Het aantal malwarebesmettingen op eindpoints oversteeg in Q3 van 2021 al het totale volume van 2020. Ook het aantal zero-day-aanvallen met malware dat binnenkomt via versleutelde verbindingen is gestegen.
Dat concludeert WatchGuard Technologies in de nieuwste editie van het Internet Security Report. Het Internet Security Report informeert organisaties over het actuele dreigingslandschap en draagt best practices voor IT-beveiliging aan.
Malware via versleutelde verbindingen
Steeds vaker kwam malware binnen via versleutelde verbindingen. In Q3 ging het om een stijging van 31,6% naar 47% van de gevallen. Vaak ging het om niet-gerichte, eenvoudige malware-aanvallen. Toch is het zorgwekkend, want volgens WatchGuard controleren veel organisaties niet wat er via versleutelde verbindingen binnenkomt.
Niet-gepatchte kwetsbaarheden in oudere software zijn voor aanvallers nog altijd een welkome ingang. Toch verschuift de focus steeds vaker naar misbruik van nieuwere kwetsbaarheden. Dat komt omdat veel gebruikers zijn overgestapt naar nieuwe Windows- en Office-varianten.
In Q3 kwam CVE-2018-0802 op nummer 6 binnen in de top 10 van WatchGuard's lijst van gateway-antivirus-malware. Deze maakt gebruik van een kwetsbaarheid in Equation Editor in Microsoft Office. In het voorgaande kwartaal kwam deze al in de lijst van meest verspreide malware voor. Bovendien kwamen twee Windows-code-injectoren (Win32/Heim.D en Win32/Heri) respectievelijk binnen op nummer 1 en 6 van de lijst met meest gedetecteerde malware.
VS het vaakst slachtoffer
Het overgrote deel van de netwerkaanvallen was in het derde kwartaal gericht op Noord- en Zuid-Amerika (64,5%), tegenover Europa (15,5%) en APAC (20%).
Na achtereenvolgende kwartalen van groei met meer dan 20% heeft WatchGuard's Intrusion Prevention Service (IPS) in het derde kwartaal ongeveer 4,1 miljoen unieke netwerkexploits gedetecteerd. De daling van 21% bracht de volumes terug op het niveau van het eerste kwartaal, dat nog steeds hoog was in vergelijking met het voorgaande jaar. De verschuiving betekent niet noodzakelijk dat de aanvallers het laten afweten. Zo verleggen ze hun aandacht mogelijk naar meer gerichte aanvallen.
Aan het einde van het derde kwartaal detecteerden de systemen van WatchGuard al 10% meer aanvalscripts dan in heel 2020. In dat jaar was er al een toename van 666% ten opzichte van het jaar daarvoor.
In hybride werkomgevingen is een sterke perimeter niet langer voldoende om bedreigingen tegen te houden. Zelfs hackers met beperkte vaardigheden kunnen doorgaans een malware-payload volledig uitvoeren met scriptingtools zoals PowerSploit, PowerWare en Cobalt Strike. Deze aanvallen komen ongezien langs basale endpointdetectie.
Zelfs veilige domeinen worden gehackt
Door een protocolfout in het Exchange Server Autodiscover-systeem van Microsoft konden aanvallers domeinreferenties verzamelen en verschillende als veilig te boek staande domeinen compromitteren. In totaal blokkeerden WatchGuard Fireboxes in het derde kwartaal 5,6 miljoen schadelijke domeinen, waaronder verschillende nieuwe malwaredomeinen die software proberen te installeren voor cryptomining, keyloggers en remote access trojans (RAT's).
Ook phishingdomeinen die zich voordoen als SharePoint-sites om Office365-inloggegevens te verzamelen werden vaak opgemerkt. Hoewel het aantal geblokkeerde domeinen met 23% is gedaald ten opzichte van het vorige kwartaal, is het nog steeds vele malen hoger dan het niveau van het vierde kwartaal van 2020 (1,3 miljoen). Dit benadrukt dat organisaties zich moeten concentreren op het up-to-date houden van servers, databases, websites en systemen met de nieuwste patches om zo de aanvalsmogelijkheden te beperken.
