Cisco Talos Investigačný tím - Vírus Gh0stRAT odosiela dáta čo píšete na klávesnici

Cisco Talos zverejňuje zoznam hrozieb, ktoré dominovali obdobiu od 31. januára do 8. februára. Rovnako ako tomu bolo u predchádzajúcich zhrnutí, tento článok nemá byť hĺbkovou analýzou. Namiesto toho zhrnie hrozby tak, že zdôrazní kľúčové vzorce správania sa, ukazovatele kompromitácie a prediskutuje ako sú naši zákazníci automaticky chránení pred týmito hrozbami.Okrem toho majte prosíme na zreteli, že vyhľadávanie indikátorov hrozby je len jedným zo spôsobov ako hľadať hrozby. Zistenie jediného indikátoru hrozby automaticky neznamená hrozbu. Detekcia a pokrytie nasledujúcich hrozieb podliehajú aktualizáciám a ďalšej analýze hrozby a zraniteľnosti.

Zoznam najčastejšie sa vyskytujúcich hrozieb:

Názov hrozby

Typ

Popis

Doc.Downloader.Emotet-7572697-1

Downloader

Emotet je dnes jednou z najviac distribuovaných a najaktívnejších malwérových rodín. Je to vysoko modulárna hrozba, ktorá dokáže doručiť široké spektrum súborov. Emotet sa bežne doručuje cez dokumenty Microsoft Office s makrami, ktoré sú posielané ako prílohy škodlivých emailov.

Win.Malware.Nymaim-7569940-0

Malware

Nymaim je malwér, ktorý sa môže použiť na doručenie ransomwéru a iných škodlivých súborov. Používa algoritmus generovania domény na generovanie potenciálnych príkazových a kontrolných (C2) domén na pripojenie sa k dodatočným súborom.

Win.Dropper.Genkryptik-7572204-0

Droper

Genkryptik je často obecný detekčný názov Windows trojana. Niektoré zo škodlivých aktivít, ktoré môžu byť vykonané týmito vzorkami, bez vedomia užívateľa, sú zozbieranie systémových informácií, sťahovanie/nahrávanie súborov a stiahnutie dodatočných vzoriek.

Win.Worm.Gh0stRAT-7571319-1

Vírus / Trójsky kôň

Gh0stRAT je známou rodinou trojanov pre vzdialený prístup, ktoré poskytujú útočníkovu úplnú kontrolu nad infikovaným systémom. Tieto trojany dokážu sledovať údery klávesnice, nahrať video z web kamery a nahrať/vykonať dodatočný malwér. Zdrojový kód Gh0stRAT je už niekoľko rokov verejne dostupný na internete, čím zásadným spôsobom znižuje možnosť útočníkov upraviť alebo opätovne využiť tento kód pri nových útokoch.

Win.Ransomware.Cerber-7571364-0

Ransomware

Cerber je ransomwér, ktorý šifruje dokumenty, fotografie, databázy a iné dôležité súbory. V minulosti tento malwér nahrádzal súbory ich šifrovanými verziami a pridal príponu ".cerber," avšak v nedávnych kampaniach boli použité iné prípony súborov.

Win.Malware.Kovter-7571676-0

Malware

Kovter je známy pre svoje zotrvanie v systéme aj bez súborov. Táto rodina malwéru vytvára niekoľko škodlivých záznamov v registri, ktoré uchovávajú škodlivý kód. Kovter je schopný opätovnej infekcie systému aj keď bol systém súborov vyčistený. Kovter bol v minulosti používaný na šírenie ransomwaru a malwéru pre podvod s klikaním - tzv. Clickbait.

Win.Dropper.TrickBot-7577793-0

Droper

Trickbot je bankový trojan, ktorý sa zameriava na citlivé informácie o určitých finančných inštitúciách. Tento malwér je bežne distribuovaný cez škodlivé spam kampane. Mnohé z týchto kampaní rátajú so sťahovačmi distribúcií, ako napr. VB skripty.

Win.Packed.Zusy-7572206-0

Balík (packed)

Zusy, tiež známy ako TinyBanker alebo Tinba, je trojan, ktorý využíva sprostredkované útoky na kradnutie bankových informácií. Po spustení sa zavedie do legitímnych Windows procesov ako napr. "explorer.exe" a "winver.exe." Keď užívateľ používa bankovú stránku, zobrazí formulár aby podviedol užívateľa, a vypýtal od neho osobné informácie.

Ukážka Cisco nástroja na detekciu vírusov:

ThreatGrid

Cisco AMP report

Pre každú hrozbu popísanú nižšie tento blok uverejňuje zoznam len 25 kontrolných súm asociovaných súborov a až 25 indikátorov hrozby pre každú kategóriu. Celý zoznam nájdete TU

SKÚSTE SI TRIAL 90 dní ZADARMO alebo nás oslovte pre konzultáciu.

 CISCO UMBRELLA

*(SIG – Secure internet gateway), blokuje prístup užívateľov k doménam a IP adresám so škodlivým obsahom, bez ohľadu na to, či sa užívateľ nachádza vo firemnej sieti alebo mimo nej.