Развитие информационных угроз во втором квартале 2020 года. Статистика по ПК

Развитие информационных угроз во втором квартале 2020 года. Обзор
Развитие информационных угроз во втором квартале 2020 года. Мобильная статистика

Представленная статистика основана на детектирующих вердиктах продуктов «Лаборатории Касперского», которые были предоставлены пользователями, подтвердившими свое согласие на передачу статистических данных.

Цифры квартала

По данным Kaspersky Security Network, во втором квартале:

• Решения «Лаборатории Касперского» отразили 899 744 810 атак, которые проводились с интернет-ресурсов, размещенных в 191 странах мира.
• Зафиксировано 286 229 445 уникальных URL, на которых происходило срабатывание веб-антивируса.
• Попытки запуска вредоносного ПО для кражи денежных средств через онлайн-доступ к банковским счетам отражены на компьютерах 181 725 уникальных пользователей.
• Атаки шифровальщиков отражены на компьютерах 154 720 уникальных пользователей.
• Нашим файловым антивирусом зафиксировано 80 993 511 уникальных вредоносных и потенциально нежелательных объектов.

Финансовые угрозы

Статистика финансовых угроз

Во втором квартале 2020 года решения «Лаборатории Касперского» отразили попытки запуска одного или нескольких зловредов, предназначенных для кражи денежных средств с банковских счетов, на компьютерах 181 725 пользователей.

Количество уникальных пользователей, атакованных финансовыми зловредами, Q2 2020 (скачать)

География атак

Чтобы оценить и сравнить степень риска заражения банковскими троянцами и ATM/PoS-зловредами, которому подвергаются компьютеры пользователей в разных странах мира, мы подсчитали в каждой стране долю пользователей продуктов «Лаборатории Касперского», столкнувшихся с этой угрозой в отчетный период, от всех пользователей наших продуктов в стране.

TOP 10 стран по доле атакованных пользователей

	Страна*	%**
1	Туркменистан	7,5
2	Узбекистан	5,7
3	Таджикистан	5,6
4	Афганистан	2,6
5	Македония	2,6
6	Йемен	2,2
7	Сирия	1,9
8	Казахстан	1,7
9	Кипр	1,7
10	Иран	1,5

* При расчетах мы исключили страны, в которых число пользователей «Лаборатории Касперского» относительно мало (меньше 10 тысяч).
** Доля уникальных пользователей «Лаборатории Касперского», подвергшихся атакам финансовых зловредов, от всех уникальных пользователей продуктов «Лаборатории Касперского» в стране.

Среди семейств банкеров заметно уменьшилась доля Backdoor.Win32.Emotet — c 21,3% до 6,6%. Активность этого ботнета сократилась еще в конце первого квартала 2020 года, однако результаты стали хорошо видны только во втором квартале. Тем не менее в процессе подготовки этого отчета мы заметили, что Emotet постепенно восстанавливает свою активность.

TOP 10 семейств банковского вредоносного ПО

	Название	Вердикты	%*
1	Zbot	Trojan.Win32.Zbot	24,8
2	RTM	Trojan-Banker.Win32.RTM	18,6
3	CliptoShuffler	Trojan-Banker.Win32.CliptoShuffler	15,4
4	Emotet	Backdoor.Win32.Emotet	6,6
5	Trickster	Trojan.Win32.Trickster	4,7
6	Nimnul	Virus.Win32.Nimnul	4,3
7	Danabot	Trojan-Banker.Win32.Danabot	3,4
8	SpyEye	Trojan-Spy.Win32.SpyEye	3,0
9	Nymaim	Trojan.Win32.Nymaim	2,5
10	Neurevt	Trojan.Win32.Neurevt	1,4

* Доля уникальных пользователей, атакованных данным семейством зловредов, от всех пользователей, атакованных финансовым вредоносным ПО.

Вредоносные программы-шифровальщики

Главные тенденции квартала

Злоумышленники, стоящие за шифровальщиком Shade, заявили о прекращении распространения своего троянца. Кроме того, они выложили в открытый доступ ключи для расшифровки файлов, пострадавших от всех версий троянца. Таких ключей за годы функционирования Shade набралось более 750 000, и мы обновили утилиту ShadeDecryptor, чтобы помочь жертвам Shade вернуть доступ к своим данным.

