2010 rokiem luk w zabezpieczeniach

Pod względem ewolucji szkodliwego oprogramowania rok 2010 niemal wcale nie różnił się od poprzedniego. Mówiąc ogólnie, ani trendy, ani cele ataków nie zmieniły się w dużym stopniu; chociaż niektóre rodzaje szkodliwej aktywności znacznie rozwinęły się.

Miesięczne statystyki dotyczące wykrywania szkodliwego oprogramowania utrzymują się od 2009 roku mniej więcej na tym samym poziomie, a głównymi zagrożeniami cyberbezpieczeństwa pozostają ataki na przeglądarki i botnety. Zmniejszyły się natomiast współczynniki wykrywania pewnych rodzajów szkodliwego oprogramowania.

Główny problem w 2010 roku stanowiły luki w zabezpieczeniach, zwłaszcza te wykrywane w oprogramowaniu firmy Adobe. Wykorzystywanie luk stało się główną metodą atakowania komputerów użytkowników, a cyberprzestępcy porzucili zainteresowanie produktami Microsoftu na rzecz programów Adobe i Apple (Safari, QuickTime oraz iTunes).

Podsumowanie

W raporcie za 2009 rok próbowaliśmy przewidzieć najbardziej prawdopodobne kierunki ewolucji oprogramowania cyberprzestępczego oraz zagrożeń IT w 2010 roku. Rok później możemy powiedzieć, że większość naszych prognoz sprawdziła się.

Wzrost liczby ataków za pośrednictwem sieci P2P (nie myliliśmy się)

Nie można nie zgodzić się ze stwierdzeniem, że sieci P2P stanowią obecnie główny kanał, za pomocą którego szkodliwe oprogramowanie przenika do komputerów użytkowników. Pod względem popularności ten wektor infekcji ustępuje jedynie atakom przeprowadzanym za pośrednictwem przeglądarek.

Praktycznie wszystkie rodzaje zagrożeń (łącznie z wirusami plikowymi, fałszywymi programami antywirusowymi, backdoorami oraz różnymi robakami) rozprzestrzeniają się za pośrednictwem sieci P2P. Ponadto, takie sieci szybko stają się środowiskiem sprzyjającym propagacji nowych zagrożeń, takich jak ArchSMS.

Wzrost aktywności cyberprzestępczej wykorzystującej sieci P2P został dobrze udokumentowany również przez inne firmy informatyczne. Na przykład, w swoim raporcie o zagrożeniach w drugim kwartale 2010 roku (http://www.net-security.org/secworld.php?id=9641) firma Cisco wskazuje na znaczący wzrost liczby ataków przeprowadzanych za pośrednictwem trzech najpopularniejszych sieci P2P: BitTorrent, eDonkey oraz Gnutella.

Epidemia szkodliwego oprogramowania rozprzestrzeniającego się za pośrednictwem sieci P2P rozpoczęła się w marcu, gdy liczba incydentów wykrytych przez Kaspersky Security Network po raz pierwszy przekroczyła próg 2,5 miliona miesięcznie. Według ostrożnych szacunków, liczba takich ataków wynosi miesięcznie blisko 3,2 miliona.

Walka o ruch (trafiony zatopiony)

Tak zwane programy partnerskie pozostały głównym sposobem komunikowania się grup cyberprzestępczych, które tworzą nowe botnety, zarządzają istniejącymi i ustalają nowe cele botnetów.

W 2010 roku działały liczne półlegalne projekty zarabiania pieniędzy, obok otwarcie przestępczych aktywności, takich jak infekowanie legalnych stron internetowych czy komputerów użytkowników przy pomocy metody drive-by download. Takie pseudo-legalne projekty obejmują nakłanianie użytkowników do dobrowolnego pobierania plików przy użyciu różnych metod, takich jak wykorzystywanie "porwanych" zasobów do przeprowadzania modyfikowania wyników wyszukiwania w Internecie, wysyłanie przykuwających uwagę odsyłaczy, rozprzestrzenianie oprogramowania adware oraz przekierowywanie ruchu na strony zawierające treści dla dorosłych.

