomware. Wtedy zablokuje smartfon i będzie żądać okupu za zdjęcie blokady. Na dalszych pozycjach znalazły się Lotoor, mający zdobyć uprawnienia roota, oraz trojan Triada.

Popularne ostatnio ataki kryptominerów wykorzystują głównie skrypty Coinhive. Są niewielkie, implementacja jest banalnie prosta, a można sporo zarobić, wydobywając walutę Monero. Coinhive pojawił się we wrześniu 2017 roku, a od grudnia 2017 zajmuje pierwsze miejsce w zestawieniu najczęściej wykorzystywanego malware’u. Znajdziemy je także na wielu stronach internetowych, a nawet w Google Play, gdzie podszywa się pod proste gry. Był to niekwestionowany lider ataków we wrześniu, nie tylko na iPhone'y. Specjaliści szacują, że wpływa obecnie na 19 proc. firm na całym świecie.

Drugą pozycję w tym rankingu zajmuje Dorkbot – rodzina trojanów, kradnących poufne informacje i uruchamiających ataki typu denial-of-service (DDoS). Dorkbot rozprzestrzenia się wieloma kanałami, w tym przez komunikatory, media społecznościowe i zewnętrzne dyski USB. Na polecenie z centrali może pobrać plik ze wskazanego miejsca, przekierowywać i domeny, a także zbierać dane logowania z przeglądarek. Robak działa nawet w 7% firm. Trzecie miejsce przypadło kolejnemu skryptowi do obliczania Monero bez wiedzy użytkownika – Crypto-Loot.

Badacze Check Point przeanalizowali również najczęściej wykorzystywane podatności. CVE-2017-7269 jest najbardziej popularną wykorzystywaną podatnością po raz siódmy z rzędu, z globalnym oddziaływaniem na 48% organizacji. To ujawniona w czerwcu 2017 roku luka w protokole WebDAV, używanym między innymi do synchronizacji kalendarzy, występująca w systemach Microsoftu. Na drugim miejscu jest CVE-2016-6309, luka w OpenSSL o globalnym wpływie 43%. Tuż za nim znajdują się znane od lat błędy PHPMyAdmin Misconfiguration Code Injection wpływające na 42% organizacji.

Sytuacja w Europie jest względnie stabilna. Według wskazań ThreatCloud Map we wrześniu najbezpieczniejszą siecią w Europie była sieć Norweska z indeksem zagrożeń wynoszącym 27,3 punktu. Kolejne miejsca podium zajęły Finlandia (28,2) oraz Holandia (28,8). Polska tym razem uplasowała się na 15 miejscu w Europie ze wskaźnikiem 37,1, wyprzedzając m.in. Niemcy (37,4), Austrię (37,8) i Francję (40,8). Co ciekawe Polskę najczęściej atakują komputery z IP Singapuru, do największej liczby infekcji dochodzi w weekendy.