Cyberaanvallen zijn steeds vaker gericht op stelen van inloggegevens

Cyber­cri­mi­nelen zetten alles op alles om de inlog­ge­ge­vens van systemen en gebrui­kers te stelen. Daarnaast blijkt dat maar liefst 47 procent van alle malware die hierbij wordt ingezet nieuw ofwel ‘zero day’ is. Tradi­ti­o­nele antivirus-oplos­singen die gebaseerd zijn op het herkennen van ‘virus signa­tures’ zijn hierdoor niet in staat deze aanvallen tegen te houden.

Dit blijkt uit het Q2 2017 Internet Security Report van Watch­Guard Tech­no­lo­gies. Watch­Guard meldt dat Mimikatz verant­woor­de­lijk is voor 36 procent van alle malware-aanvallen. Deze populaire open source-tool voor het stelen van inlog­ge­ge­vens stond het afgelopen kwartaal voor het eerst in de top 10-lijst van belang­rijkste malware-varianten. Mimikatz wordt vaak gebruikt voor het stelen van inlog­ge­ge­vens van Windows-systemen en werd dit kwartaal zo vaak gebruikt dat het uitgroeide tot de belang­rijkste malware-variant van het tweede kwartaal.

Phishing met behulp van JavaScript

Phishing-aanvallen maken steeds vaker gebruik van JavaScript om gebrui­kers om de tuin te leiden. Al een aantal kwartalen maken aanval­lers gebruik van JavaScript-code en down­lo­ad­func­ties voor malware-aanvallen via zowel websites als e‑mail. Zo pasten aanval­lers in het tweede kwartaal JavaScript in HTML-bijlages toe bij phishing-aanvallen. Hiermee konden zij inlogpagina’s simuleren van populaire en legitieme websites als Google, Microsoft en andere aanbie­ders in een poging om gebrui­kers te verleiden tot het invullen van hun inloggegevens.

Cyber­cri­mi­nelen hebben in het tweede kwartaal gebruik­ge­maakt van een oude kwets­baar­heid om Linux-servers in Nederland en enkele landen in Scan­di­navië aan te vallen. De aanpak was bedoeld om de hash files van wacht­woorden te pakken te krijgen. Meer dan 75 procent van deze aanvallen deed een poging om via deze kwets­baar­heid toegang te krijgen tot ‘etc/​passwd’. Het advies van Watch­Guard aan Linux-gebrui­kers in deze regio is dan ook om zo snel mogelijk hun Linux-servers te updaten.

Meer brute force-aanvallen op webservers

Stevige groei van aantal brute force-aanvallen op webser­vers. Gedurende de zomer pasten cyber­cri­mi­nelen geau­to­ma­ti­seerde tools toe om de inlog­ge­ge­vens van webser­vers te kraken. Deze brute force-aanvallen kwamen in het tweede kwartaal hierdoor in de top 10 van belang­rijkste aanvallen terecht. Webser­vers die niet op een adequate manier zijn beschermd staan toe dat bij geau­to­ma­ti­seerde aanvallen duizenden wacht­woorden per seconde worden gepro­beerd, net zo lang tot de crimi­nelen de juiste inlog­ge­ge­vens vinden.

Bijna de helft van de aanvallen weet antivirus te omzeilen. Dit komt vooral door de inzet van zero day-kwets­baar­heden bij cyber­aan­vallen, die nog niet bekend zijn en hierdoor nog niet door de soft­wa­re­le­ve­ran­cier met een update of patch zijn gedicht. De gegevens die Watch­Guard in het tweede kwartaal heeft verzameld, laten zien dat klassieke en op ‘signa­tures’ geba­seerde antivirus-oplos­singen steeds onbe­trouw­baarder worden als het gaat om het tegen­houden van nieuwe aanvals­me­thoden. ‘Beha­vi­oral detection’ wordt dan ook steeds belang­rijker voor organisaties.

16 miljoen malware-varianten tegengehouden

Het Q2 2017 Internet Security Report is gebaseerd op geano­ni­mi­seerde data die is verkregen van de Firebox-firewalls van Watch­Guard. Er is hierbij wereld­wijd gebruik­ge­maakt van 33.500 UTM-appli­ances. In totaal hebben deze appli­ances in het tweede kwartaal meer dan 16 miljoen malware-varianten tegen­ge­houden. Gemiddeld hield iedere appliance 488 aanvallen tegen.

Gedurende het kwartaal stopten WatchGuard’s Gateway AV-oplos­singen bijna 11 miljoen malware-varianten, een groei van 31 procent ten opzichte van het eerste kwartaal. De APT Blockers van Watch­Guard hielden bovendien nog eens 5.484.320 malware-varianten tegen, een toename van maar liefst 53 procent ten opzichte van Q1 van dit jaar. Watch­Guard Firebox-systemen hielden op hun beurt bijna 3 miljoen netwerk­aan­vallen tegen, gemiddeld 86 aanvallen per device.

Volledige bescherming bedrijfsgegevens

“De data die wij gedurende het tweede kwartaal kregen van onze Firebox firewalls laten zien dat aanval­lers zich meer dan ooit richten op het verza­melen van inlog­ge­ge­vens”, zegt Corey Nachreiner, Chief Tech­no­logy Officer van Watch­Guard Tech­no­lo­gies. “Of we het nu hebben over JavaScript-enabled phishing aanvallen, pogingen om Linux-wacht­woorden te stelen of ‘brute force’-aanvallen op webser­vers, de rode draad door al deze attacks is dat crimi­nelen op zoek zijn naar inlog­ge­ge­vens. Voor bedrijven betekent dit dat zij extra maat­re­gelen moeten nemen. Denk aan het versterken van de inlog­pro­ce­dures van hun aan Internet gekop­pelde servers, het invoeren van two-factor authen­ti­ca­tion en het nog meer trainen van gebrui­kers in het herkennen van phishing-pogingen. Ook zouden gebrui­kers serieus moeten overwegen om geavan­ceerde threat preven­tion-oplos­singen in te voeren. Alleen dan kunnen zij hun waar­de­volle bedrijfs­ge­ge­vens afdoende beschermen.”

Meer infor­matie over de belang­rijkste malware-aanvallen en aanval­strends gedurende het tweede kwartaal van 2017 is beschik­baar in het kwar­taal­rap­port van Watch­Guard Tech­no­lo­gies. Dit rapport bevat ook een uitge­breide analyse opgenomen van de bekende Wannacry ransom­ware-aanval en gaat dieper in op het meest recente research­pro­ject van WatchGuard’s Threat Lab naar SSH en Telnet honeypots. Deze blijken continu met de hulp van geau­to­ma­ti­seerde tools te worden aange­vallen. De resul­taten van dit onder­zoeks­pro­ject bena­drukken opnieuw het grote gevaar dat ontstaat als gebrui­kers de default-inlog­ge­ge­vens van hun apparaten en systemen niet wijzigen. Dit is een veel­voor­ko­mend probleem bij onder meer Internet of Things (IoT) toepassingen.