Na een sterke daling in 2020 bereikten de ransomware-aanvallen tegen eind september 105% van het volume van 2020. Dat percentage komt waarschijnlijk op 150% uit, zodra de gegevens van het volledige jaar 2021 zijn geanalyseerd. Ransomware-as-a-service zoals REvil en GandCrap verlagen de lat voor criminelen met weinig of geen coderingsvaardigheden. Deze services leveren de infrastructuur en de malware-payloads voor wereldwijde aanvallen in ruil voor een percentage van het losgeld.
Kwetsbaarheid van digitale supplychain
Begin juli 2021 rapporteerden tientallen organisaties ransomware-aanvallen gericht op hun endpoints. Aanvallers maakten gebruik van de REvil ransomware-as-a-service (RaaS)-organisatie. Bij de aanvallen werd misbruik gemaakt van drie zero-day kwetsbaarheden in Kaseya VSA Remote Monitoring and Management (RMM), waaronder CVE-2021-30116 en CVE-2021-30118. Zo’n 1500 organisaties en mogelijk miljoenen endpoints werden getroffen. Uiteindelijk wist de FBI de servers van REvil te compromitteren. Een paar maanden later kregen zij de decryptiesleutel in handen.
De aanval toont de noodzaak van proactieve securitymaatregelen aan. Denk aan regelmatige patches en updates, het toepassen van zero-trust en het principe van 'least privilege' voor toegang tot leveranciers. Alleen zo kunnen zij de impact van aanvallen op de toeleveringsketen minimaliseren.
Langetermijnstrategie
"Terwijl het totale volume van netwerkaanvallen in het derde kwartaal licht kromp, steeg de malware per apparaat voor het eerst sinds het begin van de pandemie", aldus Corey Nachreiner, chief security officer bij WatchGuard. "Het is belangrijk dat organisaties verder kijken dan de korte-termijn ups en downs en de seizoensgebondenheid van specifieke statistieken en zich richten op aanhoudende en zorgwekkende trends die van invloed zijn op hun beveiligingsbeleid. Een belangrijk voorbeeld is het toenemend gebruik van versleutelde verbindingen voor het leveren van zero days."
Het Internet Security Report van WatchGuard is gebaseerd op geanonimiseerde data van tienduizenden WatchGuard-appliances overal ter wereld. De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.
Bron: watchguard.com, dutchitchannel.nl
Bekijk alle vormen en begrippen
Actuele aanvallen overzicht per dag
Meer rapporten bekijken of downloaden
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met de politie. Telefonisch via het nummer 0900-8844 of online via het meld formulier. Uiteraard kunt u daarnaast ook tips melden bij Cybercrimeinfo.
Meer nieuws over malware
'Emotet vs The World Police'
Kaspersky brengt de nieuwste aflevering uit van zijn hacker:HUNTER-serie 'Emotet vs The World Police'. De film onthult de details van een internationale operatie (LadyBird), die resulteerde in de uitschakeling van Emotet, een van de gevaarlijkste botnets en cybercriminele diensten van het afgelopen decennium. De documentaire is te zien onderaan deze pagina of op het Youtube kanaal van Kaspersky. Bekijk de trailer hieronder.
Meer dan tienduizend Facebook accounts in handen van cybercriminelen
Android-malware met de naam 'FlyTrap' heeft tot nu toe meer dan tienduizend slachtoffers gemaakt in meer dan 140 landen. Via social engineering wisten de daders sessiecookies en andere gegevens te stelen en zo toegang te krijgen tot meer dan tienduizend Facebook-accounts. Vervolgens stalen de aanvallers allerlei persoonlijke gegevens en stuurden deze informatie door naar Command & Control servers.
Er staat een voicemail bericht voor u klaar
Er gaat een nieuwe variant van de malware FluBot rond in ons land. In de nieuwe variant zegt de afzender dat er een voicemailbericht voor je klaarstaat. Smartphonegebruikers die op de bijgevoegde link tikken, worden doorgeleid naar een pagina waar hen gevraagd wordt een app te downloaden om het bericht af te luisteren. Net als bij het origineel gaat het om een malafide applicatie waarmee geld naar buitenlandse rekeningen wordt overgemaakt.
