Bedrijven zijn aan de verliezende hand in de strijd tegen ransomware-aanvallers als het gaat om het beschermen van hun gegevens. Uit het Veeam 2022 Ransomware Trends Report blijkt dat 72 procent van de organisaties te maken heeft gehad met gedeeltelijke of complete aanvallen op hun back-up repositories.
Aanvallen op bekende kwetsbaarheden
Dit had een dramatische impact op hun vermogen om gegevens te herstellen zonder losgeld te betalen. Veeam Software vond dat 80 procent van de succesvolle aanvallen zich richtte op bekende kwetsbaarheden, wat het belang van patching en het upgraden van software benadrukt. Bijna alle aanvallers poogden de back-up repositories van hun slachtoffers te vernietigen om ervoor te zorgen dat zij alleen nog tegen betaling gegevens konden herstellen.
Het ransomware Trends Report onthult de resultaten van een onafhankelijk onderzoeksbureau dat ruim 1.000 IT-leiders ondervroeg wiens organisatie ten minste een keer in de laatste 12 maanden succesvol aangevallen werd door ransomware.
Onderzoekers onderzochten de belangrijkste lessen die uit deze incidenten getrokken werden, hun impact op IT-omgevingen en de stappen die genomen werden om moderne dataprotectie-strategieën te implementeren.
Het onderzoek richtte zich met name op vier IT-persona’s (CISO’s, security professionals, back-up administrators en IT-operations) om inzicht te krijgen in de afstemming van cyberparaatheid in organisaties.
"Ransomware heeft datadiefstal gedemocratiseerd en vereist samenwerking van organisaties uit alle branches. We moeten samenwerken zodat we kunnen afstappen van het betalen van losgeld," zegt Danny Allen, CTO bij Veeam. "Het betalen van cybercriminelen om gegevens te herstellen is geen dataprotectiestrategie. Er is namelijk geen garantie dat gegevens hersteld worden en het risico van reputatieschade en verlies van vertrouwen van de klant is dan ook groot. Belangrijker nog, het bevestigt en beloont criminele activiteit."
76 procent betaalde om de aanval te beëindigen
Van de ondervraagde organisaties betaalde het grootste gedeelte van de slachtoffers (76 procent) losgeld om een aanval te beëindigen en gegevens te herstellen. Terwijl 52 procent het losgeld betaalde en hun gegevens konden herstellen, was dit voor 24 procent niet mogelijk.
Dit komt neer op een kans van een op drie dat het betalen van losgeld nog altijd niet leidt tot het herstellen van gegevens. Negentien procent van de organisaties betaalde het losgeld niet, omdat zij hun gegevens zelf konden herstellen. Dit is wat de overige 81 procent van de slachtoffers moet nastreven: gegevens herstellen zonder losgeld te betalen.
Het aanvalsoppervlak voor criminelen is divers. Zij moeten echter eerst toegang krijgen tot productieomgevingen, doordat gebruikers op kwaadaardige links klikken, ongecensureerde websites bezoeken of klikken op phishing e-mails - dit legt het vermijdbare karakter van veel incidenten bloot.
Nadat criminelen zich succesvol toegang hebben verschaft tot de omgeving, was er weinig verschil zichtbaar in infectie van datacenters, remote office platforms en cloud-hosted servers. In veel gevallen maakten indringers gebruik van bekende kwetsbaarheden, waaronder die van veel gebruikte besturingssystemen en hypervisors, alsmede NAS-platforms en database servers.
Zij lieten dan ook geen enkele mogelijkheid liggen om ongepatchte of verouderde software te exploiteren. Opvallend is wel dat er hogere infectiepercentages werden gerapporteerd door security professionals en back-up administrators in vergelijking met IT-operations of CISO’s, wat impliceert dat "degenen die dichter bij het probleem staan, nog meer van de problemen zien."
Respondenten bevestigen dat 94 procent van de aanvallers proberen om back-up repositories te vernietigen. In 72 procent van de gevallen was deze strategie in ieder geval deels succesvol. Het vernietigen van de lifeline van de organisatie is een populaire aanvalsstrategie die de kans vergroot dat organisaties het losgeld daadwerkelijk betalen.
De enige manier om zich te beschermen tegen dit scenario is door ten minste één onveranderlijke of air-gapped tier te hebben binnen het dataprotectie-framework - wat 95 procent van de ondervraagden nu heeft. Veel organisaties meldden zelfs een zekere mate van onveranderlijkheid of air-gap media in meer dan één laag van hun schijf-, cloud- en tapestrategie.
Andere bevindingen uit het Ransomware Trends Report zijn
-
Orchestratie doet ertoe
Om de herstelbaarheid van hun systemen proactief te garanderen, automatiseert een op de zes (16 procent) IT-teams de validatie en herstelbaarheid van hun back-ups. Vervolgens gebruikt 46 procent van de respondenten tijdens het herstel van een ransomware-aanval een geïsoleerde "sandbox" of testruimte om ervoor te zorgen dat hun herstelde gegevens schoon zijn voordat de systemen opnieuw in productie worden genomen.
-
Teams moeten zich verenigen
81 procent is van mening dat de cyber- en continuïteits-/disaster recovery-strategieën van hun organisaties op elkaar zijn afgestemd. 52 procent van de respondenten vindt echter dat de interacties tussen deze teams verbeterd moeten worden.
-
Diversifieer repositories
Bijna alle (95 procent) organisaties hebben ten minste één onveranderlijke of air-gapped dataprotectie-laag; 74 procent gebruikt cloud repositories die onveranderlijkheid bieden; 67 procent gebruikt on-premises disk repositories met onveranderlijkheid of vergrendeling; en 22 procent gebruikt tape die air-gapped is. Onveranderlijk of niet, organisaties merkten op dat naast disk repositories, 45 procent van de productiegegevens nog steeds op tape wordt opgeslagen en 62 procent op een bepaald moment in hun datalevenscyclus naar een cloud gaat. De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.
