Pandemia cyfrowych przestępstw

Według danych Krajowego Rejestru Długów w trakcie pandemii 41 proc. Polaków codziennie korzysta z internetu do celów służbowych o dwie godziny dłużej niż wcześniej. Przy czym większość z tych osób rozpoczęło wykonywanie zawodowych obowiązków w nowym dla siebie modelu telepracy. Nic zatem dziwnego, że bardzo szybko ich urządzenia oraz domowa infrastruktura sieciowa zostały wzięte za cel przez cyberprzestępców. Są oni świadomi, że osoby pracujące w zaciszu mieszkań zazwyczaj nie stosują się do korporacyjnych wytycznych dotyczących bezpieczeństwa – bardzo często wykorzystują służbowe laptopy do prywatnych celów (lub odwrotnie), czy też otwierają e-maile z podejrzaną zawartością.

Specjaliści ds. bezpieczeństwa jednoznacznie zaczęli wskazywać na tę grupę osób jako wewnętrzne zagrożenie dla bezpieczeństwa firmowych danych. Aby zminimalizować ryzyko ataku, którego skutkiem może być wyciek danych lub próba infiltracji firmowego środowiska IT, rekomendują przede wszystkim rewizję reguł polityki bezpieczeństwa, ustalenie czytelnych zasad zdalnej pracy, a następnie instalację narzędzi (jeżeli firma jeszcze ich nie posiada), które umożliwią wdrożenie nowych zasad oraz kontrolę ich przestrzegania. Nie powinno się oczywiście zapominać o zapewnieniu pracownikowi oprogramowania zabezpieczającego urządzenia końcowe, a jeśli korzysta z prywatnego sprzętu, to warto zarekomendować klientom udostępnienie takim osobom dodatkowych licencji, aby środowisko ochrony w całym przedsiębiorstwie było spójne.

W badaniu przeprowadzonym przez Acronis aż 31 proc. firm z całego świata zgłosiło, że ich pracownicy zdalni w ubiegłym roku byli atakowani codziennie. Eksperci szacują, że ten odsetek będzie znacząco rósł w 2021 r., gdyż zabezpieczenia systemów poza siecią korporacyjną pozostaną łatwiejsze do złamania. Cele ataków to głównie urządzenia osobiste i routery, ale widać też zintensyfikowane próby wykorzystania luk w coraz popularniejszych rozwiązaniach Internetu rzeczy. Z kolei analitycy Trend Micro zwracają uwagę, że najbardziej na ryzyko narażeni będą użytkownicy końcowi, którzy uzyskują regularny dostęp do wrażliwych danych, w tym dysponujący dostępem do danych personelu pracownicy działów HR, kierownicy sprzedaży operujący z wrażliwymi informacjami o klientach czy też zarząd wyższego szczebla, który zarządza poufnymi danymi liczbowymi. Natomiast nie można łudzić się, że aktywność cyberprzestępców zostanie ograniczona tylko do wymienionych osób czy grup.

Działy bezpieczeństwa w gotowości

W czasie pandemii na baczność postawione zostały działy bezpieczeństwa oraz wszyscy administratorzy w przedsiębiorstwach. Metody prowadzenia ataków nie zmieniły się znacząco i tradycyjnie wśród nich dominuje wykorzystanie inżynierii społecznej do zmanipulowania potencjalnej ofiary oraz nakłonienia jej do wykonania jakiejś czynności (kliknięcia w link, podania danych do logowania, przesłania konkretnego dokumentu itd.). Z raportu Evil Internet Minute 2020 firmy RiskIQ wynika, że w ubiegłym roku co minutę powstawały trzy witryny phishingowe oraz 375 innych cyberzagrożeń.

Ale jest jedna bardzo wyraźna zmiana – oszukańcze wiadomości e-mail czy komunikaty przesyłane w mediach społecznościowych są teraz dopieszczone pod kątem językowym w każdym calu. Tradycyjnie e-maile phishingowe były łatwe do wykrycia z powodu niepoprawnej odmiany, błędnych sformułowań i widocznego braku autentyczności. Ale wraz z wybuchem pandemii pojawiło się mnóstwo spamu bez literówek i innych błędów, na dodatek zawierającego logotypy organizacji lub firm, pod które podszywali się oszuści. Oczywiście tematem przewodnim była pandemia i aktualna sytuacja związana z lockdownami, niedostępnością artykułów pierwszej potrzeby, szczepionkami itd. Należy spodziewać się kontynuowania tego trendu w 2021 r., a eksperci wskazują przede wszystkim na rosnącą popularność fałszywych wiadomości, w których napastnicy poproszą o dane karty kredytowej w zamian za dostarczenie do domu szczepionki przeciw COVID-19.