Aby dowiedzieć się więcej, jak działają takie "programy partnerskie", zachęcamy do przeczytania artykułu "Niebezpieczeństwa Internetu", dostępnego na stronie: http://www.viruslist.pl/analysis.html?newsid=630.

Epidemie szkodliwego oprogramowania oraz zwiększenie złożoności szkodliwych programów (strzał w dziesiątkę)

W 2010 roku nie mieliśmy żadnej epidemii, która pod względem tempa rozprzestrzeniania się, liczby zainfekowanych użytkowników oraz skali wzbudzonego zainteresowania dorównałaby epidemii robaka Kido (Conficker) z 2009 roku. Gdybyśmy jednak mieli rozpatrywać te czynniki oddzielnie, niektóre infekcje mogłyby zostać zaklasyfikowane jako globalne epidemie.

W 2010 roku powszechną uwagę, zarówno dziennikarzy jak i analityków, zwróciły botnety Mariposa, Zeusa, Bredolaba, TDSS, Koobface'a, Sinowala oraz Black Energy 2.0. Każdy z tych ataków pozostawił miliony zainfekowanych komputerów na całym świecie. Odpowiedzialne za nie zagrożenia należą do najbardziej zaawansowanych i wyrafinowanych szkodliwych programów, jakie kiedykolwiek zostały stworzone.

Szkodniki te rozprzestrzeniają się za pośrednictwem wszystkich dostępnych wektorów infekcji, łącznie z pocztą elektroniczną, i były pionierami w wykorzystywaniu sieci P2P oraz portali społecznościowych do propagacji. Niektóre z nich były również pierwszymi szkodnikami, które zainfekowały platformy 64-bitowe. Co więcej, wiele z nich rozprzestrzeniało się za pośrednictwem luk zero-day, dla których nie istniały jeszcze łaty.

Jednak kreatywność twórców szkodliwego oprogramowania osiągnęła szczyt w przypadku robaka Stuxnet. Ten prawdziwie rewolucyjny robak stanowił głównego bohatera informacji dotyczących cyberzagrożeń w drugiej połowie 2010 roku. Publikacje na jego temat obejmowały spekulacje dotyczące potencjalnych celów Stuxneta oraz sposobu jego działania. Stuxnet zawładnął uwagą mediów jak żadne inne zagrożenie w historii.

Obecnie najbardziej rozpowszechnione szkodliwe programy są jednocześnie najbardziej złożone. Tym samym podnoszą poprzeczkę producentom rozwiązań bezpieczeństwa, którzy toczą wojnę technologiczną z cyberprzestępcami. Dzisiaj na nic nie zda się już rozwiązanie, które potrafi wykryć dziewięćdziesiąt dziewięć procent milionów próbek szkodliwego oprogramowania, jeżeli przepuści lub nie zdoła zneutralizować tego jednego zagrożenia, które jest niezwykle wyrafinowane, a przez to szeroko rozpowszechnione.

Spadek liczby fałszywych programów antywirusowych (tak, jak przepowiadaliśmy)

Ta prognoza była dość kontrowersyjna - zdania na ten temat są podzielone, nawet wśród ekspertów Kaspersky Lab. Zadecydowało tu wiele czynników, takich jak: znalezienie innych metod zarabiania pieniędzy przez właścicieli i członków programów partnerskich, działania firm antywirusowych oraz organów ścigania, silna konkurencja między różnymi grupami cyberprzestępczymi tworzącymi i rozprzestrzeniającymi fałszywe programy antywirusowe.

Według danych dostarczonych przez Kaspersky Security Network, liczba fałszywych programów antywirusowych zmniejszyła się na całym świecie. Aktywność związana z fałszywymi programami antywirusowymi osiągnęła szczyt (200 000 incydentów miesięcznie) w okresie luty-marzec 2010 roku, by następnie, pod koniec roku, doświadczyć czterokrotnego spadku. Równocześnie, fałszywe programy antywirusowe zawężały strefę swoich ataków do określonych regionów, a cyberprzestępcy przestali rozprzestrzeniać swoje programy na chybił trafił i skoncentrowali się na konkretnych państwach, takich jak Stany Zjednoczone, Francja, Niemcy czy Hiszpania.

