Top Malware im August 2023: Qbot bleibt in den Top 3

Top Malware-Report im August 2023 von Check Point Software Technologies:  Formbook landet wieder auf dem ersten Platz, dicht gefolgt von CloudEyE, einem Downloader, der zuvor als „GuLoader“ bekannt war. Er zielt auf die Windows-Plattform ab und wird zum Herunterladen und Installieren bösartiger Programme auf den Computern der Opfer verwendet. Qbot verteidigt seinen Platz 3.

Auf der anderen Seite des Atlantiks verkündete das FBI im August einen bedeutenden Sieg in seiner globalen Operation gegen den Qbot (auch bekannt als Qakbot). In der „Operation Duck Hunt“ übernahm das FBI die Kontrolle über das Botnet. Es entfernte die Malware von infizierten Geräten und identifizierte eine beträchtliche Anzahl betroffener Geräte.

Qbot entwickelte sich zu einem Malware-Lieferdienst, der für verschiedene cyberkriminelle Aktivitäten, einschließlich Ransomware-Angriffen, genutzt wird. Er verbreitet sich in der Regel über Phishing-Kampagnen und arbeitet mit anderen Bedrohungsakteuren zusammen. Obwohl Qbot global auch im August die am weitesten verbreitete Malware war, beobachtete Check Point nach der Operation einen deutlichen Rückgang ihrer Auswirkungen. Auch in Deutschland wurden die Server für die Schadsoftware lahmgelegt, wie das BKA mittteilte.

Maya Horowitz, VP Research bei Check Point Software, über den Schlag gegen Qbot: „Die Zerschlagung von QBot war ein bedeutender Durchbruch im Kampf gegen die Cyberkriminalität. Wir dürfen jedoch nicht selbstgefällig werden, denn wenn einer fällt, wird ein anderer aufsteigen und seinen Platz einnehmen. Wir sollten alle wachsam bleiben, zusammenarbeiten und weiterhin eine gute Sicherheitshygiene über alle Angriffsvektoren hinweg praktizieren.“

Top-Malware in Deutschland

• Formbook war im vergangenen Monat die am weitesten verbreitete Malware mit einer leicht rückläufigen Auswirkung von 11,88Prozent auf deutsche Organisationen. Darauf folgt CloudEyEmit einer nationalen Auswirkung von 11,72 Prozent und Qbot mit 4,82Prozent. Formbook – Formbook ist ein Infostealer, der auf das Windows-Betriebssystem abzielt und erstmals im Jahr 2016 entdeckt wurde. Er wird in Untergrund-Hacking-Foren als Malware as a Service (MaaS) vermarktet, da er über starke Umgehungstechniken und einen relativ niedrigen Preis verfügt. FormBook sammelt Anmeldeinformationen von verschiedenen Webbrowsern, sammelt Screenshots, überwacht und protokolliert Tastatureingaben. Er kann Dateien herunterladen und ausführen, wenn es von seinem C&C angewiesen wird.
• CloudEyE–CloudEye, ehemals „GuLoader“ genannt, ist ein Downloader, der auf die Windows-Plattform abzielt und zum Herunterladen und Installieren bösartiger Programme auf den Computern der Opfer verwendet wird.
• Qbot – Qbot AKA Qakbot ist eine Mehrzweck-Malware, die erstmals im Jahr 2008 auftauchte. Sie wurde entwickelt, um die Anmeldedaten eines Benutzers zu stehlen, Tastatureingaben aufzuzeichnen, Cookies von Browsern zu stehlen, Bankaktivitäten auszuspionieren und zusätzliche Malware zu installieren. Qbot wird häufig über Spam-E-Mails verbreitet und verwendet mehrere Anti-VM-, Anti-Debugging- und Anti-Sandbox-Techniken. Das erschwert Analyse und umgeht die Erkennung. Seit dem Jahr 2022 ist er einer der am weitesten verbreiteten Trojaner.

