Malware dringt netwerken binnen via versleutelde verbindingen

91,5 procent van alle malware vindt zijn weg naar bedrijfsnetwerken via verbindingen met https-versleuteling. Dat blijkt uit de nieuwste editie van het Internet Security Report van WatchGuard Technologies. De securityspecialist ziet ook een alarmerende stijging van het aantal aanvallen met ransomware en fileless malware in het tweede kwartaal van 2021.

Het Internet Security Report schetst het actuele dreigingslandschap en reikt best practices voor IT-beveiliging aan. “Een groot deel van de wereld werkt nog steeds thuis of omarmt hybride werken”, zegt Corey Nachreiner, chief security officer bij WatchGuard. “Goede netwerkbeveiliging blijft essentieel, maar is tegelijkertijd slechts één onderdeel van een gelaagde security. Krachtige endpointbeveiliging en endpoint detection & response (EDR) worden steeds belangrijker.”

Een aantal conclusies uit het rapport:

• Malware komt massaal binnen via versleutelde verbindingen. In Q2 werd 91,5% van de malware verstuurd via een versleutelde verbinding, een forse toename ten opzichte van het kwartaal ervoor. Simpel gezegd: zonder https-inspectie wordt 9 van de 10 malware-aanvallen niet opgemerkt.
• Malware gebruikt PowerShell-tools om beveiliging te omzeilen. AMSI.Disable.A stond in Q1 voor het eerst in de malware-top 10 van WatchGuard. In Q2 kwam deze malwarefamilie op de tweede plek in de lijst met meest voorkomende malware en op plek één in de ranglijst met versleutelde bedreigingen. Deze malware maakt gebruik van PowerShell-tools om verschillende kwetsbaarheden in Windows te misbruiken. Een opvallende eigenschap is de ontwijkingstechniek. WatchGuard ontdekte dat AMSI.Disable.A de Antimalware Scan Interface (AMSI) in PowerShell kan uitschakelen. Zo voorkomt de malware detectie tijdens beveiligingscontroles.
• De groei van fileless bedreigingen zet door. Het aantal malwaredetecties afkomstig van scriptingengines zoals PowerShell kwam na een half jaar al uit op 80% van het totale aanvalsvolume in 2020. Daarmee blijft de dreiging van fileless malware in ongekend tempo groeien: met het huidige tempo gaat het om een verdubbeling op jaarbasis.
• Meer netwerkaanvallen ondanks transitie naar thuiswerken. WatchGuard-appliances detecteerde in Q2 bijna 5,1 miljoen netwerkaanvallen, een stijging van 22% ten opzichte van het eerste kwartaal. Het aanvalsvolume bereikte zelfs het hoogste niveau sinds begin 2018. Deze toename onderstreept het groeiende belang van netwerkbeveiliging in combinatie met bescherming van gebruikers.
• Ransomware-aanvallen bezig aan opmars. Het aantal detecties van ransomware op endpoints zat tussen 2018 en 2020 in een neerwaartse trend. Maar in de eerste helft van 2021 kwam daar verandering in. In zes maanden tijden werd bijna evenveel ransomware waargenomen als in heel 2020. Als het aantal detecties in het restant van 2021 op hetzelfde niveau blijft, komt het totale volume 150% hoger uit dan in 2020.
• Oude kwetsbaarheden maken comeback. Meestal staan er een of twee nieuwe handtekeningen in de top 10 van netwerkaanvallen. In Q2 waren het er maar liefst vier. Een daarvan is een vrij recente kwetsbaarheid in de populaire scripttaal PHP, maar de rest is helemaal niet nieuw. Het gaat om een oude kwetsbaarheid in Oracle GlassFish Server (2011), een SQL-injectie-kwetsbaarheid in het elektronisch patiëntendossier OpenEMR (2013) en een kwetsbaarheid in Microsoft Edge die het op afstand uitvoeren van code mogelijk maakt (2017). Deze systemen blijven een risico mits ongepatcht.
• Microsoft Office blijft een populair doelwit. De genoemde kwetsbaarheid in Microsoft Edge staat niet op zichzelf. In september kwam een vergelijkbare, ernstige kwetsbaarheid (CVE-2021-40444) in het nieuws die actief werd misbruikt voor gerichte aanvallen op Microsoft Office en Office 365 op Windows 10-computers. Cybercriminelen hebben het duidelijk nog steeds gemunt op Office. Gelukkig worden deze bewezen effectieve aanvalsmethoden gedetecteerd door IPS-beveiliging.
• Meer malware-aanvallen op Exchange-servers en e-mailgebruikers. WatchGuard ziet een toename in het gebruik van malware gericht op Microsoft Exchange-servers en normale e-mailgebruikers, met als doel het downloaden van remote access trojans (RATs) naar vertrouwelijke locaties. Dit hangt waarschijnlijk samen met het feit dat in Q2 meer mensen weer naar kantoor gingen of het fysiek onderwijs (deels) hervatten. Belangrijke tegenmaatregelen zijn het versterken van security-awareness en het monitoren van uitgaande communicatie op apparaten, ongeacht waar de gebruikers zich bevinden.

Ransomware-aanval op Colonial Pipeline

Het Internet Security Report over Q2 2021 bevat ook een uitgebreide analyse van de ransomware-aanval op de Colonial Pipeline in de VS begin mei. WatchGuard brengt de impact in kaart en schetst de implicaties voor de beveiliging van vitale infrastructuur. Daarnaast geeft het bedrijf adviezen voor de verdediging tegen ransomware-aanvallen en het vertragen van de verspreiding.

Het Internet Security Report van WatchGuard is gebaseerd op geanonimiseerde data van tienduizenden WatchGuard-appliances overal ter wereld. Het volledige rapport is hier te downloaden.