Ataki na i za pośrednictwem Google'a (nie sprawdziło się)

Rok temu przewidywaliśmy ataki na Google Wave klientów tej usługi. Jednak Google zarzucił projekt w połowie roku, zanim zdołał przyciągnąć krytyczną masę użytkowników. Dlatego nasza prognoza nie miała szans spełnić się.

Ataki na iPhone'a i urządzenia z Androidem (częściowo trafione)

W 2009 roku wykryliśmy pierwsze szkodliwe oprogramowanie dla iPhone'a i program spyware dla Androida. Spodziewaliśmy się, że cyberprzestępcy bardziej skupią się na tych dwóch platformach.

Nie miały miejsca żadne poważniejsze ataki szkodliwego oprogramowania na iPhone'a, które można by porównać do incydentu z udziałem robaka Ike w 2009 roku. Jednak w 2010 roku powstało kilka programów koncepcyjnych dla tej platformy demonstrujących techniki, które mogłyby zostać wykorzystane przez cyberprzestępców. Doskonałym przykładem jednej z takich technik był "SpyPhone" - dziecko szwajcarskiego naukowca. Program ten umożliwia nieautoryzowany dostęp do informacji dotyczących użytkownika iPhone'a, jego lokalizacji, zainteresowań, przyjaciół, ulubionych aktywności, haseł i historii wyszukiwania w Sieci. Następnie dane te mogą zostać przesłane bez wiedzy i zgody użytkownika do zdalnego serwera. Co więcej, funkcjonalność ta może zostać ukryta w niewinnie wyglądającej aplikacji.

W przeszłości eksperci przestrzegali użytkowników, którzy przeprowadzają jailbreak na swoich telefonach, aby zainstalować aplikacje osób trzecich, że igrają z ogniem. Obecnie jednak ryzyko podejmują nawet ci, którzy instalują aplikacje pobierane z Apple Store. W 2010 roku miało miejsce kilka incydentów dotyczących legalnych aplikacji Apple'a - wykryto aplikacje dla iPhone'a, które potajemnie gromadziły dane i wysyłały je producentom oprogramowania.

To samo dotyczy również platformy Android. Wykryto szkodliwe oprogramowanie dla Androida o wyraźnie cyberprzestępczym charakterze, które wykorzystuje popularną wśród trojanów mobilnych technikę wysyłania SMS-ów na numery o podwyższonej opłacie. Trojan-SMS.AndroidOS.FakePlayer został wykryty przez firmę Kaspersky Lab we wrześniu 2010 roku, stając się pierwszym prawdziwym przykładem szkodliwego oprogramowania dla Androida - najprawdopodobniej został stworzony przez rosyjskich twórców wirusów. Szkodnik ten był rozprzestrzeniany nie za pośrednictwem Android Marketu, ale zainfekowanych stron internetowych; jednak według ekspertów z Kaspersky Lab, istnieje duże prawdopodobieństwo, że w produktach dostępnych w Android Markecie może zostać wkrótce znalezione szkodliwe oprogramowanie. Niepokoi nas fakt, że wiele legalnych aplikacji może żądać dostępu do osobistych danych użytkowników jak również upoważnienia do wysyłania SMS-ów i wykonywania połączeń telefonicznych. W naszej opinii poddaje to w wątpliwość wiarygodność całej koncepcji bezpieczeństwa Androida.

Na tym kończymy nasze rozliczenie się z prognoz z 2009 roku. W dalszej kolejności zajmiemy się analizą trendów oraz incydentów, które miały znaczący wpływ na bezpieczeństwo IT.

Ukierunkowane ataki na korporacje i przedsiębiorstwa przemysłowe

Atak o nazwie Aurora miał miejsce na początku 2010 roku i dotknął wiele dużych firm zlokalizowanych na całym świecie, w tym Google, który stanowił jego główny cel. Incydent ten wyciągnął na światło dzienne poważne luki w zabezpieczeniach i ujawnił potencjalne cele cyberprzestępców - cyberszpiegostwo i kradzież poufnych informacji handlowych. Przyszłe ataki ukierunkowane mogą mieć podobne cele.

