Netskope Threat Labs-Statistiken für Februar 2024

Netskope Threat Labs veröffentlicht monatlich einen zusammenfassenden Blogbeitrag mit den wichtigsten Bedrohungen, die wir auf der Netskope-Plattform verfolgen. Dieser Beitrag zielt darauf ab, strategische, umsetzbare Informationen über aktive Bedrohungen gegen Unternehmensanwender weltweit bereitzustellen.

Zusammenfassung

• OneDrive und GitHub standen ganz oben auf der Liste der Top-Cloud-Apps, die für Malware-Downloads verwendet werden, was eine sehr starke Präferenz von Angreifern und die Rückkehr von GitHub in die Top drei zeigt.
• Angreifer versuchen weiterhin, unter dem Radar zu fliegen, indem sie Cloud-Apps verwenden, um Malware zu verbreiten. Im Februar stammten 49 % aller Malware-Downloads von rekordverdächtigen 215 verschiedenen Cloud-Apps.
• Zu den Top-Malware-Familien, die im Februar aktiv waren, gehörten der Banking-Trojaner Grandoreiro, die RAT AdWind und die Ransomware Lockbit.

Bereitstellung von Cloud-Malware

Angreifer versuchen, unter dem Radar zu fliegen, indem sie bösartige Inhalte über beliebte Cloud-Apps bereitstellen. Der Missbrauch von Cloud-Apps für die Verbreitung von Malware ermöglicht es Angreifern, Sicherheitskontrollen zu umgehen, die sich hauptsächlich auf Domain-Blocklisten und URL-Filterung stützen oder den Cloud-Datenverkehr nicht überprüfen. Im Februar 2024 stammten 49 % aller HTTP/HTTPS-Malware-Downloads von beliebten Cloud-Apps. Der Prozentsatz der Downloads von beliebten Cloud-Apps hat sich in den letzten sechs Monaten um 50 % bewegt.

Die Anzahl der Apps, von denen Netskope Malware-Downloads erkannte, stieg deutlich auf einen neuen Höchststand von 215 Apps.

Angreifer erzielen den größten Erfolg bei der Erreichung von Unternehmensbenutzern, wenn sie Cloud-Anwendungen missbrauchen, die im Unternehmen bereits beliebt sind. Microsoft OneDrive, die beliebteste Cloud-App für Unternehmen, hält seit mehr als sechs Monaten erneut den Spitzenplatz bei den meisten Cloud-Malware-Downloads. 

Im Allgemeinen blieben die Top-10-Apps im Vergleich zu den in den letzten sechs Monaten des Jahres 2023 verwendeten Apps weitgehend unverändert. GitHub war zwar konstant in den Top 10 vertreten, kehrte aber zum ersten Mal seit November wieder in die Top 3 zurück. Post-Exploitation-Tools wie SharpRound, PEASS, Mimikatz und Lazagne werden häufig direkt von GitHub heruntergeladen. Angreifer verwenden verschiedene Techniken, um Malware von GitHub herunterzuladen, einschließlich GET-Anfragen für die Rohdateien und die Verwendung der GitHub-API.

Die Top-10-Liste spiegelt die Taktiken der Angreifer, das Benutzerverhalten und die Unternehmensrichtlinien wider.

Die wichtigsten Malware-Familien

Angreifer erstellen ständig neue Malware-Familien und Varianten bestehender Familien, um Sicherheitslösungen zu umgehen oder die Fähigkeiten ihrer Malware zu aktualisieren. Im Februar 2024 waren 62 % aller von Netskope erkannten Malware-Downloads entweder neue Familien oder neue Varianten, die in den vorangegangenen sechs Monaten nicht beobachtet worden waren. Bei den anderen 38 % handelt es sich um Proben, die bereits in den vorangegangenen sechs Monaten beobachtet wurden und immer noch in freier Wildbahn zirkulieren.

Die folgende Liste enthält die am häufigsten von Netskope im Februar 2024 blockierten Malware- und Ransomware-Familien:

