0 
0 A inteligência de ameaças da Fortinet a partir do segundo semestre de 2021 revela um aumento na automação e na velocidade dos ataques que demonstram estratégias mais avançadas de crimes cibernéticos persistentes que são mais destrutivas e imprevisíveis.
Além disso, a expansão da superfície de ataque de trabalhadores híbridos e TI híbrida é um ponto focal que os adversários cibernéticos estão tentando explorar. Para uma visão detalhada do relatório, bem como alguns importantes takeaways, leia o blog.
Derek Manky, Chefe, Security Insights & Global Threat Alliances, Fortinet: “A segurança cibernética é uma indústria rápida e dinâmica, mas eventos recentes de ameaças mostram velocidades incomparáveis nas quais os adversários cibernéticos estão desenvolvendo e executando ataques hoje. Novas e evoluídas técnicas de ataque abrangem toda a cadeia de mortes, mas especialmente na fase de armamento, mostrando uma evolução para uma estratégia de cibercrime mais avançada e persistente que é mais destrutiva e imprevisível.
“Para se proteger contra esse amplo escopo de ameaças, as organizações precisam implementar estratégias de prevenção, detecção e resposta alimentadas por IA com base em uma arquitetura de malha de segurança cibernética que permite uma integração muito mais rigorosa, maior automação, bem como uma resposta mais rápida, coordenada e eficaz às ameaças em toda a rede estendida.”
Log4j demonstra velocidade dramática de exploração que organizações enfrentam
As vulnerabilidades do Log4j que ocorreram no final de 2021 demonstram a velocidade crescente de exploração que os cibercriminosos estão tentando aproveitar a seu favor. Apesar de emergir na segunda semana de dezembro, a atividade de exploração aumentou rapidamente o suficiente, em menos de um mês, para torná-la a detecção de IPS mais prevalente de todo o segundo semestre de 2021.
Além disso, a Log4j tinha quase 50x o volume de atividade em comparação com o conhecido surto, ProxyLogon, que aconteceu no início de 2021. A realidade é que as organizações têm muito pouco tempo para reagir ou corrigir hoje, dadas as velocidades que os adversários cibernéticos estão empregando para maximizar novas oportunidades. As organizações precisam de sistemas de prevenção de intrusões (IPS) alimentados por IA e ML, estratégias agressivas de gerenciamento de patches e a visibilidade da inteligência de ameaças para priorizar essas ameaças que se propagam mais rapidamente na natureza para reduzir o risco global.
Adversários rapidamente mirando novos vetores através da superfície de ataque
Some lesser or low-lying threats have the potential to cause bigger problems in the future and are worthy of watching. An example is newly crafted malware designed to exploit Linux systems, often in the form of executable and linkable format (ELF) binaries. Linux runs the back-end systems of many networks and container-based solutions for IoT devices and mission-critical applications, and it is becoming a more popular target for attackers. In fact, the rate of new Linux malware signatures in Q4 quadrupled that of Q1 2021 with ELF variant Muhstik, RedXOR malware, and even Log4j being examples of threats targeting Linux.
A prevalência de ELF e outras detecções de malware Linux dobrou durante 2021. Esse crescimento em variantes e volume sugere que o malware Linux é cada vez mais parte do arsenal dos adversários. O Linux precisa ser protegido, monitorado e gerenciado como qualquer outro ponto final na rede com proteção avançada e automatizada de ponto final, detecção e resposta. Além disso, a higiene da segurança deve ser priorizada para fornecer proteção ativa contra ameaças para sistemas que possam ser afetados por ameaças baixas.
As tendências da Botnet mostram uma evolução mais sofisticada dos métodos de ataque
As tendências de ameaças demonstram que as botnets estão evoluindo para adotar técnicas mais novas e mais evoluídas de ataque cibernético. Em vez de serem principalmente monolíticos e focados principalmente em ataques DDoS, os botnets agora são veículos de ataque multiuso aproveitando uma variedade de técnicas de ataque mais sofisticadas, incluindo ransomware. Por exemplo, atores de ameaças, incluindo operadores de botnets como o Mirai, integraram explorações para a vulnerabilidade Log4j em seus kits de ataque.
Além disso, a atividade botnet foi rastreada associada a uma nova variante do malware RedXOR, que tem como alvo sistemas Linux para exfiltração de dados. Detecções de botnets que fornecem uma variante do malware RedLine Stealer também surgiram no início de outubro para encontrar novos alvos usando um arquivo com tema COVID. Para proteger redes e aplicativos, as organizações devem implementar soluções de acesso de confiança zero para fornecer privilégios de menor acesso, especialmente para proteger os pontos finais e dispositivos de IoT que entram na rede, bem como recursos automatizados de detecção e resposta para monitorar comportamentos anômalos.
