Un état de flux constant: Rapport annuel sur la cybersécurité Trend Micro 2020

Ransomwares

Comparaison du nombre de nouvelles familles de ransomwares en 2019 et 2020

Les 10 secteurs les plus ciblés par des attaques de ransomwares en 2020

Le petit dernier Egregor, qui a fait ses premiers pas dans les derniers mois de l'année, a notamment utilisé la technique de la double extorsion en s'attaquant à des cibles de premier plan, notamment de grandes organisations du commerce de détail, des jeux et des ressources humaines.

Attaques de chaîne d'approvisionnement

Les organisations ont peut-être amélioré leur sécurité, mais les acteurs malveillants pouvaient toujours trouver des moyens d'accéder à leurs systèmes en compromettant leurs partenaires au sein de leurs chaînes d'approvisionnement. En tirant parti de la relation et de la confiance établies entre une organisation cible et ses partenaires, les attaquants de la chaîne d'approvisionnement pouvaient pénétrer dans les systèmes de l'organisation.

L'une des attaques de chaîne d'approvisionnement les plus médiatisées récemment a été découverte en décembre sous la forme de l'attaque impliquant Orion, un logiciel de système de gestion de réseau très répandu, développé par SolarWinds. Les acteurs malveillants responsables de l'attaque ont inséré une vulnérabilité dans certaines versions d'Orion qui pouvaient permettre aux attaquants de compromettre les serveurs exécutant le logiciel. Une fois la mise à jour pertinente envoyée aux clients, les attaquants ont pu déployer des portes dérobées qui leur ont donné un accès complet aux réseaux concernés et leur ont permis d'effectuer diverses activités malveillantes. Compte tenu de la nature de certaines des cibles, y compris les principales agences gouvernementales des États-Unis, l'attaque pourrait avoir de lourdes conséquences.

Arnaques liées à la COVID-19

Les défis du travail à distance

Alors que les organisations ont mis en œuvre des accords de travail à distance en réponse à la pandémie, les réseaux privés virtuels (VPN) sont devenus des outils précieux pour protéger les connexions réseau contre les menaces externes. Mais comme tout logiciel, les solutions VPN pouvaient également héberger des vulnérabilités, qui, si elles étaient exploitées, permettaient aux attaquants de voler des informations propriétaires et de surveiller les systèmes de leurs cibles. Une vulnérabilité VPN, CVE-2019-11510, a représenté près de 800 000 détections rien qu'en 2020 et a été impliquée dans des attaques en 2020 où elle a été exploitée pour livrer des ransomwares. Les acteurs malveillants ont également trouvé d'autres moyens d'incorporer des VPN dans leurs attaques : en septembre, nous avons découvert une instance où un attaquant avait associé un programme d'installation VPN à la porte dérobée Bladabindi, qui pouvait être utilisée pour recueillir des informations sur les machines infectées.

L'essor du télétravail s'est également traduit par une augmentation de l'utilisation d'outils de communication tels que Zoom, Slack et Discord. Cela a conduit, à son tour, à une augmentation des attaques qui ont abusé de ces applications : des canulars « Zoombombing » et des programmes d'installation Zoom malveillants à une variante de ransomware qui a utilisé des webhooks Slack et une campagne de spams qui utilisait Discord pour diffuser des malwares.

Le nombre de détections de vulnérabilités VPN notables en 2020

Menaces cloud

En 2020, le cloud est devenu une composante encore plus intégrante des opérations de nombreuses organisations. Mais la bonne configuration des actifs et des services cloud est restée difficile. En avril, par exemple, il a été signalé que des attaquants avaient déposé des programmes d’extraction de crypto-monnaie sur des ports API du démon Docker mal configurés via le malware Kinsing. En octobre, nous avons signalé une attaque contre des API Docker exposées qui impliquait l'utilisation du shellcode Metasploit Framework (MSF) en tant que charge. C'était la première fois que nous observions l'utilisation d'une telle technique.

En 2020, nous avons également publié nos résultats sur la manière dont les acteurs malveillants tirent parti de l'infrastructure cloud clandestine. Sur le marché clandestin, les cybercriminels interagissent régulièrement les uns avec les autres et font des transactions. De temps à autre, ils délèguent des tâches pour des tâches communes, ce qui rend les services clandestins plus pratiques. Certains participants clandestins vendent également l'accès à des données volées, annoncées comme des « nuages de journaux ».

La chaîne d'infection du malware Kinsing

Comment le shellcode MSF a été utilisé pour attaquer les API de conteneur mal configurées

Attaques IoT

Les cybercriminels ont également noté la dépendance croissante des organisations et des employés envers l'Internet des Objets (IoT). Cela devrait être une préoccupation majeure, car les réseaux et appareils résidentiels pourraient être utilisés de manière abusive par des attaquants pour accéder aux réseaux d'entreprise auxquels ils sont connectés. Les routeurs sont particulièrement vulnérables, d'autant plus que la sécurité au domicile d'un collaborateur n'est pas aussi stricte que dans les locaux d'une entreprise.

En 2020, nous avons constaté une augmentation du nombre total d'événements d'attaque entrante, qui représentait plus du triple du total de 2019, et du nombre total d'événements d'attaque sortante, qui a presque doublé par rapport à 2019.