Fortinet maakt vandaag de beschik­baar­heid bekend van het ‘2H 2023 Global Threat Lands­cape Report’. Deze nieuwe editie van het halfjaar­lijkse rapport van FortiGuard Labs toont een moment­op­name van het bedrei­gings­land­schap en licht trends uit voor de periode van juli tot en met december 2023.

Het rapport biedt daarnaast een analyse van de snelheid waarmee cyber­cri­mi­nelen misbruik maken van recent bekend­ge­maakte kwets­baar­heden, de opkomst van gerichte ransom­ware-aanvallen en de inzet van wiper-malware als wapen tegen industriële bedrijven en andere organi­sa­ties die met opera­ti­o­nele techno­logie werken.

Derek Manky, chief security strate­gist en global vice presi­dent Threat Intel­li­gence bij FortiGuard Labs, zegt: “Het Global Threat Lands­cape Report van FortiGuard Labs voor de tweede helft van 2023 werpt licht op de enorme snelheid waarmee cyber­cri­mi­nelen misbruik maken van recent bekend­ge­maakte kwets­baar­heden. Daarmee staan zowel softwa­re­le­ve­ran­ciers als hun klanten voor een belang­rijke taak. Leveran­ciers moeten hun appli­ca­ties gedurende alle stadia van de ontwik­ke­lings­cy­clus grondig scannen op de aanwe­zig­heid van bevei­li­gings­lekken. Ze moeten daarnaast radicaal openheid van zaken geven bij het publi­ceren van kwets­baar­heden in hun software. Het National Insti­tute of Standards and Techno­logy (NIST) maakte in 2023 melding van meer dan 26.447 kwets­baar­heden in oplos­singen van ruim 2.000 softwa­re­le­ve­ran­ciers. Met het oog op deze aantallen is het van cruciaal belang dat organi­sa­ties een strikte proce­dure voor het instal­leren van patches hanteren om de kans op misbruik van bevei­li­gings­lekken te verkleinen.”

Een greep uit de belang­rijkste bevin­dingen voor het tweede halfjaar: 

• Cyber­aan­vallen gingen gemid­deld 4,76 dagen na de bekend­ma­king van nieuwe kwets­baar­heden van start: Net als voor het 1H 2023 Global Threat Lands­cape Report wilde FortiGuard Labs zien hoeveel tijd er zich afspeelt tussen de publi­catie van een kwets­baar­heid en misbruik daarvan door cyber­cri­mi­nelen. Het wilde daarnaast weten of kwets­baar­heden waaraan het Exploit Predic­tion Scoring System (EPSS) een hogere score toekent sneller worden misbruikt en of de gemid­delde tijd tussen bekend­ma­king en misbruik kon worden voorspeld aan de hand van EPSS-data. Uit deze analyse bleek dat cyber­cri­mi­nelen in de tweede helft van vorig jaar 43% sneller misbruik maakten van recent gepubli­ceerde kwets­baar­heden dan in het eerste halfjaar. Daarmee blijkt hoe belang­rijk het is dat softwa­re­le­ve­ran­ciers zich toeleggen op de interne detectie van bevei­li­gings­lekken en patches ontwik­kelen voordat er misbruik van kan worden gemaakt (minima­li­satie van zero-day kwets­baar­heden). Het benadrukt ook dat leveran­ciers hun klanten op proac­tieve en trans­pa­rante wijze op de hoogte moeten stellen van kwets­baar­heden, zodat die hun appli­ca­ties effec­tief kunnen beschermen tegen misbruik door cybercriminelen.
• Sommige bevei­li­gings­lekken blijven meer dan 15 jaar ongepatcht: CISO’s en security-teams moeten zich niet alleen zorgen maken om recent bekend­ge­maakte kwets­baar­heden. Uit teleme­trie­data van Fortinet bleek dat 41% van alle organi­sa­ties pogingen tot misbruik van kwets­baar­heden detec­teerden op basis van malware-signa­tures die nog geen maand oud waren. Bijna elke organi­satie (98%) detec­teerde kwets­baar­heden die al minstens vijf jaar bekend waren. FortiGuard Labs blijft echter ook op gevallen stuiten waarin cyber­cri­mi­nelen misbruik maken van kwets­baar­heden die ruim 15 jaar geleden openbaar werden gemaakt. Dit benadrukt de noodzaak om waakzaam te blijven en de cyber­hy­giëne op te voeren. Organi­sa­ties moeten snel schakelen op basis van een consis­tent patching- en update­pro­gramma, best practices toepassen en de adviezen van organi­sa­ties als Network Resilience Coali­tion opvolgen om de netwerk­be­vei­li­ging te verbeteren.
• Nog geen 9% van alle bekende kwets­baar­heden op endpoints werd doelwit van cyber­aan­vallen: In 2022 intro­du­ceerde FortiGuard Labs het concept van de red zone. Dit biedt lezers meer inzicht in de waarschijn­lijk­heid dat cyber­cri­mi­nelen misbruik maken van speci­fieke kwets­baar­heden. Ter illustratie: de laatste drie Global Threat Lands­cape Reports gaven aan hoeveel kwets­baar­heden op endpoints met aanvallen werden bestookt. Volgens het huidige rapport vormde in de tweede helft van 2023 slechts 0,7% van alle bekende kwets­baar­heden op endpoints een doelwit. Dat betekent dat er sprake is van een veel kleiner actief aanvals­op­per­vlak waarop security-teams hun focus moeten richten.
• 44% van alle ransom­ware en wiper-malware was gericht op de industriële sector: Het aantal detec­ties van ransom­ware door het wereld­wijde sensor­net­werk van Fortinet daalde in het tweede halfjaar van 2023 met 70% ten opzichte van de eerste helft van 2023. Deze terugval lijkt er sterk op te wijzen dat cyber­cri­mi­nelen niet langer met hagel schieten, maar kiezen voor een meer gerichte aanpak. De focus ligt daarbij op de energie­sector, gezond­heids­zorg, maakin­du­strie, logis­tieke en trans­port­sector en auto-industrie.
• Botnets vertoonden een ongekende veerkracht; er verstreken gemid­deld 85 dagen tussen de eerste detectie en de stilleg­ging van de commu­ni­catie met command & control (C2)-servers: Hoewel het botver­keer in het tweede halfjaar van 2023 op een min of meer gelijk peil bleef als in het eerste halfjaar, bleef FortiGuard Labs activi­teit bespeuren van de promi­nentste botnets van de afgelopen jaren, waaronder Gh0st, Mirai en ZeroAc­cess. In de tweede helft van 2023 doken er drie nieuwe botnets op: AndroxGh0st, Prometei en DarkGate. 
• 38 van alle door MITRE gevolgde advanced persis­tent threat (APT)-groepen bleken in de tweede helft van 2023 actief te zijn: Uit infor­matie van Forti­Recon, een dienst van Fortinet die organi­sa­ties tegen digitale risico’s beschermt, blijkt dat 38 van de 138 groepen cyber­cri­mi­nelen die MITRE volgt in actief waren in de tweede helft van 2023. Tot de meest actieve behoorden de Lazarus Group, Kimusky, APT28, APT29, Andariel en OilRig. De aanvals­cam­pagnes van ATP-groepen en staats­hac­kers zijn sterker gericht en relatief korter van aard dan die van andere typen cyber­cri­mi­nelen. FortiGuard Labs zal de ontwik­ke­lingen en het activi­teits­vo­lume voor deze groepen dan ook nauwlet­tend blijven volgen.