Top 3 Schwachstellen

• Im vergangenen Monat war „HTTP Headers Remote Code Execution“ die am häufigsten ausgenutzte Schwachstelle, von der 40 Prozent der Unternehmen weltweit betroffen waren, gefolgt von „Command Injection Over http“, von der 38 Prozent der Unternehmen weltweit betroffen waren. „MVPower CCTV DVR Remote Code Execution“ war die am dritthäufigsten genutzte Schwachstelle mit einer weltweiten Auswirkung von 35 Prozent. HTTP-Header Remote Code Execution (CVE-2020-10826, CVE-2020-10827, CVE-2020-10828, CVE-2020-13756) – HTTP-Header ermöglichen es dem Client und dem Server, zusätzliche Informationen mit einer HTTP-Anfrage zu übermitteln. Ein entfernter Angreifer kann einen verwundbaren HTTP-Header verwenden, um beliebigen Code auf dem Opfercomputer auszuführen.
• Command Injection Over HTTP (CVE-2021-43936, CVE-2022-24086) – Eine Command Injectionover HTTP-Schwachstelle wurde gemeldet. Ein entfernter Angreifer kann dieses Problem ausnutzen, indem er eine speziell gestaltete Anfrage an das Opfer sendet. Bei erfolgreicher Ausnutzung könnte ein Angreifer beliebigen Code auf dem Zielrechner ausführen.
•  MVPower CCTV DVR Remote Code Execution (CVE-2016-20016) – Eine Schwachstelle in MVPower CCTV DVR, die eine Remotecodeausführung ermöglicht. Die erfolgreiche Ausnutzung dieser Schwachstelle könnte einem entfernten Angreifer die Ausführung von beliebigem Code auf dem betroffenen System ermöglichen.

Top 3 Mobile Malware

• Im vergangenen Monat stand Anubis weiterhin an der Spitze der am häufigsten verbreiteten mobilen Malware, gefolgt von AhMyth und SpinOk. Diese tauschten die Plätze. Anubis – Anubis ist eine Banking-Trojaner-Malware, die für Android-Mobiltelefone entwickelt wurde. Seit seiner ersten Entdeckung hat er zusätzliche Funktionen erhalten, darunter Remote-Access-Trojaner (RAT), Keylogger, Audio-Aufnahmefunktionen und verschiedene Ransomware-Funktionen. Er wurde in Hunderten von verschiedenen Anwendungen im Google Store entdeckt.
• AhMyth – AhMyth ist ein Remote-Access-Trojaner (RAT), der im Jahr 2017 entdeckt wurde. Er wird über Android-Apps verbreitet, die in App-Stores und auf verschiedenen Websites zu finden sind. Wenn ein Nutzer eine dieser infizierten Apps installiert, kann die Malware sensible Informationen vom Gerät sammeln und Aktionen wie Keylogging, das Erstellen von Screenshots, das Versenden von SMS-Nachrichten und das Aktivieren der Kamera durchführen: Das wird in der Regel zum Diebstahl sensibler Informationen genutzt.
• SpinOk – SpinOk ist ein Android-Softwaremodul, das als Spionageprogramm arbeitet. Es sammelt Informationen über die auf den Geräten gespeicherten Dateien und ist in der Lage, diese an bösartige Bedrohungsakteure weiterzuleiten. Das bösartige Modul wurde in mehr als 100 Android-Apps gefunden und bis Mai 2023 mehr als 421.000.000-mal heruntergeladen.

Top 3 der angegriffenen Branchen und Bereiche in Deutschland

• SI/VAR/Vertriebspartner
• Gesundheitswesen
• ISP/MSP

Hintergrund: Der Global Threat Impact Index und die ThreatCloudMap von Check Point basieren auf der ThreatCloudIntelligence von Check Point. ThreatCloud bietet Echtzeit-Bedrohungsdaten, die von Hunderten von Millionen Sensoren weltweit über Netzwerke, Endpunkte und Mobiltelefone abgeleitet werden. Angereichert wird diese Intelligenz mit KI-basierten Engines und exklusiven Forschungsdaten von Check Point Research, der Forschungs- und Entwicklungsabteilung von Check Point Software Technologies.

Die vollständige Liste der zehn häufigsten Malware-Familien im August finden Sie im Check Point Blog.