Malware Ranking
Check Point veröffentlicht Top Malware Ranking
Qbot kam zurück, Nanocore in Deutschland wieder an der Spitze
Check Point hat seinen globalen Bedrohungsindex für Dezember 2023 veröffentlicht. Die Forscher stellten fest, dass Qbot vier Monate nach der Zerschlagung seiner Infrastruktur durch die US-amerikanischen und internationalen Strafverfolgungsbehörden im Rahmen der Operation Duck Hunt im August 2023, auferstanden ist. In der Zwischenzeit ist der Bildungs- und Forschungssektor die in Deutschland am stärksten betroffene Branche geworden.
Im Dezember 2023 wurde die Qbot-Malware von Hackern als Teil eines Phishing-Angriffs eingesetzt, der auf Unternehmen im Hotel- und Gastronomie-Gewerbe zielte. Bei der Kampagne gaben sich die Hacker als die US-amerikanische Internal Revenue Service (IRS) aus und versendeten betrügerische E-Mails mit PDF-Anhängen, die eingebettete URLs enthielten und mit einem Microsoft-Installationsprogramm verknüpft waren. Einmal aktiviert, löste dies eine unsichtbare Version von Qbot aus, die eine eingebettete Dynamic Link Library (DLL) nutzte. Bevor Qbot im August 2023 aus dem Verkehr gezogen wurde, dominierte es den Bedrohungsindex und rangierte 10 Monate in Folge unter den drei am weitesten verbreiteten Malwares. Obwohl Qbot nicht wieder auf die Liste zurückgekehrt ist, wird sich nach dieser heimlichen Auferstehung während der nächsten Monaten zeigen, ob der Schädling wieder denselben Bekanntheitsgrad erlangen kann, den er zuvor inne hatte.
„Die Tatsache, dass Qbot weniger als vier Monate nach der Zerschlagung seiner Verbreitungsinfrastruktur wieder aufgetaucht ist, erinnert uns daran, dass wir zwar Malware-Kampagnen unterbrechen können, die dahinterstehenden Akteure sich jedoch mit neuen Techniken der Lage anpassen werden“, so Maya Horowitz, VP Research bei Check Point Software, „deshalb sollten Unternehmen einen präventiven Ansatz bei der Endgerätesicherheit verfolgen und den Ursprung sowie die Absicht einer E-Mail mit der gebotenen Sorgfalt prüfen.“
In Deutschland stand außerdem der Fernzugriffs-Trojaner Nanocore im letzten Monat des vergangenen Jahres wieder an der Spitze der meistverbreiteten Malware, gefolgt von Formbook, das vom Gipfel verdrängt wurde. Auf Platz drei steigt der Remote Access Trojaner Remcos wieder ein.
Top-Malware in Deutschland
Die Pfeile beziehen sich auf die Veränderung der Rangfolge im Vergleich zum Vormonat.
↑Nanocore – Nanocore ist ein Fernzugriffs-Trojaner (RAT), der auf Benutzer von Windows-Betriebssystemen zielt und erstmals 2013 beobachtet wurde. Alle Versionen des RAT enthalten grundlegende Plugins und Funktionen, wie Bildschirmaufnahmen, Krypto-Währungs-Mining, Fernsteuerung des Desktops und Diebstahl von Webcam-Sitzungen.
↓ Formbook – Formbook ist ein Infostealer, der auf das Windows-Betriebssystem abzielt und erstmals im Jahr 2016 entdeckt wurde. Er wird in Underground-Hacking-Foren als Malware-as-a-Service (MaaS) vermarktet, da er starke Umgehungstechniken und einen relativ niedrigen Preis hat. Formbook sammelt Anmeldeinformationen von verschiedenen Webbrowsern, sammelt Screenshots, überwacht und protokolliert Tastatureingaben und kann Dateien auf Anweisung von seinem C&C herunterladen und ausführen.
↑Remcos ist ein RAT, der erstmals 2016 in der freien Wildbahn auftauchte. Remcos verbreitet sich über bösartige Microsoft Office-Dokumente, die an SPAM-E-Mails angehängt sind, und ist so konzipiert, dass er die UAC-Sicherheit von Microsoft Windows umgeht und Malware mit hohen Berechtigungen ausführt.
