Emotet on Untrusted Network

SecurityCast Ep#89 - TOP 6 událostí roku 2021

Jan Kopriva — Mon, 20 Dec 2021 14:40:00 +0100

Speciální vánoční epizoda Alef SecurityCast je k dispozici na YouTube a na Spotify. Podíváme se v ní na výběr toho nejzajímavějšího, co nás v oblasti kybernetické bezpečnosti letos potkalo…

SecurityCast Ep#88 - Nový zero-day exploit pro Log4j Java knihovnu

Jan Kopriva — Mon, 13 Dec 2021 15:30:00 +0100

Nová epizoda Alef SecurityCast je k dispozici na YouTube a na Spotify. Podíváme se v ní na útoky využívající kompromitované WordPress instance, závažnou zranitelnost v Java knihovně Log4j a nejen to…

SecurityCast Ep#87 - Microsoft Defender vyděsil administrátory chybným označením škodlivých procesů

Jan Kopriva — Mon, 06 Dec 2021 13:10:00 +0100

Nová epizoda Alef SecurityCast je k dispozici na YouTube a na Spotify. Podíváme se v ní na ransomware útok na základní školu v Přerově, mnoho false-positive detekcí ze strany Microsoft Defenderu a nejen to…

SecurityCast Ep#85 - Emotet je zpátky a detekování skrytých kamer aplikací

Jan Kopriva — Mon, 22 Nov 2021 15:10:00 +0100

Nová epizoda Alef SecurityCast je k dispozici na YouTube a na Spotify. Podíváme se v ní na zmrtvýchvstání malwaru Emotet, novou variantu útoku Rowhammer a nejen to…

SecurityCast Ep#56 - Ransomware s dopadem na Apple, novinky v komunikaci malwaru a konec Emotetu

Jan Kopriva — Mon, 26 Apr 2021 13:15:00 +0200

Nová epizoda Alef SecurityCast je k dispozici na YouTube. Podíváme se v ní na ransomwarový útok v jehož důsledku údajně došlo ke zcizení citlivých dokumentů společnosti Apple, novinky v komunikačních technikách užívaných malwarem a mnoho dalšího…

SecurityCast Ep#44 - Notoricky známý malware Emotet byl zneškodněn v globální operaci 8 států

Jan Kopriva — Mon, 01 Feb 2021 13:25:00 +0100

Nová epizoda Alef SecurityCast je k dispozici na YouTube. Podíváme se v ní na zneškodnění C2 infrastruktury botnetu Emotet v koordinované akci policejních složek z celého světa, závažnou zranitelnost v utilitě sudo a nejen to.

SecurityCast Ep#31 - Falešný poukaz do Albertu, nové taktiky Emotetu a aktuální zranitelnosti

Jan Kopriva — Mon, 02 Nov 2020 18:10:00 +0200

Nová epizoda Alef SecurityCast je k dispozici na YouTube. Podíváme se v ní na nedávnou phishingovou kampaň slibující kupón do obchodního řetězce Albert, novou a silně využívanou zranitlenost v Oracle WebLogic Serverech a nejen to.

ALEF SecurityCast Ep#27 - Putin nabídl US spolupráci v informační bezpečnosti, Have I Been Emotet

Jan Kopriva — Mon, 05 Oct 2020 13:20:00 +0200

Nová epizoda Alef SecurityCast je k dispozici na YouTube. Podíváme se v ní na ransomwarový útok na nemocnici v New Jersey a na firmu Swatch, nabídku Ruska na spolupráci s USA v oblasti kybernetické bezpečnosti a nejen to.

Apel (nejen) k odborné veřejnosti: kryptovirus není synonymem pro ransomware, tak jej tak nepoužívejme

Jan Kopriva — Tue, 07 Jan 2020 15:22:44 +0100

V souvislosti s nedávnými událostmi v benešovské nemocnici a firmě OKD se v médiích objevilo mnoho článků a komentářů, v nichž je skloňován pojem ransomware. Bohužel jak zástupci médií, tak odborné veřejnosti, se v rámci nich velmi často vyjadřovali i v tom smyslu, že relevantní systémy byly postiženy “kryptovirem”. Pojem kryptovirus sice skutečlně existuje, neb se ale rozhodně nejedná o synonymum k termínu ransomware, i komentáře odborníků působily, poměrně paradoxně, spíše neodborným dojmem…

Pojďme se teď podívat tři základní termíny trochu blíže a ukázat si, kde leží problém.

