Bedrijven zijn aan de verliezende hand in de strijd tegen ransomware-aanvallers als het gaat om het beschermen van hun gegevens. Uit het Veeam 2022 Ransomware Trends Report blijkt dat 72 procent van de organisaties te maken heeft gehad met gedeeltelijke of complete aanvallen op hun back-up repositories.
Aanvallen op bekende kwetsbaarheden
Dit had een dramatische impact op hun vermogen om gegevens te herstellen zonder losgeld te betalen. Veeam Software vond dat 80 procent van de succesvolle aanvallen zich richtte op bekende kwetsbaarheden, wat het belang van patching en het upgraden van software benadrukt. Bijna alle aanvallers poogden de back-up repositories van hun slachtoffers te vernietigen om ervoor te zorgen dat zij alleen nog tegen betaling gegevens konden herstellen.
Het ransomware Trends Report onthult de resultaten van een onafhankelijk onderzoeksbureau dat ruim 1.000 IT-leiders ondervroeg wiens organisatie ten minste een keer in de laatste 12 maanden succesvol aangevallen werd door ransomware.
Onderzoekers onderzochten de belangrijkste lessen die uit deze incidenten getrokken werden, hun impact op IT-omgevingen en de stappen die genomen werden om moderne dataprotectie-strategieën te implementeren.
Het onderzoek richtte zich met name op vier IT-persona’s (CISO’s, security professionals, back-up administrators en IT-operations) om inzicht te krijgen in de afstemming van cyberparaatheid in organisaties.
"Ransomware heeft datadiefstal gedemocratiseerd en vereist samenwerking van organisaties uit alle branches. We moeten samenwerken zodat we kunnen afstappen van het betalen van losgeld," zegt Danny Allen, CTO bij Veeam. "Het betalen van cybercriminelen om gegevens te herstellen is geen dataprotectiestrategie. Er is namelijk geen garantie dat gegevens hersteld worden en het risico van reputatieschade en verlies van vertrouwen van de klant is dan ook groot. Belangrijker nog, het bevestigt en beloont criminele activiteit."
76 procent betaalde om de aanval te beëindigen
Van de ondervraagde organisaties betaalde het grootste gedeelte van de slachtoffers (76 procent) losgeld om een aanval te beëindigen en gegevens te herstellen. Terwijl 52 procent het losgeld betaalde en hun gegevens konden herstellen, was dit voor 24 procent niet mogelijk.
Dit komt neer op een kans van een op drie dat het betalen van losgeld nog altijd niet leidt tot het herstellen van gegevens. Negentien procent van de organisaties betaalde het losgeld niet, omdat zij hun gegevens zelf konden herstellen. Dit is wat de overige 81 procent van de slachtoffers moet nastreven: gegevens herstellen zonder losgeld te betalen.
Het aanvalsoppervlak voor criminelen is divers. Zij moeten echter eerst toegang krijgen tot productieomgevingen, doordat gebruikers op kwaadaardige links klikken, ongecensureerde websites bezoeken of klikken op phishing e-mails - dit legt het vermijdbare karakter van veel incidenten bloot.
Nadat criminelen zich succesvol toegang hebben verschaft tot de omgeving, was er weinig verschil zichtbaar in infectie van datacenters, remote office platforms en cloud-hosted servers. In veel gevallen maakten indringers gebruik van bekende kwetsbaarheden, waaronder die van veel gebruikte besturingssystemen en hypervisors, alsmede NAS-platforms en database servers.
Zij lieten dan ook geen enkele mogelijkheid liggen om ongepatchte of verouderde software te exploiteren. Opvallend is wel dat er hogere infectiepercentages werden gerapporteerd door security professionals en back-up administrators in vergelijking met IT-operations of CISO’s, wat impliceert dat "degenen die dichter bij het probleem staan, nog meer van de problemen zien."