Generalnie rosnąca skala ataków w 2020 r. postawiła na nogi wszystkich, od których zależeć mogło bezpieczeństwo firmowej infrastruktury IT i danych. Badacze z firmy Kaspersky wykrywali dziennie średnio 360 tys. nowych szkodliwych plików – o 5,2 proc. więcej niż w poprzednim roku. O 40,5 proc. wzrosła liczba trojanów odpowiedzialnych za szyfrowanie danych i ich wycieki, zaś backdoorów, które przekazują atakującym zdalną kontrolę nad zainfekowanym urządzeniem – o 23 proc. Wzrosła też liczba robaków napisanych w języku VisualBasicScript, które w większości należały do rodziny Dinihou. Z kolei oprogramowanie adware, bombardujące ofiary niechcianymi reklamami, odnotowało spadek o 35 proc. w porównaniu z 2019 r. Ogromna większość wykrytego szkodliwego kodu (89,8 proc.) była rozprzestrzeniana za pośrednictwem plików Windows PE – formatu typowego dla systemów operacyjnych Windows. Jednocześnie liczba nowych zagrożeń dla systemu operacyjnego Android zmniejszyła się o 13,7 proc.

Eksperci Acronisu podkreślają również, że starsze, tradycyjne rozwiązania cyberochronne obecnie z trudem nadążają za zmieniającym się charakterem cyfrowych ataków, a przede wszystkim za zwiększonym wyrafinowaniem i częstotliwością nowych zagrożeń. Średnia długość życia próbki złośliwego oprogramowania w 2020 r. wynosiła bowiem zaledwie 3,4 dnia. Cyberprzestępcy aktywnie wykorzystują automatyzację, co oznacza konieczność wdrażania nowatorskich rozwiązań zabezpieczających, które potrafią radzić sobie z tak często zmieniającą się naturą cyberataków.

Dotkliwe konsekwencje

Gra toczy się o dużą stawkę. We wspomnianym raporcie firma RiskIQ szacuje, że udana działalność hakerska naraża każde ze skutecznie zaatakowanych przedsiębiorstw na koszty rzędu 24,7 dolarów co minutę (w tym czasie globalnie do kieszeni cyberprzestępców trafia 11,4 mln dol.). Wysokość strat oczywiście zależy od charakteru oraz skali ataku, ale w ponad 70 proc. przypadków należy przygotować się na wydatki związane z identyfikacją incydentu, jego oceną oraz powstrzymaniem, a także pomocą prawną i zarządzaniem kryzysowym. Po ataku często konieczne jest przywrócenie infrastruktury IT do stanu pierwotnego, co może trwać nawet kilka tygodni. W przedsiębiorstwach, które w znacznym stopniu bazują na systemach informatycznych, tego rodzaju przestój wiąże się ze spadkiem obrotów i wzrostem kosztów operacyjnych. Ewentualny wyciek danych warunkuje kolejne wydatki, takie jak grzywny za łamanie regulacji  prawnych czy odszkodowania wynikające z roszczeń osób trzecich.

Do przewidzenia zatem był wzrost zainteresowania ubezpieczeniami od cyberataków, co jeszcze do niedawna było dość egzotycznym zjawiskiem. Według raportu Allianz Global Corporate & Specialty (AGCS), firmy najczęściej zgłaszają ubezpieczycielom szkody będące następstwem błędów pracowników bądź problemów technicznych. W badaniu „Managing the Impact of Increasing Interconnectivity – Trends In Cyber Risk” dokonano analizy 1736 roszczeń ubezpieczeniowych związanych z cyberbezpieczeństwem o wartości 660 mln euro, które dotyczyły AGSC oraz kilku innych instytucji ubezpieczeniowych i obejmowały lata 2015–2020.

W 2016 r. do AGCS zgłoszono 77 szkód z tytułu cyberbezpieczeństwa, zaś w 2019 r. było już 809 tego typu przypadków. Natomiast w pierwszych trzech kwartałach ubiegłego roku do tego ubezpieczyciela wpłynęło 770 zgłoszeń. Taki stan rzeczy jest pokłosiem wzrostu o 70 proc. średniej straty finansowej spowodowanej cyberatakiem oraz wzrostu o 60 proc. liczby naruszeń bezpieczeństwa. Szkody wywołane przez ataki DDoS, phishing oraz malware stanowiły 85 proc. wartości analizowanych roszczeń. Największą bolączką klientów biznesowych, którzy padli ofiarą ataku, były przerwy w działalności stanowiące około 60 proc. wartości wszystkich analizowanych szkód.

