CloudEye übernimmt nach Qbot-Aus die Führung

Im August wurde die Mehrzweck-Malware Qbot, aka Qakbot, von Ermittlern des FBI zerschlagen und abgeschaltet. Damit geht für Qbot eine lange Zeit als meistverbreitete Malware zu Ende, nachdem diese fast das ganze Jahr 2023 die globale Hitliste anführte.

Nun machen sich die Folgen auch in der deutschen Bedrohungslandschaft bemerkbar: CloudEye, ehemals GuLoader, ein Downloader, der bösartige Programme auf Windows-Plattformen einschleust, hat hierzulande den ersten Platz der am weitesten verbreiteten Malware (9,5 Prozent) eingenommen. Auch auf den Plätzen dahinter wurden die Karten neu gemischt und mit alten Bekannten besetzt: Emotet rückt auf Platz zwei (1,92 Prozent), Nanocore auf Platz drei (1,98 Prozent) vor.

Auch bei den am häufigsten von Hackern attackierten Sektoren beobachteten die Sicherheitsforscher Veränderungen auf allen Rängen: Das Gesundheitswesen stand in diesem Monat vornehmlich im Fadenkreuz von Hackern, gefolgt von IT-Serviceprovidern und dem Bildungs- und Forschungsbereich.

Top-Malware in Deutschland

*Pfeile zeigen Veränderung der Rangfolge im Vergleich zum Vormonat.

1. ↑ CloudEyE
   CloudEye, ehemals „GuLoader“ genannt, ist ein Downloader, der auf die Windows-Plattform abzielt und zum Herunterladen und Installieren bösartiger Programme auf den Computern der Opfer verwendet wird.
2. ↑ Emotet
   Emotet ist ein fortschrittlicher, sich selbst verbreitender und modularer Trojaner, der einst als Banking-Trojaner eingesetzt wurde und derzeit andere Malware oder bösartige Kampagnen verbreitet. Emotet nutzt mehrere Methoden zur Aufrechterhaltung der Persistenz und Umgehungstechniken, um nicht entdeckt zu werden, und kann über Phishing-Spam-E-Mails mit bösartigen Anhängen oder Links verbreitet werden.
3. ↑ Nanocore
   NanoCore ist ein Fernzugriffs-Trojaner, der auf Benutzer von Windows-Betriebssystemen abzielt und erstmals 2013 in freier Wildbahn beobachtet wurde. Alle Versionen des RAT enthalten grundlegende Plugins und Funktionen wie Bildschirmaufnahmen, Kryptowährungs-Mining, Fernsteuerung des Desktops und Diebstahl von Webcam-Sitzungen.

Top 3-Schwachstellen

Im vergangenen Monat war „Web Servers Malicious URL Directory Traversal“ die am häufigsten ausgenutzte Schwachstelle, von der 47 Prozent der Unternehmen weltweit betroffen waren, gefolgt von „Command Injection Over http“ mit 42 Prozent und „Zyxel ZyWALL Command Injection“ mit 39 Prozent.

1. ↑ Web Server Malicious URL Directory Traversal (CVE-2010-4598, CVE-2011-2474,CVE-2014-0130,CVE-2014-0780,CVE-2015-0666,CVE-2015-4068,CVE-2015-7254,CVE-2016-4523,CVE-2016-8530,CVE-2017-11512,CVE-2018-3948,CVE-2018-3949,CVE-2019-18952,CVE-2020-5410,CVE-2020-8260)
   Es gibt eine Directory Traversal-Schwachstelle auf verschiedenen Web Servern. Die Sicherheitsanfälligkeit ist auf einen Eingabevalidierungsfehler in einem Webserver zurückzuführen, der die URI für die Verzeichnisüberquerungsmuster nicht ordnungsgemäß bereinigt. Eine erfolgreiche Ausnutzung erlaubt es nicht-authentifizierten Angreifern, beliebige Dateien auf dem verwundbaren Server offenzulegen oder darauf zuzugreifen.
2. ↔ Befehlsinjektion über HTTP (CVE-2021-43936, CVE-2022-24086)
   Es wurde eine Befehlsinjektion über HTTP-Schwachstelle gemeldet. Ein entfernter Angreifer kann dieses Problem ausnutzen, indem er eine speziell gestaltete Anfrage an das Opfer sendet. Bei erfolgreicher Ausnutzung könnte ein Angreifer beliebigen Code auf dem Zielrechner ausführen.
3. ↑ Zyxel ZyWALL Command Injection (CVE-2023-28771)
   In Zyxel ZyWALL besteht eine Schwachstelle für Command Injection. Eine erfolgreiche Ausnutzung dieser Schwachstelle würde entfernten Angreifern erlauben, beliebige Betriebssystembefehle auf dem betroffenen System auszuführen.

Top 3 Mobile Malware

Im vergangenen Monat stand Anubis weiterhin an der Spitze der am häufigsten verbreiteten mobilen Malware, gefolgt von AhMyth und SpinOk, welche die Plätze tauschten.

1. ↔ Anubis
   Anubis ist eine Banking-Trojaner-Malware, die für Android-Mobiltelefone entwickelt wurde. Seit seiner ersten Entdeckung hat er zusätzliche Funktionen erhalten, darunter Remote-Access-Trojaner (RAT), Keylogger, Audio-Aufnahmefunktionen und verschiedene Ransomware-Funktionen. Er wurde in Hunderten von verschiedenen Anwendungen im Google Store entdeckt.
2. ↔ AhMyth
   AhMyth ist ein Remote-Access-Trojaner (RAT), der im Jahr 2017 entdeckt wurde. Er wird über Android-Apps verbreitet, die in App-Stores und auf verschiedenen Websites zu finden sind. Wenn ein Nutzer eine dieser infizierten Apps installiert, kann die Malware sensible Informationen vom Gerät sammeln und Aktionen wie Keylogging, das Erstellen von Screenshots, das Versenden von SMS-Nachrichten und das Aktivieren der Kamera durchführen, was in der Regel zum Diebstahl sensibler Informationen genutzt wird.
3. ↔ SpinOk
   SpinOk ist ein Android-Softwaremodul, das als Spionageprogramm arbeitet. Es sammelt Informationen über die auf den Geräten gespeicherten Dateien und ist in der Lage, diese an bösartige Bedrohungsakteure weiterzuleiten. Das bösartige Modul wurde in mehr als 100 Android-Apps gefunden und bis Mai 2023 mehr als 421.000.000-mal heruntergeladen.

Top 3 der angegriffenen Branchen und Bereiche in Deutschland

1. ↑ Gesundheitswesen
2. ↑ ISP/MSP
3. ↑ Bildung/Forschung

Der Global Threat Impact Index und die ThreatCloud Map von Check Point basieren auf der ThreatCloud Intelligence von Check Point.