Чаще, чем ранее, стали встречаться шифровальщики, написанные на языке Go. В качестве примеров недавно обнаруженных троянцев можно привести Sorena, Smaug, Hydra, Satan/M0rphine и др. Что это — интерес злоумышленников к новым технологиям, удобство разработки или попытка усложнить работу исследователям? Доподлинно не известно.

Количество новых модификаций

Во втором квартале 2020 года мы обнаружили четыре новых семейства шифровальщиков и 4406 новых модификаций этих зловредов.

Количество новых модификаций шифровальщиков, Q2 2019 — Q2 2020 (скачать)

Количество пользователей, атакованных троянцами-шифровальщиками

Во втором квартале 2020 года продукты и технологии «Лаборатории Касперского» защитили от атак шифровальщиков 154 720 пользователей.

Количество уникальных пользователей, атакованных троянцами-шифровальщиками, Q2 2020 (скачать)

География атак

TОР 10 стран, подвергшихся атакам троянцев-шифровальщиков

	Страна*	%**
1	Бангладеш	1,69%
2	Мозамбик	1,16%
3	Узбекистан	1,14%
4	Египет	0,97%
5	Эфиопия	0,94%
6	Китай	0,74%
7	Афганистан	0,67%
8	Пакистан	0,57%
9	Вьетнам	0,55%
10	Монголия	0,49%

* При расчетах мы исключили страны, в которых число пользователей «Лаборатории Касперского» относительно мало (менее 50 000).
** Доля уникальных пользователей, компьютеры которых были атакованы троянцами-шифровальщиками, от всех уникальных пользователей продуктов «Лаборатории Касперского» в стране.

TОР 10 наиболее распространенных семейств троянцев-шифровальщиков

	Название	Вердикты	%*
1	WannaCry	Trojan-Ransom.Win32.Wanna	14,74%
2	(generic verdict)	Trojan-Ransom.Win32.Gen	9,42%
3	(generic verdict)	Trojan-Ransom.Win32.Generic	7,47%
4	(generic verdict)	Trojan-Ransom.Win32.Encoder	7,11%
5	Stop	Trojan-Ransom.Win32.Stop	7,06%
6	GandCrab	Trojan-Ransom.Win32.GandCrypt	4,68%
7	(generic verdict)	Trojan-Ransom.Win32.Crypren	4,28%
8	(generic verdict)	Trojan-Ransom.Win32.Phny	3,29%
9	Cerber	Trojan-Ransom.Win32.Zerber	2,19%
10	Crysis/Dharma	Trojan-Ransom.Win32.Crusis	2,16%

* Доля уникальных пользователей «Лаборатории Касперского», подвергшихся атакам конкретного семейства троянцев-вымогателей, от всех пользователей, подвергшихся атакам троянцев-вымогателей.

Майнеры

Количество новых модификаций

Во втором квартале 2020 года решения «Лаборатории Касперского» обнаружили 3672 новые модификации майнеров, что в несколько десятков раз меньше показателя предыдущего квартала.

Количество новых модификаций майнеров, Q2 2020 (скачать)

Причина кроется в тысячах модификаций одного и того же семейства майнеров, которые были задетектированы в первом квартале. В рассматриваемом квартале активность зловреда сошла на нет, что и отразилось на статистике.

Количество пользователей, атакованных майнерами

Во втором квартале мы обнаружили атаки с использованием программ-майнеров на компьютерах 440 095 уникальных пользователей продуктов «Лаборатории Касперского» по всему миру. Явно прослеживается тренд на снижение активности такого типа угроз.

Количество уникальных пользователей, атакованных майнерами, Q2 2020 (скачать)

География атак

TОР 10 стран, подвергшихся атакам майнеров

	Страна*	%**
1	Афганистан	4,08%
2	Эфиопия	4,04%
3	Узбекистан	2,68%
4	Танзания	2,57%
5	Вьетнам	2,17%
6	Руанда	2,11%
7	Казахстан	2,08%
8	Шри-Ланка	1,97%
9	Мозамбик	1,78%
10	Беларусь	1,41%

* При расчетах мы исключили страны, в которых число пользователей продуктов «Лаборатории Касперского» относительно мало (менее 50 000).
** Доля уникальных пользователей, компьютеры которых были атакованы майнерами, от всех уникальных пользователей продуктов «Лаборатории Касперского» в стране.

