0 
0 Os cibercriminosos estão se tornando mais estratégicos e profissionais em relação ao ransomware . Eles estão cada vez mais imitando como as empresas legítimas operam, inclusive alavancando uma crescente cadeia de fornecimento de crimes cibernéticos como serviço.
Este artigo descreve quatro tendências principais de ransomware e fornece conselhos sobre como evitar ser vítima desses novos ataques.
1. IABs em ascensão
O cibercrime está se tornando mais lucrativo, como evidenciado pelo crescimento de agentes de acesso inicial (IABs) especializados em violar empresas, roubar credenciais e vender esse acesso a outros invasores. Os IABs são o primeiro elo na cadeia de eliminação do crime cibernético como serviço, uma economia paralela de serviços prontos que qualquer criminoso pode comprar para construir cadeias de ferramentas sofisticadas para executar quase qualquer ofensa digital imaginável.
Os principais clientes dos IABs são operadores de ransomware, que estão dispostos a pagar pelo acesso a vítimas prontas enquanto concentram seus próprios esforços na extorsão e na melhoria de seu malware.
Em 2021, havia mais de 1.300 listagens de IABs nos principais fóruns de crimes cibernéticos monitorados pelo KELA Cyber Intelligence Center, com quase metade vindo de 10 IABs. Na maioria dos casos, o preço do acesso ficou entre US$ 1.000 e US$ 10.000, com um preço médio de venda de US$ 4.600. De todas as ofertas disponíveis, credenciais de VPN e acesso de administrador de domínio estavam entre as mais valiosas .
2. Ataques sem arquivo voam sob o radar
Os cibercriminosos estão se inspirando em ameaças persistentes avançadas (APT) e invasores de estado-nação, empregando técnicas de vida fora da terra (LotL) e sem arquivos para melhorar suas chances de evitar a detecção para implantar ransomware com sucesso.
Esses ataques utilizam ferramentas de software legítimas e publicamente disponíveis, muitas vezes encontradas no ambiente de um alvo. Por exemplo, 91% dos ataques de ransomware DarkSide envolveram ferramentas legítimas, com apenas 9% usando malware, de acordo com um relatório da Picus Security. Outros ataques foram descobertos que eram 100% sem arquivo.
Dessa forma, os agentes de ameaças evitam a detecção evitando indicadores “ruins conhecidos”, como nomes de processos ou hashes de arquivos. As listas de aplicativos permitidos, que permitem o uso de aplicativos confiáveis, também não restringem usuários mal-intencionados, especialmente para aplicativos onipresentes.
3. Grupos de ransomware direcionados a alvos de baixo perfil
O ataque de ransomware Colonial Pipeline de alto perfil em maio de 2021 afetou a infraestrutura crítica de forma tão severa que desencadeou uma resposta internacional e governamental de alto nível .
Esses ataques de manchetes provocam escrutínio e esforços conjuntos das agências de aplicação da lei e de defesa para agir contra os operadores de ransomware, levando à interrupção de operações criminosas, bem como prisões e processos. A maioria dos criminosos prefere manter suas atividades sob o radar. Dado o número de alvos potenciais, as operadoras podem se dar ao luxo de serem oportunistas, minimizando o risco para suas próprias operações. Os agentes de ransomware tornaram-se muito mais seletivos no direcionamento das vítimas, possibilitados pelos firmográficos detalhados e granulares fornecidos pelos IABs.
4. Insiders são tentados com um pedaço do bolo
Os operadores de ransomware também descobriram que podem recrutar funcionários desonestos para ajudá-los a obter acesso. A taxa de conversão pode ser baixa, mas a recompensa pode valer a pena o esforço.
Uma pesquisa da Hitachi ID realizada entre 7 de dezembro de 2021 e 4 de janeiro de 2022 descobriu que 65% dos entrevistados disseram que seus funcionários foram abordados por agentes de ameaças para ajudar a fornecer acesso inicial. Insiders que mordem a isca têm diferentes razões para estarem dispostos a trair suas empresas, embora a insatisfação com seu empregador seja o motivador mais comum.
Seja qual for o motivo, as ofertas feitas por grupos de ransomware podem ser tentadoras. Na pesquisa da Hitachi ID, 57% dos funcionários contatados receberam ofertas inferiores a US$ 500.000, 28% receberam ofertas entre US$ 500.000 e US$ 1 milhão e 11% receberam ofertas superiores a US$ 1 milhão.
Passos práticos para melhorar a proteção
As táticas em evolução discutidas aqui aumentam a ameaça dos operadores de ransomware, mas há medidas que as organizações podem tomar para se proteger:
- Siga as práticas recomendadas de confiança zero, como autenticação multifator (MFA) e acesso de privilégio mínimo, para limitar o impacto de credenciais comprometidas e aumentar a chance de detectar atividades anômalas.
- Concentre-se na mitigação de ameaças internas, uma prática que pode ajudar a limitar ações maliciosas não apenas de funcionários, mas também de atores externos (que, afinal, parecem ser internos depois de obterem acesso).
- Conduza a busca regular de ameaças, o que pode ajudar a detectar ataques sem arquivos e agentes de ameaças que trabalham para evitar suas defesas antecipadamente.
Os invasores estão sempre procurando novas maneiras de se infiltrar nos sistemas das organizações, e as novas manobras que estamos vendo certamente aumentam as vantagens que os cibercriminosos têm sobre as organizações que não estão preparadas para ataques. No entanto, as organizações estão longe de serem impotentes. Ao seguir as etapas práticas e comprovadas descritas neste artigo, as organizações podem tornar a vida muito difícil para IABs e grupos de ransomware, apesar de sua nova variedade de táticas.
FONTE: DARK READING