Aanvallers zetten oudere tools in voor uitbuiten van kwetsbare Java-implementaties

Dit blijkt uit onderzoek van Cisco Talos. Web shells worden ingezet tegen kwetsbare of ongepatchte webapplicaties en bieden een toegangspoort tot de systemen van slachtoffers. In 35 procent van de incidenten worden open-source en publiek beschikbare web shells gebruikt, een forse toename ten opzichte van minder dan 10 procent in het vorige kwartaal.

Iets minder ransomware

Hoewel ransomware dit kwartaal een iets kleiner aandeel heeft in de waargenomen dreigingen, neemt het aantal ransomware- en pre-ransomware-incidenten tegen het einde van het jaar toe. Het gaat daarbhij met name om besmettingen met BlackBasta-ransomware. Ransomware en gerelateerde aanvallen vormen bijna 30 procent van de engagements, waarbij gecompromitteerde accounts in 75 procent van de gevallen worden gebruikt voor initiële toegang.

MFA blijkt opnieuw een cruciale verdedigingsmaatregel, aangezien geen enkele getroffen organisatie MFA correct had geïmplementeerd of het werd omzeild via social engineering. Talos IR signaleert ook een toename in het gebruik van remote access-tools, zoals Splashtop en AnyDesk, voor laterale beweging binnen netwerken.

Onderwijs is meest getroffen sector

Het onderwijs blijft voor het tweede kwartaal op rij de meest getroffen sector, goed voor bijna 30 procent van de engagements. Exploitatie van publiek toegankelijke applicaties wordt voor het eerst in meer dan een jaar de meest waargenomen methode van initiële toegang, wat grotendeels te wijten is aan de stijging in web shell- en ransomware-incidenten.

Daarnaast wordt sinds begin december een golf van password-spraying aanvallen waargenomen, die leidt tot massale inlogpogingen en accountvergrendelingen. Dit benadrukt de noodzaak van sterke wachtwoordbeleid en MFA om ongeautoriseerde toegang te beperken.

'Pas MFA toe op alle kritieke diensten en update software'

Om de risico’s te beperken, raadt Talos IR organisaties aan om MFA op alle kritieke diensten af te dwingen, regelmatige software-updates en segmentatie van netwerken te implementeren en goed geconfigureerde EDR-oplossingen te gebruiken. In 40 procent van de web shell-incidenten speelt slechte netwerksegmentatie een rol bij laterale beweging van aanvallers. Daarnaast wordt in 25 procent van de incidenten misbruik van ontbrekende of verkeerd geconfigureerde EDR-oplossingen geconstateerd. De waargenomen trends onderstrepen het belang van proactieve cybersecuritymaatregelen en voortdurende monitoring om de steeds veranderende dreigingen het hoofd te bieden.