Уязвимые приложения, используемые злоумышленниками в ходе кибератак

Статистика распределения эксплойтов для второго квартала 2020 года, как и раньше, показывает, что уязвимости в пакете приложений Microsoft Office являются самыми распространенными. Однако в прошедшем квартале их доля уменьшилась до 72%. Верхние строчки по частоте обнаружения по-прежнему занимают те же уязвимости, что мы наблюдали ранее: на первом месте располагается CVE-2017-8570, позволяющая встроить вредоносный скрипт в OLE-объект, помещенный внутрь офисного документа. Вторая позиция у фаворита предыдущего квартала CVE-2017-11882: эта уязвимость использует ошибку переполнения стека в компоненте Equation Editor офисного пакета. На третьем месте — схожая с CVE-2017-8570 уязвимость CVE-2017-0199. Оставшиеся места в ТОР 5 уязвимостей заняли CVE-2018-0802 и CVE-2017-8759.

На вторую категорию — эксплойты для популярных браузеров — во втором квартале пришлось около 12%, доля немного выросла по сравнению с прошлым периодом. За отчетный период злоумышленники атаковали Firefox, используя уязвимость CVE-2020-6819, которая позволяет запустить вредоносный код при некорректном разборе заголовков протокола HTTP. Кроме того, были замечены эксплойты, использующие уязвимость в интерфейсе ReadableStream, например CVE-2020-6820. Для остальных популярных браузеров — Google Chrome, Microsoft Edge и Internet Explorer — в отчетный период не было замечено ни одной крупной уязвимости, используемой для распространения вредоносного ПО. Однако производителей ПО уведомляли об исправлении ряда уязвимостей, которые теоретически могли быть использованы для создания эксплойтов, но были своевременно обнаружены исследователями.

Распределение эксплойтов, использованных злоумышленниками, по типам атакуемых приложений, Q2 2020 (скачать)

Первый квартал задал тренд на исследование подсистем обработки шрифтов и других графических примитивов в ОС Windows. Во втором квартале в этой операционной системе были обнаружены уязвимости в Windows Codecs Library, которые получили номера CVE-2020-1425 и CVE-2020-1457. Обе были исправлены, их эксплуатации в дикой природе зафиксировано не было. Другой интересной уязвимостью, которая была исправлена в минувшем квартале, является CVE-2020-1300. Она позволяет произвести удаленное исполнение кода вследствие некорректной обработки Cabinet-файлов — например, если пользователь пытается запустить выдающий себя за драйвер принтера CAB-файл с вредоносным ПО. Стоит упомянуть уязвимость CVE-2020-1299 — с ее помощью атакующий, сформировав специального вида LNK-файл, может запустить произвольный код с правами пользователя.

Во втором квартале сохраняется тенденция на перебор паролей для сетевых служб Remote Desktop Services, Microsoft SQL Server и через протокол SMB. Полноценных сетевых атак, которые использовали бы новые уязвимости в протоколах сетевого обмена, обнаружено не было. Однако несколько уязвимостей в популярных сетевых сервисах все же были найдены и исправлены производителями ПО. К наиболее интересным можно отнести CVE-2020-1301 для SMBv1, которая дает возможность атакующему произвести удаленное исполнение кода на целевой системе. Неожиданное продолжение получила популярная среди исследователей уязвимость SMBv3 — CVE-2020-0796 (SmbGhost). Для нее был выпущен эксплойт, позволяющий скомпрометировать систему без взаимодействия с пользователем. В этом же протоколе SMBv3 была найдена ошибка с номером CVE-2020-1206: уязвимость, именуемая SMBleed, позволяет атакующему получить часть памяти ядра операционной системы Windows. Исследователи даже опубликовали несколько вариантов эксплойтов, в которых для запуска кода с правами системы использовалась связка из SMBleed и SMBGhost. В этом режиме атакующий может устанавливать жертве любое программное обеспечение и получать доступ к любой информации, находящейся на ее компьютере.

