Specjaliści z Cisco Talos przygotowali niedawno podsumowanie minionego roku w kontekście najważniejszych cyberzagrożeń. Ich zdaniem w 2022 organizacje mogą spodziewać się jeszcze większej aktywności cyberprzestępców, którzy sprytnie wykorzystują znane im narzędzia i sposoby ataków, a także stają się jeszcze bardziej ostrożni, przez co trudniej ich zidentyfikować.

Spis treści:
Nowe – stare cyberzagrożenia
Grupy cyberprzestępców stają się coraz bardziej hermetyczne
Nowe – stare cyberzagrożenia
Jak podkreślają eksperci Cisco Talos, aktywność cyberprzestępców w 2022 r. będzie w dużej mierze wynikiem incydentów, które obserwowaliśmy w roku minionym, a nawet jeszcze wcześniej. Niektóre zagrożenia stanowią bowiem nową odsłonę znanych wirusów. W grudniu głośno było o podatności w zabezpieczeniach powszechnie wykorzystywanej biblioteki Log4j, używanej w systemach osadzonych w sieci, jak również w powiązanych usługach i aplikacjach. Ten kryzys pokazał, że skutki pojedynczej luki mogą być bardzo rozległe. Zdaniem specjalistów z zespołu reagowania Cisco Talos jeszcze przez długi czas będziemy obserwowali konsekwencje podatności Log4j, gdyż część atakujących mogła uzyskać dostęp do firmowych sieci i obecnie pozostaje w ukryciu planując kolejne kroki i czekając na dogodny moment.

Powszechność niektórych narzędzi IT sprawia, że cyberprzestępcy mogą przeprowadzać ataki na znacznie większą skalę. Nie trzeba już obierać za cel konkretnego przedsiębiorstwa. Gdy obiektem ataku staje się dostawca usług zarządzanych (ang. Managed Service Provider) lub oprogramowanie open source, zagrożone są wszystkie organizacje, które z nich korzystają.

Specjaliści z Cisco Talos zwracają uwagę na fakt niedawnego odrodzenia się Emotetu, botnetu odpowiedzialnego za dystrybucję złośliwego oprogramowania. Zagrożenie znane od wielu lat powraca w nieco zmienionej formie i uruchamia program Cobalt Strike służący do przeprowadzania testów penetracyjnych, co sprawia, że działa na kluczowych zasobach niezauważone przez systemy bezpieczeństwa.

Grupy cyberprzestępców stają się coraz bardziej hermetyczne
Rządy zaostrzają działania na rzecz walki z cyberprzestępcami. Przykładowo w Stanach Zjednoczonych cyberataki typu ransomware zyskały taki sam priorytet jak zagrożenia terrorystyczne, a dochodzenia prowadzone w tym obszarze mają być koordynowane na poziomie centralnym. Zdaniem specjalistów z Cisco Talos sprawi to, że cyberprzestępcy staną się jeszcze bardziej ostrożni, zmienią pseudonimy, którymi się posługują, aby utrudnić identyfikację przedstawicielom organów ścigania i będą jeszcze baczniej przyglądać się osobom, które zechcą do nich dołączyć. Podobne procesy zaobserwowano na forach hakerskich, takich jak XSS i Exploit, gdzie pojawiły się dodatkowe ograniczenia dotyczące możliwości sprzedaży oprogramowania ransomware. Odnotowano również przypadki usuwania postów i blokowania użytkowników.

Specjaliści ds. cyberbezpieczeństwa muszą mieć przede wszystkim otwarte głowy. Z jednej strony nie tracić czujności i nie lekceważyć znanych form ataków, które mogły z czasem nieco ewoluować, z drugiej bacznie obserwować różne środowiska, w których mogą działać cyberprzestępcy np. grupy związane z oprogramowaniem open source.

Źródło: Cisco Talos.

O ile ciężko jest jednoznacznie przewidzieć, w którym kierunku podążą cyberprzestępcy w 2022 roku, można śmiało szacować, że ataki na duże organizacje oraz te związane z wyłudzaniem okupów (ang. ransomware) będą rosły w siłę. Ponieważ warto uczyć się na błędach, eksperci Cisco przygotowali zestawienie wybranych, najważniejszych wydarzeń z 2021 roku, których analiza pozwoli lepiej przygotować się na to, co może nadejść w rozpoczynającym się 2022 r.

