Secondo il rapporto di Fortiguard Labs i primi sei mesi del 2021 hanno visto un aumento significativo del volume e della complessità degli attacchi rivolti a individui, organizzazioni e infrastrutture critiche.
Non solo le reti private come target
Mentre l’anno scorso gli attori delle minacce avevano spostato, per ovvi motivi, i propri interessi dai dispositivi delle infrastrutture aziendali a quelli delle reti domestiche e ai prodotti casalinghi, ora stanno prendendo di mira in modo aggressivo entrambi. In particolare le tecnologie adoperate dagli smart worker e le piattaforme di gestione dei contenuti e di sviluppo delle applicazioni aziendali.
L’escalation del ransomware
Ma l’aumento più significativo delle minacce informatiche è stato il ransomware, che ha visto un incredibile aumento di oltre dieci volte negli ultimi 12 mesi. Ciò è stato alimentato, in parte, dalla continua crescita del ransomware come servizio (RaaS). Oltre a noleggiare ransomware, alcuni operatori hanno iniziato a vendere l’accesso a reti aziendali compromesse, rendendo molto più facile il coinvolgimento di criminali meno esperti.
Le organizzazioni nel settore delle telecomunicazioni sono state le più colpite durante la prima metà del 2021, seguite da agenzie governative, fornitori di servizi di sicurezza, settore automobilistico e manifatturiero. Numerosi attacchi di alto profilo hanno paralizzato settori di importanza critica, influendo sulla vita quotidiana, sulla produttività e sul commercio:
- l’attacco Colonial Pipeline che ha interrotto la distribuzione di petrolio e benzina attraverso la costa orientale degli Stati Uniti,
- l’attacco JBS Foods che ha portato a preoccupazioni per una possibile crisi globale nel commercio di carne;
- l’attacco alla catena di approvvigionamento contro Kaseya VSA che ha avuto un forte impatto sui propri clienti.
Ma non è solo aumentato il volume degli attacchi ransomware, ma anche la loro ferocia. I criminali informatici hanno aggiunto livelli di estorsione per far pagare le vittime. Ciò include la combinazione della crittografia con il doxing (la minaccia di esporre pubblicamente i dati interni), l’aggiunta di attacchi DDoS e il coinvolgimento diretto dei clienti del target per generare ulteriore confusione, panico e pressione.
Aumento delle attività botnet
Un’altra tendenza documentata negli ultimi sei mesi è stata l’aumento del volume degli attacchi botnet: la percentuale di organizzazioni che hanno rilevato questi tipi di attività è passata dal 35% al 51%. Tale aumento è stato guidato da un’impennata nell’uso di TrickBot, inizialmente un trojan bancario e poi evoluto in un toolkit sofisticato, modulare e multifase a supporto di una serie di attività illecite.
Mirai è stata la botnet più diffusa, continuando ad aggiungere nuove armi informatiche al suo arsenale, sfruttando i dispositivi IoT, seguita anche da Gh0st che continua a svolgere un ruolo significativo nell’attività delle botnet.
L’importanza della cooperazione
Gruppi come l’Interpol e il Centro per la sicurezza informatica del World Economic Forum hanno avviato dialoghi internazionali per consentire una maggiore e migliore cooperazione nel rilevare e fermare le minacce e le gang della criminalità informatica, cercando di superare anche i limiti geopolitici. Le azioni pubblico/private intraprese nella prima metà del 2021, se continuate potrebbero segnare davvero un punto di svolta, puntando sulle collaborazioni pubbliche con fornitori di settore allo scopo di intraprendere azioni dirette contro il cyber crime.
Alcuni risultati si cominciano a intravedere, a seguito di una maggiore pressione da parte di attori cruciali cooperanti, ma che devono rappresentare solo un punto di partenza (come dimostrato dall’eliminazione coordinata di Emotet, una delle operazioni malware più prolifiche, e la sua recente e preoccupante recrudescenza):
- l’interruzione delle operazioni ransomware Egregor, NetWalker e Cl0p, che rappresentano vittorie significative da parte dei governi globali e delle forze dell’ordine;
- l’uscita volontaria di gruppi di criminalità informatica come DarkSide, Avaddon e Ziggy e il rifiuto da parte di alcuni forum underground di occuparsi di ransomware a seguito degli attacchi della Colonial Pipeline.
Ma questa cooperazione deve anche essere combinata con i progressi della tecnologia nel classificare le tattiche e le tecniche avversarie allo scopo di descrivere come gli attori delle minacce trovano le vulnerabilità e costruiscono le infrastrutture dannose.
Solo la cooperazione e la conoscenza potrà consentire ai difensori di identificare e rispondere meglio alle minacce attuali ed emergenti (elusione delle difese, esfiltrazione dei dati compromessi) che possono mettere a serio rischio l’economia globale contemporanea.
