Active Adversay Playbook 2022 da Sophos: tempo de permanência dos atacantes aumentou em 36%

“Os invasores consideram as organizações maiores mais valiosas, por isso estão mais motivadas para as invadir, conseguir o que querem e sair. As organizações menores têm menos valor reconhecido, pelo que eles podem dar-se ao luxo de se esconder na rede em segundo plano por períodos mais longos. Também é possível que os invasores fossem menos experientes e precisassem de mais tempo para perceber o que fazer quando estivessem dentro da rede. Por fim, as organizações de menor dimensão normalmente têm menos visibilidade ao longo da cadeia de ataque para detetar e expulsar os invasores, permitindo a estes prolongar a sua presença,” disse Shier. “Com oportunidades proporcionadas pelas vulnerabilidades ProxyLogon e ProxyShell sem patches e o aparecimento de IABs, estamos a registar mais evidências de vários invasores numa única vítima. Se o panorama dentro de uma rede estiver lotado, os invasores vão querer mover-se rapidamente para vencer a concorrência.”

As conclusões adicionais do playbook incluem:

• O tempo médio de permanência dos atacantes antes da deteção foi mais longo em intrusões “furtivas” que ainda não tinham evoluído para ataques como ransomware, e em organizações de menor dimensão e setores da indústria com menos recursos de segurança de TI. O tempo médio de permanência em organizações atingidas por ransomware foi de 11 dias. Naquelas que foram invadidas, mas ainda não afetadas por um grande ataque como ransomware (23% de todos os incidentes investigados), o tempo médio de permanência foi de 34 dias. As organizações do setor da educação ou com menos de 500 colaboradores também registaram tempos de permanência mais longos.
• Tempos de permanência mais longos e pontos de entrada abertos deixam as organizações vulneráveis a múltiplos atacantes. Evidências forenses levaram à descoberta de casos em que diversos adversários, incluindo IABs, gangs de ransomware, cyptominers e, ocasionalmente, até mesmo vários operadores de ransomware, atacavam a mesma organização em simultâneo.
• Apesar de uma quebra na utilização do Remote Desktop Protocol (RDP) para acesso externo, os invasores aumentaram a utilização da ferramenta para movimentação lateral interna. Em 2020, os invasores utilizaram o RDP para atividades externas em 32% dos casos analisados, mas tal diminuiu para 13% em 2021. Embora esta seja uma mudança bem-vinda e sugira que as organizações melhoraram a sua gestão das superfícies de ataque externas, os invasores ainda estão a abusar do RDP para movimentação lateral interna. A Sophos descobriu que os invasores utilizaram o RDP para este fim em 82% dos casos em 2021, acima dos 69% de 2020.
• As combinações comuns de ferramentas utilizadas nos ataques são um poderoso sinal de alerta da atividade de intrusos. Por exemplo, as investigações de incidentes da Sophos permitiram concluir que, em 2021, scripts maliciosos PowerShell e não-PowerShell foram combinados em 64% dos casos; PowerShell e Cobalt Strike foram combinados em 56% dos casos; e PowerShell e PsExec foram encontrados em 51% dos casos. A deteção destas correlações pode servir de aviso antecipado de um ataque iminente ou confirmar a presença de um ataque ativo.
• Metade (50%) dos incidentes de ransomware envolveu exfiltração de dados confirmada – e, com os dados disponíveis, o intervalo médio entre o roubo de dados e a implementação do ransomware foi de 4.28 dias. 73% por cento dos incidentes aos quais a Sophos deu resposta em 2021 envolveu ransomware. Destes, 50% também envolveu exfiltração de dados. A exfiltração de dados costuma ser a última fase do ataque antes do lançamento do ransomware, e as investigações da Sophos revelaram que o intervalo médio entre elas foi de 4.28 dias, e a mediana de 1.84 dias.

• A Conti foi o grupo de ransomware mais prolífico em 2021, sendo responsável por 18% dos incidentes em geral. O ransomware REvil foi responsável por um em cada 10 incidentes, e outras famílias de ransomware predominantes foram a DarkSide, o RaaS por detrás do relevante ataque à Colonial Pipeline nos EUA, e a Black KingDom, uma das “novas” famílias de ransomware que surgiu em março de 2021 na sequência da vulnerabilidade ProxyLogon. Foram identificados 41 adversários de ransomware diferentes nos 144 incidentes incluídos na análise da Sophos. Destes, cerca de 28 foram novos grupos reportados pela primeira vez em 2021. Por outro lado, 18 grupos de ransomware registados em incidentes em 2020 desapareceram da lista em 2021.