Sophos Threat Report 2022: la cybersecurity evolve

Sophos ha presentato il suo nuovo Threat Report 2022, che conferma il ruolo sempre più preponderante del ransomware nello scenario delle minacce informatiche e il devastante impatto sui sistemi IT.

Il Rapporto, a cura dei ricercatori dei SophosLabs, degli esperti di threat hunting del Sophos Managed Threat Response e del team Sophos IA, fornisce una prospettiva multidimensionale sulle cyberminacce e sui nuovi trend in atto nel mondo della security che le aziende dovranno affrontare nel 2022.

Il nuovo Threat Report 2022 di Sophos ha analizzato le seguenti tendenze:

1. Nel corso del prossimo anno, il panorama del ransomware diventerà sia più modulare che più uniforme, con gli “specialisti” dell’attacco che offriranno i diversi elementi di un attacco “as-a-service” e forniranno playbook con strumenti e tecniche che consentono ad altri gruppi di hacker criminale di implementare attacchi molto simili. Secondo i ricercatori di Sophos, gli attacchi da parte di singoli gruppi di ransomware hanno lasciato il posto a un maggior numero di offerte di ransomware-as-a-service (RaaS) nel corso del 2021, con sviluppatori di ransomware specializzati che si sono concentrati sull’affitto di codice dannoso e infrastrutture a terzi affiliati. Alcuni degli attacchi ransomware di più alto profilo dell’anno passato, hanno coinvolto RaaS, compreso un attacco contro Colonial Pipeline negli Stati Uniti da parte di un affiliato di DarkSide. Un affiliato del ransomware Conti ha fatto trapelare la guida di implementazione fornita dagli operatori, rivelando gli strumenti e le tecniche passo dopo passo che gli attaccanti potrebbero utilizzare per distribuire il ransomware. Una volta ottenuto il malware di cui hanno bisogno, gli affiliati RaaS e altri operatori di ransomware possono rivolgersi agli Initial Access Brokers e alle piattaforme di consegna del malware per trovare e colpire potenziali vittime. Questo sta alimentando la seconda grande tendenza prevista da Sophos.
2. Le minacce informatiche ormai consolidate continueranno ad adattarsi per distribuire e fornire ransomware e lo faranno utilizzando loader, dropper e altri malware di base, broker di accesso iniziale sempre più avanzati e gestiti dall’uomo; spam e adware.

Nel 2021, Sophos ha rilevato come Gootloader operasse nuovi attacchi ibridi che combinavano campagne di massa con un attento filtraggio per individuare gli obiettivi di specifici pacchetti di malware.

3. L’utilizzo di forme multiple di estorsione da parte dei cybercriminali volte a fare pressione sulle vittime per indurle a pagare il riscatto continuerà e aumenterà di portata e intensità. Nel 2021, gli esperti di incident response di Sophos hanno catalogato10 diversi tipi di tattiche di pressione, dal furto di dati ed esposizione, alle telefonate minatorie, agli attacchi DDoS (distributed denial of service) e altro ancora.
4. Le criptovalute continueranno ad alimentare i crimini informatici come il ransomware e il cryptomining malevolo, e Sophos prevede che la tendenza continuerà fino a quando le criptovalute globali non saranno regolamentate in modo più efficace. Durante il 2021, i ricercatori di Sophos hanno scoperto cryptominer come Lemon Duck e il meno comune, MrbMiner, che sfruttano l’accesso fornito dalle vulnerabilità appena segnalate e gli obiettivi già violati dagli operatori di ransomware per installare cryptominer su computer e server.

 “Il ransomware prospera grazie alla sua capacità di adattarsi e innovare”, spiega Chester Wisniewski, principal research scientist di Sophos. “Per esempio, mentre le offerte RaaS non sono certo una novità, negli anni precedenti il loro contributo principale era quello di portare il ransomware alla portata di cybercriminali meno qualificati o meno ben finanziati. Questo è cambiato e, nel 2021, gli sviluppatori RaaS stanno investendo il loro tempo e le loro energie nella creazione di un codice sofisticato e nel determinare il modo migliore per ottenere pagamenti più elevati dalle proprie vittime e dalle compagnie di assicurazione. Adesso stanno delegando ad altri il compito di identificare le vittime, installare, eseguire il malware e riciclare le criptovalute rubate. Questo sta distorcendo il panorama delle minacce informatiche, e le minacce comuni, come i loader, i dropper e gli Initial Access Broker che erano in circolazione e causavano disagi ben prima dell’ascesa del ransomware, vengono risucchiati in questo “buco nero” che sembra consumare tutto che è il ransomware. Le aziende non possono più basare la loro strategia di sicurezza solo sul monitoraggio delle soluzioni di cybersecurity e assicurandosi che stiano rilevando il codice dannoso. Certe combinazioni di rilevamenti o anche di avvisi sono l’equivalente moderno di un ladro che rompe un vaso di fiori mentre si arrampica attraverso la finestra sul retro. Chi si occupa di sicurezza informatica deve indagare sugli alert ricevuti, anche quelli che in passato potevano essere insignificanti, poiché queste intrusioni comuni sono diventate il punto d’appoggio necessario per prendere il controllo di intere reti”.

Altri trend analizzati nel Rapporto di Sophos:

• Dopo che le vulnerabilità ProxyLogon e ProxyShell sono state scoperte (e patchate) nel 2021, la velocità con cui sono state sfruttate dagli aggressori è stata tale che Sophos si aspetta di vedere continui tentativi di abuso di massa degli strumenti di amministrazione IT e dei servizi vulnerabili esposti via Internet sia da parte di cybercriminali esperti che di criminali informatici comuni.
• Sophos prevede anche che i criminali informatici aumenteranno l’abuso di strumenti di simulazione degli attacchi come Cobalt Strike Beacons, mimikatz e PowerSploit. I responsabili della cybersecurity aziendale dovrebbero controllare ogni allarme relativo agli strumenti legittimi o alla combinazione di strumenti, proprio come controllerebbero un rilevamento dannoso, poichè potrebbe indicare la presenza di un intruso nella rete.
• Nel 2021, i ricercatori di Sophos hanno analizzato una serie di nuove minacce che prendono di mira i sistemi Linux e prevedono un crescente interesse per i sistemi basati su quest’ultimo durante il 2022, sia nel cloud che sui server web e virtuali. Si prevede che le minacce verso i device mobili e lo scam basato sull’ingegneria sociale, tra cui Flubot e Joker, continueranno ad imperversare e si diversificheranno per colpire sia gli individui che le aziende.
• L’applicazione dell’intelligenza artificiale alla cybersecurity continuerà e accelererà, dato che potenti modelli di apprendimento automatico dimostrano il loro valore nel rilevamento delle minacce e nella prioritizzazione degli avvisi. Allo stesso tempo, tuttavia, ci si aspetta che gli autori degli attacchi facciano un uso crescente dell’IA, con un’evoluzione prevista nei prossimi anni da campagne di disinformazione basate sull’IA e profili di social media fasulli a contenuti web di attacco watering-hole, e-mail di phishing e altro ancora, man mano che diventeranno disponibili tecnologie avanzate di sintesi vocale e video deepfake.