Bron: veeam.com, managersonline.nl
Meer info over ransomware
Bekijk alle vormen en begrippen
Actuele aanvallen overzicht per dag
Meer rapporten bekijken of downloaden
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.
Meer ransomware nieuws
Cybercriminelen blijven op het netwerk van slachtoffers actief
Cybercriminelen die organisaties met ransomware infecteren blijven na het versleutelen van systemen op de netwerken van hun slachtoffers actief en lezen mee met de berichten die worden ontvangen en verstuurd. Iets wat gevolgen heeft voor de manier waarop getroffen bedrijven met de infectie en het herstel moeten omgaan.
Universiteit Maastricht was niet goed voorbereid, maar wel adequaat in handelen op Cyberaanval
De Universiteit Maastricht was niet goed voorbereid op de aanval met ransomware, eind vorig jaar. Wel is er adequaat gehandeld bij het afhandelen van de aanval, zo stelt de Inspectie van het Onderwijs na een onderzoek naar de toedracht.
Koninklijke Reesink: waarschijnlijk gaat het om miljoenen euro’s
De Nederlandse landbouwdistributeur 'Royal Reesink' is slachtoffer geworden van een aanval met ransomware. Het Apeldoornse bedrijf, dat in 10 landen vestigingen heeft en in 2019 een omzet had van bijna 1 miljard euro, lag sinds begin juni plat. Zeventig procent van de 35 aangesloten bedrijven werd geraakt door de digitale aanval.
Ransomware legt autoproductie Honda wereldwijd plat
Autofabrikant Honda heeft wereldwijd verschillende producties stilgezet. Het bedrijf lijkt getroffen te zijn door een cyberaanval. De aard daarvan is niet duidelijk; er zijn geruchten dat het om ransomware gaat.
IT bedrijf moet ransomware schade door zwakke beveiliging betalen
Een it-bedrijf dat netwerkbeheer voor een Hilversums administratiekantoor uitvoerde moet de schade door een ransomware-infectie grotendeels vergoeden, zo heeft de rechtbank Amsterdam bepaald. Het gaat om een bedrag van ruim 10.000 euro, alsmede de proceskosten van 3.100 euro. Tevens hoeft het administratiekantoor de herstelwerkzaamheden die het it-bedrijf verrichtte niet te betalen.
6 miljoen dollar nog niet voldoende voor cybercriminelen achter REvil ransomware
De bende achter de beruchte REvil-ransomware, ook bekend als Sodinokibi, is begonnen met het veilen van de data die bij een slachtoffer is gestolen. Volgens de FBI hebben slachtoffers van deze ransomware al meer dan 6 miljoen dollar betaald voor het ontsleutelen van hun bestanden. Net als verschillende andere ransomwaregroepen besloot de REvil-bende om data van slachtoffers niet alleen te versleutelen, maar ook te stelen.
"Ik heb Darkweb Ransomware gebruikt om mijn baas te saboteren"
Eenvoudige, schaalbare en laag-risico ransomware zorgt voor een bijzonder nette cybercriminaliteit. Tegenwoordig hoeven potentiële aanvallers niet eens hun eigen ransomware te maken; ze kunnen het gewoon op het darkweb kopen. Drake Bennett, verslaggever van Bloomberg-onderzoeken, schafte wat malware aan om te zien hoe gemakkelijk het was om een aanval uit te voeren.
REvil cyberaanval treft advocatenkantoor Hollywoodsterren
Het Amerikaanse advocatenkantoor 'Grubman Shire Meiselas & Sacks' dat onder andere Madonna, Bruce Springsteen, Lady Gaga, Drake, Elton John, Robert De Niro, LeBron James en tal van andere sterren vertegenwoordigt is afgeperst nadat aanvallers data van cliënten wisten te stelen en systemen versleutelden.
Ransomware kosten "verdubbelen" bij betaling aan cybercriminelen
Als een organisatie losgeld betaalt na een aanval met gijzelsoftware (ransomware), dan bedragen de herstelkosten gemiddeld 1,3 miljoen euro. Wordt er niet betaald, dan kost de aanval een bedrijf 'slechts' 675.000 euro. Dit blijkt uit een internationaal onderzoek van cybersecurity-specialist 'Sophos'.
Schade door ransomware bij it-dienstverlener tussen 50 tot 70 miljoen dollar
De Amerikaanse it-dienstverlener Cognizant die in april door de Maze-ransomware werd getroffen schat dat de schade door de aanval 50 tot 70 miljoen dollar zal bedragen. Dat liet het bedrijf bij de presentatie van de cijfers over het eerste kwartaal van dit jaar weten (zie hier onder). Waar de schade precies uit bestaat is nog niet bekendgemaakt. Mogelijk wordt dit in de cijfers over het tweede kwartaal vermeld.
LockBit-ransomware automatiseert zoektocht voor cybercriminelen
Aanvallen met ransomware gaan in 2020 onverminderd door. Hetzelfde geldt voor de ontwikkelingen in deze lucratieve vorm van malware. Daarmee maken deze het slachtoffers bovendien steeds moeilijker om géén losgeld te betalen. Alle nieuwste mogelijkheden op dit gebied lijken terug te komen in de 'LockBit-ransomware'.
Cyberaanval treft tapijtproducent
Het Dendermondse bedrijf Desso is onderdeel van de Franse vloerbekledingsgroep Tarkett, die sinds vorige week getroffen is door een aanval op zijn IT-systemen.