Discussies op het dark web 

Het ‘2H 2023 Global Threat Lands­cape Report’ biedt op basis van infor­matie van Forti­Recon een inkijkje in de gesprekken die cyber­cri­mi­nelen voeren via forums en markt­plaatsen op het dark web, Telegram-kanalen en andere bronnen. Hieruit bleek onder meer het volgende:

• Cyber­cri­mi­nelen spraken het vaakst over aanvallen op organi­sa­ties in de finan­ciële sector. Zakelijke dienst­ver­le­ners en onder­wijs­in­stel­lingen kwamen op de tweede en derde plaats.
• Op promi­nente forums op het dark web werden gegevens van meer dan 3.000 datalekken gedeeld.
• Op het dark web werden 221 kwets­baar­heden actief besproken. Op Telegram-kanalen vonden discus­sies over 237 bevei­li­gings­lekken plaats.
• Cyber­cri­mi­nelen boden credit­card­ge­ge­vens van meer dan 850.000 personen ter verkoop aan.

Het tij van cybercriminaliteit keren

Het almaar groei­ende aanvals­op­per­vlak en branche­brede tekort aan vaardige bevei­li­gings­pro­fes­si­o­nals maakt het moeilijker dan ooit voor bedrijven om grip te houden op hun ingewik­kelde lappen­deken van ongelijk­soor­tige security-oplos­singen. En het is voor hen al helemaal een lastige opgave om het enorme aantal bevei­li­gings­mel­dingen van losstaande producten bij te houden en op de hoogte te blijven van de laatste aanvals­tech­nieken van cybercriminelen.

Het keren van het tij van cyber­cri­mi­na­li­teit vraagt om samen­wer­king, trans­pa­rantie en reken­schap op een grotere schaal. Elke organi­satie die actief is in de wereld van cyber­se­cu­rity kan een schakel in de keten vormen in de strijd tegen cyber­cri­mi­na­li­teit. Samen­wer­king met promi­nente en alom geres­pec­teerde organi­sa­ties uit de publieke en private sector, waaronder CERT’s, overheids­in­stel­lingen en univer­si­teiten, vormt een belang­rijk onder­deel van de inspan­ningen van Fortinet om de wereld­wijde cyber­veer­kracht te verbeteren.

Onophou­de­lijke techno­lo­gi­sche innovatie en samen­wer­king binnen sectoren en werkgroepen zoals de Cyber Threat Alliance, Network Resilience Coali­tion, Interpol, de Partner­ship Against Cyber­crime en het World Economic Forum (WEF) met zijn Cyber­crime Atlas maakt het mogelijk om als collec­tief de bevei­li­ging op te voeren en een bijdrage te leveren aan de wereld­wijde strijd tegen cybercriminaliteit.

Foto: Philipp Katzen­berger via Unsplash