Fortinet, leader mondiale nelle soluzioni di cyber sicurezza integrate e automatizzate, ha presentato il nuovo Threat Landscape Report per il primo trimestre 2019, frutto delle ricerche dei FortiGuard Labs.
Secondo Phil Quade, Chief Information Security Officer di Fortinet, “le organizzazioni devono ripensare i loro piani per affrontare al meglio le sfide future e gestire i rischi in ambito cyber security. Constatiamo giorno dopo giorno come la community dei cybercriminali replichi le strategie e le metodologie di Stati, device e network in continua evoluzione”.
“Un primo passo importante è pensare alla sicurezza informatica come a una scienza facendo leva su velocità e connettività del cyberspazio per difendersi. Adottare un approccio fabric alla sicurezza, una segmentazione micro e macro, sfruttare il machine learning e l’automazione come elementi costitutivi dell’intelligenza artificiale, può rappresentare un’enorme opportunità per tenere lontani i criminali informatici”.
I risultati del Threat Landscape Report
Sono diversi i risultati evidenziati dal nuovo Threat Landscape Report. Vediamoli insieme.
Traffico di rete pre e post attacco: valutare se i cybercriminali mettano in atto gli attacchi in diversi giorni della settimana è un punto importante per capire come siano sempre alla ricerca di nuove modalità e opportunità. Quando si confronta il volume del web filtering per due fasi della cyber kill chain durante i giorni feriali e nel fine settimana, ne emerge come l’attività di pre-compromise sia circa tre volte più probabile durante la settimana lavorativa, mentre il traffico post-compromise mostra una minore differenziazione.
Ciò è principalmente dovuto al fatto che l’attività di diffusione di un exploit spesso richiede a qualcuno di intraprendere un’azione come, ad esempio, quella di fare clic su un messaggio di phishing. Differentemente, l’attività di controllo e comando (C2) non ha questo requisito e pertanto può verificarsi in qualsiasi momento.
I criminali informatici lavorano per massimizzare le opportunità durante la settimana, quando l’attività sul web è più elevata. Differenziare tra le pratiche di web filtering nei giorni feriali e nei fine settimana è importante per comprendere appieno la kill chain dei singoli attacchi.
La maggior parte delle minacce condividono un’infrastruttura: il grado di condivisione delle infrastrutture delle diverse minacce mostra alcuni trend particolarmente rilevanti. Alcune minacce infatti fanno leva sull’utilizzo di un’infrastruttura comune rispetto a una unica o dedicata. Quasi il 60% delle minacce ha come denominatore comune almeno un dominio, il che indica che la maggior parte delle botnet sfrutta un’infrastruttura consolidata.
IcedID è un esempio di questo comportamento, che si può riassumere con la domanda “perché compri quando puoi prendere in prestito?”. Inoltre, quando le minacce condividono l’infrastruttura, tendono a farlo nella stessa fase della kill chain. Da qui si comprende come l’infrastruttura giochi un ruolo fondamentale quando viene utilizzata per mettere in atto la diffusione di particolari minacce informatiche. Capire quali di esse condividono l’infrastruttura e in quali punti è un vantaggio competitivo per le aziende, per prevedere le potenziali evoluzioni future di malware e botnet.
Il Content Management deve essere sempre controllato e gestito: gli hacker tendono ad adottare comportamenti che permettano loro di massimizzare le opportunità, come passare da una minaccia all’altra in cluster, mirando alle vulnerabilità. Un esempio di nuove tecnologie nel mirino dei criminali informatici sono le piattaforme web che rendono più facile la presenza online di utenti e imprese.
Continuano infatti a essere prese di mira, anche quando sono associate a plugin di terze parti. Questo conferma l’importanza di applicare immediatamente le patch ed essere consapevoli che il mondo degli exploit è in continua evoluzione.
Il ransomware è tutto tranne che scomparso: in generale, il numero elevato di ransomware è stato sostituito da attacchi più mirati, ma questo tipo di minaccia è ben lungi dall’essere scomparsa dai radar. Al contrario, gli attacchi multipli dimostrano come siano stati personalizzati per raggiungere target particolarmente importanti e per fornire agli hacker un accesso privilegiato alla rete.
LockerGoga è un esempio di attacco multi-stage mirato. LockerGoga si distingue per pochi aspetti dagli altri ransomware in termini di sofisticazione funzionale. In questo caso l’attacco era mirato e c’era una precisa volontà di rendere il malware difficilmente individuabile.
Prendendo invece in esame Anatova ne emerge che, come per la maggior parte degli altri ransomware, l’obiettivo principale sia crittografare il maggior numero di file possibili presenti nel sistema di chi ne viene colpito. In questo caso però, il ransomware evita di crittografare gli elementi che possono influire sulla stabilità del sistema che sta infettando.
Entrambe queste varianti di ransomware dimostrano l’importanza per i responsabili della sicurezza di rimanere concentrati su come mettere in atto strategie di applicazione patch e backup per agire contro i ransomware. Tuttavia le minacce mirate richiedono difese più personalizzate per garantire una protezione da metodologie sofisticate di attacco.
Strumenti e tattiche per il “Living off the Land”: poiché gli hacker per massimizzare i propri sforzi operano utilizzando gli stessi modelli di business delle loro ‘vittime’, i metodi di attacco spesso continuano a svilupparsi anche dopo il primo accesso. Per raggiungere questo obiettivo, nel perpetrare un attacco, i cyber criminali utilizzano sempre più strumenti dual-use oppure che siano già preinstallati sui sistemi.
Questa tattica di “Living off the Land” (LoTL) consente loro di nascondere le loro attività all’interno di processi legittimi e rende più difficile rilevarli. Tali tool rendono inoltre anche l’attribuzione degli attacchi molto più difficile. Sfortunatamente, gli hacker possono usare una vasta gamma di strumenti legittimi per raggiungere il proprio obiettivo e mascherarsi.
Il bisogno di una Threat Intelligence dinamica e proattiva: migliorare la capacità di un’organizzazione non solo di difendersi adeguatamente dalle minacce, ma anche di prepararsi all’evoluzione e all’automazione degli attacchi richiede un’intelligence delle minacce dinamica, proattiva e disponibile su tutta la rete distribuita.
Tale approccio può essere utile per identificare le tendenze, evidenziando l’evoluzione dei metodi di attacco, e per individuare le priorità di cyber hygiene in base agli obiettivi degli hacker. La capacità di intervenire sulla gestione delle minacce si riduce significativamente se non può essere attuabile in tempo reale su ogni dispositivo. Solo una security fabric ampia, integrata e automatizzata può fornire protezione per l’intero ambiente di rete.
