Половина эксплойтов, популярных у хакеров, заточены под баги Microsoft

Половина эксплойтов, популярных у хакеров, заточены под баги Microsoft

Половина эксплойтов, популярных у хакеров, заточены под баги Microsoft

Проведенное в Trend Micro исследование показало, что 47% эксплойтов, пользующихся спросом на черном рынке, ориентированы на уязвимости в продуктах Microsoft. Почти в половине случаев покупателей интересуют инструменты для уязвимостей, выявленных два года назад и ранее. Эти цифры озвучила Маира Фуэнтес (Mayra Rosario Fuentes), выступая с докладом на конференции RSA, проходящей в США.

Эксперты два года (с января 2019 по декабрь 2020) изучали объявления о купле-продаже эксплойтов на подпольных англо- и русскоязычных форумах, общим числом более 600. Собранная ими статистика полезна не только для специалистов, но и для пользователей ИТ-продуктов — она помогает сориентироваться в потоке патчей и точнее расставлять приоритеты при их применении.

Примечательно, что на долю эксплойтов для IoT пришлось лишь 5% запросов. Тем не менее, исследователи ожидают, что с приходом 5G в эту сферу ее привлекательность для злоумышленников возрастет.

 

Возраст 52% востребованных уязвимостей составил менее двух лет. Покупатели в среднем были готовы платить $2 тыс. за инструмент взлома — такой как CVE-2019-1151, при потолке в $10 тыс. (за эксплойт нулевого дня для программ Microsoft).

Списки предложений примерно соответствовали спросу; 61% выставленных на продажу эксплойтов были ориентированы на Microsoft Office, Windows, Internet Explorer и RDP в следующих пропорциях:

 

На англоязычных форумах продавцы чаще всего предлагали эксплойты для Microsoft Word и Excel, а также для софта Adobe.

Эти инструменты атаки продавались оптом и в розницу; отдельной статьей шли эксплойт-билдеры — конструкторы, доступ к которым предоставлялся по подписке с абонентской платой от $60 в месяц до $200 за полгода. Поставщики таких услуг, как правило, обещали бесплатные обновления и полную техподдержку.

Множество эксплойтов были предназначены для атак на уязвимости почтенного возраста: в 22% случаев дыре было больше трех лет (CVE-2012-0158, CVE-2014-0133, CVE-2016-5195), а самая древняя датировалась 1999 годом.

Интервал между выпуском патча и его установкой на подключенные к интернету устройства, по оценке Trend Micro, в среднем составляет 71 день. При этом админам зачастую приходится решать, какие заплатки поставить в первую очередь, а какие могут подождать.

При большом потоке исправлений предпочтение обычно отдается уязвимостям, получившим высокий балл по шкале CVSS. Проведенное исследование показывает, что при расстановке приоритетов нужно также учитывать популярность дыры у хакеров и наличие соответствующего эксплойта на черном рынке.

Полный отчет по результатам исследования Trend Micro обещает опубликовать в июле.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

F6 и RuStore заблокировали 604 домена с Android-трояном DeliveryRAT

Аналитики F6 вместе с RuStore выявили и заблокировали 604 домена, которые входили в инфраструктуру мошенников. Те распространяли Android-троян DeliveryRAT, крадущий деньги и личные данные пользователей.

Зловред прятался под видом приложений для доставки еды, маркетплейсов, банковских сервисов и трекинга посылок. Эксперты связывают его работу как минимум с тремя скам-группами.

Впервые DeliveryRAT обнаружили летом 2024 года. Его главная задача — воровать персональные данные, чтобы оформлять кредиты в МФО или выводить деньги через онлайн-банкинг.

Позднее выяснилось, что зловред распространяется по схеме Malware-as-a-Service: в телеграм-ботах типа «Bonvi Team» злоумышленники генерировали ссылки на поддельные сайты, где пользователи скачивали заражённые APK-файлы.

Как заражают жертв:

  • через фейковые маркетплейсы — обещают дешёвый товар и «ссылку для отслеживания посылки»;
  • через поддельные вакансии — собирают данные кандидатов и предлагают «установить рабочее приложение»;
  • через рекламу в соцсетях и мессенджерах — кидают ссылки на вредоносные сайты.

«Мошенники выстраивали целые сценарии — от фейковых объявлений о купле-продаже до обещаний удалённой работы. А затем переводили общение в мессенджеры и убеждали скачать приложение, которое оказывалось трояном», — рассказал Евгений Егоров, аналитик F6.

Для отслеживания таких схем F6 использует систему графового анализа, которая помогает выявлять связанные сайты. Совместно с RuStore удалось быстро заблокировать сотни доменов, задействованных в инфраструктуре злоумышленников.

В RuStore напоминают: злоумышленники постоянно меняют ключевые слова и внешний вид приложений, чтобы обмануть защитные механизмы и пользователей.

«Поэтому важно загружать программы только из официальных источников», — подчеркнул Дмитрий Морев, директор по информационной безопасности RuStore.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru