Najnowszy raport HP Wolf Security: wzrost liczby złośliwych ataków wykorzystujących pliki PDF i exploity pakietu Office

Firma HP opublikowała kwartalny raport HP Wolf Security Threat Insights Report. Wynika z niego, iż cyberprzestępcy wciąż odkrywają nowe sposoby infekowania urządzeń. Zespół ds. badania zagrożeń HP Wolf Security przedstawia kilka godnych uwagi złośliwych kampanii, wykrytych w ostatnim czasie w sieci:

• Kampania DarkGate wykorzystuje narzędzia reklamowe do zwiększania zasięgu ataków. Złośliwe załączniki PDF, „podszywające się” pod komunikaty o błędach OneDrive, kierują użytkowników do sponsorowanych treści, hostowanych w jednej z popularnych sieci reklamowych. W rezultacie prowadzą do złośliwego systemu DarkGate.
  • Dzięki wykorzystaniu serwisów reklamowych, cyberprzestępcy mogą analizować, które “przynęty” generują kliknięcia i infekują najwięcej użytkowników. Takie praktyki pomagają im udoskonalać kampanie i zwiększać skalę ich oddziaływania.
  • Cyberprzestępcy mogą wykorzystywać narzędzia CAPTCHA, by uniemożliwić skanowanie złośliwego systemu i powstrzymanie ataków. W ten sposób chcą mieć pewność, iż to ludzie klikają w zainfekowane załączniki bądź linki.
  • DarkGate zapewnia cyberprzestępcom dostęp backdoor do sieci, narażając ofiary na ryzyko, takie jak kradzież danych i ataki typu ransomware.

• Odejście od makr na rzecz exploitów Office. W czwartym kwartale co najmniej 84% prób włamań za pośrednictwem arkuszy kalkulacyjnych i 73% poprzez dokumenty Word wykorzystywało luki w aplikacjach pakietu Office. Widać tu kontynuację trendu odchodzenia od ataków na pakiet Office z wykorzystaniem makr. Jednak tego typu praktyki przez cały czas są stosowane, szczególnie w przypadkach ataków z wykorzystaniem taniego i standardowego systemu typu malware, jak np. Agent Tesla i XWorm.
• Rośnie liczba złośliwego systemu wykorzystującego pliki PDF. W ostatnim kwartale 2023 roku aż 11% programów malware wykorzystywało pliki PDF (w porównaniu do zaledwie 4% w dwóch pierwszych kwartałach ubr.) Godnym uwagi przykładem jest kampania WikiLoader, wykorzystująca fałszywy plik PDF dotyczący dostawy paczki, aby nakłonić użytkowników do zainstalowania złośliwego systemu Ursnif.
• Discord i TextBin wykorzystywane do hostowania złośliwych plików. Cyberprzestępcy wykorzystują legalne strony www do udostępniania plików i tekstów, aby hostować złośliwe pliki. Takie witryny często są zaliczane do zaufanych, co pomaga atakującym uniknąć skanerów antywirusowych i zwiększa ryzyko, iż nie zostaną wykryci.

fot. IStock