WatchGuard: Remote Access Software steeds vaker misbruikt

Hackers hebben hun pijlen steeds vaker gericht op Remote Access Software. Daarnaast zijn er nieuwe tech­nieken in omloop voor het stelen van wacht­woorden en infor­matie. Ook maken cyber­cri­mi­nelen de overstap van het gebruik van scripts naar het toepassen van andere ‘living-off-the-land’-technieken om een aanval op eind­points te starten. Dat conclu­deert Watch­Guard Tech­no­lo­gies in zijn meest recente Internet Security Report (ISR).

Het rapport beschrijft de belang­rijkste malwa­re­trends en netwerk- en endpoint­se­cu­ri­ty­drei­gingen die in het derde kwartaal van 2023 zijn geana­ly­seerd door onder­zoe­kers van het Watch­Guard Threat Lab. Een overzicht van de meest opval­lende bevin­dingen uit het ISR-rapport:

• Tools voor externe toegang steeds vaker ingezet voor hack­po­gingen – Hackers gebruiken steeds vaker Remote Access Tools en Software. Zo proberen ze lokale detec­tie­sys­temen te omzeilen. Deze conclusie onder­schrijft zowel de FBI als de CISA. Zo ontdekten de onder­zoe­kers een truc waarbij hackers via een nepversie van Team­Viewer volledige toegang kregen tot het systeem van het slachtoffer.
• Medusa-ransom­ware veroor­zaakt stijging ransom­w­are­aan­vallen – In eerste instantie leek het aantal gede­tec­teerde endpoint-ransom­w­are­aan­vallen af te nemen in Q3. Het tegen­over­ge­stelde bleek waar te zijn toen het Threat Lab ook de Medusa-malware in het vizier kreeg. Deze variant werd gede­tec­teerd met een standaard signature van de geau­to­ma­ti­seerde signature engine van het Threat Lab en verscheen voor het eerst in de top-10 van malwa­re­be­drei­gingen. Met deze variant in acht genomen steeg het aantal ransom­ware-aanvallen met 89% ten opzichte van het vorige kwartaal.
• Minder scripts, meer ‘living-off-the-land’-technieken – Het gebruik van scha­de­lijke scripts als aanvals­me­thode daalde met 11% in Q3, na een afname van 41% in Q2. Toch zijn aanvallen gebaseerd op scripts nog steeds de meest voor­ko­mende aanvals­me­thode, goed voor 56% van het totaal aantal cyber­aan­vallen. Hierbij gebruiken hackers scripts zoals PowerS­hell voor het opzetten van zogeheten ‘living-off-the-land’-aanvallen. De aanval­lers maken daarbij gebruik van bestaande, legitieme bestanden en programma’s op het systeem van het slacht­offer. Dit is een bewezen tactiek om detectie te vermijden.
  De living-off-the-land­stra­tegie blijft onver­min­derd populair en is de meest voor­ko­mende aanvals­me­thode gericht op endpoints. Naast een toename in PowerS­hell-aanvallen zagen onder­zoe­kers ook Windows living-of-the-land binaries (uitvoer­bare bestanden) met 32% toenemen. Waar­schijn­lijk is dat het gevolg van de striktere security van PowerS­hell en andere scripttalen.
• Aanvallen via versleu­telde verbin­dingen minder populair – Bijna de helft (48%) van alle gede­tec­teerde malware is afkomstig via versleu­telde verbin­dingen. Dat aandeel is aanzien­lijk lager dan in eerdere kwartalen. Over het algemeen namen de totale malwa­re­de­tec­ties met 14% toe.
• Dropper-familie Stacked groeit in popu­la­ri­teit – In Q3 behoorden vier van de vijf vaakst gede­tec­teerde versleu­telde malwa­re­ge­vallen tot een familie van e‑mailgebaseerde droppers die scha­de­lijke payloads afleveren. Cyber­cri­mi­nelen gebruiken deze kwaad­aar­dige software om andere scha­de­lijke programma’s of codes te instal­leren op een doel­sys­teem. Met uitzon­de­ring van één variant in de top‑5 behoorde elke variant tot de dropper-familie Stacked. Aanval­lers versturen deze droppers als bijlage bij een spearphis­hing­mail. Deze e‑mails lijken afkomstig van een bekende afzender en beweren een factuur of belang­rijk document ter beoor­de­ling te bevatten. Het doel hierbij is om eind­ge­brui­kers te misleiden om malware te down­lo­aden. Twee van de Stacked-varianten, Stacked.1.12 en Stacked.1.7, verschenen ook in de top-10 meest voor­ko­mende malwaredetecties.
• Malware wordt steeds meer gestan­daar­di­seerd en gemak­ke­lijker beschik­baar – Een nieuwe malwa­re­fa­milie genaamd Lazy.360502 is opgedoken in de top-10 van de belang­rijkste malwa­re­be­drei­gingen. Het verspreidt de adware-variant 2345explorer en de Vidar-wacht­woord­dief. Deze malware heeft connec­ties met een Chinese website, die een creden­tial-stealer aanbiedt en lijkt te func­ti­o­neren als een ‘as-a-service’-dienst voor het stelen van wacht­woorden. Cyber­cri­mi­nelen kunnen hier betalen voor gestolen inloggegevens.
• Het aantal netwerk­aan­vallen nam in Q3 toe met 16% – Proxy­Logon was de meest aange­vallen kwets­baar­heid bij netwerk­aan­vallen en verte­gen­woor­digde 10% van alle gede­tec­teerde netwerkinbreuken.

Securitybewustzijn vergroten

“Het drei­gings­land­schap verandert voort­du­rend en aanval­lers gebruiken steeds nieuwe tools en methoden. Orga­ni­sa­ties moeten daarom op de hoogte blijven van de laatste ontwik­ke­lingen en hun secu­ri­ty­s­tra­tegie aanpassen”, zegt Corey Nachreiner, Chief Security Officer bij Watch­Guard. “Moderne bevei­li­gings­op­los­singen, zoals firewalls en endpoint­se­cu­rity-software, kunnen netwerken en apparaten beter beschermen. Maar bij social engi­nee­ring-aanvallen speelt de eind­ge­bruiker een cruciale rol in het voorkomen van inbraken door kwaad­wil­lende actoren. Daarom is het essen­tieel dat orga­ni­sa­ties hun mede­wer­kers trainen in het herkennen van social engi­nee­ring en een geïn­te­greerde secu­ri­ty­aanpak volgen die meerdere verde­di­ging­slagen omvat. Managed service providers kunnen hierbij van grote waarde zijn.”

Net als bij de vorige ISR’s is alle gebruikte data gebaseerd op verza­melde, anonieme drei­gings­in­for­matie van actieve Watch­Guard-oplos­singen. Watch­Guard gebruikt alleen gegevens van eigenaars die daarvoor expliciet toestem­ming hebben gegeven.

Het complete Q3 2023 Internet Security Report is hier te downloaden.