"Het record voor jaarlijkse ransomware-detecties zal dit jaar sneuvelen"

Gepubliceerd op 5 juli 2022 om 15:00

Het totale aantal ransomwarebesmettingen was in het eerste kwartaal van dit jaar al verdubbeld ten opzichte van heel 2021. Dat concludeert WatchGuard Technologies in de nieuwste editie van het Internet Security Report. De securityspecialist signaleert daarnaast een groei in Powerscript-aanvallen en kwaadaardige cryptomining.

Het Internet Security Report informeert organisaties over het actuele dreigingslandschap en draagt best practices voor IT-beveiliging aan. Dit zijn de belangrijkste conclusies uit het rapport voor Q1 2022

Belangrijkste conclusies

  • Ransomware explodeert

Uit het Threat Lab's Q4 2021 Internet Security Report bleek dat ransomware-aanvallen jaar-op-jaar een dalende trend vertoonden. In Q1 2022 kwam daar met een enorme explosie van ransomware-detecties verandering in. Opvallend is de verdubbeling van het aantal ransomware-aanvallen in Q1 ten opzichte van heel 2021.

  • LAPSUS$ duikt op na de ondergang van REvil

Q4 2021 zag de ondergang van de beruchte Revil-cybergang. Daardoor ontstond ruimte voor een andere groep: LAPSUS$. De afpersingsgroep LAPSUS$, samen met vele nieuwe ransomware-varianten zoals BlackCat, dragen bij aan de groeiende ransomwaredreiging.

  • Log4Shell debuteert in top 10-lijst met netwerkaanvallen

De beruchte Apache Log4j2-kwetsbaarheid, ook bekend als Log4Shell, werd begin december 2021 openbaar gemaakt en debuteerde dit kwartaal in de top-10 van netwerkaanvallen. Vergeleken met de IPS-detecties in Q4 2021 is de Log4Shell-handtekening in het eerste kwartaal van dit jaar bijna verdrievoudigd.

Log4Shell, dat in het laatste Internet Security Report van WatchGuard als het belangrijkste beveiligingsincident werd genoemd, trok de aandacht omdat het een perfecte 10.0 scoorde op CVSS. Dat is de maximale score voor een kwetsbaarheid. Ook is het wijdverbreide gebruik in Java-programma's en het gemak waarmee de code kan worden uitgevoerd opzienbarend.

  • De comeback van Emotet zet door

Emotet is goed voor drie van de top 10-detecties en de meest wijdverspreide malware dit kwartaal. In het laatste kwartaal van 2021 was deze malwarevariant al aan een comeback bezig. Dat ondanks verwoede pogingen om deze malware te stoppen. Trojan.Vita, die gericht was op Japan en ook in de top vijf van versleutelde malware stond, en Trojan.Valyria maken beide gebruik van exploits in Microsoft Office om het botnet Emotet te downloaden.

Het derde aan Emotet gerelateerde malware-exemplaar, MSIL.Mensa.4, kan zich via aangesloten opslagapparaten verspreiden en was vooral gericht op netwerken in de VS. Uit gegevens van Threat Lab blijkt dat Emotet fungeert als de dropper, die het bestand downloadt en installeert vanaf een malware delivery-server.

  • PowerShell-scripts voeren de boventoon bij snel toenemende endpoint-aanvallen

Het totale aantal aanvallen op endpoints voor Q1 steeg met ongeveer 38 procent ten opzichte van het voorgaande kwartaal. Scripts, met name PowerShell-scripts, waren de dominerende aanvalsvector. Scripts namen 88 procent van alle aanvallen op endpoints voor hun rekening.
PowerShell-scripts waren verantwoordelijk voor 99,6 procent van de scriptdetecties in het eerste kwartaal. Daaruit blijkt dat aanvallers overstappen op bestandsloze en ‘living-off-the-land’-aanvallen met legitieme tools.