Ransomware spędza sen z powiek

Chociaż wykorzystywanie działań cyberprzestępczych do szantażu ma swoją długą historię, to dopiero wzrost popularności kryptowalut, w których należy opłacić okup, wyniósł ataki typu ransomware na podium. Dziś należą one do najbardziej lukratywnych odmian przestępczości, co sprawiło, że cybergangi toczą ze sobą zaciekłą rywalizację, przyczyniającą się do dywersyfikacji i zwiększonej złożoności złośliwego kodu. Według danych należącego do Fortinetu laboratorium FortiGuard Labs, w drugiej połowie 2020 r. (w porównaniu z pierwszą) nastąpił siedmiokrotny wzrost całkowitej liczby ataków z użyciem ransomware’u.

Co więcej, zmianie uległa także taktyka ich działania. Wiele firm tak zmodyfikowało swoje systemy backupowe, aby niemożliwe było zaszyfrowanie również kopii danych – w przypadku skutecznego ataku ransomware po prostu szybko odtwarzają utracone informacje. Dlatego przestępcy, równolegle z procesem szyfrowania danych, kradną je, a później szantażują upublicznieniem. To zaś przynosi ryzyko nie tylko ujawnienia konkurencji własności intelektualnej, ale w przypadku danych osobowych naraża na konsekwencje prawne. Rośnie też popularność usług ataku z wykorzystaniem ransomware’u (Ransomware-as-a-Service). Niestety, eksperci szacują, że takie działania staną się w tym roku normą.

Można też zauważyć postępującą „specjalizację” wśród gangów atakujących za pomocą ransomware’u. Jedne z nich w maksymalny sposób automatyzują proces szyfrowania i pobierania okupu, aby uzyskać efekt jak największej skali rażenia w nadziei na łatwe zdobycze. Inne skupiają się na przedsiębiorstwach z różnych branż, niestety, nie oszczędzając nawet placówek ochrony zdrowia. Ubiegłoroczny atak na centrum medyczne w Vermont spowodował koszty w wysokości 1,5 mln dol. dziennie. Rzecznik instytucji przyznał, że po czterdziestu dwóch dniach od ataku szpital oszacował straty na około 63 mln dol., nie licząc kosztów przywrócenia i uruchomienia swoich systemów.

Wiele grup zaczęło bardzo precyzyjnie dobierać swoje ofiary, przeprowadzać wstępny wywiad, w wyniku którego szacują czy firma lub instytucja w ogóle będzie w stanie zapłacić okup. Blady strach padł na dostawców usług chmurowych, bo w 2021 r. to wielu z nich będzie na linii strzału – włamanie się do każdego z nich w celu kradzieży danych wielu klientów jest bardziej opłacalne niż atakowanie pojedynczych ofiar. Co ciekawe, odnotowano też pierwsze próby kontaktu telefonicznego przedstawicieli cybergangów z ofiarami ataków. Sytuacja ta dotyczyła wyłącznie tych firm, które próbowały we własnym zakresie odszyfrować dane, a tym samym uniknąć płacenia haraczu.

Haker do wynajęcia

Wspomniane już usługi ataku na wskazane przez zleceniodawcę ofiary stały się w ostatnim czasie bardzo chodliwym towarem na czarnym rynku. Przedstawiciele firmy Kaspersky szacują, że w 2021 r. ich popularność wzrośnie jeszcze bardziej, przy czym twórcy malware’u oraz cyberprzestępcy skoncentrują się na świadczeniu wysoce specjalizowanych usług, w tym również APT. Dlatego firmy będą zmuszone zaktualizować swoje strategie dotyczące zapobiegania zagrożeniom, aby skupić się na identyfikacji taktyk i technik zazwyczaj kojarzonych z wyrafinowanymi napastnikami. Tymczasem obecny stan zabezpieczeń w przypadku małych i średnich firm nie jest odpowiednio przygotowany do radzenia sobie z atakami APT.

Przykładem takiego zaawansowanego cybergangu, oferującego za opłatą usługi hakerskie w celu kradzieży wrażliwych informacji biznesowych należących do firm z branży finansowej i prawniczej, jest DeathStalker. Badacze z firmy Kaspersky po raz pierwszy informowali o aktywności tej grupy w sierpniu ubiegłego roku. Rozsyła ona za pomocą wiadomości phishingowych nowe szkodliwe narzędzie – backdoor PowerPepper, w którym zastosowano kilka technik unikania wykrycia, w tym steganografię (metodę ukrywania danych w plikach graficznych). W przypadku backdoora PowerPepper szkodliwy kod jest osadzony w zwykłych obrazkach paproci lub papryczek (stąd nazwa), a następnie wyodrębniany przez skrypt modułu ładującego. Gdy to nastąpi, PowerPepper zaczyna wykonywać wysyłane przez operatorów zdalne polecenia, których celem jest kradzież wrażliwych informacji biznesowych.

