HP Cybersecurity-Report: Hacker arbeiten verstärkt zusammen

Das HP Wolf Security-Forschungsteam identifiziert starkes Wachstum bei Monetarisierungs- und Hacking-Tools. [...]

HP veröffentlichte mit dem neuen globalen „Threat Insights Report“ eine Analyse von realen Cybersecurity-Angriffen und Schwachstellen. Die Studie zeigt: Cybercrime-Aktivitäten nehmen rasant zu und werden immer raffinierter. Im zweiten Halbjahr 2020 sowie im ersten Halbjahr 2021 stieg etwa die Anzahl der Downloads von Hacking-Tools über Underground-Foren und Filesharing-Webseiten um 65 Prozent.

Im Zuge der Untersuchung stellte das HP Forschungsteam zudem fest, dass die aktuell weit verbreiteten Hacking-Tools sehr leistungsfähig sind. Beispielsweise gibt es ein Tool, dass CAPTCHAs (dahinter verbergen sich Challenge-Response-Tests) mithilfe von Computer Vision-Techniken wie Optical Character Recognition (OCR) löst, um eine sogenannte Credential Stuffing-Attacke gegen eine Webseite auszuführen. Der Report belegt zudem, dass die Cyberkriminalität besser organisiert ist als je zuvor. Dabei bieten Underground-Foren Cyberkriminellen eine umfassende Plattform, um sich zu vernetzen und zu kooperieren sowie Angriffstaktiken, -techniken und -prozesse auszutauschen.

Die wichtigsten Bedrohungen

• Cyberkriminelle arbeiten zusammen und können so größer angelegte Angriffe einleiten: Hacker, die auf die Malware Dridex setzen, verkaufen den Zugang zu infiltrierten Organisationen an andere Bedrohungsakteure, damit diese Ransomware verbreiten können. Durch den Rückgang der Emotet-Aktivitäten im ersten Quartal 2021 wurde Dridex zur führenden Malware Family, die HP Wolf Security isolierte.
• Informationsdiebe verbreiten bösartige Malware: CryptBot-Malware wurde bisher vorwiegend als Infostealer genutzt, um Anmeldeinformationen von Kryptowährungs-Wallets und Webbrowsern abzuschöpfen: Cyber-Kriminelle setzen sie jetzt auch zur Verbreitung von DanaBot ein. Kriminelle Gruppen betreiben den Banking-Trojaner.
• VBS-Downloader-Kampagne zielt auf Führungskräfte ab: Eine mehrstufige Visual Basic Script (VBS)-Kampagne verbreitet bösartige ZIP-Anhänge. Diese sind nach der Führungskraft benannt, auf die sie abzielt. Noch bevor legitimierte SysAdmin-Tools zum Einsatz kommen können, stören getarnte VBS-Downloader sie. Die VBS-Downloader greifen in das anvisierte Endgerät ein und verbreiten dort Malware.
• Von der Anwendung zur Infiltration: Eine Spam-Kampagne zielte auf Schifffahrts-, Seefahrts-, Logistik- und verwandte Unternehmen in sieben Ländern ab (Chile, Japan, Großbritannien, Pakistan, USA, Italien und die Philippinen). Dabei wurde eine Sicherheitslücke in Microsoft Office ausgenutzt, um das kommerziell erhältliche Remcos RAT zu installieren. Über eine Hintertür gelangte die Malware auf infizierte Computer.

Weitere Ergebnisse

• 75 Prozent der identifizierten Malware wurde per E-Mail zugestellt, 25 Prozent durch Web-Downloads verteilt. Über Webbrowser heruntergeladene Bedrohungen stiegen um 24 Prozent an – besonders der Download von Hacking-Tools und Software für das Cryptocurrency Mining schlug hier zu Buche.
• Die häufigsten E-Mail-Phishing-Köder waren Rechnungen und Geschäftstransaktionen (49 Prozent), 15 Prozent Antworten auf abgefangene E-Mail-Threads. Phishing-Köder, die COVID-19 erwähnten, machten weniger als 1 Prozent aus und fielen von H2 2020 bis H1 2021 um 77 Prozent.
• Die häufigste Art bösartiger Anhänge: Archivdateien (29 Prozent), Tabellenkalkulationen (23 Prozent), Dokumente (19 Prozent) und ausführbare Dateien (19 Prozent). Ungewöhnliche Archivdateitypen – etwa JAR (Java-Archivdateien) – werden verwendet, um Erkennungs- und Scanning-Tools zu umgehen sowie Malware zu installieren, die leicht auf Underground-Marktplätzen erhältlich ist.
• Der Bericht belegt darüber hinaus, dass 34 Prozent der erfassten Malware bisher unbekannt war. Dies entspricht einem Rückgang von vier Prozent gegenüber dem zweiten Halbjahr 2020.
• Malware, die CVE-2017-11882 ausnutzt, stieg um 24 Prozent. Dabei sucht die Malware nach Schwachstellen, um über Microsoft Office oder Microsoft WordPad den Speicher zu erreichen und dateilose Angriffe auszuführen.