Wytyczanie nowych granic: Roczny raport na temat stanu bezpieczeństwa cybernetycznego Trend Micro 2021

Wobec rosnącego uzależnienia pracowników od komunikacji za pomocą poczty elektronicznej złośliwi aktorzy ponownie zintensyfikowali kampanie phishingowe jako skuteczne narzędzie rozprzestrzeniania złośliwych programów, takich jak Emotet. Służyła im do tego celu także obfitość krążących po całym świecie informacji dotyczących pandemii i rozwoju szczepionki, a Covid-19 stał się głównym motywem przewodnim e-maili phishingowych. Próby phishingu, które zostały wykryte i zablokowane przez oparte na interfejsie API rozwiązanie Trend Micro Cloud App Security chroniące zarówno użytkowników indywidualnych, jak i organizacje przed zagrożeniami dla aplikacji i usług w chmurze, wzrosły prawie dwukrotnie w porównaniu z rokiem 2020. Prawie dwie trzecie z tych prób stanowiły wiadomości spam, a pozostałe to próby wyłudzania poświadczeń. Ta druga metoda polega na nakłonieniu użytkowników do podawania swoich poświadczeń na fałszywych stronach logowania, natomiast phishing za pomocą spamu jest szerszą kategorią, której celem jest zdobycie informacji o użytkowniku.

Porównanie wykrywalności phishingu spamowego i prób wyłudzania danych uwierzytelniających w 2021 roku
Źródło: Trend Micro Cloud App Security

Wzrostowi prób phishingu towarzyszył równocześnie spadek liczby prób wyłudzania danych za pośrednictwem wiadomości e-mail lub inaczej BEC (ang. Business Email Compromise). Za tym trendem nie stoi jednak naszym zdaniem wyłącznie spadek zainteresowania cyberprzestępców tego rodzaju atakami czy zmniejszenie ich aktywności. Może to raczej wynikać z coraz większej skuteczności w omijaniu reguł antyspamowych przez wiadomości BEC, co byliśmy w stanie śledzić: za pomocą Trend Micro Cloud App Security w 2021 roku udało się wykryć i zablokować więcej prób BEC dzięki analizie nadawców — czyli porównywaniu wiadomości spoofingowej ze stylem pisania domniemanego nadawcy — niż w roku poprzednim.

Porównanie odsetka prób BEC zablokowanych na podstawie analizy autorstwa (kolor biały) oraz prób BEC zablokowanych na podstawie analizy zachowania i zamiarów (kolor czarny) w 2020 i 2021 roku
Źródło: Trend Micro Cloud App Security

Pomimo dostępności poprawek wiele luk, które są od dawna znane, jest nadal wektorami ataków. W cyberprzestępczym podziemiu utrzymywał się trend wykorzystywania luk znanych nawet od 2005 roku. Nasze badanie przeprowadzone w 2021 roku wykazało, że prawie jedna czwarta exploitów, którym handlowano w podziemiu, dotyczyła luk znanych od co najmniej 3 lat.

Niezałatane luki w zabezpieczeniach doprowadziły w 2021 roku do kilku ważnych incydentów. Jedną z takich luk był błąd Log4Shell (CVE-2021-44228) występujący w Apache Log4j, opartym na języku Java narzędziu do logowania. Pozwalał on intruzom na wysyłanie spreparowanych komunikatów dziennika uruchamiających dowolny kod. Błąd Log4Shell został po raz pierwszy zgłoszony do Apache w listopadzie i zwrócił uwagę branży bezpieczeństwa i technologii ze względu na rozległość wymaganej poprawki. Mimo że społeczność Apache wydała poprawkę w grudniu, błąd ten wciąż był używany jako wektor nielegalnych aktywności, w tym kradzieży danych, wydobywania kryptowalut i ataków ransomware.

W 2021 roku pojawiły się również luki w Microsoft Exchange Server. Do złośliwych działań wciąż wykorzystywane były błędy ProxyLogon (CVE-2021-26855) i ProxyShell (CVE-2021-34473 i CVE-2021-34523) pomimo dostępności poprawki. Korzystali z nich głównie operatorzy programu ładującego Squirrelwaffle do uzyskiwania dostępu i przejmowania kont e-mail swoich ofiar.