Nel presentare il suo Threat Report 2022 Sophos conferma il ruolo sempre più preponderante del ransomware nello scenario delle minacce informatiche e il devastante impatto che ha sui sistemi IT.
Il ransomware prospera grazie alla sua capacità di adattarsi e innovare, spiega in una nota Chester Wisniewski, principal research scientist di Sophos: “Per esempio, mentre le offerte RaaS (ransomware as a service, ndr) non sono certo una novità, negli anni precedenti il loro contributo principale era quello di portare il ransomware alla portata di cybercriminali meno qualificati o meno ben finanziati. Questo è cambiato e, nel 2021, gli sviluppatori RaaS stanno investendo il loro tempo e le loro energie nella creazione di un codice sofisticato e nel determinare il modo migliore per ottenere pagamenti più elevati dalle proprie vittime e dalle compagnie di assicurazione. Adesso stanno delegando ad altri il compito di identificare le vittime, installare, eseguire il malware e riciclare le criptovalute rubate. Questo sta distorcendo il panorama delle minacce informatiche, e le minacce comuni, come i loader, i dropper e gli Initial Access Broker che erano in circolazione e causavano disagi ben prima dell’ascesa del ransomware, vengono risucchiati in questo buco nero. Chi si occupa di sicurezza informatica deve indagare sugli alert ricevuti, anche quelli che in passato potevano essere insignificanti, poiché queste intrusioni comuni sono diventate il punto d’appoggio necessario per prendere il controllo di intere reti“.
Il rapporto dei ricercatori dei SophosLabs, degli esperti di threat hunting del Sophos Managed Threat Response e del team Sophos IA, fornisce una prospettiva multidimensionale sulle cyberminacce e sui nuovi trend in atto nel mondo della security che le aziende dovranno affrontare nel 2022.
Threat Report 2022, le tendenze
Secondo il Sophos Trend Report 2022 nel corso del prossimo anno, il panorama del ransomware diventerà sia più modulare che più uniforme, con gli specialisti dell’attacco che offriranno i diversi elementi di un attacco as-a-service e forniranno playbook con strumenti e tecniche che consentono ad altri gruppi di hacker criminale di implementare attacchi molto simili.
Secondo i ricercatori gli attacchi da parte di singoli gruppi di ransomware hanno lasciato il posto a un maggior numero di offerte di RaaS nel corso del 2021, con sviluppatori di ransomware specializzati che si sono concentrati sull’affitto di codice dannoso e infrastrutture a terzi affiliati.
Alcuni degli attacchi ransomware di più alto profilo dell’anno passato, hanno coinvolto RaaS, compreso un attacco contro Colonial Pipeline negli Stati Uniti da parte di un affiliato di DarkSide. Un affiliato del ransomware Conti ha fatto trapelare la guida di implementazione fornita dagli operatori, rivelando gli strumenti e le tecniche passo dopo passo che gli attaccanti potrebbero utilizzare per distribuire il ransomware. Una volta ottenuto il malware di cui hanno bisogno, gli affiliati RaaS e altri operatori di ransomware possono rivolgersi agli Initial Access Brokers e alle piattaforme di consegna del malware per trovare e colpire potenziali vittime. Questo sta alimentando la seconda grande tendenza prevista da Sophos.
Le minacce informatiche consolidate continueranno ad adattarsi per distribuire e fornire ransomware e lo faranno utilizzando loader, dropper e altri malware di base, broker di accesso iniziale sempre più avanzati e gestiti dall’uomo; spam e adware.
Nel 2021, Sophos ha rilevato come Gootloader operasse nuovi attacchi ibridi che combinavano campagne di massa con un attento filtraggio per individuare gli obiettivi di specifici pacchetti di malware.
L’utilizzo di forme multiple di estorsione da parte dei cybercriminali volte a fare pressione sulle vittime per indurle a pagare il riscatto continuerà e aumenterà di portata e intensità.
Nel 2021, gli esperti di incident response di Sophos hanno catalogato 10 diversi tipi di tattiche di pressione, dal furto di dati ed esposizione, alle telefonate minatorie, agli attacchi DDoS (distributed denial of service) e altro ancora.
Le criptovalute continueranno ad alimentare i crimini informatici come il ransomware e il cryptomining malevolo, e Sophos prevede che la tendenza continuerà fino a quando le criptovalute globali non saranno regolamentate in modo più efficace. Durante il 2021, i ricercatori di Sophos hanno scoperto cryptominer come Lemon Duck e il meno comune, MrbMiner, che sfruttano l’accesso fornito dalle vulnerabilità appena segnalate e gli obiettivi già violati dagli operatori di ransomware per installare cryptominer su computer e server.
Dopo che le vulnerabilità ProxyLogon e ProxyShell sono state scoperte nel 2021, la velocità con cui sono state sfruttate dagli aggressori è stata tale che Sophos si aspetta di vedere continui tentativi di abuso di massa degli strumenti di amministrazione IT e dei servizi vulnerabili esposti via Internet sia da parte di cybercriminali esperti che di criminali informatici comuni.
Sophos prevede anche che i criminali informatici aumenteranno l’abuso di strumenti di simulazione degli attacchi come Cobalt Strike Beacons, mimikatz e PowerSploit. I responsabili della cybersecurity aziendale dovrebbero controllare ogni allarme relativo agli strumenti legittimi o alla combinazione di strumenti, proprio come controllerebbero un rilevamento dannoso, poichè potrebbe indicare la presenza di un intruso nella rete.
Nel 2021 i ricercatori di Sophos hanno analizzato una serie di nuove minacce che prendono di mira i sistemi Linux e prevedono un crescente interesse per i sistemi basati su quest’ultimo durante il 2022, sia nel cloud che sui server web e virtuali. Si prevede che le minacce verso i device mobili e lo scam basato sull’ingegneria sociale, tra cui Flubot e Joker, continueranno ad imperversare e si diversificheranno per colpire sia gli individui che le aziende.
L’applicazione dell’intelligenza artificiale alla cybersecurity continuerà e accelererà, dato che potenti modelli di apprendimento automatico dimostrano il loro valore nel rilevamento delle minacce e nella prioritizzazione degli avvisi.
Allo stesso tempo, tuttavia, ci si aspetta che gli autori degli attacchi facciano un uso crescente dell’intelligenza artificiale, con un’evoluzione prevista nei prossimi anni da campagne di disinformazione basate sull’intelligenza artificiale e profili di social media fasulli a contenuti web di attacco watering-hole, e-mail di phishing e altro ancora, man mano che diventeranno disponibili tecnologie avanzate di sintesi vocale e video deepfake.
Ormai l’uso dell’informatica è sempre più consolidato e di conseguenza le truffe e i raggiri. Serve pensare ad un sistema di sicurezza innovativo più efficacie con accordi internazionali che consentano interventi e sanzioni rapide. Ormai siamo in una vera e propria giungla dove ogni dato viene trafugato, trasferito e utilizzato da “multinazionali del crimine”. Le carte elettroniche vengono sempre più clonate e gli acquisti on line sono un vero e proprio pericolo. Un capitolo a parte meriterebbero le e-mail di cui ormai siamo invasi completamente da spam e a nulla serve chiudere un account e aprirne uno nuovo. Mi chiedo se non sia possibile creare filtri che consentano l’invio di e-mail solo da “persone” presenti nella Rubrica.