Historia Stuxneta, o której wspominaliśmy wcześniej, jest niezwykła z dwóch względów. Po pierwsze, poziom złożoności tego robaka bije wszystkie wcześniejsze rekordy, po drugie, jego celem były sterowniki programowalne (PLC) - przemysłowe urządzenia sterujące. Stuxnet był zamieszany w pierwszy przypadek cybersabotażu przemysłowego, który zdobył tak szeroki rozgłos. Podobne ataki mogą wyrządzić znaczne szkody fizyczne. Granica między światem wirtualnym a rzeczywistym zaciera się. Wywołuje to nowe problemy, z którymi cała społeczność cybernetyczna będzie musiała zmierzyć się w niedalekiej przyszłości.

Certyfikaty cyfrowe

Certyfikaty i podpisy cyfrowe to jedne z filarów, na których opierają się zaufanie i gwarancja w świecie komputerowym. Podpisy cyfrowe odgrywają ważną rolę w rozwoju produktów bezpieczeństwa: pliki podpisane przez zaufanych producentów są uważane za bezpieczne. Technologia ta pozwala producentom produktów bezpieczeństwa zmniejszyć współczynniki fałszywych trafień i zaoszczędzić zasoby podczas skanowania komputerów użytkowników w celu wykrycia infekcji.

Wydarzenia z 2010 roku pokazały, że cyberprzestępcy potrafią legalnie zdobyć certyfikaty cyfrowe, tak jak każdy producent oprogramowania. Jeden z incydentów dotyczył uzyskania certyfikatu dla programu, który podszywał się pod "oprogramowanie do zdalnego zarządzania komputerami, które nie posiadają interfejsu graficznego", w rzeczywistości był natomiast backdoorem. Chwyt ten jest bardzo użyteczny dla cyberprzestępców, ponieważ zapobiega wykryciu szkodliwego oprogramowania i jest najczęściej wykorzystywany w oprogramowaniu adware, riskware oraz fałszywych programach antywirusowych. Po otrzymaniu klucza certyfikatu cyberprzestępca może łatwo wyposażyć każdy tworzony przez siebie szkodliwy program w podpis cyfrowy.

W efekcie podważona została cała koncepcja stosowania certyfikatu jako sposobu na zagwarantowanie bezpieczeństwa oprogramowania. Konsekwencje mogą być o wiele poważniejsze, ponieważ incydent ten dyskredytuje niektóre centra certyfikacji cyfrowej, których liczba wynosi obecnie kilkaset. W najgorszym przypadku może to prowadzić do powstania centrów certyfikacji kontrolowanych przez samych cyberprzestępców.

Certyfikat cyfrowy, lub mówiąc technicznie, zawarty w nim klucz prywatności, to fizyczny plik, który może zostać skradziony, podobnie jak każdy inny cyfrowy zasób. Wykryte komponenty Stuxneta zostały podpisane przy użyciu certyfikatów wydanych dla Realtec Semiconductors oraz JMicron. Wciąż nie wiadomo, w jaki sposób klucz prywatności wpadł w ręce cyberprzestępców; istnieje klika możliwości. Jedna z nich zakłada, że cyberprzestępcy zdobyli te poufne pliki, kupując je nielegalnie od osób mających do nich dostęp. Mogli też ukraść je przy użyciu specjalnego backdoora lub podobnego szkodliwego programu. Wydaje się, że do kradzieży certyfikatów byłby zdolny Zbot, znany również jako ZeuS.

Cyberataki w 2011 roku: kraść wszystko, co się da

Aby lepiej zrozumieć, co czeka nas w 2011 roku w dziedzinie zagrożeń IT, najlepiej podzielić potencjalne trendy na trzy oddzielne kategorie. W naszej prognozie dokonamy analizy celów ataków cybernetycznych, przyjrzymy się metodom wykorzystywanym do przeprowadzania takich ataków i zbadamy, jakie organizacje będą ich celem.

W poprzednich prognozach skupiliśmy się jedynie na metodach, np. ataki na platformy mobilne, wykorzystywanie luk w zabezpieczeniach itd. Powodem było to, że w ostatnich latach osobami przeprowadzającymi ataki byli niezmiennie cyberprzestępcy motywowani chęcią uzyskania korzyści finansowych.

