Antivirus tốt hơn trong việc phát hiện phần mềm độc hại email hơn các mối đe dọa web

Phần mềm độc hại dựa trên web tốt hơn trong việc bỏ qua các biện pháp bảo vệ truyền thống so với phần mềm độc hại do email, theo Palo Alto Networks.

Mặc dù email tiếp tục là một nguồn phần mềm độc hại hàng đầu, nhưng phần lớn các phần mềm độc hại không xác định được đẩy qua các ứng dụng Web, Palo Alto Networks được tìm thấy trong báo cáo Đánh giá phần mềm độc hại hiện đại được công bố hôm thứ Hai. Gần 90 phần trăm người dùng "phần mềm độc hại không xác định" gặp phải đến từ việc duyệt Web, so với chỉ 2 phần trăm đến từ email.

"Phần mềm độc hại không xác định" trong báo cáo này đề cập đến các mẫu độc hại được phát hiện bởi dịch vụ đám mây Wildfire của công ty mà sáu sản phẩm chống vi-rút "dẫn đầu ngành" đã bỏ lỡ, Palo Alto Networks cho biết trong báo cáo. Các nhà nghiên cứu đã phân tích dữ liệu từ hơn 1.000 khách hàng đã triển khai tường lửa thế hệ tiếp theo của công ty và đăng ký dịch vụ Wildfire tùy chọn. Trong số 68.047 mẫu được WildFire gắn cờ là phần mềm độc hại, 26.363 mẫu hoặc 40% không được phát hiện bởi các sản phẩm chống vi-rút.

"Một khối lượng phần mềm độc hại không xác định đến từ các nguồn dựa trên web và các sản phẩm AV truyền thống giúp bảo vệ chống lại phần mềm độc hại được gửi qua email tốt hơn nhiều", Palo Alto Networks cho biết.

Rất nhiều nỗ lực để không bị phát hiện

Một "công việc tuyệt vời" trí thông minh của phần mềm độc hại được dành cho việc không bị phát hiện bởi các công cụ bảo mật, Palo Alto Networks đã tìm thấy. Các nhà nghiên cứu đã quan sát hơn 30 hành vi dành riêng để giúp phần mềm độc hại tránh bị phát hiện, chẳng hạn như phần mềm độc hại "ngủ" trong một thời gian dài sau khi bị nhiễm ban đầu, vô hiệu hóa các công cụ bảo mật và quy trình hệ điều hành. Trên thực tế, trong danh sách các hoạt động và hành vi của phần mềm độc hại mà Palo Alto Networks đã quan sát thấy, 52% tập trung vào việc trốn tránh bảo mật, so với 15% tập trung vào hack và đánh cắp dữ liệu, báo cáo nhận thấy.

Các báo cáo trước đây từ các nhà cung cấp khác đã chỉ ra số lượng lớn phần mềm độc hại không xác định để lập luận rằng các sản phẩm chống vi-rút không hiệu quả trong việc giữ an toàn cho người dùng. Palo Alto Networks cho biết mục tiêu của báo cáo không phải là kêu gọi các sản phẩm chống vi-rút vì không phát hiện các mẫu này, mà là xác định điểm chung trong các mẫu phần mềm độc hại có thể được sử dụng để phát hiện các mối đe dọa trong khi chờ các sản phẩm chống vi-rút bắt kịp.

Gần 70 phần trăm các mẫu chưa biết thể hiện "định danh hoặc hành vi riêng biệt" có thể được sử dụng để kiểm soát và chặn thời gian thực, Palo Alto Networks được tìm thấy trong báo cáo của mình. Các hành vi bao gồm lưu lượng truy cập tùy chỉnh được tạo bởi phần mềm độc hại cũng như các điểm đến từ xa mà phần mềm độc hại đã liên hệ. Khoảng 33 phần trăm mẫu được kết nối với các tên miền mới được đăng ký và các tên miền sử dụng DNS động, trong khi 20 phần trăm đã cố gắng gửi email, báo cáo được tìm thấy. Những kẻ tấn công thường sử dụng DNS động để tạo các miền tùy chỉnh nhanh chóng có thể dễ dàng bị bỏ qua khi các sản phẩm bảo mật bắt đầu đưa vào danh sách đen.

Những kẻ tấn công cũng sử dụng các cổng Web không chuẩn, như gửi lưu lượng không được mã hóa trên cổng 443 hoặc sử dụng các cổng khác ngoài 80 để gửi lưu lượng truy cập Web. FTP thường sử dụng các cổng 20 và 21, nhưng báo cáo đã tìm thấy phần mềm độc hại sử dụng 237 cổng khác để gửi lưu lượng FTP.

Trì hoãn phát hiện phần mềm độc hại

Các nhà cung cấp phần mềm chống vi-rút mất trung bình năm ngày để cung cấp chữ ký cho các mẫu phần mềm độc hại không xác định được phát hiện qua email, so với gần 20 ngày đối với các mẫu dựa trên Web. FTP là nguồn thứ tư của phần mềm độc hại không xác định, nhưng gần 95 phần trăm mẫu vẫn không bị phát hiện sau 31 ngày, Palo Alto Networks được tìm thấy. Phần mềm độc hại được phân phối qua phương tiện truyền thông xã hội cũng có các biến thể vẫn không bị phát hiện bởi phần mềm chống vi-rút trong 30 ngày trở lên, báo cáo nhận thấy.

"Không chỉ các giải pháp AV truyền thống ít có khả năng phát hiện phần mềm độc hại bên ngoài email, mà còn mất nhiều thời gian hơn để có được phạm vi bảo hiểm", báo cáo được tìm thấy.

Sự khác biệt về kích thước mẫu ảnh hưởng đến mức độ hiệu quả của phần mềm chống vi-rút trong việc phát hiện phần mềm độc hại, Palo Alto Networks cho biết. Đối với các mối đe dọa từ email, cùng một phần mềm độc hại thường được gửi đến nhiều mục tiêu, khiến cho nhiều khả năng nhà cung cấp phần mềm chống vi-rút sẽ phát hiện và phân tích tệp. Ngược lại, các máy chủ Web sử dụng tính đa hình phía máy chủ để tùy chỉnh tệp độc hại mỗi khi trang Web tấn công được tải, tạo ra số lượng lớn hơn các mẫu duy nhất và làm cho các mẫu khó phát hiện hơn. Thực tế là email cũng không cần gửi theo thời gian thực có nghĩa là các công cụ chống phần mềm độc hại có thời gian để phân tích và kiểm tra các tệp. Web "thời gian thực hơn nhiều" và cung cấp cho các công cụ bảo mật "ít thời gian hơn để kiểm tra" các tệp độc hại trước khi gửi chúng cho người dùng.

"Chúng tôi tin rằng việc các doanh nghiệp giảm khối lượng nhiễm trùng từ các biến thể của phần mềm độc hại đã biết là rất quan trọng, để các nhóm bảo mật có thời gian tập trung vào các mối đe dọa nghiêm trọng và nhắm mục tiêu nhất", theo báo cáo.