Da quando la pandemia COVID-19 ha iniziato a diffondersi in tutto il mondo, abbiamo assistito ad attacchi informatici che hanno colpito le aziende in pieno caos. Warren Buffett una volta ha dichiarato: “Non lasciate che una buona crisi vada sprecata”. I cyber criminali hanno da tempo sottoscritto questo mantra, ed è chiaro dal loro comportamento dei mesi scorsi che stanno continuando a seguirlo. Tuttavia, mentre alcuni attaccanti hanno intensificato gli sforzi per massimizzare i profitti in tempi di crisi, il loro approccio non è sostanzialmente cambiato.
Infatti, nuove ricerche di Microsoft indicano che gli attacchi malware legati al coronavirus sono stati “solo un blip” nel volume totale delle minacce che tipicamente rilevano ogni mese. Il carattere e l’impatto globale della crisi hanno semplicemente facilitato il lavoro dei cyber criminali che continuano a utilizzare gli stessi metodi collaudati che hanno funzionato da molto prima del 2020: trovare un modo per entrare, mirare all’accesso privilegiato per sbloccare le porte e raggiungere l’obiettivo. È con questo spirito che abbiamo voluto esaminare la tecnica di intrusione preferita dagli aggressori – il phishing – e una scelta diffusa del malware – il ransomware.
Phishing: accedere sfruttando l’ingegneria sociale
I cyber criminali sono gli psicologi per eccellenza. Studiano attentamente il comportamento umano per scoprire cosa ci entusiasma – e cosa ci porta a “fare clic”. Capiscono che le persone desiderano ordine e sicurezza, sono curiose e vogliono rimanere informate. Il phishing si alimenta di questi bisogni umani fondamentali e continua a essere altamente efficace. Secondo il DBIR 2020, è la forma numero uno di violazione sociale.
Prendiamo ad esempio gli attacchi di phishing di Office 365. Anche se non sono di per sé una novità, negli ultimi mesi abbiamo osservato un “colpo di scena” in questo approccio che mira a token temporanei (aka access token) generati per consentire il Single Sign-On (SSO) per Microsoft 365 e tutte le applicazioni Microsoft. Rubando e utilizzando questi token temporanei, gli aggressori possono bypassare l’autenticazione multifattore (MFA) e persistere in rete “legittimamente” aggiornando il token. Inoltre, anche se un utente cambia la propria password, il token rimane valido e non può essere revocato.
Le applicazioni video e chat – come Microsoft Teams, Slack, WebEx, Zoom e Google Hangouts – sono diventate il nuovo volto dell’organizzazione in questo periodo di lavoro a distanza. Gli aggressori le hanno aggiunte alla loro lista di phishing, utilizzando le stesse tecniche generali che usano da sempre con la posta elettronica.
All’interno di queste applicazioni SaaS, possono facilmente distribuire file e codici pericolosi, e persino GIF per impossessarsi dei dati degli utenti, rubare le credenziali e rilevare account aziendali completi. Oppure, compromettendo le identità digitali dei dipendenti – in particolare di utenti privilegiati come gli amministratori di sistema – gli aggressori possono sviluppare la persistenza e accedere ai dati sensibili inclusi in questi strumenti di collaborazione – report giornalieri, dati finanziari, IP e altro ancora.
Ransomware: Attacchi di opportunità
Il ransomware è più efficace quando si mira a informazioni critiche e time-sensitive. Con l’intensificarsi della pandemia, le segnalazioni di ransomware che hanno coinvolto ospedali e fornitori di servizi sanitari hanno sottolineato le conseguenze pericolose, anche mortali, di questi attacchi. Comprendendo che i tempi di inattività possono fare la differenza tra la vita e la morte, i cyber criminali hanno colpito queste organizzazioni, sapendo che spesso sarebbero disposte a pagare ingenti riscatti per ripartire in tempi brevi.
In questo periodo, gli aggressori hanno esteso la loro attenzione a un nuovo settore: le aziende di ricerca e sviluppo e di biotecnologia che lavorano per trovare una cura per il coronavirus. Con il progredire della ricerca sui vaccini, i criminali informatici hanno aumentato gli attacchi.
Gli aggressori APT lanciano attacchi RDP o prendono di mira gli endpoint dei dipendenti in cerca di credenziali privilegiate per entrare, muoversi lateralmente, restarci a lungo e rubare poco a poco le ricerche sensibili. In alcuni casi, possono attendere settimane o addirittura mesi per iniettare il ransomware. Le ricerche di Microsoft mostrano come i gruppi criminali utilizzino i ceppi popolari, come Robbinhood, Maze e REvil, per lanciare attacchi APT di questo tipo.
Nessuna organizzazione è al sicuro dal ransomware. Si tratta di un vettore di attacco ampiamente utilizzato che continua a crescere in popolarità grazie alle più rischiose abitudini di lavoro da remoto e all’aumento del ricorso a Ransomware-as-a-Service.
Ciò che è cambiato in questo periodo di incertezza è la narrazione. Gli incidenti di sicurezza e le violazioni legate a COVID-19 sono amplificati dalla copertura frenetica delle notizie e dei social media. Il pubblico, affamato di informazioni e aggiornamenti, è attratto dal dramma e i titoli dei giornali su sofisticate truffe e ransomware hanno fatto notizia. Per questo oggi la sicurezza è uno dei principali temi di conversazione.
Ora tocca a voi: non lasciate che una buona crisi vada sprecata
Non siamo ancora fuori pericolo e c’è ancora molto da imparare, soprattutto in questo momento in cui le aziende valutano cambiamenti permanenti nelle loro policy di lavoro a distanza. Ma questa prima fase ha rivelato alcune importanti verità sul modo in cui le persone si comportano e operano e su come le aziende debbano adattarsi a questa nuova realtà.
Ora è il momento di esaminare le vostre misure di sicurezza – in particolare come state proteggendo gli accessi privilegiati – e tracciare il vostro percorso per il cambiamento. Cogliendo questa opportunità, potete proteggere la vostra azienda da ogni eventuale perdita e rafforzare la vostra postura di sicurezza per garantirvi il successo oggi e in futuro.
A cura di Lavi Lazarovitz, Head of Security Research di CyberArk