Świat dopiero staje na nogi po jednej z najgroźniejszych kampanii cyberprzestępców i jednym z największych ataków w sieci – SolarWinds. Ostatnie dwanaście miesięcy nie oszczędzało społeczności specjalistów odpowiadających za cyberbezpieczeństwo, przynosząc kolejne wyzwania i zagęszczając mapę zagrożeń. Eksperci ds. bezpieczeństwa w sieci mieli w tym czasie do czynienia niemal z każdym typem cyberincydentów – począwszy od odciętych od sieci rurociągów naftowych, przez podmioty związane z cyberterroryzmem finansowane przez rządy, po wyciek danych całej platformy do streamingu gier, Twitch.

Styczeń:

Chociaż atak na łańcuch dostaw SolarWinds został odnotowany po raz pierwszy w grudniu 2020 roku, jego skutki były odczuwalne jeszcze na początku 2021 r. Co więcej, wiele pytań związanych z tą kampanią nadal pozostaje bez odpowiedzi.

„Łowcy sami stali się zwierzyną”. Analitycy cyberbezpieczeństwa z całej branży zaczęli być celami cyberprzestępców sponsorowanych przez obce rządy. Kilku analityków Cisco Talos znalazło się wśród osób, do których kierowane były złośliwe linki i wiadomości w mediach społecznościowych z fałszywymi kontami mającymi na celu wyłudzenie informacji.

Luty:

Ekspertom Cisco Talos udało się porozmawiać z operatorem złośliwego oprogramowania typu ransomware Lockbit. Dzięki temu otrzymali cenny wgląd w krajobraz ransomware-as-a-service oraz zyskali rzadką relację z pierwszej ręki na temat tego, jak atakujący wybierają swoje cele.

Trend związany z bezplikowym złośliwym oprogramowaniem nasilił się wraz z pojawieniem się trojana Masslogger. Ten wariant miał na celu wykradanie danych uwierzytelniania.

Rok 2021 nie pozostawił żadnych złudzeń, cyberprzestępcy pracowali dla tych, którzy oferowali najwyższą cenę. Nie byli oni do końca wprost „sponsorowani” przez konkretne państwo atakując inne kraje, ale np. korzystali z ochrony (lub bierności) państwa, z terytorium którego działali. Pierwszą oznaką tego zjawiska była ewolucja działań grupy cyberprzestępców Gamaredon.

Marzec:

Kiedy eksperci i analitycy ds. cyberbezpieczeństwa analizowali jeszcze i rozkładali na czynniki pierwsze SolarWinds, na scenie pojawili się nowi gracze, określający się jako HAFNIUM, którzy wykorzystali kilka luk zero-day w Microsoft Exchange Server.

Najbardziej niebezpieczna okazała się jedna z luk ujawnionych w ramach tej kampanii, „ProxyLogon”. Atakujący mogli wykorzystać ją, aby docelowo przejąć całkowitą kontrolę nad serwerem.

Kwiecień:

Pomimo tego, że szczepionki przeciwko COVID-19 były już powszechnie dostępne, nadal nie oznaczało to powrotu do „regularnego” trybu pracy w biurach. Pracownicy wciąż używali różnych aplikacji do współpracy i komunikacji. Niestety atakujący przystosowali się równie szybko, przejmując zaufane serwery w celu rozprzestrzeniania złośliwego oprogramowania.

Maj:

Malware LemonDuck, zaobserwowany przez ekspertów Cisco Talos po raz pierwszy w 2020 roku, stał się bardziej zaawansowany. Złośliwe oprogramowanie zaczęło atakować podatne serwery Exchange z wyżej wymienionymi lukami, a atakujący dodali do swojego arsenału narzędzie Cobalt Strike, pierwotnie wykorzystywane do symulacji cyberataków i testów penetracyjnych, zmieniając je w złośliwego trojana.

Atakujący wykorzystujący ransomware DarkSide obrali sobie za cel Colonial Pipeline, największy rurociąg naftowy na wschodnim wybrzeżu USA. Wielu stanom groziło, że w ciągu kilku dni skończy się paliwo na stacjach benzynowych, a te, które nim dysponowały, momentalnie podniosły ceny. Stało się to sygnałem alarmowym dla infrastruktury krytycznej w USA.

