Check Point зафиксировал рост атак криптомайнеров с помощью уязвимостей серверов

Check Point в отчёте Global Threat Impact Index за апрель отмечает, что киберпреступники все чаще используют серверные уязвимости, чтобы совершать атаки с помощью криптомайнингового вредоносного ПО.

Четвертый месяц подряд вредоносные криптомайнеры доминируют в топ-10 отчета Check Point Global Threat Index, причем Coinhive сохраняет первое место как наиболее распространенное вредоносное ПО с глобальным охватом 16%. Еще один криптомайнер Cryptoloot расположился сразу за лидером (14%), на третьем месте (11%) — вредоносное рекламное ПО Roughted.

В России Coinhive и Cryptoloot имеют еще больший охват: в апреле зловреды атаковали 46% и 45% организаций соответственно. На третье место (25%) в рейтинге самых активных вредоносов в России поднялся еще один криптомайнер — Jsecoin, который позволяет добывать криптовалюту через веб-сайты.

Исследователи Check Point также отметили, что с начала года кибермошенники все чаще используют незакрытые уязвимости серверов приложений в целях незаконной добычи криптовалюты. Так, атаки на 46% организаций по всему миру эксплуатировали уязвимость в Microsoft Windows Server 2003 (CVE-2017-7269), а на 40% — уязвимость Oracle WebLogic (CVE-2017-10271).

«Сегодня хакеры стремятся проникнуть в сети с помощью незакрытых уязвимостей серверов, поэтому организациям следует обратить внимание на то, какую важную роль в безопасности компаний играет своевременное обновление программ и установка патчей, — отмечает Майя Хоровиц, руководитель группы Threat Intelligence компании Check Point Software Technologies. — Тот факт, что огромное количество организаций подверглось атакам, которые эксплуатировали уже известные уязвимости, вызывает серьезное беспокойство, так как патчи для них доступны уже более 6 месяцев. Учитывая, что более 40% организаций во всем мире были подвержены этим атакам, крайне важно, чтобы предприятия внедряли многоуровневую стратегию кибербезопасности, которая защищает как от известных семейств кибератак, так и новых угроз».

Самые активные зловреды в апреле 2018:

Стрелки указывают на изменение позиции зловреда в рейтинге по отношению к предыдущему месяцу.

↔ CoinHive — криптомайнер, предназначенный для добычи криптовалюты Monero без ведома пользователя, когда тот посещает веб-сайты.
↑ Cryptoloot — криптомайнер, использующий мощность ЦП или видеокарты жертвы и другие ресурсы для майнинга криптовалюты, зловред добавляет транзакции в блокчейн и выпускает новую валюту.
↑ Roughted — масштабная кампания вредоносной рекламы, которая используется для распространения зловредных сайтов, эксплойт-китов и вымогателей. Она может использоваться для атаки на платформы любого типа и любой ОС, а также способна противостоять блокировщикам рекламы, чтобы обеспечить наиболее широкий охват.

Исследователи Check Point также проанализировали наиболее эксплуатируемые уязвимости. На первом месте — уязвимость CVE-2017-7269 с глобальным охватом 46%, затем CVE-2017-10271 (40%), на третьем месте — уязвимость типа «внедрение SQL-кода», затрагивающая 16% организаций во всем мире.

Топ-3 самых эксплуатируемых уязвимостей в апреле 2018:
↑ Переполнение приемного буфера Microsoft IIS WebDAV ScStoragePathFromUrl (CVE-2017-7269) — Злоумышленник отправляет обработанный запрос по сети в Microsoft Windows Server 2003 R2 через Microsoft Internet Information Services 6.0, а затем удаленно может исполнить произвольный код или вызвать отказ в обслуживании на целевом сервере. В основном это связано с уязвимостью переполнения буфера, вызванной неправильной обработкой длинного заголовка в HTTP-запросе. Патч доступен с марта 2017 года.
↓ Удаленное выполнение кода Oracle WebLogic WLS (CVE-2017-10271) — Уязвимость связана с тем, как Oracle WebLogic обрабатывает декодирование xml-файлов. Успешная атака может привести к удаленному выполнению кода. Патч доступен с октября 2017 года.
↓ Внедрение SQL-кода — взлом сайта или приложения путем внедрения в SQL-запрос произвольного кода, используя уязвимость безопасности в программном обеспечении приложения.

Этот список показывает, что злоумышленники успешно используют как современные методы (две уязвимости, опубликованные в 2017 году), так и классические векторы атаки, такие как внедрение SQL-кода.

Global Threat Impact Index и ThreatCloud Map разработаны ThreatCloud intelligence, самой большой совместной сетью по борьбе с киберпреступностью, которая предоставляет данные об угрозах и тенденциях атак из глобальной сети датчиков угроз. База данных ThreatCloud, содержащая более 250 миллионов адресов, проанализированных для обнаружения ботов, более 11 миллионов сигнатур вредоносных программ и более 5,5 миллионов зараженных сайтов, продолжает ежедневно идентифицировать миллионы вредоносных программ.