Incidente noi, suspecţi vechi. Evoluţia ameninţărilor IT în trimestrul 1 din 2013

În cel mai recent raport, experţii Kaspersky Lab au analizat evoluţia ameninţărilor IT în primul trimestru al anului 2013. Primele trei luni ale anului s-au dovedit a fi pline de evenimente, în special în ceea ce priveşte spionajul cibernetic şi armele cibernetice.

La începutul anului, Kaspersky Lab a publicat un raportcu rezultatele unui studiu despre o operaţiune de spionaj cibernetic la nivel global, numită Red October. Aceste atacuri au vizat mai multe agenţii guvernamentale, organizaţii diplomatice şi companii din întreaga lume. Pe lângă atacarea computerelor, în cadrul operaţiunii Red October au fost furate informaţii de pe dispozitivele mobile, din echipamentul de reţea, de pe dispozitivele USB, din arhivele locale Outlook, de pe servelerele izolate POP/IMAP sau de pe serverele locale FTP de pe internet.

În luna februarie, un nou program maliţios, numit MiniDuke, a intrat în atenţia tuturor. Acesta a pătruns în sisteme folosind vulnerabilităţile de tip 0-day din Adobe Reader (CVE-2013-0640). Experţii Kaspersky Lab au analizat, în parteneriat cu CrySys Lab, din Ungaria, incidentele care au fost asociate cu acest tip de malware. Victimele MiniDuke s-au dovedit a fi agenţii guvernamentale din Ucraina, Belgia, Portugalia, România, Republica Cehă şi Irlanda, precum şi organizaţii de cercetare din Ungaria, un institut de cercetare, două centre ştiinţifice şi un centru medical din Statele Unite. În total, au fost detectate 59 de victime în 23 de ţări diferite.

În luna februarie, Mandiant a publicat un raport detaliat despre o serie de atacuri lansate de o grupare de hackeri chinezi, cunoscută cu numele de APT1. Potrivit informaţiilor furnizate de Mandiant, APT1 pare a reprezenta, de fapt, o divizie a armatei chineze. Aceasta nu a fost prima dată când Beijingul a fost acuzat de complicitate în atacuri cibernetice care au avut ca ţintă agenţii şi organizaţii guvernamentale din alte ţări. Cu toate acestea, guvernul chinez a respins ferm toate afirmaţiile făcute de raportul Mandiant.

La finalul lunii februarie, a apărut un studiu publicat de Symantec, cu privire la nou-identificată versiune a lui Stuxnet – Stuxnet 0.5. Acesta s-a dovedit a fi, de fapt, cea mai recentă modificare cunoscută viermelui, care a fost activ între 2007 şi 2009. Experţii au afirmat în repetate rânduri că au existat, sau încă există, versiuni mai vechi ale cunoscutului vierme, însă aceasta reprezintă prima dovadă concretă.

„Primul trimestru al anului 2013 a venit cu numeroase incidente majore, ce ţin de spionajul cibernetic şi de armele cibernetice”, a declarat Dennis Maslennikov, Senior Malware Analyst în cadrul Kaspersky Lab. „Incidentele care să necesite luni de cercetare sunt relativ rare în industria antivirus. Chiar şi mai rare sunt evenimentele care rămân relevante chiar şi trei ani după ce au avut loc – cum ar fi detectarea Stuxnet, de exemplu. Deşi viermele a fost studiat de numeroşi furnizori de programe antivirus, există în continuare mai multe module care au fost studiate foarte puţin, sau chiar deloc. Analiza efectuată asupra versiunii 0.5 a Stuxnet a oferit mai multe informaţii legate de acest program malware, în general. Este foarte probabil să aflăm şi mai multe informaţii pe viitor. Acelaşi lucru ar putea fi spus despre celelalte arme cibernetice detectate după Stuxnet, precum şi despre alte fişiere malware folosite în spionajul cibernetic”, a completat Dennis Maslennikov.

De asemenea, tot în primul trimestru al anului 2013 au fost detectate mai multe atacuri cu ţintă predefinită împotriva activiştilor tibetani şi uiguri. Atacatorii păreau să folosească toate resursele pentru a-şi atinge scopurile, şi atât utilizatorii Mac OS X, cât şi utilizatorii Windows şi Android au fost printre ţintele atacurilor.

Încă din anul 2011, au avut loc atacuri în masă ale hackerilor împotriva companiilor şi câteva scurgeri majore de informaţii legate. Ar putea părea că acestea atacuri nu au avut nicio finalitate, dar nu a fost aşa. Infractorii cibernetici sunt mai interesaţi ca oricând să obţină date confidenţiale, inclusiv informaţii legate de utilizatori. Printre victimele incidentelor din primul trimestru al anului s-au numărat companii precum Apple, Facebook, Twitter şi Evernote.

Frontul ameninţărilor pentru dispozitivele mobile a fost, de asemenea, marcat de numeroase incidente în primele trei luni ale lui 2013. Deşi în luna ianuarie dezvoltatorii de viruşi pentru dispozitivele mobile nu au avut foarte multă activitate, în următoarele două luni, Kaspersky Lab a detectat 20.000 de noi modificări ale fişierelor malware pentru dispozitive mobile, care reprezintă aproape jumătate din toate noile mostre de malware detectate pe tot parcursul anului 2012.

S-au remarcat şi schimbări în ceea ce priveşte geografia ameninţărilor. De data aceasta, Rusia (19%, -6 puncte procentuale) şi Statele Unite (25%, +3 puncte procentuale) au inversat încă o dată locurile în clasament în ceea ce priveşte generarea acţiunilor de dezvoltare a malware-ului – Statele Unite revenind pe primul loc. Procentele înregistrate de celelalte ţări au fost aproape neschimbate, comparativ cu ultimul trimestru al anului 2012.

Topul celor mai întâlnite vulnerabilităţi nu a înregistrat schimbări semnificative. Vulnerabilităţile Java sunt în continuare în fruntea clasamentului, fiind detectate pe 45.26% dintre computere. Experţii Kaspersky Lab au identificat, în medie, opt tipuri diferite de breşe pe fiecare dispozitiv neprotejat.