W poszukiwaniu najsłabszego ogniwa

Kolejną innowacyjną metodą działania cyberprzestępców jest eksploracja tzw. cyfrowych łańcuchów dostaw (digital supply chain) i wyszukiwanie ich słabych punktów. Chodzi o możliwość wykrycia miejsca w technicznych procesach przekazywania informacji, gdzie można ją zmodyfikować lub „dokleić” własną. Ofiarą tego typu ataku padła w ubiegłym roku firma SolarWinds – hakerzy umieścili back-door Sunburst w pakiecie aktualizacji wysyłanym użytkownikom rozwiązań tego producenta.

Przypadków modyfikowania firmware’u różnych urządzeń w celu uzupełnienia go o złośliwy kod będzie coraz więcej. Może on pojawić się w komponentach komputera– płytach głównych, kartach graficznych, dźwiękowych, kamerach itd. Napastnik po zainfekowaniu może szpiegować aktywność użytkownika, wyciągać dane z pamięci systemu, zdalnie kontrolować elementy urządzenia lub system operacyjny, a nawet unieruchomić sprzęt. Oczywiście wyzwaniem jest nakłonienie użytkownika do instalacji spreparowanej wersji firmware’u, ale – jak widać – czasem nawet wiarygodne źródło może okazać się skompromitowane. Dlatego w polityce bezpieczeństwa nie można zakładać tylko działań zabezpieczających przed atakiem, ale też trzeba pamiętać o umiejętności poradzenia sobie z nim.

Eksperci do spraw cyberbezpieczeństwa ostrzegają także przed coraz chętniej podłączanymi do internetu urządzeniami, z których może płynąć więcej szkody niż pożytku. IoT jest ciekawą koncepcją, ale nie bez powodu coraz częściej nazywane jest „Internet of Threats”, zamiast „Internet of Things”. W ostatnim czasie wiele krwi administratorom ds. bezpieczeństwa w firmach napsuł trojan IP Storm atakujący urządzenia bazujące na architekturze ARM, nie uznawanej za całkiem bezpieczną.

Przejęte przez IP Storm inteligentne urządzenia, takie jak telewizor czy lodówka, były wykorzystywane jako narzędzie do dalszych ataków, w tym na infrastrukturę w firmie zdalnego pracownika. Wykrycie tego trojana u zarażonego użytkownika często skutkowało też wprowadzeniem jego adresu IP na czarną listę, czego konsekwencją było uniemożliwienie korzystania z wielu dostępnych w chmurze narzędzi, które stosują mechanizmy reputacyjne do oceny wiarygodności podłączającego się pracownika.

Eksperci z firmy ESET wskazują na jeszcze jeden rodzaj zagrożenia. Chodzi o zyskujące w dobie pandemii coraz większą popularność inteligentne zabawki „dla dorosłych” – te wyposażone w kamery, mikrofony i możliwość analizy głosu. Do jeszcze szybszego bicia serca może więc przyczynić się fakt, że dostęp do zgromadzonych danych będzie miała nie tylko osoba po drugiej stronie internetowego łącza, ale też cyberprzestępcy, którzy mogą później dopuścić się szantażu.

Przykłady najciekawszych cyberataków z ostatnich miesięcy

• Niebezpieczne narzędzia zabezpieczające Najpoważniejszy atak hakerski w 2020 r. dotknął, paradoksalnie, dostawcę rozwiązań ochronnych, – firmę SolarWinds. Wykorzystano w nim platformę SolarWinds Orion, służącą do scentralizowanego monitorowania środowiska IT w firmach. Pobiera ona i koreluje ogromne ilości różnych danych, zatem jest traktowana przez użytkowników, jak też rozwiązania ochronne tego producenta, jako zaufana. Tymczasem hakerzy wbudowali backdoor w aktualizację oprogramowania platformy Orion. Uzyskanie dostępu do narzędzia monitorującego pozwoliło hakerom „zadomowić się” w innych systemach ofiar. Problem dotknął w sumie 18 tys. klientów, w tym wiele agencji rządowych USA (m.in. Departament Skarbu oraz Pentagon). Również Microsoft przyznał, że stał się celem ataku i znalazł złośliwe pliki binarne w oprogramowaniu platform Azure oraz Active Directory. Krajem, z którego miał być zainicjowany atak, jest prawdopodobnie Rosja.

• Cyberatak w świecie Cyberpunka To z kolei największy (przynajmniej wizerunkowo) w ostatnich miesiącach atak ransomware w Polsce. Jego ofiarą padł CD Projekt – złodzieje zaszyfrowali serwery oraz wykradli kod źródłowy i wiele innych danych dotyczących gier „Cyberpunk 2077”, „Wiedźmin 3” i „Gwint”. Twierdzą też, że skopiowali wszystkie dokumenty z działów księgowości, prawnego, HR oraz relacji inwestorskich. CD Projekt nie podjął negocjacji z przestępcami, zamiast tego skupił się na prowadzeniu działań ograniczających konsekwencje ewentualnego upublicznienia danych. Nie opłacił też okupu za odszyfrowanie danych – odzyskał je z backupu.

• Iran inwigiluje W jednym z holenderskich centrów danych wykryto podejrzany serwer należący do firmy zarejestrowanej na Cyprze. Urządzenie było wykorzystywane przez irański rząd do inwigilacji swoich krytyków mieszkających za granicą. Przez komunikator internetowy Telegram przesyłane były pliki zainfekowane złośliwym oprogramowaniem, jakie już wcześniej wykorzystywały irańskie służby specjalne. Malware nagrywał rozmowy oraz wykonywał zrzuty ekranu.

• Po szczepienie bez kolejki W USA popularne stały się kampanie phishingowe, w ramach których proponowane jest zaszczepienie przeciw COVID-19 bez konieczności wielomiesięcznego oczekiwania. FinCEN, oddział Departamentu Skarbu USA zajmujący się wykrywaniem przestępstw finansowych, wydał ostrzeżenie przed atakami ransomware, oszustwami i innymi cyberprzestępstwami, wykorzystującymi kontekst szczepionek i ich dystrybucji. Wymieniono takie działania cyberprzestępców jak: oferowanie nieistniejących lub podrobionych szczepionek, nielegalne przekierowywanie oryginalnych preparatów na czarny rynek czy proponowanie dostępu do szczepień poza obowiązującym harmonogramem. Wcześniej w sieci pojawiały się oferty nieistniejących maseczek, zestawów do testowania, „cudownych” leków, jak też próby wyłudzenia danych pod pozorem fałszywych odszkodowań dla chorych.

• Prawie jak Netflix W styczniu 2021 r. nastąpił lawinowy wzrost ataków phishingowych wymierzonych przeciwko polskim użytkownikom serwisu Netflix. Oszuści wysyłali do klientów wiadomość o problemach związanych z opłatą subskrypcji i groźby zawieszenia ich członkostwa. Dołączony link, pod którym oferowana jest pomoc, prowadzi do strony łudząco przypominającej serwis Netflixa, na której użytkownik po „zalogowaniu” musi podać dane osobowe, numer karty płatniczej, jej datę ważności oraz kod CVV. Charakterystyczną, bo statystycznie nietypową cechą tych komunikatów jest bardzo poprawny język, bez literówek czy błędów gramatycznych.

• Ogołoceni z danych Prawie dwa miliony rekordów, które wyciekły w grudniu 2020 r. z bazy danych erotycznego serwisu MyFreeCams.com, zostały sprzedane na podziemnym forum internetowym w darknecie. Napastnik otrzymał dostęp do poufnych danych po wstrzyknięciu kodu SQL, w wyniku czego pozyskał nazwy użytkowników, ich adresy e-mail, hasła oraz stan kont wykorzystywanych w tej witrynie tokenów MFC. Badacze z CyberNews wyliczyli na podstawie analizy portfela kryptowalut, że sprawca zarobił na sprzedaży nielegalnie pozyskanych rekordów około 22 tys. dol.

• Wodę można zatruć przez internet Włamanie do systemu komputerowego wodociągów w mieście Oldsmar (Floryda) mogło skończyć się zatruciem szkodliwymi chemikaliami całej sieci wodnej. System nie był odpowiednio chroniony – najprawdopodobniej wszystkie komputery podłączone do sieci zabezpieczono tym samym hasłem, które wcześniej wyciekło. Dowody wskazują, że atakujący wykorzystał TeamViewera do uzyskania zdalnego dostępu, a następnie próbował zatruć wodę poprzez zwiększenie zawartości wodorotlenku sodu ze 100 do 11,1 tys. jednostek na milion. Na szczęście obsługa wodociągów została w odpowiednim momencie zaalarmowana.