Rapporto Threat Labs: Servizi finanziari 2023

La popolarità della distribuzione di malware tramite cloud nel settore delle telecomunicazioni è rimasta costantemente elevata negli ultimi 12 mesi, con una percentuale che per la maggior parte del periodo si è attestata tra il 60% e il 70%. In media, il 62% dei download di malware nel settore delle telecomunicazioni proviene da app cloud, rispetto al 53% negli altri settori. L'abuso delle app cloud per la distribuzione di malware consente agli aggressori di eludere i controlli di sicurezza che si basano principalmente su elenchi di blocchi di domini e filtri URL, oppure che non ispezionano il traffico cloud.

Rispetto ad altri settori, il settore dei servizi finanziari registra la seconda percentuale più alta di download di malware nel cloud, preceduto solo dal settore delle telecomunicazioni.

La popolarità di Microsoft OneDrive nei servizi finanziari ha portato l'app in cima a un'altra lista, questa volta per il numero di malware cloud scaricati da quell'app. Tali download di malware assumono tipicamente la forma di un attaccante che utilizza OneDrive per ospitare malware e condivide il malware con le proprie vittime. Occasionalmente, un utente può caricare involontariamente un file infetto in una posizione condivisa, causando la diffusione di malware all'interno di un'organizzazione. Come evidenziato in precedenza in questo rapporto, Microsoft OneDrive è anche l'app più popolare tra gli utenti dei servizi finanziari, il che la rende sia un'app utile per gli attaccanti che cercano di colpire una vasta gamma di organizzazioni che utilizzano la stessa app, sia rende più probabile che i payload dannosi raggiungano i loro obiettivi. Altre app di punta per il download di malware includono siti di hosting software gratuito (GitHub), app di collaborazione (SharePoint), app di archiviazione cloud (Amazon S3, Google Drive, Azure Blob Storage), servizi di hosting web gratuiti (Weebly, Squarespace) e app di webmail (Outlook.com, Google Gmail).

I tipi di malware più comuni che gli utenti di Netskope hanno tentato di scaricare dal web o dal cloud erano i Trojan, comunemente usati dagli attaccanti per ottenere un primo punto di appoggio e distribuire altri tipi di malware, come infostealers, Trojan di accesso remoto, backdoor e ransomware. Rilevare e bloccare i Trojan può prevenire infezioni da malware che potrebbero causare l'installazione di altri payload dannosi. Tutti gli altri tipi di malware rappresentano una percentuale relativamente piccola del totale, che è la stessa di altri settori.

Questa lista contiene le prime 10 famiglie di malware e ransomware rilevate da Netskope che hanno preso di mira gli utenti del settore dei servizi finanziari negli ultimi 12 mesi:

Backdoor.Zusy (alias TinyBanker) è un Trojan bancario basato sul codice sorgente di Zeus, con l'obiettivo di rubare informazioni personali tramite iniezione di codice nei siti web.

Botnet.Emotet è una delle botnet più rilevanti nel panorama delle minacce informatiche, spesso utilizzata per trasmettere altri malware come TrickBot.

Downloader.SLoad (noto anche come Starslord) è un download spesso utilizzato per distribuire Ramnit.

Infostealer.AgentTesla è un . Trojan di accesso remoto basato su NET con molte funzionalità, come il furto delle password dei browser, la cattura di tasti, la cartellina, ecc.

Infostealer.RedLine è un malware progettato per rubare dati quali numeri di carte di credito, password, credenziali VPN e FTP, account di gioco e persino dati da portafogli crittografici.

Phishing.PhishingX è un file PDF dannoso utilizzato come parte di una campagna di phishing per reindirizzare le vittime a una pagina di phishing.

Ransomware.Hive è un gruppo RaaS (ransomware-as-a-service) attivo dal 2021, noto per aver preso di mira infrastrutture critiche come i fornitori di servizi sanitari ed energetici .

Trojan.FormBook (noto anche come XLoader) è un malware che fornisce il controllo completo sui computer infetti, offrendo numerose funzionalità come il furto di password e l'esecuzione di malware aggiuntivi.

Trojan.Razy è un Trojan tipicamente distribuito tramite annunci dannosi mascherati da software legittimo, spesso usato per rubare dati di criptovalute .

Trojan.Valyria (noto anche come POWERSTATS) è una famiglia di documenti Microsoft Office dannosi che contengono VBScript dannosi incorporati, solitamente utilizzati per distribuire altri payload dannosi.