Tendências de malware mostram cibercriminosos maximizando “tudo remoto”
Avaliar a prevalência de variantes de malware por região revela um interesse sustentado por adversários cibernéticos em maximizar o trabalho remoto e aprender vetor de ataque. Em particular, várias formas de malware baseado em navegador eram prevalentes. Isso muitas vezes toma a forma de iscas de phishing ou scripts que injetam código ou redirecionam os usuários para sites maliciosos.
Detecções específicas variam entre regiões globais, mas podem ser agrupadas em grande parte para aproveitar três mecanismos de distribuição amplos: executáveis do Microsoft Office (MSExcel/, MSOffice/), arquivos PDF e scripts de navegador (HTML/, JS/). Tais técnicas continuam a ser uma maneira popular para os cibercriminosos explorarem o desejo das pessoas pelas últimas notícias sobre a pandemia, política, esportes ou outras manchetes, e, em seguida, encontrar entradas de volta para as redes corporativas.
Com o trabalho híbrido e o aprendizado permanecendo uma realidade, há menos camadas de proteção entre malware e vítimas. As organizações devem adotar uma abordagem “trabalho de qualquer lugar” para sua segurança, implantando soluções capazes de seguir, habilitar e proteger os usuários, não importa onde eles estejam localizados. Eles precisam de segurança avançada no ponto final (EDR) combinado com soluções de acesso de confiança zero, incluindo ztna. O Secure SD-WAN também é fundamental para garantir uma conectividade WAN segura para a rede estendida.
Atividade de ransomware ainda alta e ficando mais destrutiva
Os dados revelam que o ransomware não diminuiu dos níveis máximos no último ano e, em vez disso, a sofisticação, a agressividade e o impacto do ransomware estão aumentando. Os atores de ameaças continuam a atacar organizações com uma variedade de cepas de ransomware novas e previamente vistas, muitas vezes deixando um rastro de destruição.
O ransomware antigo está sendo ativamente atualizado e aprimorado, às vezes com malware wiper incluído, enquanto outros ransomwares estão evoluindo para adotar modelos de negócios do Ransomware como serviço (RaaS). O RaaS permite que mais atores de ameaças aproveitem e distribuam o malware sem ter que criar o ransomware eles mesmos.
Um nível consistente de atividade maliciosa envolvendo várias cepas de ransomware foi observado, incluindo novas versões de Phobos, Yanluowang e BlackMatter. Os operadores da BlackMatter declararam que não atacariam organizações-alvo no setor de saúde e outros setores críticos de infraestrutura, mas o fizeram de qualquer maneira.
Os ataques de ransomware continuam sendo uma realidade para todas as organizações, independentemente da indústria ou tamanho. As organizações precisam adotar uma abordagem proativa com visibilidade, análise, proteção e remediação em tempo real, juntamente com soluções de acesso à confiança zero, segmentação e backup regular de dados.
Uma compreensão mais profunda das técnicas de ataque pode ajudar a parar os criminosos mais rapidamente
Analisar os objetivos de ataque dos adversários é importante para poder alinhar melhor as defesas contra a velocidade de mudança das técnicas de ataque. Para observar os resultados maliciosos de vários ataques, o FortiGuard Labs analisou a funcionalidade do malware detectado detonando as amostras de malware coletadas ao longo do ano. O resultado foi uma lista das táticas, técnicas e procedimentos individuais (TTPs) que o malware teria realizado se as cargas de ataque tivessem sido executadas.
Essa inteligência de alta resolução mostra que parar um adversário mais cedo é mais crítico do que nunca, e que, focando em um punhado dessas técnicas identificadas, em algumas situações uma organização poderia efetivamente desligar os métodos de ataque de um malware. Por exemplo, as três principais técnicas para a fase de “execução” representam 82% da atividade.
As duas principais técnicas para a obtenção de uma base na fase de “persistência” representam quase 95% da funcionalidade observada. Aproveitar essa análise pode ter um efeito dramático na forma como as organizações priorizam suas estratégias de segurança para maximizar sua defesa.
Protegendo contra adversários cibernéticos rápidos e sofisticados
À medida que os ataques continuam a se desenvolver em sofisticação e abrangem toda a superfície de ataque a velocidades aumentadas, as organizações precisam de soluções projetadas para interoperar em vez de funcionar isoladamente.
Proteger contra técnicas de ataque em evolução exigirá soluções mais inteligentes que saibam como ingerir inteligência de ameaças em tempo real, detectar padrões de ameaças e impressões digitais, correlacionar grandes quantidades de dados para detectar anomalias e iniciar automaticamente uma resposta coordenada. Os produtos point precisam ser substituídos por uma plataforma de malha de cibersegurança que fornece gestão centralizada, automação e soluções integradas que funcionam em conjunto.
FONTE: HELPNET SECURITY