Повечето рансъмуер инфекции са подпомогнати от жертвите

Наскоро публикуван доклад потвърждава решаващата роля на човешкия фактор за успеха на рансъмуер атаките. В „Калдата“ неведнъж сме ви разказвали за атаки с криптовируси към големи компании, при които хакерите използват сложни схеми, за да подмамят жертвата си, софтуерни механизми и пробив към веригата за доставки. Но при по-голямата част от инфектираните системи става дума за доста тривиални атаки, а „помощник“ в осем от десет случая на тези атаки се оказва самата жертва.

Това сочат резултатите от изследване на компанията за управляемо засичане и реакция на заплахите Expel за рансъмуер атаките през миналата година. Откритието е публикувано в ежегодния доклад на Expel Great eXpeltations, излязъл в края на тази седмица. При осем от всеки десет инфекции, жертвата е отворила архивиран файл, съдържащ зловреден код. Компрометирането на достъпа на външна страна се е случило в три процента от случаите, а едва при четири процента е била експлоатирана софтуерна уязвимост. Проучването се основава на анализ от данните, събрани от оперативния център за сигурност на Expel, засягащи инциденти, случили се между първи януари до 31.12.2021.

Сред другите открития в доклада виждаме например, че 50% от всички регистрирани инциденти са BEC (business email compromise) атаки към корпоративните имейл структури, като облачните приложения се явяват топ цел тук. Повече от 90% от тези атаки са насочени към Microsoft Office 365, 9% към Okta и по-малко от процент към Google Workspace.

Самите рансъмуер атаки представляват едва 13% от всички инциденти, регистрирани от компанията, а най-засегнатите индустрии са били юридическите и финансовите услуги, сектора за забавление и този, занимаващ се с продажбата на недвижими имоти. Отделно от това, при повече от една трета от случаите (35%), в които се атакуват уеб приложения, бива инсталиран криптоминьор.

За справяне със заплахите, Expel съветва компаниите да въведат задълбочен контрол над мрежовите слоеве, да блокират комуникацията с популярни криптоминьорски пулове и да наложат EDR (event data recorder) решения към всички крайни точки във фирмата или предприятието. Помощ би оказало и ползването на SIEM (security information and event management) решение и налагането на мултифакторна защита навсякъде. Заедно с това, компаниите е нужно стриктно да спазват политиките за актуализиране на софтуера, както и разполагането на EDR политики с блокиращ режим.