Jednak w 2011 roku może nastąpić przełom w postaci zmian w charakterystyce organizacji przestępczych i ich celów. Zmiany te będą szły w parze z zanikiem szkodliwego oprogramowania pisanego przez tak zwane "dzieciaki skryptowe", których celem było pochwalenie się swoimi zdolnościami pisania wirusów. Ich wysiłki zwiastowały erę cyberprzestępczości.

Metody

Należy podkreślić, że metoda wykorzystywana do przeprowadzenia cyberataku nie zależy od tego, kto go organizuje ani jaki jest jego cel; determinują ją możliwości techniczne dzisiejszych systemów operacyjnych, Internetu i jego usług, jak również narzędzia jakie wykorzystujemy w pracy i innych dziedzinach życia.

Można powiedzieć, że rok 2010 był "rokiem luk w zabezpieczeniach", a rok 2011 zapowiada się jeszcze gorzej. Wzrost liczby exploitów wykorzystujących błędy programistyczne będzie spowodowany nie tylko wykrywaniem nowych luk w popularnych rozwiązaniach, takich jak produkty firmy Microsoft, Adobe czy Apple, ale również szybszą reakcją cyberprzestępców na pojawienie się takich luk. O ile jeszcze kilka lat temu wykorzystywanie luki "zero-day" nie stanowiło poważnego problemu, w 2010 stało się powszechnym zjawiskiem. Niestety, ten trend utrzyma się, a zagrożenia "zero-day" staną się jeszcze bardziej rozpowszechnione. Co więcej, ulubioną bronią cyberprzestępców w 2011 roku nie będą wyłącznie luki umożliwiające zdalne wykonanie szkodliwego programu. Centralne miejsce zajmą luki pozwalające na eskalację przywilejów, manipulację danymi oraz obejście mechanizmów bezpieczeństwa.

Głównym źródłem nielegalnych dochodów cyberprzestępców pozostanie kradzież danych uwierzytelniających transakcje bankowe online, spam, ataki DDoS, wyłudzenia oraz oszustwa. Naturalnie cyberprzestępcy skupią się na niektórych z tych metod bardziej niż na innych, można jednak bezpiecznie założyć, że nadal będą oni je stosowali w tej czy innej postaci w celu osiągnięcia swoich celów.

Bez wątpienia zwiększy się liczba zagrożeń atakujących platformy 64-bitowe. Pojawią się nowe "dokonania" w dziedzinie ataków na urządzenia mobilne i mobilne systemy operacyjne. W szczególności będą one dotyczyły Androida. Wzrośnie również liczba ataków na użytkowników portali społecznościowych. Większość z nich będzie wykorzystywała luki w zabezpieczeniach i będzie przeprowadzona za pośrednictwem przeglądarek internetowych. Ataki DDoS pozostaną jedną z największych "plag" Internetu.

Jednak wszystko, o czym pisaliśmy do tej pory, to zaledwie przystawki do dania głównego, które będzie stanowiła największa jak dotąd zmiana w krajobrazie zagrożeń - pojawienie się nowych "inicjatorów" oraz nowych i potężniejszych celów ich ataków cybernetycznych.

Nowi inicjatorzy z nowymi celami

Jak już wspominaliśmy, przez ostatnie lata przyzwyczailiśmy się do zwalczania szkodliwego kodu tworzonego przez cyberprzestępców w celu uzyskania korzyści finansowych. Stworzenie robaka Stuxnet stanowiło znaczące i budzące obawę odejście od dobrze znanego scenariusza i sugerowało przekroczenie pewnej bariery technologicznej i moralnej. Atak był spektakularną próbą pokazania całemu światu, jaką broń zawiera arsenał cyberprzestępców. Był to również dzwonek ostrzegawczy dla branży bezpieczeństwa IT, ponieważ zagrożenie to okazało się trudne do zwalczenia.

Naturalnie, w porównaniu z liczbą tradycyjnych cyberataków, jakie zostaną przeprowadzone, ataki dorównujące poziomem złożoności Stuxnetowi, będą nieliczne. Gdy jednak wystąpią, będą potencjalnie o wiele trudniejsze do wykrycia, ponieważ nie uderzą w przeciętnego użytkownika. Większość ofiar prawdopodobnie nigdy nie dowie się o ataku. Głównym celem takich ataków nie będzie sabotaż, jak w przypadku Stuxneta, ale kradzież informacji.

