M-Trends Report von Mandiant gibt Investigations-Einblicke aus erster Hand

Mandiant veröffentlicht heute die Ergebnisse des M-Trends 2024. Der jährliche Bericht, der bereits zum 15. Mal erscheint, bietet eine fachkundige Trendanalyse, basierend auf Mandiants Untersuchungen von Cyberangriffen im Jahr 2023 und deren Abwehr. [...]

Der diesjährige Bericht zeigt, dass Unternehmen weltweit ihre Verteidigungsfähigkeiten deutlich verbessert haben und bösartige Aktivitäten, die ihr Unternehmen betreffen, schneller erkennen als in den Vorjahren. Der Bericht untersucht zudem bemerkenswerte Bedrohungsakteure und -kampagnen und bietet einen tieferen Einblick in die Bedrohungsaktivitäten je nach Region.

„Angreifer passen ihre Taktiken, Techniken und Verfahren regelmäßig an, um ihre Ziele zu erreichen – was für Verteidiger eine Herausforderung darstellen kann. Trotzdem haben unsere Ermittler an vorderster Front festgestellt, dass Unternehmen im Jahr 2023 bessere Arbeit geleistet haben, um Systeme zu schützen und Kompromittierungen zu erkennen“, so Jurgen Kutscher, Vice President, Mandiant Consulting bei Google Cloud.

McKenzie ergänzt: „Exploits waren in der EMEA-Region nach wie vor die häufigste Eindringmethode. Der beträchtliche Zeit- und Ressourcenaufwand, der für die Entdeckung von Schwachstellen, vor allem von Zero-Days, erforderlich ist, unterstreicht ihren Wert für Bedrohungsakteure. Deshalb sollten Unternehmen ihre Verteidigungsstrategien regelmäßig überprüfen und anpassen – nur so können sie der Bedrohung einen Schritt vorausbleiben. Im vergangenen Jahr verzeichneten wir in dieser Region auch einen steilen Anstieg der Ransomware-Fälle, die fast ein Viertel aller in EMEA durchgeführten Untersuchungen ausmachten. Die gute Nachricht ist jedoch, dass die Unternehmen Ransomware-Akteure in ihren Netzwerken schneller entdeckten: im Durchschnitt nach etwas mehr als einer Woche. Proaktivität und gute Vorbereitung sind nach wie vor die beste Verteidigung gegen Ransomware für jedes Unternehmen. Da Angreifer immer innovativer werden und neue Wege finden, um Schwachstellen auszunutzen, ist es für alle Verteidiger unerlässlich, ihre Verteidigungsmaßnahmen kontinuierlich anzupassen. Der Schutz eines Unternehmens ist ein ständiger Kampf – aber wie die diesjährigen Daten zeigen, verbessern sich auch die Verteidiger und machen es den Angreifern immer schwerer.“

Globale mittlere Verweildauer erreicht den niedrigsten Stand seit Beginn der Aufzeichnungen

Während der Einsatz von Zero-Day-Exploits zunimmt, zeigt der M-Trends 2024 Report eine deutliche Verbesserung der globalen Cybersicherheitslage. Der globale Median der Verweildauer – also die Zeit, die Angreifer in einer Zielumgebung unentdeckt bleiben – hat den niedrigsten Stand seit über einem Jahrzehnt erreicht.

Im Jahr 2023 entdeckten Unternehmen Eindringlinge im Durchschnitt innerhalb von 10 Tagen, ein deutlicher Rückgang gegenüber 16 Tagen im Jahr 2022. Die kürzere Verweildauer ist wahrscheinlich auf einen größeren Anteil von Ransomware-Vorfällen im Jahr 2023 (23 Prozent) gegenüber 2022 (18 Prozent) zurückzuführen.

Mandiant stellte außerdem eine Verbesserung der internen Erkennung von Kompromittierungen im Jahr 2023 fest (46 Prozent), verglichen mit 37 Prozent im Jahr 2022. Diese beiden Trends – kürzere Verweildauer und mehr intern erkannte Angriffe – deuten darauf hin, dass die Verteidiger weltweit über bessere Erkennungsmöglichkeiten verfügen.

Verweildauer nach Region

Eine genauere Untersuchung zeigt, dass die durchschnittliche Verweildauer je nach Region variiert. In der Region Asien-Pazifik (JAPAC) ging die durchschnittliche Verweildauer am stärksten zurück und sank auf 9 Tage, verglichen mit 33 Tagen im Jahr 2022.

