Steeds meer ransomware-varianten steken de kop op als gevolg van de populariteit van Ransomware-as-a-Service (RaaS) op het dark web. Dat is een van de bevindingen in het halfjaarlijkse FortiGuard Labs Global Threat Landscape Report van FortiNet. Daarnaast blijkt dat cybercriminelen hun pijlen blijven richten op de endpoints van mobiele en thuiswerkers om toegang tot bedrijfsnetwerken te krijgen. Verder zijn omgevingen met operationele technologie en informatietechnologie aantrekkelijke doelwitten voor cybercriminelen die misbruik willen maken van het groeiende aanvalsoppervlak en de convergentie tussen IT en OT. Volgens FortiNet wordt het wapenarsenaal van cybercriminelen aangevuld met steeds meer verwoestende cyberbedreigingen, getuige de brede verspreiding van wiper-malware. Cybercriminelen omarmen technieken voor het uitvoeren van verkenningen en het omzeilen van beveiligingsmechanismen om trefzekerder te werk te kunnen gaan en de processen en systemen van hun doelwit tot wapens om te vormen.
De groei van ransomware-varianten wijst op de ontwikkeling van criminele ecosystemen, denken de onderzoekers. “Cybercriminelen investeren hier volop tijd en geld in. FortiGuard Labs observeerde de afgelopen zes maanden in totaal 10.666 ransomware-varianten. In het vorige halfjaar was dat nog 5.400. Dit vertegenwoordigt een groei van bijna 100% van het aantal ransomware-varianten in zes maanden tijd. RaaS blijft vanwege zijn populariteit op het dark web een belangrijke groeimotor achter een cybercriminele industrie die organisaties dwingt tot het betalen van losgeld.”
“Het OT en endpoints blijven populaire doelwitten: De convergentie van IT en OT en de endpoints die voor work from anywhere worden ingezet bieden cybercriminelen volop kansen om het groeiende aanvalsoppervlak te bestoken. Vaak maken ze gebruik van kwetsbaarheden op endpoints om bedrijfsnetwerken binnen te dringen. Populaire technieken waren misbruik van een spoofing-kwetsbaarheid (CVE 2022-26925) en een kwetsbaarheid die het mogelijk maakte om op afstand kwaadaardige code uit te voeren (CVE 2022-26937). Een analyse van het aantal kwetsbaarheden op endpoints en het aantal malware-detecties wijst uit dat cybercriminelen optimaal gebruik weten te maken van zowel oude als nieuwe kwetsbaarheden om zich toegang tot netwerken te verschaffen. Ze maken ook grif misbruik van kwetsbaarheden binnen OT-systemen. Dit is te wijten aan de convergentie van IT- en OT-omgevingen en het feit dat cybercriminelen zoals staatshackers met OT-aanvallen grote schade kunnen aanrichten.”
Verwoestende aanvallen met wiper-malware groeien volgens FortiGuard Labs in aantal. “Trends op het gebied van wiper-malware wijzen op de zorgwekkende opkomst van nog verwoestender en geavanceerdere aanvalstechnieken waarbij de data van het slachtoffer wordt gewist. De oorlog in Oekraïne gaf de aanzet tot een forse toename van disk wiping-malware. Aanvallen hiermee waren vooral gericht op vitale infrastructuren. FortiGuard Labs identificeerde in de eerste maanden van 2022 zeven belangrijke nieuwe wiper-varianten. Deze werden ingezet voor diverse aanvallen tegen overheidsinstellingen, militaire organisaties en bedrijven. Aanvallen met wiper-malware beperkten zich niet tot één geografische regio. Ze werden naast Oekraïne in 24 andere landen gedetecteerd.”
Het omzeilen van beveiligingsmechanismen blijft de belangrijkste aanvalstactiek. FortiGuard Labs analyseerde de werking van gedetecteerde malware om na te gaan welke technieken de afgelopen zes maanden het vaakst werden gebruikt. Het omzeilen van beveiligingsmechanismen prijkte bovenaan de lijst van meest gebruikte tactieken van ontwikkelaars van malware. “Zij proberen om beveiligingsmechanismen te omzeilen door hun aanvalstechnieken te verhullen. Ze maken bijvoorbeeld gebruik van een bonafide certificaat om misbruik te maken van vertrouwde processen. De op een na populairste techniek was procesinjectie. Hierbij injecteren cybercriminelen code in de adresruimte van een proces om beveiligingsmechanismen te omzeilen en ongezien hun gang te kunnen gaan.”
Het Global Threat Landscape Report is gebaseerd op informatie over miljarden beveiligingsincidenten die in de tweede helft van 2022 werd verzameld via het wereldwijde sensornetwerk van Fortinet. Het MITRE ATT&CK-framework verdeelt de aanvalstechnieken van cybercriminelen onder in drie categorieën: verkennen, het opbouwen van een aanwezigheid en de eerste toegang. Het rapport gebruikt dit model om te beschrijven hoe cybercriminelen kwetsbaarheden vinden, een kwaadaardige infrastructuur inrichten en misbruik maken van de kwetsbaarheden binnen de systemen van hun doelwit.
Vincent Zeebregts, Regional Director Nederland: “Cybercriminelen hanteren steeds slimmere manieren om beveiligingsmechanismen te omzeilen en breiden hun netwerk van criminele partners verder uit. Ze gaan uiterst agressief te werken en deinzen niet terug voor afpersing of het wissen van data van hun slachtoffers. In aanloop naar hun aanvallen voeren ze uitgebreide verkenningen van het netwerk van hun doelwit om maximaal resultaat te boeken. Om geavanceerde aanvallen tegen te gaan hebben organisaties geïntegreerde security-oplossingen nodig die met real-time bedreigingsinformatie worden gevoed. Deze oplossingen moeten in staat zijn om bedreigingspatronen te detecteren en enorme hoeveelheden gegevens tegen elkaar af te zetten om afwijkende activiteiten te identificeren en automatisch gecoördineerde tegenmaatregelen in werking te zetten binnen hybride netwerken.”