Respondenten bevestigen dat 94 procent van de aanvallers proberen om back-up repositories te vernietigen. In 72 procent van de gevallen was deze strategie in ieder geval deels succesvol. Het vernietigen van de lifeline van de organisatie is een populaire aanvalsstrategie die de kans vergroot dat organisaties het losgeld daadwerkelijk betalen.
De enige manier om zich te beschermen tegen dit scenario is door ten minste één onveranderlijke of air-gapped tier te hebben binnen het dataprotectie-framework - wat 95 procent van de ondervraagden nu heeft. Veel organisaties meldden zelfs een zekere mate van onveranderlijkheid of air-gap media in meer dan één laag van hun schijf-, cloud- en tapestrategie.
Andere bevindingen uit het Ransomware Trends Report zijn
-
Orchestratie doet ertoe
Om de herstelbaarheid van hun systemen proactief te garanderen, automatiseert een op de zes (16 procent) IT-teams de validatie en herstelbaarheid van hun back-ups. Vervolgens gebruikt 46 procent van de respondenten tijdens het herstel van een ransomware-aanval een geïsoleerde "sandbox" of testruimte om ervoor te zorgen dat hun herstelde gegevens schoon zijn voordat de systemen opnieuw in productie worden genomen.
-
Teams moeten zich verenigen
81 procent is van mening dat de cyber- en continuïteits-/disaster recovery-strategieën van hun organisaties op elkaar zijn afgestemd. 52 procent van de respondenten vindt echter dat de interacties tussen deze teams verbeterd moeten worden.
-
Diversifieer repositories
Bijna alle (95 procent) organisaties hebben ten minste één onveranderlijke of air-gapped dataprotectie-laag; 74 procent gebruikt cloud repositories die onveranderlijkheid bieden; 67 procent gebruikt on-premises disk repositories met onveranderlijkheid of vergrendeling; en 22 procent gebruikt tape die air-gapped is. Onveranderlijk of niet, organisaties merkten op dat naast disk repositories, 45 procent van de productiegegevens nog steeds op tape wordt opgeslagen en 62 procent op een bepaald moment in hun datalevenscyclus naar een cloud gaat. De volledige analyse van het onderzoek kunt u hier onder bekijken of downloaden.
Bron: veeam.com, managersonline.nl
Meer info over ransomware
Bekijk alle vormen en begrippen
Actuele aanvallen overzicht per dag
Meer rapporten bekijken of downloaden
Heeft u tips of verdachte activiteiten gezien online? Neem dan contact op met Cybercrimeinfo.
Meer ransomware nieuws
Ransomware jaaroverzicht 2021
Ransomware zorgde in 2021 voor lege kaasschappen, naar huis gestuurd personeel en grote hoeveelheden gestolen persoonsgegevens. Ook in 2021 werden Nederlandse bedrijven, onderwijsinstellingen en andere organisaties geregeld het slachtoffer van ransomware. Een terugblik op een jaar vol ransomware-aanvallen. Daarnaast nemen we de grootste ransomware-aanvallen in het buitenland onder de loep, alsmede gebruikte aanvalsmethodes en reacties op de dreiging van ransomware.
Toename in agressiviteit en brutaliteit van ransomware cybercriminelen
Ransomware groeperingen worden steeds agressiever en brutaler. Dit blijkt uit het meest recente Threat Report van ESET. Het report met betrekking tot het tweede trimester van 2021 geeft inzicht in het huidige dreigingslandschap naar aanleiding van observaties en belicht onder andere de trends die gezien worden in het ransomware dreigingslandschap.
Status: vier weken na de cyberaanval op VLD
Vier weken na de computergijzeling is VDL de gevolgen van de brute aanval nog niet te boven. Mogelijk loopt de levering van bussen in Amsterdam vertraging op omdat de busfabriek in België nog platligt.
"Opnieuw is bewezen dat internationale samenwerking cruciaal is tegen de dreiging van ransomware"
In een grote internationale operatie van politie en justitie zijn in acht landen 12 verdachten opgespoord die vermoedelijk deel uit maken van een wereldwijd netwerk van cybercriminelen. Het netwerk voerde verwoestende ransomware-aanvallen uit op de kritieke infrastructuur, zoals overheden en multinationals over de hele wereld.
