Check Point Research: le botnet tornano a spaventare

Nel Threat Report di febbraio i ricercatori di Check Point Research hanno stilato la lista dei malware e degli exploit più diffusi nel secondo mese del 2020. Il malware più diffuso è stato XMRig, un software di mining per la criptovaluta Monero mentre al secondo posto si posiziona Emotet, un malware particolarmente evoluto. 

Come si diffonde Emotet 

Emotet è al momento la botnet più diffusa, anche se fortunatamente sembra che il suo impatto stia scemando  Il suo picco è stato durante il mese di gennaio, quando era stata diffusa con una campagna a tema Coronavirus, andando a impattare il 13% delle organizzazioni a livello globale. A gennaio questo valore è sceso al 7% e sono cambiate le modalità di diffusione.

Il vettore di attacco di Emotet più usato a febbraio è stato l'SMS Phishing: un messaggio SMS spacciato come la comunicazione di alcune fra le banche più importanti spingeva le vittime a cliccare su un link malevolo. Il secondo vettore di diffusione di Emotet invece sfrutta le reti wi-fi: il malware effettua un attacco di tipo brute force su tutte le reti wireless nelle vicinanze, sfruttando le password più comuni, per poi diffondere ransomware o altri tipi di payload.  

"Come abbiamo già visto a gennaio, anche nel mese di febbraio le minacce e gli exploit più impattanti sono stati i malware versatili come XMRig ed Emotet" - ha dichiarato Maya Horowitz, Director, Threat Intelligence & Research, Products di Check Point - "I criminali sembrano puntare a costruire reti di dispositivi infetti più ampie possibile, per sfruttarle e riuscire a monetizzare in modi diversi, dalla consegna di ransomware al lancio di attacchi DDoS. Poiché i principali vettori di infezione sono le e-mail e i messaggi SMS, le organizzazioni devono garantire che i loro dipendenti siano istruiti su come identificare i diversi tipi di spam dannoso e implementare una sicurezza che impedisca attivamente a queste minacce di infettare le loro reti".

Il ritorno di Mirai?

PHP php-cgi Query String Parameter Code Execution probabilmente dirà qualcosa solo agli esperti di sicurezza. Si tratta di un exploit che a febbraio si è "classificato" al 6° posto fra quelli più usati. Questo exploit a gennaio aveva colpito solo il 2% delle organizzazioni, percentuale che è schizzata al 20% nel mese di febbraio. 

Un aggressore può sfruttarla per creare delle richieste http che - se hanno successo - gli permetterebbero di eseguire codici arbitrari sull'obiettivo e, nello specifico, di diffondere Mirai, botnet che prende di mira i dispositivi IoT come router e telecamere di sorveglianza per sferrare attacchi di tipo DDoS.