Ransomware - Pojem ransomware označuje škodlivý software, jehož cílem je umožnit útočníkovi vydírat oběť jím postiženou. V současnosti je zřejmě nejrozšířenějším typem vyděračského softwaru tzv. crypto-ransomware, tedy ransomware, který určitým způsobem šifruje data, existují například ale i varianty vyděračského softwaru spoléhající na uzamčení obrazovky, případně operačního systému a některé další typy.
Virus - Na rozdíl od pojmu malware, jehož přesnější definice je poměrně problematická, byl termín virus definovaný poměrně exaktně Frederickem Cohenem. Striktně vzato, je tedy virus “program, který může ‘infikovat’ jiné programy tak, že do nich umístí svou, potenciálně upravenou, kopii”.
Kryptovirus - Za kryptovirus můžeme považovat takový počítačový virus, který využívá kryptografické mechanismy pro určitou škodlivou aktivitu, například šifrování dat. Relativně hezkou ukázkou takového “tradičního” kryptoviru je například OneHalf.

Vzhledem k tomu, že s viry odpovídajícími výše uvedené definici Fredericka Cohena (tzv. souborovými viry) se dnes již v podstatě nepotkáme, znamená to, že ani žádný současný ransomware dle této definice není virem. Nepřipojuje se totiž k žádnému jinému programu.

Co ale pokud bychom se výše uvedené definice viru rigidně nedrželi a použili definici o něco širší? Jako vhodná se zdá být “vítězná” definice z časopisu Alive z roku 1994, která říká, že počítačový virus je “sekvence (nebo skupina sekvencí) symbolů, které, jsou-li spuštěny či interpretovány za určitých podmínek nebo v určitých prostředích, vytvoří - případně změněnou - funkčně podobnou kopii této sekvence (nebo souboru sekvencí) a umístí tuto kopii tam, kde bude moci být spuštěna či interpretována za určitých podmínek později. Toto chování se označuje jako ‘REPLIKACE’ a kopie si zachovává ALESPOŇ schopnost rekurzivně se replikovat dále. Virus může mít také další funkci (či funkce) nesouvisející s replikací a občas označovanou ‘payload’, to ale NENÍ nutné, aby něco bylo virem”.

V tomto případě se nám pod definici viru už poměrně dobře “schovají” i počítačové červy, tedy malware, který se dokáže sám šířit/replikovat, ale nekopíruje se přímo do jiného programu. A neb známý ransomware WannaCry nejen šifruje data, ale dokáže se jako červ (a tedy virus) i sám šířit/replikovat, můžeme jej dle zmíněné volnější definice označit i za kryptovirus. Neznamená to tedy, že výroky o kryptovirech v souvislosti s benešovskou nemocnicí a OKD jsou na místě?

Ne. WannaCry byl totiž jedním z velmi malého počtu moderních ransomwarů a pseudo-ransomwarů, které byly schopny sami se šířit a které tak splňovaly definici viru. Převážná většina moderního vyděračského softwaru je distribuována buď s pomocí e-mailů, exploit kitů, nebo prostřednictvím jiného škodlivého kódu. Poslední uvedený mechanismus je používaný i pro distribuci ransomwaru Ryuk - ten se sám šířit nedokáže a bývá na koncové systémy instalovaný v rámci jejich kompromitace škodlivými programy Emotet a TrickBot.

V souvislosti s vydáním varování Vládního CERT k trojici Emotet, TrickBot a Ryuk mnozí spekulují, že právě Ryuk je ransomwarem, který postihnul obě zmíněné instituce. Ať šlo v jejich případě o Ryuk nebo nikoli, lze téměř s jistotou říci, že ransomware, který postihnul jmenované instituce, téměř jistě nebyl kryptovirem a tedy používání tohoto termínu rozhodně není na místě.

Můžete namítnout, že jde pouze o slovíčkaření. Dovolím si nicméně tvrdit, že tomu tak není a že situace je stejná, jako kdyby si lékař pletl bakteriální a virovou infekci. I přes to, že spolu mají mnoho společného, zdravotníka, který by neznal rozdíly mezi nimi, by zcela jistě nikdo nechtěl jako svého ošetřujícího lékaře…

Pokud patříte k odborné veřejnosti a ve výše uvedeném smyslu jste se sami vyjádřili, neberte prosím výše uvedené řádky jako atak na svou osobu, ale jen jako snahu o udržení korektní terminologie v rámci odvětví, kde na tuto oblast není vždy kladen dostatečný důraz.