I kwartał 2014 r.: dwukrotnie więcej mobilnych trojanów bankowych i ataki na portfele bitcoin

Eksperci z Kaspersky Lab podsumowali aktywność cyberprzestępców w pierwszym kwartale 2014 r. Trzy miesiące po opublikowaniu analizy za 2013 r. wyraźnie widać, że trzy prognozy specjalistów już się sprawdziły.


Eksperci przewidywali, że cyberprzestępcy będą atakować:

Prywatność, co zwiększy popularność usług VPN oraz anonimowych sieci typu Tor. Liczba osób, które zwracają się w kierunku „mrocznej części internetu” (tzw. Darknet), chcąc zabezpieczyć swoje dane osobowe, rzeczywiście wzrasta. Jednak oprócz nieszkodliwych użytkowników sieć Tor nadal przyciąga „ciemne moce” – anonimowe sieci mogą ukrywać aktywność szkodliwego oprogramowania, handel na nielegalnych stronach oraz proceder prania brudnych pieniędzy. W lutym na przykład eksperci z Kaspersky Lab wykryli pierwszego trojana dla Androida (Backdoor.AndroidOS.Torec.a), który wykorzystuje domenę w pseudostrefie .onion jako serwer kontroli dla sieci zainfekowanych komputerów.

Pieniądze. Eksperci spodziewali się, że cyberprzestępcy nadal będą rozwijać narzędzia służące do kradzieży pieniędzy. Przypuszczenia te potwierdziły się, gdy w marcu został wykryty Trojan-SMS.AndroidOS.Waller.a. Szkodnik ten potrafi kraść pieniądze z elektronicznych portfeli QIWI należących do właścicieli zainfekowanych smartfonów. Na razie trojan ten atakuje tylko użytkowników rosyjskich, potrafi jednak rozprzestrzeniać się wszędzie tam, gdzie e-portfele są zarządzane przy użyciu wiadomości tekstowych. Cyberprzestępcy stosowali również standardowe metody, takie jak rozprzestrzenianie mobilnych trojanów kradnących pieniądze przy użyciu szkodliwego spamu. Ich zasięg globalny jest o wiele większy – na przykład, trojan bankowości mobilnej Faketoken atakował użytkowników w 55 państwach.

Bitcoiny. W ciągu pierwszych trzech miesięcy roku miało miejsce wiele incydentów potwierdzających słuszność szacunków, w których eksperci spodziewali się znacznego wzrostu liczby ataków na portfele, kopalnie oraz giełdy waluty bitcoin. Na szczególną uwagę zasługuje atak na MtGox, jedną z największych giełd bitcoinów. Cyberprzestępcy włamali się do prywatnego bloga i konta Reddit dyrektora generalnego MtGox – Marka Karpelesa – w celu umieszczenia pliku MtGox2014Leak.zip zawierającego wyspecjalizowane oprogramowanie umożliwiające wyszukiwanie i kradzież portfeli Bitcoin od użytkowników.

Próbując zwiększyć swoje nielegalne dochody, cyberprzestępcy infekują komputery i wykorzystują ich zasoby do generowania większej ilości cyfrowej waluty. Przykładem trojana wykorzystywanego w tego typu procesach jest Trojan.Win32.Agent.aduro, który znalazł się na 12 miejscu najczęściej wykrywanych szkodliwych obiektów w internecie w pierwszym kwartale.

Powrót operacji cyberszpiegowskich

W badanym okresie miał miejsce poważny incydent cyberszpiegowski: w lutym Kaspersky Lab opublikował raport dotyczący jednego z najbardziej zaawansowanych obecnie zagrożeń tego typu – The Mask. Głównym celem „Maski” były poufne informacje należące do agencji państwowych, ambasad, firm energetycznych, instytutów badawczych, prywatnych firm inwestycyjnych jak również aktywistów z 31 państw. Według badaczy, złożoność zestawu narzędzi wykorzystanych przez osoby atakujące oraz kilka innych czynników sugeruje, że możemy mieć tu do czynienia z kampanią sponsorowaną przez rząd.

„Oprócz nowych incydentów mogliśmy zobaczyć ciąg dalszy kampanii, które wydawały się już zamknięte. Na przykład, po tym jak cyberprzestępcy zamknęli wszystkie znane serwery kontroli wykorzystywane w operacji Icefog, wykryliśmy wersję tego zagrożenia przeznaczoną dla Javy. Celem poprzedniego ataku były głównie organizacje znajdujące się w Korei Południowej i Japonii, jednak nowa wersja, sądząc po wyśledzonych adresach IP, była wycelowana jedynie w organizacje amerykańskie” – powiedział Aleksander Gostiew, główny ekspert ds. bezpieczeństwa, Globalny Zespół ds. Badań i Analiz (GReAT), Kaspersky Lab.

I kwartał w liczbach

Pełny raport poświęcony ewolucji zagrożeń w I kwartale 2014 r. pojawi się już wkrótce w serwisie Securelist.pl prowadzonym przez Kaspersky Lab.