Criminalii cibernetici folosesc noi tactici pentru a ataca companiile industriale

Spre deosebire de multe campanii de spyware mainstream, aceste atacuri ies în evidenţă datorită numărului limitat de ţinte în fiecare atac şi duratei de viaţă foarte scurte a fiecărei mostre rău intenţionate. Studiul a identificat mai mult de 25 de pieţe unde sunt vândute date furate. Acestea, dar şi alte constatări au fost publicate în noul raport Kaspersky ICS CERT.

În prima jumătate a anului 2021, experţii Kaspersky ICS CERT au observat o anomalie în statisticile privind ameninţările spyware blocate pe computerele ICS. Deşi malware-ul utilizat în aceste atacuri aparţine unor familii de spyware bine-cunoscute, cum ar fi Agent Tesla/Origin Logger, HawkEye şi alţii, aceste atacuri ies în evidenţă faţă de mainstream prin numărul foarte limitat de ţinte în fiecare atac (de la un număr foarte mic până la câteva zeci de ţinte) şi durata de viaţă foarte scurtă a fiecărui eşantion rău intenţionat.

O analiză mai atentă a 58.586 de mostre de spyware, blocate pe computere ICS în primul semestru al 2021, a arătat că aproximativ 21,2% dintre ele făceau parte din această nouă serie de atacuri cu rază limitată şi durată scurtă de viaţă. Ciclul lor de viaţă este de aproximativ 25 de zile, o perioadă mult mai scurtă decât durata de viaţă a unei campanii de spyware „tradiţionale”.

Deşi fiecare dintre aceste mostre de spyware „anormale” dispare repede şi nu este distribuită pe scară largă, ele reprezintă o pondere disproporţionat de mare a tuturor atacurilor de spyware. În Asia, de exemplu, fiecare al şaselea computer atacat cu spyware a fost atins de unul dintre eşantioanele de spyware „anormale” (2,1% din 11,9%).

De remarcat că majoritatea acestor campanii sunt răspândite de la o companie industrială la alta prin e-mailuri de tip phishing bine concepute. Odată pătruns în sistemul victimei, atacatorul foloseşte dispozitivul ca server C2 (comandă şi control) pentru următorul atac. Cu acces la lista de corespondenţă a victimei, infractorii pot abuza de e-mailul corporativ şi pot răspândi şi mai mult programul spyware.

Potrivit telemetriei Kaspersky ICS CERT, peste 2.000 de organizaţii industriale din întreaga lume au fost încorporate în infrastructura rău intenţionată şi utilizate de cybergangs pentru a răspândi atacurile lor către alte organizaţii şi parteneri de afaceri. Estimăm că numărul total de conturi corporative compromise sau furate ca urmare a acestor atacuri este de peste 7.000.

Datele importante obţinute de la calculatoarele ICS ajung adesea pe diverse pieţe. Experţii Kaspersky au identificat peste 25 de pieţe diferite unde au fost vândute acreditările furate în cadrul acestor campanii industriale. Analiza pieţelor a evidenţiat o cerere mare pentru acreditări pentru conturile corporative, în special pentru Remote Desktop Accounts (RDP). Peste 46% din toate conturile RDP vândute pe pieţele analizate sunt deţinute de companii din SUA, în timp ce restul provin din Asia, Europa şi America Latină. Aproape 4% (aproape 2.000 de conturi) din toate conturile RDP vândute aparţineau companiilor industriale.

O altă piaţă în creştere este Spyware-as-a-Service. Deoarece codurile sursă ale unor programe spyware populare au fost făcute publice, acestea au devenit foarte disponibile în magazinele online sub forma unui serviciu – dezvoltatorii vând nu numai malware ca produs, ci şi o licenţă pentru un generator de malware şi acces la infrastructură preconfigurată pentru a construi malware.

„Pe parcursul anului 2021, infractorii cibernetici au folosit pe scară largă spyware pentru a ataca computerele industriale. Astăzi asistăm la o nouă tendinţă care evoluează rapid în peisajul ameninţărilor industriale. Pentru a evita detectarea, criminalii reduc dimensiunea fiecărui atac şi limitează utilizarea fiecărui eşantion de malware, impunând rapid înlocuirea acestuia cu unul proaspăt construit. Alte tactici includ utilzarea abuzivă masivă a infrastructurii de e-mail corporative pentru a răspândi programe malware. Acest lucru este diferit de tot ceea ce am observat înainte în software-ul spyware şi anticipăm ca astfel de atacuri să câştige teren în anul următor”, comentează Kirill Kruglov, expert în securitate la Kaspersky ICS CERT.