Gebruik je Facebook, verwijder dan deze 9 malafide apps
In de Google Play Store zijn meerdere malafide apps ontdekt die in staat zijn om Facebook-gebruikersnamen, wachtwoorden én sessiecookies te onderscheppen, en wel op zo'n manier dat gebruikers niks doorhebben. Het gaat om apps die gezamenlijk meer dan 5,8 miljoen keer zijn gedownload. Hoe werkt deze malware, en om welke apps gaat het? Dat lees je hier.
FluBot-malware gebruikt nu ook WhatsApp om Nederlandse Android gebruikers te infecteren
Het aantal KPN-klanten dat met een piek in het sms-gebruik te maken kreeg is vorige week na de uitbraak van de FluBot-malware sterk gestegen, zo laat de telecomprovider tegenover de media weten. Daarnaast gebruikt de malware nu ook WhatsApp om Nederlandse Android gebruikers te infecteren. KPN is begonnen om klanten die vermoedelijk met de FluBot-malware besmet zijn proactief te waarschuwen.
Qbot volgt Emotet op en is betrokken bij 22 procent van de cyberaanvallen
Toen Emotet eind januari werd stilgelegd door een internationale politieoperatie, rees al snel de vraag: welke malware gaat Emotet opvolgen? Het antwoord is Qbot. Uit actuele cijfers van G DATA CyberDefense, blijkt dat Qbot bij bijna één op de vier cyberaanvallen van het eerste kwartaal betrokken is geweest.
Android stalkerware in opmars
Het gebruik van mobiele stalkerware, software die stalkers stilletjes en zonder hun medeweten installeren op mobiele apparaten van slachtoffers, neemt volgens onderzoekers toe. In 2019 registreerde onderzoekers bijna vijf keer meer Android stalkerware-detecties dan in 2018, en in 2020 waren er 1,5 keer meer detecties dan in 2019. Naast de toename ontdekte het onderzoeksteam van ESET ook ernstige kwetsbaarheden in Android stalkerware-apps en hun monitoringservers. Deze kwetsbaarheden kunnen leiden tot ernstige gevolgen voor de gebruiker als ze worden uitgebuit. "Security: The Hidden Cost of Android Stalkerware" werd eergisteren op de RSA Conference gepresenteerd door onderzoeker Lukáš Štefanko.
Overwacht hogere mobiele factuur?
KPN waarschuwt haar klanten voor FlutBot. Wie deze malware installeert, kan mogelijk een ‘hogere mobiele factuur’ verwachten. Dit komt omdat FluBot sms’jes verstuurt naar mensen in jouw contactlijst. “Hiermee krijgt de app het vermogen om vanuit het toestel kosten te maken via KPN of andere geïnstalleerde apps.”
Malware toename met 229%
Gisteren kondigde 'G DATA CyberDefense' zijn jaarlijkse malware top 10 aan. In 2020 identificeerde de specialisten van het securitybedrijf maar liefst 16.1 miljoen malwaresamples. Dit zijn gemiddeld 76 nieuwe malware samples per minuut. Dit is een toename van 228.6 percent vergeleken met 2019.
Samples in omloop die cybercriminelen kunnen gebruiken
Eind januari werd aangekondigd dat een internationale politieoperatie de servers achter de agressieve malware Emotet had ontmanteld.
QR-code scanner App wordt na update Malware
Tien miljoen gebruikers van de 'Barcode Scanner-app' die in de Google Play Store werd aangeboden zijn na een update van de app met malware besmet geraakt. Dat laat anti-malware-bedrijf 'Malwarebytes' weten. 'Barcode Scanner' laat gebruikers barcodes en QR-codes scannen. De app was al sinds 2017 in de Google Play Store te vinden.
Nieuwe malware gericht op wetenschappelijke onderzoeksnetwerken
Cybercrime onderzoekers hebben 'Kobalos' ontdekt, malware die supercomputers – zogenaamde high performance computer (HPC) clusters - heeft aangevallen. De onderzoekers werkten samen met het 'CERN Computer Security Team' en andere organisaties die betrokken zijn bij het inperken van aanvallen op deze wetenschappelijke onderzoeksnetwerken. Onder de doelwitten bevonden zich onder andere een grote Aziatische Internet providers een Noord-Amerikaanse leverancier van endpoint security, alsook verscheidene private servers.