"Yeah baby" take down door politie diensten
De Russische hackersgroep REvil is deze week door de FBI, samen met de Amerikaanse Secret Service, het Amerikaanse ministerie van Defensie en diverse buitenlandse mogendheden offline gehaald. Dat schrijft het Amerikaanse persbureau Reuters op basis van diverse bronnen.
Ransomware: Laag risico hoge beloning
Uit 80 miljoen wereldwijd verzamelde malware samples blijkt dat er ruim 130 verschillende zogeheten ransomware families actief zijn. Dit blijkt uit een analyse over de cijfers 2020-2021 van cybersecurity initiatief 'VirusTotal' in opdracht van zoekgigant 'Google'. De meest getroffen landen in deze periode zijn onder andere Israël, Zuid-Korea, Vietnam, China en Singapore.
Universele decryptor voor slachtoffers 'REvil cybercriminelen' beschikbaar
Cybersecuritybedrijf Bitdefender heeft een universele decoderingssleutel ontwikkeld voor iedereen die in het verleden slachtoffer is geworden van REvil. Deze decryptor werkt niet alleen voor de supply chain attack op Kaseya: bedrijven en organisaties die vóór 13 juli slachtoffer waren van de Russische hackersgroep, kunnen de sleutel gebruiken om hun bestanden te ontgrendelen. Ondanks dat de decryptor gratis en voor niets beschikbaar is, waarschuwen securityexperts om voorzichtig te zijn.
Cybercriminelen van Vice Society publiceren gestolen data op het darkweb van ROC Mondriaan
De cybercriminelen van 'Vice Society' die verantwoordelijk zijn voor de cyberaanval op ROC Mondriaan, hebben de gegevens die zij hebben gestolen op het darkweb geplaatst. De aanvallers vroegen om losgeld, maar de scholengemeenschap weigerde deze te betalen.
74% van de ondervraagde organisaties is de afgelopen 12 maanden slachtoffer geworden van ten minste één ransomware aanval
Barracuda heeft het rapport ‘The state of network security in 2021’ gepubliceerd. Voor dit rapport zijn 750 IT-beslissers over de hele wereld ondervraagd die verantwoordelijk zijn voor de netwerken, de publieke clouds en de security van hun organisatie. Dit heeft inzichten opgeleverd in cloudadoptie, thuiswerken, securityproblemen en andere uitdagingen rond securityrisico's.
Gezocht: Insiders die malware installeren voor ransomware aanval
Wanneer ransomware een bedrijfsnetwerk binnendringt, gebeurt dat meestal via e-mail, kwetsbaarheden in de software of onbeveiligde verbindingen op afstand. Het lijkt onwaarschijnlijk dat een insider opzettelijk malware zou verspreiden. Uit de praktijk blijkt echter dat sommige aanvallers denken dat deze methode om ransomware te verspreiden doeltreffend is, en sommige aanvallers rekruteren daarom actief werknemers van bedrijven door hen een percentage van het losgeld aan te bieden.
Ziekenhuizen en gemeenten blijven populaire ransomware doelwitten bij cybercriminelen
Cyberveilig Nederland (CVN) heeft in samenwerking met enkele van haar leden, de Nationale Politie en het Nationaal Cyber Security Centrum (NCSC) een Whitepaper Ransomware gepubliceerd. Doel van het whitepaper is het op een laagdrempelige manier bieden van inzicht en handelingsperspectief zodat organisaties zich beter kunnen beveiligen tegen cybercriminelen.
Cybercriminelen vragen steeds meer losgeld bij ransomware aanvallen
Barracuda heeft zijn derde jaarlijkse onderzoeksrapport over ransomware gepubliceerd. Het nieuwe rapport onthult de aanvalspatronen van ransomware-incidenten die plaatsvonden tussen augustus 2020 en juli 2021.