Virus zaměřený přímo na Čechy stojí za 66,6 % útoků na počítače. Stahují si ho dobrovolně

Lednové statistiky ukazují značný návrat viru, který cílí přímo na české uživatele Windows. Útočníci mění taktiku, ale jdou po tom samém – vašich heslech.

Lukáš Altman (Mobify.cz) a Microsoft

Začátek roku přinesl v Česku prudký nárůst jednoho konkrétního viru. Z dostupných dat vyplývá, že v lednu tvořil přibližně dvě třetiny všech zachycených hrozeb pro Windows jediný malware, a to CloudEyE. Dle informací Mobify byly útoky uzpůsobeny přímo pro český trh. Tato hrozba funguje hlavně jako prostředník pro další škodlivé programy, které následně kradou přihlašovací údaje a otevírají cestu k účtům obětí.

Virus se šíří hlavně e-maily s přílohou

Malware zvaný CloudEyE patří mezi takzvané loadery (zavaděče, chcete-li). Je to je část operačního systému, která připraví program k běhu, „nahraje“ ho do paměti počítače a nachystá vše potřebné, aby mohl začít fungovat. Zjednodušeně je to prostředník mezi uloženým souborem a jeho skutečným spuštěním, který zajistí, že se program správně otevře a rozběhne, vysvětluje Wikipedia.

Šíří se převážně prostřednictvím e-mailových kampaní. Útočníci rozesílají přílohy s názvy, které mají vyvolat zvědavost nebo pocit jistého tlaku, například podvodné smlouvy nebo pracovní dokumenty ve formátu .js nebo .html. Po otevření přílohy se tak do systému stáhne další škodlivý obsah.

Podle analýzy společnosti ESET se právě CloudEyE v lednu podílel na zhruba 66,6 % všech detekovaných incidentů v ČR, což je tedy mimořádně vysoký podíl.

Předchůdce Formbook nezmizel, jen se skrývá

Na první pohled by se mohlo zdát, že dřív dominantní infostealer pojmenovaný Formbook ustoupil kamsi do pozadí. Ve skutečnosti se ale podle bezpečnostních expertů jenom „schoval“ za nynějšího giganta CloudEyE. Infostealer je dle popisu Wikipedie typ malwaru zaměřený na krádež přihlašovacích údajů, hesel a citlivých dat.

Útočníci tak využívají CloudEyE jako jakýsi první předvoj, přes který pak následně nasadí právě Formbook nebo jiné nástroje, jako je třeba Agent Tesla či Rescoms. Tento model fungování je mnohem nebezpečnější než přímý útok. Oběť často netuší, že první infekce byla jenom začátkem.

Hlavním cílem útočníků zůstávají vaše hesla

Další hrozbou, která se v lednu objevila, byl jednoduchý malware Agent.RIB. Ten fungoval zase jinak. Po otevření HTML přílohy zobrazil falešný formulář a zadané údaje odeslal útočníkovi, například přes Telegram. Takto získaná hesla jde krásně využít při hromadném zkoušení uniklých kombinací e-mailu a hesla na různých službách.

Z našeho pohledu je hrozné, že i takové jednoduché techniky pořád fungují. Útočníci navíc čím dál častěji využívají nástroje umělé inteligence k tvorbě přesvědčivých e-mailů v češtině. K ochraně je třeba především opatrnost. Pamatujte:

• Neotevírejte podezřelé e-mailové přílohy (.js, .html)
• Používejte unikátní a dostatečně dlouhá hesla
• Aktivujte vícefázové ověření (2FA)
• Neukládejte hesla do nechráněných souborů
• Používejte moderní bezpečnostní software, který dokáže škodlivý e-mail automaticky izolovat