Ransomware byl ve druhém čtvrtletí roku největší hrozbou

Tým Cisco Talos pro reakci na bezpečnostní incidenty (CTIR) vydal s podporou největší komerční bezpečnostní výzkumné organizace svoji pravidelnou čtvrtletní zprávu o vývoji hrozeb.

Podle CTIR představoval ransomware téměř polovinu všech bezpečnostních incidentů s více než trojnásobným výskytem oproti druhé nejčastější hrozbě, kterou bylo zneužití zranitelností Microsoft Exchange Server. Útočníci cílili na mnoho různých odvětví, včetně dopravy, energetiky, zdravotnictví, veřejné správy, telekomunikací, technologií, strojírenství, chemického průmyslu, průmyslové výroby, školství, nemovitostí a zemědělství. Již třetí čtvrtletí v řadě bylo přitom nejvíce zasažené zdravotnictví, následované veřejnou správou.

„Takovým útokům je obtížné zamezit. Úspěch záleží na úsilí, které příslušná instituce věnuje zabezpečení svých systémů. A to na řadě front.  Důležitá je jak obrana proti proniknutí do systému, tak kontrola síťového provozu i kontrola koncových zařízení. Podezřelých komunikací v síti je mnoho, ale řada z nich se nakonec nepotvrdí jako skutečná hrozba. Kdyby zákazník musel ověřovat všechny, brzy by jim přestal věnovat pozornost. Planých poplachů by bylo příliš mnoho. Hrozbu ale lze potvrdit na základě dalších informací, například z koncových zařízení. To je díky portfoliu služeb, které Cisco zajišťuje, naše velká výhoda. Mezidoménová detekce je totiž právě i jedna z oblastí, které se věnujeme v pražském R&D centru. Bezpečnostní ekosystémy jsou dnes natolik komplexní, že je potřeba vysoká míra automatizace, aby zaznamenání hrozby a reakce na ni byla co nejrychlejší. I v případě ransomware jde pochopitelně o čas. Po proniknutí do systému potřebuje útočník identifikovat zranitelná místa a získat k nim přístup. Pokud na sebe nechce upozornit, nějakou dobu to trvá a je to proces často řízený člověkem. A tam je jedna z příležitostí, kdy jde zabránit škodám,“ popisuje současný stav v oblasti zabezpečení Tomáš Macek, research manager R&D centra společnosti Cisco.

Počítačoví vyděrači používali v minulém čtvrtletí komerční nástroje jako Cobalt Strike, open-source nástroje jako Rubeus i prostředky běžně přítomné na zařízení oběti, například PowerShell. Mezi další zaznamenané hrozby patřily útoky proti známým zranitelnostem, těžba kryptoměn a zneužití uživatelských účtů. V několika případech došlo k útokům pomocí infikovaných USB disků, což je metoda již řadu let nepříliš využívaná.

Jednou z největších slabin podnikové bezpečnosti zůstává absence vícefaktorového ověřování (MFA) kterou poskytuje například Cisco Duo. CTIR často zaznamenává útoky pomocí vyděračského softwaru, kterým by bývalo bylo možné vícefaktorovým ověřováním předejít. CTIR proto apeluje na podniky a instituce, aby MFA zavedly všude, kde je to možné.