Lug 28, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, Minacce, Ransomware, RSS, Vulnerabilità 0

Gli attacchi di estorsione superano i ransomware nella classifica delle minacce più diffuse: secondo il report trimestrale di Cisco Talos Incident Response, le estorsioni sono aumentate del 25% rispetto al primo trimestre, arrivando a rappresentare il 30% degli attacchi, mentre al secondo posto ci sono i ransomware con un aumento del 17%.

Al contrario dei ransomware, gli attacchi di estorsione non eseguono un malware per cifrare i file, ma si “limitano” a sottrarre dati e chiedere ingenti somme di denaro alle aziende, pena la pubblicazione dei dati sensibili. In ogni caso, i dati si riconfermano come la fonte di valore maggiore non solo per le imprese, ma anche per i cybercriminali.

Tra i settori più colpiti da questi attacchi ci sono il sanitario (22% degli attacchi) e la finanziario, seguiti dai servizi di pubblica utilità come elettricità e gas.

Credits: nito103- Depositphotos

Tra i gruppi di estorsione più attivi, Talos segnala i gruppi BianLian e Clop; generalmente associati ad attività di ransomware, questi due gruppi hanno spostato la loro attenzione sugli attacchi di estorsione.

I ricercatori di Talos hanno individuato per la prima volta le attività di RansomHouse e Karakurt, entrambi attivi dal 2021. Mentre il primo ha sfruttato per lo più vulnerabilità dei sistemi, il secondo si è affidato al phishing e alla violazione delle credenziali.

Nel trimestre preso in esame, gli attaccanti hanno ottenuto l’accesso iniziale ai sistemi sfruttando credenziali compromesse e account validi; questo vettore rappresenta il 40% degli accessi totali, un aumento del 22% rispetto al trimestre precedente. Difficile affermare con certezza come i cybercriminali abbiano attenuto le credenziali per accedere ai sistemi: nella maggior parte dei casi sono state ottenute tramite dispositivi al di fuori della visibilità dell’azienda (per esempio credenziali salvate sui dispositivi personali dei dipendenti).

Tra i vettori d’attacco più diffusi ci sono stati anche lo sfruttamento delle vulnerabilità applicative e l’uso di tecniche di phishing, sia tramite allegati email che tramite link.

Oltre gli attacchi di estorsione: i ransomware

Tra le campagne ransomware più significative del Q2 2023, oltre alle già conosciuto LockBit e Royal, Talos ha individuato per la prima volta le attività dei gruppi 8Base e MoneyMessage.

Il primo è un gruppo che utilizza una versione custom del ransomware Phobos e, pur essendo attivo da quasi un anno, ha cominciato a guadagnare popolarità soltanto lo scorso giugno, aumentando significativamente la propria attività.

MoneyMessage, al contrario, è apparso per la prima volta lo scorso marzo. Come 8Base, questo gruppo segue il modello della doppia estorsione.

Pixabay

I principali punti deboli della sicurezza

Il report di Talos ha evidenziato che nel 40% delle compromissioni la mancata o inadeguata implementazione dell’autenticazione multi-fattore ha giocato un ruolo fondamentale per il successo degli attaccanti. Secondo i ricercatori, gran parte di questi attacchi si sarebbero potuti prevenire semplicemente abilitando la MFA per i servizi critici, almeno nel 90% dei casi.

In altri casi osservati, l’autenticazione a più fattori è stata aggirata tramite attacchi MFA fatigue nei quali gli attaccanti hanno inviato molteplici richieste di login agli utenti, fino a ottenere l’accesso “per sfinimento”.

Per rendere l’MFA ancora più efficace, le imprese dovrebbero assicurarsi che gli utenti sappiano immediatamente chi contattare in caso di richieste multiple di accesso. Talos consiglia inoltre di disabilitare l’accesso VPN a tutti gli account che non hanno ancora abilitato l’MFA, e di estenderla progressivamente a tutti gli utenti.

I ricercatori hanno inoltre individuato un elevato numero di accessi che hanno sfruttato gli account di fornitori esterni, spesso con privilegi troppo estesi per il loro ruolo. Il consiglio è di ridurre i privilegi d’accesso a quelli minimi e disabilitare gli account quando non sono necessari.

Il controllo dei privilegi andrebbe comunque esteso a tutti gli account e agli utenti che hanno accesso ai sistemi, definendo livelli di accesso per ogni tipo di utente con i privilegi minimi per svolgere le loro attività.