Le vulnerabilità software non patchate spianano la strada ai ransomware

Giu 01, 2023 Marina Londei Approfondimenti, Attacchi, Campagne malware, Hacking, Mercato e Statistiche, Minacce, Minacce, Ransomware, RSS 0

Kaspersky ha pubblicato il suo Incident Response report, indagine annuale sugli incidenti di cybersicurezza e dei malware analizzati. Il report, relativo al 2022, ha evidenziato che quasi il 46% degli attacchi registrati, per lo più ransomware, ha colpito organizzazioni in Russia e della Comunità degli Stati Indipendenti; a seguire troviamo il Medio Oriente, con il 22,5% degli attacchi, le Americhe, col 14,3%, e l’Europa, con il 13,3% degli attacchi.

A livello di settore, gli enti governativi sono stati i più colpiti, subendo quasi il 20% degli attacchi; seguono le realtà del settore finanziario, col 18,37% degli attacchi, e l’industria, col 17,35% degli attacchi.

Le vulnerabilità software hanno rappresentato ancora una volta il vettore iniziale più diffuso per gli attacchi. Il trend è rimasto stabile negli ultimi 4 anni, segno che la presenza di vulnerabilità conosciute ma non patchate è il modo più efficace per ottenere l’accesso ai sistemi. Segue l’uso di account compromessi e di email con allegati malevoli.

Freepik

Il 39,8% degli incidenti è stato causato da un attacco ransomware: i dati cifrati rappresentano il problema più sentito dalle organizzazioni. Anche in questi casi gli attaccanti hanno sfruttato per la maggior parte le vulnerabilità delle applicazioni pubbliche sul web.

Durata degli attacchi e tempi di risposta

Il 2022 è stato caratterizzato per lo più di attacchi di breve durata: nel 69,4% dei casi gli attacchi sono durati ore, al massimo giorni, e solo il 16,3% degli attacchi è durato un mese o più. In entrambi i casi il ransomware è stato il tipo di attacco con i maggiori impatti, sia in termini di costi di ripristino che di perdita di dati.

Se si guarda ai tempi di risposta, per gli attacchi di breve durata le organizzazioni hanno impiegato in media poco più di due giorni e mezzo per contrastare l’attacco, ripristinare i sistemi e indagare sull’accaduto.

Come sottolinea Kaspersky, avere un buon piano di risposta agli attacchi è fondamentale per ridurre l’impatto degli incidenti. Il monitoraggio continuo dei sistemi è indispensabile per individuare i primi segnali di un possibile attacco e prendere provvedimenti prima che si verifichi.

Pixabay

Nell’analisi di Kaspersky è emerso che la presenza di file cifrati e di attività sospette nella rete aziendale sono forti indicatori di attacchi ransomware in corso: rispettivamente, nel 40% e nel 30% dei casi questi segnali si sono poi rivelati effettivi attacchi per la cifratura e l’estorsione dei dati aziendali.

I tool più usati e le vulnerabilità più comuni

Il 46% degli incidenti di sicurezza analizzati da Kaspersky è legato all’uso di tool. Quasi la metà degli attacchi ha utilizzato strumenti legittimi del sistema operativo, tattica nota come LOLbin – Living Off the Land bin che permette agli attaccanti di minimizzare l’impronta sul sistema operativo e mascherare la loro attività. A questi si aggiungono tool di attacco reperibili su GitHub, come Mimikatz e AdFind, e framework commerciali come Cobalt Strike.

Le vulnerabilità più sfruttate dagli attaccanti nel 2022 sono le stesse del 2021 e riguardano per la maggior parte falle presenti in Microsoft Exchange. I cybercriminali continuano inoltre a usare le vulnerabilità di Apache Log4j, riuscendo a eseguire codice remoto.

Pixabay

Per proteggere la propria organizzazione, Kaspersky consiglia di implementare policy di autenticazione robuste utilizzando l’autenticazione multi-fattore, rimuovere l’accesso pubblico dalle porte per la gestione dei device, impostare una policy zero-tolerance per la gestione delle patch e assicurarsi che i dipendenti siano consapevoli dei rischi di sicurezza dell’azienda.

Per migliorare l’individuazione e la risposta agli attacchi è fondamentale usare uno stack di sicurezza con telemetria EDR, testare regolarmente i tempi di reazione dei tool di sicurezza ed eventualmente migliorare le configurazioni, e implementare regole per l’individuazione di strumenti pervasivi usati dagli attaccanti.

Infine, gli esperti di sicurezza consigliano il backup regolare dei dati e l’addestramento continuo dei team di sicurezza per rimanere aggiornati sulle ultime minacce e sulle vulnerabilità più comuni.

Condividi l'articolo