A Sophos közzétette az aktív ellenfelekről szóló 2024-es elemzését, amely megállapította, hogy a kiberbűnözők a támadások 90%-ában éltek vissza a távoli asztal protokollal (RDP-vel), amely egy általános módszer a távoli hozzáférés megoldására a Windows rendszereken. Ez volt az RDP-vel való visszaélések legmagasabb előfordulási gyakorisága azóta, hogy a Sophos a 2020-ra vonatkozó adatok alapján 2021-ben elkezdte közzétenni az aktív ellenségekről szóló jelentéseket.

Ezen kívül a kívülről elérhető távoli szolgáltatások, például az RDP voltak a leggyakoribb vektorok, amelyek révén a támadók megszerezték a kezdeti hozzáférésüket a hálózatokhoz; 2023-ban az IR esetek 65%-ában így törtek be először a rendszerekbe. Az aktív ellenfelekről szóló jelentések 2020-as megjelenése óta folyamatosan a külső távoli szolgáltatások jelentik a kiberbűnözők kezdeti hozzáférésének leggyakoribb forrását, és a védőknek ezt egyértelmű jelnek kell tekinteniük arra vonatkozóan, hogy e szolgáltatások kezelését prioritásként kezeljék a vállalatot érintő kockázatok kiértékelésekor.

“A külső távoli szolgáltatások szükséges, de kockázatos igények sok vállalkozás számára. A támadók tisztában vannak azzal, hogy ezek a szolgáltatások milyen kockázatot jelentenek, és aktívan törekednek ezek kihasználására a rajtuk keresztül megszerezhető javak miatt. A szolgáltatások szabadon elérhetővé tétele gondos mérleges és a kockázataik csökkentése nélkül elkerülhetetlenül kompromittációhoz vezet. Nem tart sokáig, amíg egy támadó megtalálja és feltöri a külvilág számára hozzáférhető RDP-szervert és további vezérlők, korlátok nélkül a túloldalon váró Active Directory szerver megtalálása sem sok idő számára.” mondta John Shier, a Sophos field CTO-ja.

Egy Sophos X-Ops vásárló esetében a támadók hat hónapon belül négyszer törték fel sikeresen az áldozatot, minden alkalommal az ügyfél nyíltan hozzáférhető RDP portjain keresztül szerezve meg a kezdeti hozzáférést. A bejutást követően a támadók laterálisan mozogtak az ügyfél hálózat belül, ártó célú futtatható programokat töltöttek le, letiltották a végpontvédelmet és távoli hozzáférést hoztak létre.

A rossz kezekbe került hitelesítő adatok és a biztonsági rések kihasználása továbbra is a támadások két leggyakoribb kiváltó oka. A tavaly augusztusban kiadott 2023-as Active Adversary Report for Tech Leaders azonban megállapította, hogy az év első felében a kompromittált hitelesítő adatok első alkalommal megelőzték a sebezhetőségeket, mint a támadások leggyakoribb kiváltó okait. Ez a trend 2023 hátralévő részében is folytatódott, és az egész éves IR-esetek több mint 50%-ának a hitelesítő adatok kompromittálódása volt a kiváltó oka.

Ha az Active Adversary adatait 2020 és 2023 között összesítve vizsgáljuk,  akkor a kompromittált hitelesítő adatok szintén a támadások első számú gyakori kiváltó okai voltak, mert az IR esetek közel harmadának képezték részét. Mégis, annak ellenére, hogy a historikus adatok mutatják a rossz kézbe került hitelesítő adatok elterjedtségét a kibertámadások során, 2023-ban az IR-esetek 43%-ában a szervezetek nem konfiguráltak többtényezős hitelesítést. A sérülékenységek kihasználása volt a támadások második leggyakoribb kiváltó oka, mind 2023-ban, mind a 2020 és 2023 közötti adatok kumulatív elemzésekor: az IR esetek 16%-ában, illetve 30%-ában volt a kiváltó ok.

“A kockázatkezelés aktív folyamat. Azok a szervezetek, amelyek ezt jól végzik, jobb biztonsági helyzeteket tapasztalnak meg az elszánt támadók folyamatos fenyegetéseivel szembesülve, mint azok, amelyek nem. A biztonsági kockázatok kezelésének egyik fontos aspektusa az azonosításukon és a prioritásuk meghatározásán túl az információ alapján történő cselekvés. Ennek ellenére bizonyos kockázatok túl régóta sújtják a szervezeteket, amilyen például a nyitott RDP is, azon támadók nagy örömére, akik a szervezet “főbejáratán” tudnak besétálni. A hálózat biztonságossá tétele a nyíltan hozzáférhető és sérülékeny szolgáltatások csökkentésével és a hitelesítés megerősítésével általánosságban biztonságosabbá teszi a szervezeteket, és lehetővé teszi számukra, hogy jobban le tudják küzdeni a kibertámadásokat.” mondta Shier.

A Sophos Active Adversary Report for 1H 2024 több mint 150 incidensreagálási (IR) vizsgálaton alapul, amelyek világszerte 26 szektorra terjedtek ki. A megcélzott szervezetek 23 különböző országban találhatók, amelyek az Egyesült Államok, Kanada, Mexikó, Kolumbia, az Egyesült Királyság, Svédország, Svájc, Spanyolország, Németország, Lengyelország, Olaszország, Ausztria, Belgium, a Fülöp-szigetek, Szingapúr, Malajzia, India, Ausztrália, Kuwait, az Egyesült Arab Emírségek, Szaúd-Arábia, Dél-Afrika és Botswana.