Rapport Threat Labs : Services financiers 2023

La popularité de la diffusion de logiciels malveillants dans le cloud dans les télécommunications est restée constamment élevée au cours des 12 derniers mois, passant la majeure partie de cette période entre 60 % et 70 %. En moyenne, 62 % des téléchargements de logiciels malveillants dans les télécommunications provenaient d’applications cloud, contre 53 % dans d’autres secteurs. L’utilisation abusive d’applications cloud pour la diffusion de logiciels malveillants permet aux attaquants d’échapper aux contrôles de sécurité qui reposent principalement sur les listes de blocage de domaine et le filtrage d’URL, ou qui n’inspectent pas le trafic cloud.

Par rapport à d’autres secteurs, les services financiers ont le deuxième pourcentage le plus élevé de téléchargements de logiciels malveillants dans le cloud, derrière le secteur des télécommunications.

La popularité de Microsoft OneDrive dans les services financiers propulse l’application en tête d’une autre liste, cette fois pour le nombre de téléchargements de logiciels malveillants dans le cloud provenant de cette application. Ces téléchargements de logiciels malveillants prennent généralement la forme d’un attaquant utilisant OneDrive pour héberger des logiciels malveillants et les partager avec leurs victimes. Parfois, un utilisateur peut télécharger par inadvertance un fichier infecté vers un emplacement partagé, ce qui entraîne la propagation de logiciels malveillants au sein d’une organisation. Comme souligné précédemment dans ce rapport, Microsoft OneDrive est également l’application la plus populaire parmi les utilisateurs de services financiers, ce qui en fait à la fois une application utile pour les attaquants cherchant à cibler une grande variété d’organisations utilisant la même application, et rend également plus probable que les charges utiles malveillantes atteignent leurs cibles. Parmi les autres applications les plus populaires pour les téléchargements de logiciels malveillants, citons les sites d’hébergement de logiciels gratuits (GitHub), les applications de collaboration (SharePoint), les applications de stockage en nuage (Amazon S3, Google Drive, Azure Blob Storage), les services d’hébergement Web gratuits (Weebly, Squarespace) et les applications de messagerie Web (Outlook.com, Google Gmail).

Les types de logiciels malveillants les plus courants que les utilisateurs de Netskope ont tenté de télécharger à partir du Web ou du cloud étaient les chevaux de Troie, qui sont couramment utilisés par les attaquants pour prendre pied et diffuser d’autres types de logiciels malveillants, tels que les voleurs d’informations, les chevaux de Troie d’accès à distance, les portes dérobées et les ransomwares. La détection et le blocage des chevaux de Troie peuvent empêcher les infections par des logiciels malveillants qui entraîneraient l’installation d’autres charges utiles malveillantes. Tous les autres types de logiciels malveillants représentent un pourcentage relativement faible du total, soit le même pourcentage que dans d’autres secteurs.

Cette liste contient les 10 principales familles de logiciels malveillants et de ransomwares détectés par Netskope ciblant les utilisateurs du secteur des services financiers au cours des 12 derniers mois :

Backdoor.Zusy (alias TinyBanker) est un cheval de Troie bancaire basé sur le code source de Zeus, qui vise à voler des informations personnelles par injection de code sur des sites Web.

Botnet.Emotet est l’un des botnets les plus pertinents dans le paysage des cybermenaces, souvent utilisé pour diffuser d’autres logiciels malveillants tels que TrickBot.

Downloader.SLoad (alias Starslord) est un téléchargement qui est souvent utilisé pour livrer Ramnit.

Infostealer.AgentTesla est un . Cheval de Troie d’accès à distance basé sur NET avec de nombreuses fonctionnalités, telles que le vol des mots de passe des navigateurs, la capture des frappes au clavier, le presse-papiers, etc.

Infostealer.RedLine est un logiciel malveillant conçu pour voler des données telles que des numéros de carte de crédit, des mots de passe, des identifiants VPN et FTP, des comptes de jeu et même des données de portefeuilles cryptographiques.

Phishing.PhishingX est un fichier PDF malveillant utilisé dans le cadre d'une campagne de phishing visant à rediriger les victimes vers une page de phishing.

Ransomware.Hive est un groupe RaaS (ransomware-as-a-service) actif depuis 2021, connu pour cibler les infrastructures critiques telles que les fournisseurs de soins de santé et d’énergie .

Trojan.FormBook (alias XLoader) est un logiciel malveillant qui offre un contrôle total sur les machines infectées, offrant de nombreuses fonctionnalités telles que le vol de mots de passe et l’exécution de logiciels malveillants supplémentaires.

Trojan.Razy est un cheval de Troie généralement distribué via des publicités malveillantes déguisées en logiciels légitimes, souvent utilisés pour voler des données de crypto-monnaie .

Trojan.Valyria (alias POWERSTATS) est une famille de documents Microsoft Office malveillants qui contiennent des VBScripts malveillants intégrés, généralement pour fournir d’autres charges utiles malveillantes.