Alarmerende stijging van het aantal aanvallen met ransomware en fileless malware

Gepubliceerd op 5 oktober 2021 om 15:00

"De overgrote meerderheid (91,5%) van de malware vindt zijn weg naar bedrijfsnetwerken via verbindingen met https-versleuteling."

Dat concludeert WatchGuard Technologies in de nieuwste editie van het Internet Security Report. De securityspecialist zag daarnaast een "alarmerende stijging van het aantal aanvallen met ransomware en fileless malware in het tweede kwartaal van 2021."

Het Internet Security Report informeert organisaties over het actuele dreigingslandschap en reikt best practices voor IT-beveiliging aan. Dit zijn de belangrijkste conclusies uit het rapport voor Q2 2021.

Belangrijkste conclusies

  • Malware komt massaal binnen via versleutelde verbindingen

In Q2 werd 91,5% van de malware verstuurd via een versleutelde verbinding, een forse toename ten opzichte van het kwartaal ervoor. Simpel gezegd: zonder https-inspectie wordt 9 van de 10 malware-aanvallen niet opgemerkt.

  • Malware maakt gebruik van PowerShell-tools om beveiliging te omzeilen

AMSI.Disable.A stond in Q1 voor het eerst in de malware-top 10 van WatchGuard. In Q2 kwam deze malwarefamilie op de tweede plek in de lijst met meest voorkomende malware en op plek één in de ranglijst met versleutelde bedreigingen. Deze malware maakt gebruik van PowerShell-tools om verschillende kwetsbaarheden in Windows te misbruiken. Een opvallende eigenschap is de ontwijkingstechniek. WatchGuard ontdekte dat AMSI.Disable.A de Antimalware Scan Interface (AMSI) in PowerShell kan uitschakelen. Zo voorkomt de malware detectie tijdens beveiligingscontroles.

  • Groei fileless bedreigingen zet door

Het aantal malwaredetecties afkomstig van scriptingengines zoals PowerShell kwam na een half jaar al uit op 80% van het totale aanvalsvolume in 2020. Daarmee blijft de dreiging van fileless malware in ongekend tempo groeien: met het huidige tempo gaat het om een verdubbeling op jaarbasis.

  • Meer netwerkaanvallen ondanks transitie naar thuiswerken

WatchGuard-appliances detecteerde in Q2 bijna 5,1 miljoen netwerkaanvallen, een stijging van 22% ten opzichte van het eerste kwartaal. Het aanvalsvolume bereikte zelfs het hoogste niveau sinds begin 2018. Deze toename onderstreept het groeiende belang van netwerkbeveiliging in combinatie met bescherming van gebruikers.

  • Ransomware-aanvallen bezig aan opmars

Het aantal detecties van ransomware op endpoints zat tussen 2018 en 2020 in een neerwaartse trend. Maar in de eerste helft van 2021 kwam daar verandering in. In zes maanden tijden werd bijna evenveel ransomware waargenomen als in heel 2020. Als het aantal detecties in het restant van 2021 op hetzelfde niveau blijft, komt het totale volume 150% hoger uit dan in 2020.

  • Oude kwetsbaarheden maken comeback

Meestal staan er een of twee nieuwe handtekeningen in de top 10 van netwerkaanvallen. In Q2 waren het er maar liefst vier. Een daarvan is een vrij recente kwetsbaarheid in de populaire scripttaal PHP, maar de rest is helemaal niet nieuw. Het gaat om een oude kwetsbaarheid in Oracle GlassFish Server (2011), een SQL-injectie-kwetsbaarheid in het elektronisch patiëntendossier OpenEMR (2013) en een kwetsbaarheid in Microsoft Edge die het op afstand uitvoeren van code mogelijk maakt (2017). Deze systemen blijven een risico mits ongepatcht.

