Trend Micro-onderzoek: ‘Opgepast voor ransomware die zich richt op industriële systemen’

Nieuw onderzoek van Trend Micro naar de groeiende risico’s van downtime en de diefstal van gevoelige gegevens na ransom­ware-aanvallen die specifiek zijn gericht op indu­striële orga­ni­sa­ties geeft inzicht in het gevaar van deze aanvallen op indu­striële systemen.

Deze zoge­naamde Indu­strial Control Systems (ICS) vormen een cruciaal onderdeel van fabrieken, utility-bedrijven en andere indu­striële bedrijven waar veel gebruik wordt gemaakt van indu­striële processen en IT/OT-netwerken. Wanneer deze systemen besmet raken met ransom­ware, kan het zomaar zijn dat een fabriek dagen plat ligt en dat gevoelige data, waaronder ontwerpen en programma’s, ineens opduiken op het dark web.

Het onderzoek van Trend Micro laat zien dat Ryuk (20%), Nefilim (14.6%), Sodi­no­kibi (13.5%) en LockBit (10.4%) garant staan voor meer dan de helft van alle ICS ransom­ware-besmet­tingen in 2020. Het rapport wijst tevens uit dat cyber­cri­mi­nelen ICS-endpoints ook relatief vaak infec­teren om cryp­to­cur­ren­cies te minen. Ze gebruiken hiervoor onge­patchte bestu­rings­sys­temen die nog kwetsbaar zijn voor EternalBlue.

Om de security van deze systemen, die ook vaak worden ingezet in de zoge­naamde kritieke infra­struc­tuur in België, op een hoger plan te brengen, doet Trend Micro de volgende aanbevelingen:

• Direct patchen is cruciaal. Als dit niet mogelijk is, overweeg dan netwerk­seg­men­tatie of virtuele patching.
• Pak ransom­ware aan voor het binnen is gedrongen door de root causes van de infectie te mitigeren via appli­ca­tion control software. Gebruik ook threat detection & response-tools om netwerken te scannen op IoC’s.
• Verbied netwerk-shares en zorg dat werk­ne­mers een sterke gebrui­kers­naam en wacht­woord­com­bi­natie gebruiken om zo onge­au­to­ri­seerde toegang te voorkomen middels creden­tial brute forcing.
• Maak gebruik van IDS of IPS om normaal netwerk­ge­bruik in kaart te brengen en zo beter verdachte acti­vi­teiten te kunnen ontdekken.
• Scan ICS endpoints in air-gapped omge­vingen met stan­da­lone tools.
• Zet een USB malware scanning kiosk op om te checken of verwij­der­bare drives worden gebruikt voor het uitwis­selen van data tussen air-gapped endpoints.
• Pas de principe van ‘least privilege’ toe aan OT netwerk admins en operators.

Het volledige onder­zoeks­rap­port dat specifiek voor deze markt is gemaakt, is hier te vinden.