Czerwiec:

Kilka tygodni po ataku na Colonial Pipeline, grupa DarkSide zawiesiła działalność, likwidując swój portal. Ostatecznie, zmienili nazwę, aby powrócić jako BlackMatter.

Firma JBS, zajmująca się masową dystrybucją mięsa na całym świecie, została zaatakowana przez oprogramowanie ransomware i ostatecznie musiała zapłacić 11 milionów dolarów okupu. Mimo że nie ucierpiał żaden poziom działalności operacyjnej przedsiębiorstwa, konsumenci w panice kupowali mięso w sklepach spożywczych w Stanach Zjednoczonych, obawiając się jego niedoboru.

Lipiec:

Był to kolejny miesiąc, kiedy atakujący zaczęli wykorzystywać zestaw błędów zero-days Microsoft, tym razem lukę w usłudze Print Spooler systemu Windows. Atak ten był znany pod określeniem „PrintNightmare”.

Obchodzony w Stanach Zjednoczony Dzień Niepodległości (4 lipca) w minionym roku nie był czasem wolnym dla specjalistów ds. cyberbezpieczeństwa. Musieli zmierzyć się z kolejnym atakiem na łańcuch dostaw. Tym razem cyberprzestępcy obrali za cel dostawcę usług zarządzanych Kaseya, aby zainfekować ofiary ransomware REvil.

Sierpień:

PrintNightmare znów o sobie przypomniał, tym razem jako exploit wykorzystywany przez grupę ransomware Vice Society. Zespołowi Cisco Talos Incident Response udało się wykryć wiele organizacji, które padły ofiarą ransomware’u w wyniku zastosowania tej techniki.

Wraz z rosnącą popularnością aplikacji do dzielenia się zasobami w Internecie, cyberprzestępcy znajdywali kolejne sposoby, aby wykorzystać je do ataków. Platformy typu „proxyware” pozwalają użytkownikom zarobić na dodatkowej przepustowości łącza, którą „wynajmują” innym. Jak wynika z badań Cisco, w niepowołanych rękach umożliwiają one wykorzystanie przepustowości sieci użytkowników bez ich wiedzy, działając w tle na zainfekowanym urządzeniu.

Wrzesień:

Atakujący podszywali się pod stronę Amnesty International, aby rozprzestrzeniać fałszywe antywirusy, które rzekomo usuwają oprogramowanie szpiegowskie Pegasus z urządzeń mobilnych. Zamiast tego, instalowało ono złośliwe oprogramowanie i wykradało informacje o ofiarach.

Telenowela, której głównym bohaterem jest ransomware-as-a-service rozpoczynała właśnie kolejny sezon, kiedy jeden z członków grupy cyberprzestępczej Conti (autorów oprogramowania ransomware o tej samej nazwie) ujawnił podręcznik jej działania. Dało to kilka wskazówek na temat sposobu funkcjonowania grupy.

Rosyjska grupa APT Turla dodała do swojego arsenału nowe oprogramowanie typu backdoor, które w zasadzie służy jako ostatnia deska ratunku, aby pozostać na maszynach ofiar.

Październik:

W krajobrazie zagrożeń pojawił się nowy program ładujący złośliwe oprogramowanie (ang. loader) o nazwie SQUIRRELWAFFLE.

Listopad:

Przy okazji kolejnej odsłony luk zero-day Microsoft ostrzegał o aktywnych atakach na Windows Installer, które mogły pozwolić cyberprzestępcom na podniesienie swoich uprawnień do poziomu administratora. W międzyczasie luki w serwerze Exchange nadal były celem ataku ransomware’u Babuk.

Amerykańskie organy ścigania aresztowały dwie osoby w związku z ich domniemanym udziałem w ataku na łańcuch dostaw firmy Kaseya w ramach działań grupy REvil. W związku z tym pojawiła się również informacja o nagrodzie w wysokości 10 milionów dolarów za wszelkie informacje prowadzące do aresztowania lidera REvil.

W Stanach Zjednoczonych podpisano ustawę infrastrukturalną o wartości 1 biliona dolarów, która umożliwiła m.in. dostęp do 2 miliardów dolarów finansowania inwestycji związanych z bezpieczeństwem cybernetycznym. Samorządy lokalne będą mogły ubiegać się o dotacje w 2022 r. w celu zwiększenia bezpieczeństwa infrastruktury krytycznej i szkoleń z zakresu cyberbezpieczeństwa.