• Backdoor.Zusy (a.k.a. TinyBanker) ist ein Banking-Trojaner, der auf dem Quellcode von Zeus basiert und darauf abzielt, persönliche Informationen durch Code-Injektion in Websites zu stehlen. Details
• Downloader.BanLoad ist ein Java-basierter Downloader, der häufig zur Übermittlung einer Vielzahl von Malware-Payloads verwendet wird, insbesondere von Banking-Trojanern. Details
• Infostealer.Lazagne ist ein Tool zur Wiederherstellung von Passwörtern, das als Hacking-Tool verwendet werden kann, um Passwörter von infizierten Geräten zu stehlen. Details
• Infostealer.RedLine ist darauf ausgelegt, Daten wie Kreditkartennummern, Passwörter, VPN- und FTP-Anmeldeinformationen, Gaming-Konten und sogar Daten aus Krypto-Wallets zu stehlen . Details
• Phishing.PhishingX ist eine bösartige PDF-Datei, die in einer Phishing-Kampagne verwendet wird, um Opfer auf eine Phishing-Seite umzuleiten.
• Ransomware.LockBit 3.0 (auch bekannt als Black) ist die neueste Version der LockBit-Ransomware , die im September 2019 auftauchte und sich zu einer der wichtigsten RaaS-Gruppen der Welt entwickelte. Details
• RATTE. AdWind ist eine RAT, die Aktionen wie das Protokollieren von Tastenanschlägen, das Sammeln vertraulicher Informationen, das Herunterladen und Ausführen anderer Nutzlasten und vieles mehr ausführen kann. Details
• Trojan.Razy ist ein Trojaner, der in der Regel über bösartige Anzeigen verbreitet wird, die als legitime Software getarnt sind und häufig zum Diebstahl von Kryptowährungsdaten verwendet werden. Details
• Trojan.Valyria (auch bekannt als POWERSTATS) ist eine Familie bösartiger Microsoft Office-Dokumente, die eingebettete bösartige VBScripts enthalten, normalerweise um andere bösartige Nutzdaten zu übermitteln. Einzelheiten
• Trojan.Grandoreiro ist ein lateinamerikanischer Banking-Trojaner mit dem Ziel, sensible Bankinformationen zu stehlen, der es häufig auf Brasilien, Mexiko, Spanien und Peru abgesehen hat. Details

Empfehlungen

Angreifer haben schon immer versucht, sich der Erkennung zu entziehen und einen Verdacht bei der Verbreitung von Malware zu vermeiden. Angreifer haben in den letzten sechs Monaten zunehmend zwei Strategien angewandt: die Verbreitung von Malware durch den Missbrauch von Cloud-Apps und das Verpacken von Malware in PDF-Dateien. Netskope Threat Labs empfiehlt, dass Sie Ihre Sicherheitslage überprüfen, um sicherzustellen, dass Sie angemessen vor diesen beiden Trends geschützt sind:

• Überprüfen Sie alle HTTP- und HTTPS-Downloads, einschließlich des gesamten Web- und Cloud-Datenverkehrs, um zu verhindern, dass Malware in Ihr Netzwerk eindringt. Netskope-Kunden können ihr Netskope NG-SWG mit einer Threat Protection-Richtlinie konfigurieren, die für Downloads aus allen Kategorien und für alle Dateitypen gilt.
• Stellen Sie sicher, dass Ihre Sicherheitskontrollen den Inhalt beliebter Archivdateien, z. B. ZIP-Dateien, rekursiv auf schädliche Inhalte überprüfen. Netskope Advanced Threat Protection überprüft rekursiv den Inhalt von Archiven, einschließlich ISO, TAR, RAR, 7Z und ZIP.
• Stellen Sie sicher, dass Dateitypen mit hohem Risiko wie ausführbare Dateien und Archive vor dem Download sowohl mit statischer als auch dynamischer Analyse geprüft werden. Kunden vonNetskope Advanced Threat Protection können eine Patient Zero Prevention Policy verwenden, um Downloads zurückzuhalten, bis sie vollständig geprüft wurden.
• Konfigurieren Sie Richtlinien, um Downloads von Apps zu blockieren, die in Ihrer Organisation nicht verwendet werden, um Ihr Risiko auf die Apps und Instanzen zu reduzieren, die für das Unternehmen erforderlich sind.
• Blockieren Sie Downloads aller riskanten Dateitypen von neu registrierten und neu beobachteten Domains.

Zusätzlich zu den oben genannten Empfehlungen kann die Remote Browser Isolation (RBI )-Technologie zusätzlichen Schutz bieten, wenn Websites besucht werden müssen, die in Kategorien fallen, die ein höheres Risiko darstellen, wie z. B. neu beobachtete und neu registrierte Domains.

Über diesen Bericht

Netskope bietet Bedrohungs- und Datenschutz für Millionen von Anwendern weltweit. Die in diesem Bericht enthaltenen Informationen basieren auf anonymisierten Nutzungsdaten, die von der Netskope Security Cloud-Plattform erfasst wurden und sich auf eine Untergruppe von Netskope-Kunden mit vorheriger Genehmigung beziehen. Dieser Bericht enthält Informationen zu Erkennungen, die von NetskopeNext Generation Secure Web Gateway (SWG) ausgelöst wurden, ohne die Bedeutung der Auswirkungen der einzelnen Bedrohungen zu berücksichtigen. Die Statistiken in diesem Bericht basieren auf dem Zeitraum vom 1. Juli 2023 bis zum 29. Februar 2024. Die Statistiken spiegeln die Taktiken von Angreifern, das Benutzerverhalten und die Unternehmensrichtlinien wider.