A Constant State of Flux: il report di Trend Micro sulle minacce di cybersecurity che hanno colpito nel 2020

Ransomware

Un confronto tra i numeri delle nuove famiglie ransomware del 2019 e del 2020

I 10 settori maggiormente presi di mira dagli attacchi ransomware nel 2020

Il nuovo arrivato Egregor, che ha lasciato il segno negli ultimi mesi dell'anno, ha utilizzato in modo particolare la tecnica della doppia estorsione poiché ha perseguito obiettivi di alto profilo, comprese le principali aziende nel campo della vendita al dettaglio, dei giochi e delle risorse umane.

Attacchi alla supply chain

Sebbene le organizzazioni possano migliorare la propria sicurezza, i malintenzionati potrebbero comunque trovare il modo di accedere ai loro sistemi compromettendo quelli dei loro partner della supply chain. Sfruttando la relazione e la fiducia stabilite tra un'azienda obiettivo e i suoi partner, gli aggressori della supply chain potrebbero riuscire a mettere un piede nei sistemi aziendali.

Uno degli attacchi alla supply chain più recenti e pubblicizzati è venuto alla luce a dicembre sotto forma dell'attacco che ha coinvolto Orion, un software di gestione di rete ampiamente utilizzato e sviluppato da SolarWinds. Gli aggressori dietro l'attacco hanno inserito una vulnerabilità in alcune build di Orion che consentiva loro di compromettere i server che eseguono il software. Una volta che l'aggiornamento pertinente è stato installato dai clienti, gli aggressori sono stati in grado di implementare backdoor che garantissero loro l'accesso completo alle reti interessate e consentissero di eseguire varie attività dannose. Data la natura di alcuni obiettivi, comprese le principali agenzie governative USA, l'attacco avrebbe potuto avere conseguenze di vasta portata.

Truffe legate al Covid-19

Sfide del lavoro da remoto

Poiché le aziende hanno adottato accordi di lavoro da remoto in risposta alla pandemia, le reti private virtuali (Virtual Private Network, VPN) sono diventate strumenti preziosi per proteggere le connessioni di rete dalle minacce esterne. Ma, come qualsiasi software, le soluzioni VPN possono anche ospitare vulnerabilità che, se sfruttate, consentono agli aggressori di rubare informazioni proprietarie e di intercettare le comunicazioni sui sistemi dei loro obiettivi. Una vulnerabilità VPN, CVE-2019-11510, ha fatto segnare quasi 800.000 rilevamenti solo nel 2020 e nello stesso anno è stata coinvolta in attacchi in cui è stata sfruttata per la distribuzione di ransomware. Gli aggressori hanno anche trovato altri modi per incorporare le VPN nei loro attacchi: a settembre abbiamo scoperto un caso in cui un aggressore ha integrato in un programma di installazione VPN la backdoor Bladabindi che potrebbe essere utilizzata per raccogliere informazioni dalle macchine infette.

L'aumento del lavoro da remoto ha anche significato un aumento dell'uso di strumenti di comunicazione come Zoom, Slack e Discord. Questo, a sua volta, ha portato a un aumento degli attacchi che hanno preso di mira queste applicazioni: dagli scherzi di "Zoombombing" e i programmi di installazione di Zoom infetti, a una variante ransomware che sfrutta i webhook di Slack, a una campagna di spam tramite email che utilizza Discord per distribuire malware.

Il numero di rilevamenti per vulnerabilità VPN importanti nel 2020

Minacce per il cloud

Nel 2020, il cloud è diventato una componente ancora più integrante delle attività di molte aziende. Ma la corretta configurazione delle risorse e dei servizi in cloud ha continuato a rappresentare una sfida. Ad aprile, ad esempio, è stato segnalato che degli aggressori avevano rilasciato miner di criptovaluta su porte API del daemon Docker, configurate in modo errato tramite il malware Kinsing. E a ottobre abbiamo segnalato un attacco alle API Docker esposte che prevedeva l'uso dello shellcode Metasploit Framework (MSF) come payload: la prima volta che abbiamo osservato l'uso di tale tecnica.

Nel 2020, abbiamo anche pubblicato i nostri risultati su come gli aggressori traggono vantaggio dall'infrastruttura cloud clandestina. Nel mondo underground, i cyber criminali interagiscono e negoziano regolarmente tra loro. A volte delegano lo svolgimento delle attività comuni, trasformano in tal modo i servizi clandestini in commodity. Alcuni attori del mondo underground vendono anche l'accesso a raccolte di dati rubati pubblicizzati come "nuvole di log".

La catena di infezione del malware Kinsing

In che modo lo shellcode MSF è stato utilizzato per attaccare le API non correttamente configurate dei container

Attacchi ai dispositivi IoT

I cyber criminali hanno anche preso atto della maggiore dipendenza delle aziende e dei dipendenti dall'Internet delle cose (IoT). Questa dovrebbe essere una delle principali preoccupazioni poiché le reti e i dispositivi domestici potrebbero essere oggetto di attacco da parte degli aggressori per ottenere l'accesso alle reti aziendali a cui sono connessi. I router sono particolarmente vulnerabili, soprattutto perché la sicurezza a casa di un dipendente non è così rigida come presso la postazione di lavoro aziendale.

Nel 2020 abbiamo registrato un aumento del numero totale di eventi di attacco in ingresso, che è più del triplo del conteggio del 2019, e del numero totale di eventi di attacco in uscita, che è quasi raddoppiato rispetto al 2019.