Po zlikwidowaniu na początku 2021 r. trojana Emotet przez międzynarodowe organy ścigania, botnet znów wypłynął na powierzchnię i wykazuje oznaki życia.

Grudzień:

Eksperci Talos odkryli serię kampanii złośliwego oprogramowania autorstwa cyberprzestępcy o pseudonimie „Magnat”. Wykorzystuje on fałszywe rozszerzenie dla przeglądarki Google Chrome.

Luka Log4j rujnuje wszystkim sezon świąteczny, zmuszając zespoły cyberbezpieczeństwa do pracy w godzinach nadliczbowych, a programistów do ciągłego wprowadzania łatek.

Źródło: Cisco.

Jeśli chodzi o bezpieczeństwo, decyzja o tym, na co przeznaczyć zasoby, ma kluczowe znaczenie. Aby zrobić to optymalnie, firmy muszą wiedzieć, jakie zagrożenia na tym polu mają największą szansę pojawić się w ich organizacjach w niedalekiej przyszłości i jaki mogą mieć na nie wpływ. Wyzwanie polega na tym, że peleton najbardziej aktywnych niebezpieczeństw zmienia się niezwykle dynamicznie, a częstotliwość poszczególnych ataków jest bardzo zróżnicowana. Dlatego tak pomocna staje się wiedza na temat kluczowych trendów w krajobrazie zagrożeń. Może ona dostarczyć amunicji do skutecznej obrony i informacji co do tego, gdzie najlepiej alokować zasoby.

Spis treści:
Organizacje i złośliwa aktywność DNS
Cryptomining
Phishing
Trojany
Ransomware
Skuteczne zapobieganie atakom
Sektor IT
Sektor usług finansowych
Opieka zdrowotna
Sektor produkcji
Szkolnictwo wyższe
Administracja rządowa
Zapobieganie udanym atakom
Eksperci Cisco, analizując ruch z platformy Umbrella przyglądają się aktywnościom, które występują w środowisku zagrożeń, analizując jednocześnie ruch na zainfekowanych stronach i protokoły DNS. Robią to, patrząc na organizację jako całość, a dopiero na kolejnym etapie analizują liczby punktów końcowych, które mogą potencjalnie łączyć się ze złośliwymi witrynami oraz liczby zapytań, które te strony otrzymują. Działania te pozwalają uzyskać wgląd w to, jak wielu użytkowników klika w zainfekowane linki w poczcie e-mail, jak bardzo aktywne są wirusy typu RAT (remote acces trojan) lub czy cryptomining nadal rośnie w siłę. Zebrane dane mogą być źródłem wiedzy o tym, gdzie należy zainwestować większe zasoby, czy np. na szkolenia z zakresu bezpieczeństwa czy obszary, w których należy zbudować poradniki dotyczące tego, jak polować na cyberzagrożenia.
Analizując zapytania DNS wysyłane do podejrzanych domen oraz tych zainfekowanych konkretnymi wirusami w okresie od stycznia do grudnia 2020 roku, eksperci Cisco przejrzeli szereg trendów związanych z cyberzagrożeniami. Na tej podstawie wyróżnili te, z którymi organizacje mogą zetknąć się najczęściej.

Organizacje i złośliwa aktywność DNS
Według danych Cisco Umbrella, w 86 procent organizacji przynajmniej jeden użytkownik próbował połączyć się z witryną phishingową, prawdopodobnie poprzez kliknięcie w link znajdujący się w wiadomości.
Co ciekawe, podobne scenariusze pojawiają się w innych kategoriach:
W 70 procent organizacji znaleźli się użytkownicy, którym prezentowano złośliwe reklamy w przeglądarce.
51 procent firm spotkało się z aktywnością związaną z ransomware.
48 procent organizacji wykryło złośliwe oprogramowanie wykradające informacje.

Cryptomining
Nie jest zaskoczeniem, że ten typ ataków generował najwięcej ruchu DNS spośród wszystkich kategorii. Podczas, gdy ta forma ataków jest często preferowana przez cyberprzestępców w celu generowania niewielkich dochodów, jest on stosunkowo łatwy do odnotowania po stronie DNS, ponieważ regularnie pinguje serwery, prosząc o więcej mocy obliczeniowej.
Ich częstotliwość w dużej mierze pokrywa się z wahaniami wartości popularnych kryptowalut.

