0
0
Estudo revela que invasores levam aproximadamente 16 horas para penetrar ferramentas importantes das empresas, como o Active Directory, e focam em intervalos fora do horário comercial
Uma análise dos comportamentos e ferramentas utilizadas por cibercriminosos durante o primeiro semestre, feita pela equipe do Sophos X-Ops, descobriu que o tempo médio de permanência dos invasores — intervalo desde o início de um ataque até o momento em que ele é detectado — diminuiu de dez para oito dias, considerando todos os tipos de incidentes, e para cinco dias em casos de ataques de ransomware. No ano passado, o tempo médio de permanência já havia sido reduzido de 15 para dez dias.
Além disso, a equipe do Sophos X-Ops constatou que, em média, se leva menos de um dia — aproximadamente 16 horas — para que um invasor acesse o Active Directory (AD), uma das ferramentas mais cruciais para as empresas. O AD geralmente gerencia a identidade e o acesso aos recursos de uma organização, o que significa que os invasores podem utilizá-la para acessar informações preciosas de um sistema para fazer login e realizar uma ampla variedade de atividades maliciosas.
“Atacar a infraestrutura do AD de uma companhia faz sentido do ponto de vista ofensivo, afinal, ele é geralmente o sistema mais poderoso e privilegiado da rede, pois fornece amplo acesso a aplicativos, recursos e dados que os invasores podem explorar nos ataques. Quando os cibercriminosos têm poder sobre o AD, podem controlar toda a organização. O impacto, o escalonamento e a sobrecarga de recuperação de um ataque desse tipo são os motivos pelos quais esse servidor costuma ser o alvo”, explica John Shier, CTO de campo da Sophos.
Segundo ele, acessar e obter controle da estrutura AD na cadeia de ataque oferece diversas vantagens aos invasores. Eles podem permanecer sem ser detectados para escolher o próximo movimento e, quando prontos, podem explorar a rede da vítima sem impedimentos. “Por isso, a recuperação total de um domínio comprometido pode ser um esforço demorado e árduo. Tal incidente prejudica a base de segurança da qual a infraestrutura de uma organização depende e, muitas vezes, um ataque bem-sucedido ao AD significa que uma equipe de segurança precisa começar do zero”, completa o executivo.
De acordo com o estudo da Sophos, o tempo de permanência em casos de incidentes de ransomware também diminuiu. Eles foram o tipo de ataque mais predominante nas amostras analisadas, representando 69% das investigações, e o intervalo médio de permanência foi de apenas cinco dias. Em 81% dos casos envolvendo ransomware, a parte final do golpe foi lançada fora do horário comercial e, entre aqueles que foram implementados durante o horário de trabalho, poucos ocorreram em um dia de semana.
O número de ataques detectados ainda aumentou com o passar dos dias das semanas, principalmente ao examinar aqueles que envolvem ransomware. Quase metade (43%) deles foram identificados às sextas ou sábados.
“De certa forma, temos sido vítimas do nosso próprio sucesso. À medida que a adoção de tecnologias como XDR e serviços como o MDR cresce, também aumenta a nossa capacidade de detectar ataques mais cedo. A redução dos tempos de detecção leva a uma resposta mais rápida, o que se traduz em um intervalo mais curto. Ao mesmo tempo, os criminosos têm aprimorado suas táticas, especialmente os grupos de ransomware experientes e com bons recursos, que continuam a acelerar os ataques diante de melhores defesas”, diz Shier.
Mas ele chama a atenção para o fato de que isso não significa que coletivamente estejamos mais seguros — ponto evidenciado pelo nivelamento dos tempos de permanência de ataques que não são de ransomware. “Os invasores ainda estão entrando nas redes e, quando não há limite de tempo, eles tendem a demorar. Tal cenário mostra como é indispensável estar atento, com recursos e monitoramento proativo contínuo, para garantir que os criminosos sejam parados. São em casos como esses que ferramentas como o MDR podem realmente fechar a lacuna entre atacantes e defensores pois, mesmo que as empresas não estejam os observando, fornecedores de cibersegurança, como a Sophos, estão”, finaliza Shier.
O relatório “Active Adversary Report for Tech Leaders 2023” é baseado nas investigações de resposta a incidentes da Sophos em relação a 25 setores ao redor do mundo, no período de janeiro a julho. As organizações-alvo estão localizadas em 33 países diferentes, em seis continentes. Oitenta e oito por cento dos casos vieram de organizações com menos de mil funcionários.
FONTE: CISO ADVISOR