Атаки на Apple macOS

Во втором квартале 2020 года мы обнаружили новые версии уже известных угроз и один новый бэкдор, получивший вердикт Backdoor.OSX.Lador.a. Примечателен этот зловред тем, что написан на языке Go, который набирает популярность как средство создания угроз для платформы macOS. Если сравнить размер файла Lador с любым бэкдором, созданным на языке Objective C, то разница будет весьма существенной: размер Lador составляет 5,5 мегабайт, то есть в разы больше. И все это ради удаленного доступа к зараженной машине и выполнения произвольного кода, скачанного с центра управления.

TOP 20 угроз для macOS

	Вердикт	%*
1	Monitor.OSX.HistGrabber.b	17,39
2	Trojan-Downloader.OSX.Shlayer.a	12,07
3	AdWare.OSX.Pirrit.j	9,10
4	AdWare.OSX.Bnodlero.at	8,21
5	AdWare.OSX.Cimpli.k	7,32
6	AdWare.OSX.Pirrit.o	5,57
7	Trojan-Downloader.OSX.Agent.h	4,19
8	AdWare.OSX.Ketin.h	4,03
9	AdWare.OSX.Pirrit.x	4,00
10	AdWare.OSX.Spc.a	3,98
11	AdWare.OSX.Amc.c	3,97
12	Backdoor.OSX.Lador.a	3,91
13	AdWare.OSX.Pirrit.v	3,22
14	RiskTool.OSX.Spigot.a	2,89
15	AdWare.OSX.Bnodlero.t	2,87
16	AdWare.OSX.Cimpli.f	2,85
17	AdWare.OSX.Adload.g	2,60
18	AdWare.OSX.Pirrit.aa	2,54
19	AdWare.OSX.MacSearch.d	2,44
20	AdWare.OSX.Adload.h	2,35

* Доля уникальных пользователей, атакованных данным зловредом, от всех атакованных пользователей защитных решений «Лаборатории Касперского» для macOS.

Рейтинг самых распространенных угроз для платформы macOS не сильно изменился по сравнению с предыдущим кварталом и по-прежнему по большей части состоит из рекламных приложений. Так, самым популярным троянцем, как и в прошлом квартале, стал Shlayer (12,07%). Этот зловред загружает в зараженную систему рекламные приложения семейств Pirrit, Bnodlero и Cimpli, которые оккупировали наш ТОР 20.

Наряду с рекламными приложениями в ТОР 20 попал новый бэкдор Lador.a, о котором мы писали чуть выше.

Наконец, во втором квартале 2020 года в наш рейтинг попала группа потенциально нежелательного ПО под общим вердиктом HistGrabber.b. Ее основное предназначение — распаковка архивов, однако HistGrabber.b фоном выгружал историю браузера пользователя на серверы разработчика. История эта не новая, все приложения с функцией отправки истории браузеров уже давно отозваны из официального магазина приложений AppStore, а вместе с этим отключены сервера, куда приложения могли выгрузить данные истории. Тем не менее мы считаем необходимым сообщать пользователям об обнаружении такого ПО на их устройствах.

География угроз

ТОР 10 стран

	Страна*	%**
1	Испания	9,82%
2	Франция	7,73%
3	Мексика	6,70%
4	Италия	6,54%
5	Индия	6,47%
6	Канада	6,34%
7	Бразилия	6,25%
8	США	5,99%
9	Соединённое королевство	5,90%
10	Россия	5,77%

* Из рейтинга мы исключили страны, где количество пользователей защитных решений «Лаборатории Касперского» для macOS относительно мало (менее 5000)
** Доля уникальных атакованных пользователей в стране по отношению ко всем пользователям защитных решений для macOS «Лаборатории Касперского» в стране.

Наиболее распространенными угрозами во всех без исключения странах из ТОР 10 были связки различных рекламных приложений и троянца Shlayer.

Атаки на IoT

Статистика IoT-угроз

С точки зрения активности киберпреступников, направленной на IоT-устройства, ситуация во втором квартале кардинально не изменилась: злоумышленники чаще проводили кампании по брутфорсу логинов и паролей через Telnet.

Telnet	80,83%
SSH	19,17%

Таблица распределения популярности атакуемых сервисов по числу уникальных IP-адресов устройств, проводивших атаки, Q2 2020

Дальнейшая коммуникация с якобы зараженным IоT-устройством (а на самом деле ловушкой) намного чаще проводилась по протоколу Telnet.