Phishing
Ilość aktywności DNS związanych z phishingiem utrzymywała się na dość stabilnym poziomie przez cały rok, z wyjątkiem grudnia, w którym odnotowano 52-procentowy wzrost w okresie świątecznym. Jeśli chodzi o liczbę punktów końcowych odwiedzających strony phishingowe, znaczący wzrost nastąpił w sierpniu i wrześniu. Ma to związek m.in. z bardzo dużą kampanią phishingową pomiędzy lipcem a wrześniem.

Trojany
Podobnie jak w przypadku cryptominingu, trojany rozpoczęły rok bardzo mocno. Niezwykle wysoka liczba punktów końcowych łączących się z witrynami trojanów była w dużej mierze spowodowana przez Ursnif/Gozi oraz IcedID – dwa groźne wirusy znane z tego, że współpracują ze sobą w celu rozprzestrzeniania ransomware. Tylko te dwa złośliwe programy stanowiły 82% trojanów zaobserwowanych na punktach końcowych w styczniu. Ponadprzeciętne wyniki ze stycznia były prawdopodobnie związane z kampanią świąteczną prowadzoną przez atakujących, a następnie wraz z upływem roku spadły i ustabilizowały się.
W drugiej połowie roku, pod koniec lipca przebudził się natomiast Emotet, jeden z groźniejszych trojanów ostatnich lat, generując ogromny ruch, który narastał przez cały wrzesień. Tylko to zagrożenie jest odpowiedzialne za duży wzrost aktywności DNS w okresie od sierpnia do września. W sumie zatknęło się z nim 45% organizacji.

Ransomware
Przez większą część roku dominowały dwa kluczowe zagrożenia typu ransomware – jedno pod względem zasięgu, drugie pod względem głębokości działania. Począwszy od kwietnia, liczba komputerów zaatakowanych przez Sodinokibi (znany jako REvil) znacznie wzrosła i rosła aż do jesieni. Wzrost ten był na tyle znaczący, że 46 procent organizacji zetknęło się z tym zagrożeniem. We wrześniu ogólna liczba zapytań dotyczących tej konkretnej grupy ransomware wzrosła pięciokrotnie w porównaniu z sierpniem, co prawdopodobnie wskazało na to, że ładunek ransomware był aktywowany na wielu zaatakowanych systemach.
To jednak nadal kropla w morzu w porównaniu z aktywnością wirusa Ryuk, który jest w dużej mierze odpowiedzialny za listopadowo-grudniowy skok aktywności. Był on tak wysoka, że wpłynęła na ogólną aktywność w pozostałej części roku. Jednak liczba punktów końcowych łączących się z domenami powiązanymi z Ryukiem pozostawała stosunkowo niewielka i stała przez cały rok, wykazując jedynie niewielki wzrost przed gwałtownym wzrostem aktywności zapytań. Podsumowując Sodinokibi atakuje dużą liczbę punktów końcowych, żądając mniejszego okupu. Ryuk atakuje znacznie mniej systemów, żądając znacznie większego okupu.