Top 3 Schwachstellen
Im vergangenen Monat waren Apache Log4j Remote Code Execution (CVE-2021-44228) undWeb Servers Malicious URL Directory Traversal die am häufigsten ausgenutzten Schwachstellen, von denen 46 Prozent der Unternehmen weltweit betroffen waren, gefolgt von Zyxel ZyWALL Command Injection (CVE-2023-28771) mit einem weltweiten Anteil von 43 Prozent.
↑ Apache Log4j Remote Code Execution (CVE-2021-44228) – In Apache Log4j besteht eine Schwachstelle für Remote Code Execution. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte einem entfernten Angreifer die Ausführung von beliebigem Code auf dem betroffenen System ermöglichen.
↔ Webserver Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474, CVE-2014-0130, CVE-2014-0780, CVE-2015-0666, CVE-2015-4068, CVE-2015-7254, CVE-2016-4523, CVE-2016-8530, CVE-2017-11512, CVE-2018-3948, CVE-2018-3949, CVE-2019-18952, CVE-2020-5410, CVE-2020-8260) – Es besteht eine Directory Traversal-Schwachstelle auf verschiedenen Webservern. Die Sicherheitsanfälligkeit ist auf einen Eingabevalidierungsfehler in einem Webserver zurückzuführen, der die URI für die Verzeichnisdurchquerungsmuster nicht ordnungsgemäß bereinigt. Eine erfolgreiche Ausnutzung erlaubt es nicht-authentifizierten Angreifern, beliebige Dateien auf dem verwundbaren Server offenzulegen oder darauf zuzugreifen.
↔ Zyxel ZyWALL Command Injection (CVE-2023-28771) – Eine Command Injection-Schwachstelle existiert in Zyxel ZyWALL. Eine erfolgreiche Ausnutzung dieser Schwachstelle würde entfernten Angreifern erlauben, beliebige Betriebssystembefehle auf dem betroffenen System auszuführen.
Top 3 Mobile Malware
Im vergangenen Monat stand Anubis weiterhin an erster Stelle der am häufigsten verbreiteten Handy-Malware, gefolgt von AhMyth und der wieder eingestiegenen Android-MalwareHiddad.
↔ Anubis – Anubis ist eine Banking-Trojaner-Malware, die für Android-Mobiltelefone entwickelt wurde. Seit seiner ersten Entdeckung hat er zusätzliche Funktionen erhalten, darunter Remote-Access-Trojaner (RAT), Keylogger, Audio-Aufnahmefunktionen und verschiedene Ransomware-Funktionen. Er wurde in Hunderten von verschiedenen Anwendungen im Google Store entdeckt.
↔ AhMyth – AhMyth ist ein Remote-Access-Trojaner (RAT), der 2017 entdeckt wurde. Er wird über Android-Apps verbreitet, die in App-Stores und auf verschiedenen Websites zu finden sind. Wenn ein Nutzer eine dieser infizierten Apps installiert, kann die Malware sensible Informationen vom Gerät sammeln und Aktionen wie Keylogging, das Erstellen von Screenshots, das Versenden von SMS-Nachrichten und das Aktivieren der Kamera durchführen, was in der Regel zum Stehlen sensibler Informationen genutzt wird.
↑ Hiddad – Hiddad ist eine Android-Malware, die legitime Apps neu verpackt und sie dann in einem Drittanbieter-Store veröffentlicht. Ihre Hauptfunktion ist die Anzeige von Werbung, aber sie kann auch Zugriff auf wichtige Sicherheitsdetails des Betriebssystems erlangen.
Top 3 der angegriffenen Branchen und Bereiche in Deutschland
- ↑ Bildung/Forschung
- ↔ Gesundheitswesen
- ↓ ISP/MSP
Der Global Threat Impact Index und die ThreatCloudMap von Check Point basieren auf der ThreatCloud-Intelligence von Check Point. ThreatCloud bietet Echtzeit-Bedrohungsdaten, die von Hunderten von Millionen Sensoren weltweit über Netzwerke, Endpunkte und Mobiltelefone abgeleitet werden. Angereichert wird diese Intelligenz mit KI-basierten Engines und exklusiven Forschungsdaten von Check Point Research, der Forschungs- und Entwicklungsabteilung von Check Point Software Technologies.
