In het web gevangen: de kluwen van oude en nieuwe bedreigingen ontwarren

Bedreigingen in berichten

Zakelijke e-mail, dat belangrijke berichten van en naar het bedrijfsnetwerk omvat, vormt een aantrekkelijk platform voor cybercriminelen. Phishing en andere manieren van social engineering vormen dan ook de belangrijkste zorgen voor professionals op cyberbeveiligingsgebied. Ongewenste e-mails die professioneel zijn ontworpen en het juiste zakelijk jargon bevatten, kunnen een geadresseerde die regelmatig te maken krijgt met vergelijkbare e-mails, gemakkelijk op het verkeerde been zetten.  

In 2018 was er een stijging waar te nemen in het gebruik van verschillende soorten bedreigingen in berichten. Het opvallendst was een stijging van 82 procent in geblokkeerde toegang tot phishing-URL's door unieke IP-adressen van clients vergeleken met het voorafgaande jaar. Phishing wordt traditioneel via e-mail uitgevoerd. Bedreigingen die via e-mail worden verzonden zijn veel minder platformafhankelijk dan andere soorten aanvallen, zoals aanvallen die specifieke zwakheden uitbuiten.

Vergelijking van jaar tot jaar van geblokkeerde toegang tot phishing-URL's door unieke IP-adressen van clients (een computer waarop een link drie keer werd geopend, werd dus als één geval geteld)

Recentelijk hebben we, naast e-mails, ook phishing-aanvallen waargenomen via chat, sms en andere communicatiemethoden. De toename in het aantal phishing-aanvallen en de verschillende versies die circuleren, tonen aan dat cybercriminelen zich aanpassen aan de veranderende omgeving. Meer verbonden apparaten en een steeds groter aantal besturingssystemen betekenen dat het voor cybercriminelen niet langer zoveel oplevert om één systeem aan te vallen als in het verleden. Daarom richten ze zich op een oude, vertrouwde, maar nog steeds effectieve aanvalsmethode.

Een vorm van aanvallen via berichten die ook meer werd gebruikt in 2018 was die van Business Email Compromise (BEC). Bij een typische BEC-aanval worden berichten door een aanvaller geïnitieerd of onderschept. Het doel is om een bedrijfsmedewerker die over de bevoegdheden beschikt om fondsen vrij te geven of over te maken in de val te lokken.

Het totale aantal BEC-aanvallen was laag, maar een geslaagde poging kan leiden tot grote financiële verliezen voor het bedrijf dat doelwit is. Phishing-aanvallen werden daarentegen breed ingezet tegen een aantal mogelijke slachtoffers, omdat succes bij slechts een klein percentage gebruikers voor aanvallers al zeer winstgevend zou zijn.

Kritieke kwetsbaarheden

Het jaar in beveiliging begon met de baanbrekende onthulling van Meltdown en Spectre, kwetsbaarheden op processorniveau die zwakke plekken in de speculatieve uitvoering van CPU-instructies uitbuitten. Deze nieuwe typen kwetsbaarheden golden voor verschillende microprocessors en hadden nieuwe CPU-aanvallen evenals grote problemen bij bestrijding tot gevolg. Zelfs aan het einde van het jaar bestond er nog geen duidelijke oplossing voor deze zwakheden in de micro-architectuur.

Nog een betreurenswaardige nieuwigheid in 2018 was de ontdekking van een kritieke zwakke plek in Kubernetes, de open-sourcesoftware voor cloudorkestratie. Gelukkig kon voor deze specifieke zwakheid snel een patch worden geïmplementeerd.

De meeste kwetsbaarheden worden aangetroffen en vervolgens op verantwoorde wijze onthuld door beveiligingsonderzoekers en -leveranciers, zodat ze niet in grootschalige aanvallen kunnen worden gebruikt. Maar openbaarmaking van een zwakke plek aan het grote publiek betekent ook dat dreigingsspelers hiervan op de hoogte komen. Het is dus van vitaal belang dat er een oplossing wordt gevonden voordat de informatie wordt vrijgegeven. Dreigingsspelers maken actief gebruik van zwakheden om besturingssystemen aan te vallen.

Er zijn recentelijk geen grootschalige zero-day-exploit-aanvallen vastgesteld. Dit in tegenstelling tot het verleden, waarbij er per jaar zo'n twee à drie grote zero-day-aanvallen plaatsvonden. De aanvallen die in 2018 werden ontdekt hadden een beperkte reikwijdte. Cybercriminelen maakten ook misbruik van kwetsbaarheden waarvoor al een patch was ontwikkeld. Ze gingen daarbij duidelijk uit van de aanname dat veel gebruikers correcties niet snel, of helemaal niet, implementeren. 

Aanzienlijke aanvallen in 2018 met uitbuiting van bekende kwetsbaarheden waarvoor patches zijn uitgebracht

Van de kwetsbaarheiden die in 2018 zijn aangetroffen, bestond een aanzienlijk percentage uit software die wordt gebruikt in ICS-systemen (industriële controlesystemen). De meeste van deze kwetsbaarheden bevonden zich in HMI-software (Human-Machine Interfaces) voor deze industriële controlesystemen en SCADA-omgevingen (Supervisory Control And Data Acquisition). De HMI is de belangrijkste hub voor bewaking, beheer en implementatie van de status van verschillende processen in faciliteiten. Door een kritieke HMI-kwetsbaarheid uit te buiten, zou een aanvaller de functionaliteit van de fysieke onderdelen van een bedrijfsfaciliteit kunnen manipuleren. 

Trend Micro Research

Machine learning-oplossingen

• Ahead of the Curve: A Deeper Understanding of Network Threats Through Machine Learning
• Adversarial Sample Generation: Making Machine Learning Systems Robust for Security
• Uncovering Unknown Threats With Human-Readable Machine Learning

Verbonden ziekenhuizen, energieleveranciers, waterbedrijven

• Exposed and Vulnerable Critical Infrastructure: Water and Energy Industries
• The Fragility of Industrial IoT’s Data Backbone
• Securing Connected Hospitals: A Research on Exposed Medical Systems and Supply Chain Risks

Onderzoek naar en uitschakeling van cybercriminelen

• The Rise and Fall of Scan4You
• The Evolution of Cybercrime and Cyberdefense