Skuteczne zapobieganie atakom
„Dane wykorzystane do zilustrowania tych trendów pochodzą z Cisco Umbrella, usługi bezpieczeństwa dostarczanej w chmurze, która obejmuje zabezpieczenia DNS, bezpieczną bramę internetową, zaporę sieciową i funkcje brokera bezpieczeństwa dostępu do chmury (CASB) oraz informacje o zagrożeniach” – mówi Łukasz Bromirski, Engineering Product Manager, Cisco Security Business Group.
„W każdym z tych przypadków złośliwe działanie zostało zatrzymane przez Umbrella. Użytkownik, który kliknął w phishingową wiadomość e-mail, nie był w stanie połączyć się ze złośliwą witryną” – dodaje Artur Czerwiński, Dyrektor ds. Technologii, Cisco Polska.
Umbrella łączy wiele funkcji bezpieczeństwa w jednym rozwiązaniu, dzięki czemu można rozszerzyć ochronę na urządzenia, użytkowników zdalnych i rozproszone lokalizacje w dowolnym miejscu. Umbrella to najprostszy sposób na skuteczną ochronę użytkowników w dowolnym miejscu w ciągu kilku minut.
Dodatkowo, narzędzie Umbrella Investigate zapewnia najbardziej kompletny obraz zależności i ewolucji domen internetowych, adresów IP i plików, pomagając w identyfikowaniu infrastruktury napastników i przewidywaniu przyszłych zagrożeń. Żaden inny dostawca nie oferuje takiego samego poziomu interaktywnej informacji o zagrożeniach.
Trendy dotyczące bezpieczeństwa cyfrowego związane z poszczególnymi branżami
Oczywiście znajomość dominujących trendów w krajobrazie zagrożeń pozwala być lepiej przygotowanym do lokowania zasobów bezpieczeństwa tam, gdzie są one najbardziej potrzebne, jednak istotne jest także to, że różne branże są w różnym stopniu narażone na pewne typy zagrożeń. Na przykład, w branży usług finansowych można zaobserwować większą aktywność złodziei informacji, podczas gdy sektor produkcji może być bardziej narażony na oprogramowanie ransomware.

Sektor IT
Zdecydowana większość złośliwego ruchu DNS w sektorze technologicznym – branżą związaną z rozwojem i/lub dystrybucją produktów i usług IT – może być przypisana do dwóch kategorii: cryptomining i phishing. Tylko te dwie kategorie odpowiadały za 70 procent złośliwego ruchu w organizacjach z tego sektora. Nic dziwnego, że w IT zaobserwowano znacznie więcej ruchu związanego z cryptominingiem niż w jakiejkolwiek innej branży. Chociaż znaczną część tej aktywności można przypisać cyberprzestępcom, możliwe jest również, że większa wiedza na temat kryptowalut może skłonić pracowników tej branży do prób zainstalowania koparek kryptowalut na swoich komputerach firmowych, powodując blokady DNS w ramach Cisco Umbrella z powodu naruszenia polityki firmy.
Co ciekawe, sektor technologii odnotował drugi najwyższy poziom ruchu związanego z ransomware, głównie za sprawą ataków z wykorzystaniem Sodinobiki i Ryuk. Jednak niezwykle wysoki udział cryptominingu obniżył ogólny odsetek, który wyniósł sześć procent. Aktywność trojanów była również wysoka, biorąc pod uwagę, że Emotet i Trickbot zostały wykorzystane do dystrybucji Ryuka.

Sektor usług finansowych
W sektorze usług finansowych, to ataki phishingowe spowodowały najwyższy poziom złośliwego ruchu DNS. Eksperci Cisco analizujący krajobraz zagrożeń zaobserwowali o 60% więcej przypadków ataków tego typu niż np. w szkolnictwie wyższym. Możliwe, że sektor ten jest celem ataków phishingowych częściej niż inne, po prostu ze względu na bliskość celu końcowego wielu cyberprzestępców, jakim są pieniądze. Potwierdzeniem tej tezy jest fakt, że w sektorze usług finansowych zaobserwowano więcej zagrożeń polegających na kradzieży informacji niż w jakiejkolwiek innej branży.

Opieka zdrowotna
W branży ochrony zdrowia zaobserwowano więcej trojanów niż w jakimkolwiek innym sektorze, ale także większą niż gdzie indziej liczbę wirusów typu dropper, czyli tych służących do instalowania złośliwego kodu na komputerach ofiar. Większość aktywności opartych na trojanach można przypisać Emotetowi, ponieważ organizacje opieki zdrowotnej zostały mocno dotknięte przez to zagrożenie w 2020 roku. Prawie siedem na dziesięć trojanów zaobserwowanych w sektorze opieki zdrowotnej to Emotet. Dodając do tego bliskiego kuzyna Emoteta – Trickbota, otrzymujemy 83% całego ruchu związanego z trojanami.
Nie będzie zapewne zaskoczeniem, że ataki ransomware również zaznaczyły swoją obecność w sektorze opieki zdrowotnej. Szczególnie aktywny był Ryuk, bez wątpienia w związku z dużą aktywnością Emoteta. Sektor ten znalazł się na drugim miejscu pod względem ruchu związanego z ransomware.