Telnet	71,52%
SSH	28,48%

Таблица распределения рабочих сессий киберпреступников с ловушками «Лаборатории Касперского», Q2 2020

TOP 10 стран, где располагались устройства, с которых осуществлялись атаки на Telnet-ловушки «Лаборатории Касперского».

Страна	%*
Китай	12,75%
Бразилия	11,88%
Египет	8,32%
Тайвань	6,58%
Иран	5,17%
Индия	4,84%
Россия	4,76%
Вьетнам	3,59%
Греция	3,22%
США	2,94%

* Доля устройств, с которых осуществлялись атаки, в определенной стране от общего количества устройств.

Первая тройка стран, в которых находились устройства, атаковавшие Telnet-ловушки «Лаборатории Касперского», во втором квартале практически не изменилась. На первом месте Китай (12,75%), а Бразилия (11,88) и Египет (8,32%) поменялись местами.

TOP 10 стран, где располагались устройства, с которых осуществлялись атаки на SSH-ловушки «Лаборатории Касперского».

Страна	%*
Китай	22,12%
США	10,91%
Вьетнам	8,20%
Бразилия	5,34%
Германия	4,68%
Россия	4,44%
Франция	3,42%
Индия	3,01%
Египет	2,77%
Сингапур	2,59%

* Доля устройств, с которых осуществлялись атаки в определенной стране, от общего количества устройств в этой стране.

Как и в случае с Telnet, первая тройка стран, откуда исходили атаки на SSH-ловушки, осталась неизменной с первого квартала 2020 года, а именно: Китай (22,12%), США (10,91%) и Вьетнам (8,20%).

Угрозы, загружаемые в ловушки

Вердикт	%*
Trojan-Downloader.Linux.NyaDrop.b	32,78
Backdoor.Linux.Mirai.b	17,47
HEUR:Backdoor.Linux.Mirai.b	12,72
HEUR:Backdoor.Linux.Gafgyt.a	9,76
Backdoor.Linux.Mirai.ba	7,99
HEUR:Backdoor.Linux.Mirai.ba	4,49
Backdoor.Linux.Gafgyt.bj	2,23
HEUR:Trojan-Downloader.Shell.Agent.p	1,66
Backdoor.Linux.Mirai.cn	1,26
HEUR:Backdoor.Linux.Mirai.c	0,73

* Доля определенного зловреда от общего количества зловредов, загруженных на IoT-устройства в результате успешной атаки.

Как и в первом квартале, лидером по числу загрузок на ловушки стал троянец NyaDrop. Семейство троянцев Mirai во втором квартале по-прежнему сохраняет актуальность, занимая половину нашего рейтинга IoT-угроз.

Атаки через веб-ресурсы

Статистические данные в этой главе получены на основе работы веб-антивируса, который защищает пользователей в момент загрузки вредоносных объектов с вредоносной/зараженной веб-страницы. Вредоносные сайты специально создаются злоумышленниками; зараженными могут быть веб-ресурсы, контент которых создается пользователями (например, форумы), а также взломанные легитимные ресурсы.

Страны — источники веб-атак: TOP 10

Данная статистика показывает распределение по странам источников заблокированных продуктами «Лаборатории Касперского» интернет-атак на компьютеры пользователей (веб-страницы с редиректами на эксплойты, сайты с эксплойтами и другими вредоносными программами, центры управления ботнетами и т. д.). Отметим, что каждый уникальный хост мог быть источником одной и более веб-атак.

Для определения географического источника веб-атак использовалась методика сопоставления доменного имени с реальным IP-адресом, на котором размещен данный домен, и установления географического местоположения данного IP-адреса (GEOIP).

Во втором квартале 2020 года решения «Лаборатории Касперского» отразили 899 744 810 атак, которые проводились с интернет-ресурсов, размещенных в 191 странах мира. Зафиксировано 286 229 445 уникальных URL, на которых происходило срабатывание веб-антивируса.

