Cyberkriminelle setzten 2022 mehr als 500 unterschiedliche Tools und Taktiken ein

Active Adversary Report von Sophos: Die häufigste Ursache für Angriffe sind ungepatchte Sicherheitslücken und kompromittierte Zugangsdaten. [...]

Sophos hat sein „Active Adversary Playbook for Business Leaders“ veröffentlicht. Der Report bietet einen detaillierten Blick auf die veränderten Verhaltensweisen und Angriffstechniken, die Angreifer im Jahr 2022 einsetzten. Für diesen Report wurden Daten aus mehr als 150 Sophos Incident-Response-Fällen analysiert. Die Sophos-Forscher identifizierten mehr als 500 einzigartige Tools und Techniken, darunter 118 „Living off the Land“-Binaries (LOLBins). Im Gegensatz zu Malware handelt es sich bei LOLBins um ausführbare Dateien, die legal auf Betriebssystemen zu finden sind. Dadurch ist es für Verteidiger wesentlich schwieriger, sie zu blockieren, wenn Angreifer sie für schädliche Aktivitäten nutzen.

Darüber hinaus hat Sophos festgestellt, dass ungepatchte Schwachstellen die häufigste Ursache dafür sind, dass Angreifer einen Erstzugang zu den Zielsystemen erhalten. In der Hälfte der Untersuchungen nutzten Angreifer ProxyShell- und Log4Shell-Schwachstellen (erstmals aufgetreten in 2021) aus, um Unternehmen zu infiltrieren. Die zweithäufigste Ursache für Angriffe waren kompromittierte Anmeldedaten.

„Wenn Angreifer nicht einbrechen können, loggen sie sich ein. Die Bedrohungslage ist mittlerweile so umfangreich und komplex geworden, dass es keine klar definierbaren Einfallstore mehr gibt. Die meisten Unternehmen haben heute keine Chance mehr, die Angriffe alleine abzuwehren. Es gibt jedoch Tools und Dienste, die Unternehmen einen Teil der Verteidigungslast abnehmen können, so dass sie sich auf ihre Kernkompetenzen konzentrieren können“, sagt John Shier, Field CTO Commercial bei Sophos.

Ransomware dominiert, Verweildauer der Angreifenden in Unternehmenssystemen sinkt

Mehr als zwei Drittel der vom Sophos Incident Response Team untersuchten Angriffe (68 Prozent) bestanden aus Ransomware. Dies bestätigt, dass Ransomware nach wie vor eine der am weitesten verbreiteten Bedrohungen für Unternehmen darstellt. Ransomware war auch für fast drei Viertel der Incident-Response-Untersuchungen von Sophos in den letzten drei Jahren verantwortlich.

Ransomware dominiert zwar nach wie vor die Bedrohungslandschaft, doch die Verweildauer der Angreifer sank im Jahr 2022 für alle Angriffsarten von 15 auf 10 Tage. Bei Ransomware-Fällen sank die Verweildauer von 11 auf 9 Tage, während der Rückgang bei Nicht-Ransomware-Angriffen noch stärker ausfiel. Bei Letzteren ging die Verweildauer von 34 Tagen im Jahr 2021 auf nur 11 Tage im Jahr 2022 zurück. Anders als in den vergangenen Jahren gibt es jedoch keine signifikanten Unterschiede in der Verweildauer zwischen Unternehmen unterschiedlicher Größe oder Branchen.

„Unternehmen, die erfolgreich mehrschichtige Verteidigungsmaßnahmen mit ständiger Überwachung implementiert haben, verzeichnen bessere Ergebnisse in Bezug auf die Schwere der Angriffe“, so Shier. „Der Nebeneffekt einer verbesserten Abwehr bedeutet, dass die Angreifer schneller werden müssen, um ihre Angriffe durchzuführen. Schnellere Angriffe erfordern daher eine frühere Erkennung. Der Wettlauf zwischen Angreifern und Verteidigern wird weiter eskalieren, und diejenigen, die keine proaktive Überwachung durchführen, werden die größten Konsequenzen tragen.“