  • Microsoft Office blijft een populair doelwit

De genoemde kwetsbaarheid in Microsoft Edge staat niet op zichzelf. In september kwam een vergelijkbare, ernstige kwetsbaarheid (CVE-2021-40444) in het nieuws die actief werd misbruikt voor gerichte aanvallen op Microsoft Office en Office 365 op Windows 10-computers. Cybercriminelen hebben het duidelijk nog steeds gemunt op Office. Gelukkig worden deze bewezen effectieve aanvalsmethoden gedetecteerd door IPS-beveiliging.

  • Meer malware-aanvallen op Exchange-servers en e-mailgebruikers

WatchGuard ziet een toename in het gebruik van malware gericht op Microsoft Exchange-servers en normale e-mailgebruikers, met als doel het downloaden van remote access trojans (RATs) naar vertrouwelijke locaties. Dit hangt waarschijnlijk samen met het feit dat in Q2 meer mensen weer naar kantoor gingen of het fysiek onderwijs (deels) hervatten. Belangrijke tegenmaatregelen zijn het versterken van security-awareness en het monitoren van uitgaande communicatie op apparaten, ongeacht waar de gebruikers zich bevinden.

Uitgebreide analyse

Het Internet Security Report over Q2 2021 bevat ook een uitgebreide analyse van de ransomware-aanval op Colonial Pipeline van begin mei. WatchGuard brengt de impact in kaart en schetst de implicaties voor de beveiliging van vitale infrastructuur. Daarnaast geeft het bedrijf adviezen voor de verdediging tegen ransomware-aanvallen en het vertragen van de verspreiding. 

“Een groot deel van de wereld werkt nog steeds thuis of omarmt hybride werken”, zegt Corey Nachreiner, chief security officer bij WatchGuard. “Goede netwerkbeveiliging blijft essentieel, maar is tegelijkertijd slechts één onderdeel van een gelaagde security. Krachtige endpointbeveiliging en endpoint detection & response (EDR) worden steeds belangrijker.”

Het Internet Security Report van WatchGuard is gebaseerd op geanonimiseerde data van tienduizenden WatchGuard-appliances overal ter wereld. Je kan het volledige rapport hieronder downloaden.

WG Threat Report Q 2 2021
PDF – 7,0 MB 208 downloads
Internet Security Report Info Graphic Q 2 2021
PDF – 1,2 MB 193 downloads

Is de ‘NewProfilePic-app’ Russische malware?

De app 'New Profile Pic' staat zowel in de Apple App Store als in de Google Play Store op nummer één in de ranglijst van de populairste, meest gedownloade apps. Daarmee is de app momenteel dus populairder dan apps als Instagram, TikTok, Snapchat, YouTube en Messenger. Maar om deze app is momenteel het één en ander te doen: zo gaat het gerucht dat de app in werkelijkheid malware bevat van Russische makelij, dat gebruikers van de app slachtoffer worden van oplichting én dat de app data doorsluist naar het Kremlin. Hoe zit dat? In dit artikel leggen we het uit.

Lees meer »

‘Pegasus spyware’ we horen er steeds meer over, maar wat is het?

Je moet er niet aan denken: iemand kan op afstand alle inhoud van je smartphone meelezen. Zonder dat je iets merkt en zonder dat je er iets tegen kunt doen. Een groot datalek verklapte het bestaan van dit soort malware: Pegasus. Waarbij de controverse vooral zit in het feit dat de surveillancemalware vooral gebruikt werd door overheden.

Lees meer »

Stijging van ruim 47 procent met nieuwe malware

Er komen steeds meer verschillende soorten malware samples op de markt blijkt uit een analyse van G DATA CyberDefense. In totaal werden er vorig jaar meer dan 23,7 miljoen verschillende soorten malware samples geïdentificeerd. Dit staat gelijk aan bijna 65.000 nieuwe varianten malware per dag, oftewel 45 nieuwe aanvalsvectoren per minuut. Vergeleken met 2020 is dit een stijging van ruim 47 procent.

Lees meer »