Распределение по странам источников веб-атак, Q2 2020 (скачать)

Страны, в которых пользователи подвергались наибольшему риску заражения через интернет

Чтобы оценить степень риска заражения вредоносными программами через интернет, которому подвергаются компьютеры пользователей в разных странах мира, мы подсчитали в каждой стране долю пользователей продуктов «Лаборатории Касперского», которые столкнулись со срабатыванием веб-антивируса в отчетный период. Полученные данные являются показателем агрессивности среды, в которой работают компьютеры в разных странах.

Напомним, что в этом рейтинге учитываются только атаки вредоносных объектов класса Malware; при подсчетах мы не учитывали срабатывания веб-антивируса на потенциально опасные и нежелательные программы, такие как RiskTool и рекламные программы.

	Страна*	% атакованных пользователей**
1	Алжир	11,2052
2	Монголия	11,0337
3	Албания	9,8699
4	Франция	9,8668
5	Тунис	9,6513
6	Болгария	9,5252
7	Ливия	8,5995
8	Морокко	8,4784
9	Греция	8,3735
10	Вьетнам	8,2298
11	Сомали	8,0938
12	Грузия	7,9888
13	Малайзия	7,9866
14	Латвия	7,8978
15	ОАЭ	7,8675
16	Катар	7,6820
17	Ангола	7,5147
18	Реюньон	7,4958
19	Лаос	7,4757
20	Мозамбик	7,4702

* При расчетах мы исключили страны, в которых число пользователей «Лаборатории Касперского» относительно мало (меньше 10 000).
** Доля уникальных пользователей, подвергшихся веб-атакам вредоносных объектов класса Malware, от всех уникальных пользователей продуктов «Лаборатории Касперского» в стране.

Настоящая статистика основана на детектирующих вердиктах модуля веб-антивируса, которые были предоставлены пользователями продуктов «Лаборатории Касперского», подтвердившими свое согласие на передачу статистических данных.

В среднем в течение квартала 5,73% компьютеров пользователей интернета в мире хотя бы один раз подвергались веб-атаке класса Malware.

Локальные угрозы

В этом разделе мы анализируем статистические данные, полученные на основе работы модулей OAS и ODS продуктов «Лаборатории Касперского». Учитывались вредоносные программы, найденные непосредственно на компьютерах пользователей или же на съемных носителях, подключенных к компьютерам (флешках, картах памяти фотоаппаратов, телефонах, внешних жестких дисках), либо изначально попавшие на компьютер не в открытом виде (например, программы в составе сложных инсталляторов, зашифрованные файлы и т. д.).

Во втором квартале 2020 года нашим файловым антивирусом было зафиксировано 80 993 511 вредоносных и потенциально нежелательных объектов.

Страны, в которых компьютеры пользователей подвергались наибольшему риску локального заражения

Для каждой из стран мы подсчитали, какая доля пользователей продуктов «Лаборатории Касперского» столкнулась со срабатыванием файлового антивируса в отчетный период. Эта статистика отражает уровень зараженности персональных компьютеров в различных странах мира.

Отметим, что в данном рейтинге учитываются только атаки вредоносных объектов класса Malware; при подсчетах мы не учитывали срабатывания файлового антивируса на потенциально опасные или нежелательные программы, такие как RiskTool и рекламные программы.

	Страна*	% атакованных пользователей**
1	Туркменистан	48,0224
2	Узбекистан	42,2632
3	Таджикистан	42,1279
4	Эфиопия	41,7213
5	Афганистан	40,6278
6	Мьянма	39,1377
7	Буркина-Фасо	37,4560
8	Бенин	37,4390
9	Китай	36,7346
10	Киргизстан	36,0847
11	Вьетнам	35,4327
12	Мавритания	34,2613
13	Лаос	34,0350
14	Монголия	33,6261
15	Бурунди	33,4323
16	Беларусь	33,0937
17	Гвинея	33,0097
18	Мали	32,9902
19	Того	32,6962
20	Камерун	32,6347

 

* При расчетах мы исключили страны, в которых число пользователей «Лаборатории Касперского» относительно мало (менее 10 000).
** Доля уникальных пользователей, на компьютерах которых были заблокированы локальные угрозы класса Malware, от всех уникальных пользователей продуктов «Лаборатории Касперского» в стране.

В среднем в мире хотя бы один раз в течение второго квартала локальные угрозы класса Malware были зафиксированы на 17,05% компьютеров пользователей.

Показатель России в этом рейтинге составил 21,74%.