Ransomwarebesmettingen eerste kwartaal al verdubbeld ten opzichte van 2021

Het totale aantal ransom­wa­re­be­smet­tingen was in het eerste kwartaal van dit jaar al verdub­beld ten opzichte van heel 2021. Dat conclu­deert Watch­Guard Tech­no­lo­gies in de nieuwste editie van het Internet Security Report. De secu­ri­ty­spe­ci­a­list signa­leert daarnaast een groei in Powerscript-aanvallen en kwaad­aar­dige cryptomining.

Het Internet Security Report infor­meert orga­ni­sa­ties over het actuele drei­gings­land­schap en draagt best practices voor IT-bevei­li­ging aan. Dit zijn de belang­rijkste conclu­sies uit het rapport voor Q1 2022:

Ransomware explodeert

Uit het Threat Lab’s Q4 2021 Internet Security Report bleek dat ransom­ware-aanvallen jaar-op-jaar een dalende trend vertoonden. In Q1 2022 kwam daar met een enorme explosie van ransom­ware-detecties veran­de­ring in. Opvallend is de verdub­be­ling van het aantal ransom­ware-aanvallen in Q1 ten opzichte van heel 2021.

Q4 2021 zag de ondergang van de beruchte Revil-cybergang. Daardoor ontstond ruimte voor een andere groep: LAPSUS$. De afper­sings­groep LAPSUS$, samen met vele nieuwe ransom­ware-varianten zoals BlackCat, dragen bij aan de groeiende ransom­wa­re­drei­ging.

De beruchte Apache Log4j2-kwets­baar­heid, ook bekend als Log4Shell, werd begin december 2021 openbaar gemaakt en debu­teerde dit kwartaal in de top-10 van netwerk­aan­vallen. Verge­leken met de IPS-detecties in Q4 2021 is de Log4Shell-hand­te­ke­ning in het eerste kwartaal van dit jaar bijna verdrievoudigd.

Log4Shell, dat in het laatste Internet Security Report van Watch­Guard als het belang­rijkste bevei­li­gings­in­ci­dent werd genoemd, trok de aandacht omdat het een perfecte 10.0 scoorde op CVSS. Dat is de maximale score voor een kwets­baar­heid. Ook is het wijd­ver­breide gebruik in Java-programma’s en het gemak waarmee de code kan worden uitge­voerd opzienbarend.

De comeback van Emotet zet door

Emotet is goed voor drie van de top 10-detecties en de meest wijd­ver­spreide malware dit kwartaal. In het laatste kwartaal van 2021 was deze malwa­re­va­riant al aan een comeback bezig. Dat ondanks verwoede pogingen om deze malware te stoppen. Trojan.Vita, die gericht was op Japan en ook in de top vijf van versleu­telde malware stond, en Trojan.Valyria maken beide gebruik van exploits in Microsoft Office om het botnet Emotet te downloaden.

Het derde aan Emotet gere­la­teerde malware-exemplaar, MSIL.Mensa.4, kan zich via aange­sloten opslag­ap­pa­raten verspreiden en was vooral gericht op netwerken in de VS. Uit gegevens van Threat Lab blijkt dat Emotet fungeert als de dropper, die het bestand downloadt en instal­leert vanaf een malware delivery-server.

Het totale aantal aanvallen op endpoints voor Q1 steeg met ongeveer 38% ten opzichte van het voor­gaande kwartaal. Scripts, met name PowerS­hell-scripts, waren de domi­ne­rende aanvals­vector. Scripts namen 88% van alle aanvallen op endpoints voor hun rekening.

PowerS­hell-scripts waren verant­woor­de­lijk voor 99,6% van de script­de­tec­ties in het eerste kwartaal. Daaruit blijkt dat aanval­lers over­stappen op bestands­loze en ‘living-off-the-land’-aanvallen met legitieme tools.

Legitieme cryptomining operaties geassocieerd met kwaadaardige activiteit

Alle drie de nieuwe toevoe­gingen aan de top malware domeinen lijst in Q1 waren gere­la­teerd aan Nanopool. Dit populaire platform aggre­geert cryp­to­cur­r­ency-mining­ac­ti­vi­teiten om gestage rende­menten mogelijk te maken. Deze domeinen zijn technisch gezien legitieme domeinen die gekoppeld zijn aan een legitieme orga­ni­satie. In tegen­stel­ling tot legitieme mining­ac­ti­vi­teiten zijn verbin­dingen met een mining­pool vrijwel altijd afkomstig van een besmet netwerk.

Bedrijven nog steeds gecon­fron­teerd met een breed scala aan unieke netwerk­aan­vallen
Het aantal unieke detecties bereikte het hoogste aantal sinds Q1 2019. De top-10 IPS-signa­tures waren goed voor 87% van alle netwerk­aan­vallen. Deze toename geeft aan dat geau­to­ma­ti­seerde aanvallen zich richten op een kleinere groep van poten­tiële slacht­of­fers. Bedrijven hebben echter nog steeds te maken met een breed scala aan aanvallen.

EMEA blijft hotspot voor malwarebedreigingen

Uit de totale regionale detecties van basis- en ontwij­kende malware blijkt dat Fireboxen in Europa, het Midden-Oosten en Afrika (EMEA) harder werden getroffen dan die in Noord‑, Midden- en Zuid-Amerika (AMER) met respec­tie­ve­lijk 57% en 22%, gevolgd door Azië-Pacific (APAC) met 21%.

“Het record voor jaar­lijkse ransom­ware-detecties zal dit jaar sneuvelen. Dat voor­spellen we op basis van de vroege ransom­ware-piek”, zegt Corey Nachreiner, chief security officer bij Watch­Guard. “We blijven er bij bedrijven op aandringen om zich niet alleen in te zetten voor de imple­men­tatie van eenvou­dige maar uiterst belang­rijke maat­re­gelen, maar ook voor een echte uniforme bevei­li­gings­aanpak. Een die orga­ni­sa­ties snel en efficiënt kunnen aanpassen om het snel veran­de­rende drei­gings­land­schap het hoofd te bieden.”