Sektor produkcji
Podobnie jak w branży IT, aktywność w zakresie cryptominingu była również wysoka w sektorze produkcyjnym. Odnotowano mniej więcej połowę aktywności zaobserwowanej w sektorze technologicznym, ale co ciekawe, w produkcji było prawie trzy razy więcej punktów końcowych zaangażowanych w cryptomining. Krótko mówiąc, większa liczba maszyn skutkująca mniejszą aktywnością DNS prowadzi do wniosku, że te punkty końcowe miały mniejsze moce obliczeniowe w porównaniu do tych z sektora technologicznego. Możliwe, że zaatakowane maszyny były zaangażowane w sam proces produkcji, nawet związany z obszarem Internetu rzeczy. W takich przypadkach, cryptomining byłby prawdopodobnie wolniejszy, ale nadal mógłby wpływać na szybkość produkcji.
Okazuje się, że sektor produkcyjny jest również najbardziej narażony na ransomware. W branży tej odnotowano prawie tyle samo ataków związanych z ransomware, co w dwóch najbliższych branżach łącznie (technologie i ochrona zdrowia). Wydaje się to być wyraźnym sygnałem, że branża ta jest regularnie obierana za cel cyberprzestępców, prawdopodobnie ze względu na polowanie na dużych graczy i potencjalną zapłatę, jaką mogą otrzymać atakujący.

Szkolnictwo wyższe
Pandemia COVID-19 spowodowała zamknięcie kampusów na całym świecie, przejście na tryb zdalny i hybrydowy. Ponieważ zajęcia odbywały się online, wiele szkodliwych działań, które zostałyby zablokowane w uczelnianej infrastrukturze IT, pojawiło się w sieciach domowych studentów. Spowodowało to spadek aktywności cyberprzestępców w tym sektorze w wielu kategoriach począwszy od marca, a także znacznie niższe ogólne liczby w 2020 roku niż w latach poprzednich.
Nie oznacza to, że ich aktywność spadła gwałtownie, ponieważ niektóre działania wymagające dostępu do zasobów kampusu odnotowały swój udział w aktywności DNS. Na przykład, działania phishingowe zdołały uplasować szkolnictwo wyższe na drugim miejscu w zestawieniu branżowym. Firmy zajmujące się wydobywaniem kryptowalut również często celują w sektor szkolnictwa wyższego, próbując wyłudzić zasoby komputerowe lub okazyjny dostęp do przetwarzania w chmurze studentów, aby uruchomić swoje koparki.

Administracja rządowa
Spośród wszystkich analizowanych przez Cisco branż, sektor rządowy wydaje się być najbardziej równomiernie obłożony pod względem głównych kategorii ataków – phishingu, cryptominingu, ransomware i trojanów. W obszarze administracji publicznej, zaobserwowano także dość równomierny rozkład dla każdej z tych kategorii, patrząc z miesiąca na miesiąc.
Jedynym wyjątkiem od tego trendu był cryptomining, który odnotował niskie liczby w pierwszych trzech kwartałach roku, by w październiku skoczyć w górę, gdy wartości kryptowalut osiągnęły najwyższy poziom w 2020 roku i kontynuowały wzrost. Jednak liczby miesiąc do miesiąca nie ulegały wahaniom w ostatnim kwartale roku, pozostając w większości na tym samym wysokim poziomie w każdym miesiącu.

Zapobieganie udanym atakom
Nie ma wątpliwości, że analizowanie trendów w krajobrazie zagrożeń może przynieść korzyści. Wiedząc, gdzie pojawiają się ataki, łatwiej jest podjąć decyzję, gdzie należy alokować zasoby, aby się przed nimi bronić. Cryptomining i phishing są obecnie powszechnie spotykane, podobnie jak trojany takie jak Emotet i Trickbot, wykorzystywane do wdrażania oprogramowania ransomware, takiego jak Ryuk.
Oczywiście, różne sektory są narażone na różne zagrożenia w odmienny sposób, więc pomocne jest zrozumienie specyficznych trendów otaczających sektor, w którym działamy. Na przykład, ekspert z sektora usług finansowych powinien uważnie śledzić trendy związane z phishingiem, podczas gdy osoba odpowiedzialna za bezpieczeństwo w firmie produkcyjnej może chcieć przyjrzeć się bliżej oprogramowaniu ransomware.

Źródło: Cisco.