La botnet Echobot ha minacciato i dispositivi IoT del 34% delle organizzazioni di tutto il mondo

Check Point Research, la divisione Threat Intelligence di Check Point® Software Technologies Ltd. (NASDAQ: CHKP), il principale fornitore di soluzioni di cybersecurity a livello globale, ha reso noto il Global Threat Index di agosto 2019. Il team di ricerca avverte le organizzazioni riguardo una nuova versione della botnet Mirai IoT, Echobot, che ha lanciato attacchi diffusi contro una serie di dispositivi IoT. Vista per la prima volta nel maggio 2019, Echobot ha sfruttato oltre 50 diverse vulnerabilità, in particolare di “Command Injection Over http”, che ha colpito il 34% delle organizzazioni a livello globale.

Nel mese di agosto è tornata a essere attiva anche la botnet Emotet, dopo la chiusura di due mesi fa. Emotet è stata la più grande botnet attiva nella prima metà del 2019. Sebbene non siano ancora state osservate grandi campagne offensive, è probabile che verrà presto utilizzata per avviare campagne spam.

In Italia, invece, ha dominato AgentTesla che con più del 7% di impatto, si è classificato primo – mentre nella classifica globale è solo quinto. AgentTesla è in grado di monitorare e raccogliere l’input della tastiera, gli appunti di sistema, fare screenshot ed estrarre le credenziali appartenenti a una varietà di software installati sul computer della vittima (tra cui Google Chrome, Mozilla Firefox e client di posta elettronica Microsoft Outlook).

“Echobot è stato visto per la prima volta a metà maggio e, essendo una nuova variante della ben nota Botnet IoT Mirai, è importante notare il forte aumento degli utilizzi, dato che ora sta sfruttando oltre 50 diverse vulnerabilità. Echobot ha avuto un impatto sul 34% delle aziende di tutto il mondo, il che dimostra quanto sia vitale per le organizzazioni garantire l’installazione di tutte le patch e gli aggiornamenti alle proprie reti, software e dispositivi IoT”, ha dichiarato Maya Horowitz, Director, Threat Intelligence & Research, Products di Check Point.

I tre malware più diffusi ad agosto 2019 sono stati:

*La freccia si riferisce al cambio di posizione rispetto alla classifica del mese precedente

Questo mese XMRig rimane in testa alla lista dei principali malware, seguito da Jsecoin, entrambi con un impatto globale del 7%. Dorkbot è al terzo posto, con un impatto sul 6% delle organizzazioni in tutto il mondo.

1. ↔ XMRig – mining software open-source CPU utilizzato per il mining della valuta criptata Monero, e visto per la prima volta da maggio 2017.
2. ↔ Jsecoin – il miner JavaScript che può essere inserito all’interno dei siti. Con JSEcoin, è possibile inserire un miner direttamentre nel browser in cambio di un’esperienza di navigazione senza annunci pubblicitari, percepiti sempre più come invasivi.
3. ↔ Dorkbot – Dorkbot è un worm basato su IRC progettato per consentire l’esecuzione remota del codice da parte del suo operatore, così come il download di malware aggiuntivo all’interno del sistema infetto.

I tre malware per dispositivi mobili più diffusi in agosto:

Questo mese Lotoor è il malware mobile più diffuso, seguito da AndroidBauts e Triada.

1. Lotoor – tecnica di hackeraggio in grado di sfruttare le vulnerabilità dei sistemi Android con lo scopo di ottenere i permessi di root sui dispositivi mobile infettati.
2. AndroidBauts – adware che colpisce gli utenti Android e che estrae informazioni su IMEI, IMSI, posizione GPS e altre informazioni del dispositivo e consente l’installazione di applicazioni di terze parti e shortcut su dispositivi mobili.
3. Triada – malware modulare per Android che sferra l’attacco tramite una backdoor che concede privilegi amministrativi a malware scaricati. Triada può anche fare lo spoofing di URL caricati nel browser.

Le tre vulnerabilità più diffuse nel mese di agosto sono state:

*La freccia si riferisce al cambio di posizione rispetto alla classifica del mese precedente

Questo mese, le tecniche di SQL Injection mantengono il primo posto nella lista, seguite da vicino dalla vulnerabilità OpenSSL TLS DTLS Heartbeat Information Disclosure, entrambe con un impatto sul 39% delle organizzazioni a livello globale. Al terzo posto MVPower DVR Remote Code Execution con un impatto globale del 38%.

1. ↔ SQL Injection (several techniques) – consiste nell’inserimento di query SQL, in input, dal client all’applicazione, sfruttando al contempo una vulnerabilità di sicurezza nel software di un’applicazione.
2. ↔ OpenSSL TLS DTLS Heartbeat Information Disclosure (CVE-2014-0160; CVE-2014-0346) – in OpenSSL esiste una vulnerabilità che diffonde informazioni a causa di un errore durante la gestione dei pacchetti TLS/DTLS heartbeat. Un aggressore può sfruttare questa vulnerabilità per rivelare il contenuto della memoria di un client o server collegato.
3. ↔ MVPower DVR Remote Code Execution – esiste una vulnerabilità di esecuzione del codice da remoto nei dispositivi MVPower DVR. Un malintenzionato può sfruttare questa falla da remoto per eseguire codice arbitrario nel router interessato tramite una richiesta creata appositamente.

La ThreatCloud Map e il Global Threat Impact Index di Check Point si avvalgono dell’intelligence ThreatCloud^TM dell’azienda, la più grande rete che collabora contro i cybercriminali e fornisce dati sulle minacce e sull’andamento degli attacchi, attraverso una rete globale di sensori delle minacce. Il database di ThreatCloud contiene più di 250 milioni di indirizzi, che vengono analizzati per scoprire bot, più di 11 milioni di firme di malware e più di 5 milioni e cinquecentomila siti web infetti, e ogni giorno individua milioni di varianti di malware.