  • Legitieme cryptomining operaties geassocieerd met kwaadaardige activiteit

Alle drie de nieuwe toevoegingen aan de top malware domeinen lijst in Q1 waren gerelateerd aan Nanopool. Dit populaire platform aggregeert cryptocurrency-miningactiviteiten om gestage rendementen mogelijk te maken. Deze domeinen zijn technisch gezien legitieme domeinen die gekoppeld zijn aan een legitieme organisatie. In tegenstelling tot legitieme miningactiviteiten zijn verbindingen met een miningpool vrijwel altijd afkomstig van een besmet netwerk.

  • Bedrijven nog steeds geconfronteerd met een breed scala aan unieke netwerkaanvallen

Het aantal unieke detecties bereikte het hoogste aantal sinds Q1 2019. De top-10 IPS-signatures waren goed voor 87 procent van alle netwerkaanvallen. Deze toename geeft aan dat geautomatiseerde aanvallen zich richten op een kleinere groep van potentiële slachtoffers. Bedrijven hebben echter nog steeds te maken met een breed scala aan aanvallen.

  • EMEA blijft hotspot voor malwarebedreigingen

Uit de totale regionale detecties van basis- en ontwijkende malware blijkt dat Fireboxen in Europa, het Midden-Oosten en Afrika (EMEA) harder werden getroffen dan die in Noord-, Midden- en Zuid-Amerika (AMER) met respectievelijk 57 procent en 22 procent, gevolgd door Azië-Pacific (APAC) met 21 procent.

Record

"Het record voor jaarlijkse ransomware-detecties zal dit jaar sneuvelen. Dat voorspellen we op basis van de vroege ransomware-piek," zegt Corey Nachreiner, chief security officer bij WatchGuard. "We blijven er bij bedrijven op aandringen om zich niet alleen in te zetten voor de implementatie van eenvoudige maar uiterst belangrijke maatregelen, maar ook voor een echte uniforme beveiligingsaanpak. Een die organisaties snel en efficiënt kunnen aanpassen om het snel veranderende dreigingslandschap het hoofd te bieden." De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.

Bron: watchguard.com, managersonline.nl

WG Threat Report Q 1 2022
PDF – 2,8 MB 181 downloads

Meer rapporten? Kijk dan hier »

Meer info over ransomware

Meer ransomware nieuws 

Cybercriminelen blijven op het netwerk van slachtoffers actief

Cybercriminelen die organisaties met ransomware infecteren blijven na het versleutelen van systemen op de netwerken van hun slachtoffers actief en lezen mee met de berichten die worden ontvangen en verstuurd. Iets wat gevolgen heeft voor de manier waarop getroffen bedrijven met de infectie en het herstel moeten omgaan.

Lees meer »

Koninklijke Reesink: waarschijnlijk gaat het om miljoenen euro’s

De Nederlandse landbouwdistributeur 'Royal Reesink' is slachtoffer geworden van een aanval met ransomware. Het Apeldoornse bedrijf, dat in 10 landen vestigingen heeft en in 2019 een omzet had van bijna 1 miljard euro, lag sinds begin juni plat. Zeventig procent van de 35 aangesloten bedrijven werd geraakt door de digitale aanval. 

Lees meer »

IT bedrijf moet ransomware schade door zwakke beveiliging betalen

Een it-bedrijf dat netwerkbeheer voor een Hilversums administratiekantoor uitvoerde moet de schade door een ransomware-infectie grotendeels vergoeden, zo heeft de rechtbank Amsterdam bepaald. Het gaat om een bedrag van ruim 10.000 euro, alsmede de proceskosten van 3.100 euro. Tevens hoeft het administratiekantoor de herstelwerkzaamheden die het it-bedrijf verrichtte niet te betalen.

Lees meer »

6 miljoen dollar nog niet voldoende voor cybercriminelen achter REvil ransomware

De bende achter de beruchte REvil-ransomware, ook bekend als Sodinokibi, is begonnen met het veilen van de data die bij een slachtoffer is gestolen. Volgens de FBI hebben slachtoffers van deze ransomware al meer dan 6 miljoen dollar betaald voor het ontsleutelen van hun bestanden. Net als verschillende andere ransomwaregroepen besloot de REvil-bende om data van slachtoffers niet alleen te versleutelen, maar ook te stelen.

Lees meer »