Takie ataki mogą rozpocząć się w 2011 roku, jednak pełny potencjał osiągną dopiero za kilka lat. Mimo to już teraz wiadomo, że pojawienie się nowego pokolenia cyberprzestępców oznacza, że osoby zajmujące się zwalczaniem nowoczesnych cyberzagrożeń będą musiały zwiększyć stawkę w tej grze.

Spyware 2.0

Kilka lat temu wprowadziliśmy pojęcie Malware 2.0. Teraz nadszedł czas na kolejne - Spyware 2.0.

Głównym celem współczesnego szkodliwego oprogramowania, oprócz wysyłania spamu i przeprowadzania ataków DDoS, jest kradzież kont użytkowników, czy to w serwisach e-mail, bankach online, czy na portalach społecznościowych. W 2011 roku przewidujemy pojawienie się nowej klasy programów spyware, których celem będzie kradzież wszystkiego, co popadnie. Programy te będą gromadziły wszystkie informacje o użytkowniku: czyli dane dotyczące jego lokalizacji, pracy, przyjaciół, przychodów, rodziny, koloru oczu i włosów itd. Nie pogardzą niczym, analizując każdy dokument i każde zdjęcie przechowywane na zainfekowanym komputerze.

Wszystkie te dane mogą zainteresować organizacje reklamujące swoje towary i usługi w Internecie i na portalach społecznościowych. W rzeczywistości istnieje mnóstwo potencjalnych klientów tego rodzaju informacji. Tak naprawdę, nie jest ważne, do czego zamierzają ich użyć. Liczy się to, że istnieje popyt, co oznacza, że stanowią one potencjalną żyłę złota dla cyberprzestępców, którzy chcą się przebranżowić.

Dlatego wejdą do gry przy pierwszej nadarzającej się okazji, kradnąc wszystko, co się da. We współczesnym świecie to informacja jest najcenniejszym zasobem, bo zgodnie z powiedzeniem - wiedza to potęga, a potęga oznacza kontrolę. W efekcie, sfera zainteresowania osób, które przeprowadzają tego typu ataki, znacznie poszerzyła się.

Co więcej, tradycyjna cyberprzestępczość coraz bardziej wkracza na te obszary, których do tej pory starała się unikać - ukierunkowane ataki na firmy. Kiedyś ataki ograniczały się do kradzieży pieniędzy od określonych użytkowników, instytucji bankowych oraz systemów płatniczych; dzisiaj technologia wykorzystywana przez cyberprzestępców jest już tak zaawansowana, że umożliwia szpiegostwo przemysłowe, szantaż i wyłudzenia.

Czego należy się spodziewać w 2011 roku:

• Powstanie nowe pokolenie lepiej zorganizowanych i bardziej "zÅ‚oÅ›liwych" twórców szkodliwego oprogramowania.
• Ataki z użyciem szkodliwego oprogramowania bÄ™dÄ… ukierunkowane na zdobycie informacji oraz korzyÅ›ci finansowych.
• Informacje stanÄ… siÄ™ celem nowej "rasy" cyberprzestÄ™pców oraz kolejnym źródÅ‚em dochodów tych, którzy już teraz znajdujÄ… siÄ™ w grze.
• Pojawi siÄ™ Spyware 2.0, nowa klasa szkodliwego oprogramowania, które kradnie dane osobiste użytkowników (kradzież tożsamoÅ›ci) oraz wszelkie inne rodzaje danych, jakie uda siÄ™ zdobyć.
• Spyware 2.0 stanie siÄ™ popularnym narzÄ™dziem zarówno wÅ›ród nowych, jak i starych cyberprzestÄ™pców.
• WzroÅ›nie liczba ataków na użytkowników korporacyjnych dokonywanych przez tradycyjnych cyberprzestÄ™pców, jednoczeÅ›nie stopniowo zmniejszy siÄ™ liczba ataków na zwykÅ‚ych użytkowników.
• Luki w zabezpieczeniach pozostanÄ… głównÄ… metodÄ… przeprowadzania ataków oraz wzroÅ›nie zakres i tempo wykorzystywania takich luk.

ŹródÅ‚o: Kaspersky Lab