In der EMEA-Region (Europa, Naher Osten und Afrika) hingegen stieg die Verweildauer leicht von 20 auf 22 Tage. Diese geringfügige Abweichung könnte das Ergebnis einer Normalisierung der regionalen Daten sein, nachdem Mandiant im Jahr 2022 einen beträchtlichen Teil seiner Arbeit in der Ukraine geleistet hat.

Targeting nach Branchen

Der M-Trends 2024 Report zeigt die wichtigsten Trends bei der Ausrichtung von Cyberangreifern auf bestimmte Branchen auf. Mandiant hat im Jahr 2023 am häufigsten auf Eindringlinge im Finanzsektor (17 Prozent) reagiert. Es folgen Unternehmens- und professionelle Dienstleistungen (13 Prozent), Spitzentechnologie (12 Prozent), Einzelhandel und Gastgewerbe (9 Prozent) sowie das Gesundheitswesen (8 Prozent).

Alle Zielbranchen verfügen über eine Vielzahl sensibler Informationen – darunter Geschäftsdaten, personenbezogene Daten, Gesundheitsdaten und Finanzdaten. Dies macht sie zu besonders attraktiven Zielen für Angreifer.

Weitere Erkenntnisse aus dem Bericht sind:

• Verstärkter Fokus auf die Umgehung von Schutzmaßnahmen: 
  • Um sich so lange wie möglich in Netzwerken aufzuhalten, nehmen Angreifer zunehmend Edge-Geräte ins Visier. Dabei setzen sie auf „Living-off-the-Land“-Techniken und nutzen Zero-Day-Schwachstellen aus.
• Vermehrte Spionageversuche von China-Nexus-Akteuren: 
  • China-Nexus-Spionagegruppen konzentrieren sich weiterhin auf die Beschaffung von Zero-Day-Exploits und plattformspezifischen Tools. Sie werden wahrscheinlich auf Edge-Geräte und Plattformen mit minimalen Sicherheitslösungen abzielen, da es so leichter ist, sie unentdeckt und über einen längeren Zeitraum hinweg zu kompromittieren.
• Zero-Day-Exploits auf dem Vormarsch: 
  • Zero-Day-Exploits sind nicht mehr auf wenige, ausgewählte Akteure beschränkt – und die zunehmende Verfügbarkeit hält weiter an. Grund dafür sind Faktoren wie Ransomware- und Datenerpressergruppen, die Zero-Day-Exploits nutzen, andauernde staatlich gesponserter Ausnutzung und die Zunahme kommerziell verfügbarer, „schlüsselfertiger“ Exploit-Kits. Weitere Informationen darüber, wie Bedrohungsakteure Zero-Days nutzen, finden Sie im allerersten gemeinsamen Bericht von Mandiant und der Google Threat Analysis Group zu diesem Thema.
• Cloud-Targeting passt sich der steigenden Cloud-Nutzung an: 
  • Mit der zunehmenden Verbreitung der Cloud steigt auch die Zahl der Angreifer, die diese Umgebungen ins Visier nehmen – einschließlich hybrider Cloud-/On-Premise-Konfigurationen. Unternehmen wird empfohlen, strengere Kontrollen zu implementieren, um den Zugriff auf Cloud-Ressourcen auf autorisierte Benutzer zu beschränken.
• Potenzial für Red Teaming mit Large Language Models (LLMs) und KI: 
  • Wie andere Cybersicherheitsexperten können auch Red Teams LLMs und KI bei ihrer Arbeit nutzen. Anwendungsfälle könnten darin bestehen, dass Red Teams Daten für das Modelltraining generieren, während KI-Entwickler Wege finden, den Zugang zu den trainierten Modellen zu sichern. Diese Synergie könnte die Effektivität von Red Teams erheblich steigern und die Abwehrbereitschaft von Organisationen gegen Cyberbedrohungen verbessern.
• Wandelnde Taktiken zur Umgehung von MFA: 
  • Da die Multi-Faktor-Authentifizierung (MFA) zur Standardpraxis wird, entwickeln Angreifer Methoden, um sie zu umgehen. Ein besorgniserregender Trend ist die Zunahme von Web-Proxy- und Adversary-in-the-Middle-Phishing-Seiten (AiTM), die Token für Anmeldesitzungen stehlen und MFA effektiv umgehen.

M-Trends 2024 Methode

Die in M-Trends 2024 aufgeführten Metriken basieren auf Untersuchungen von Mandiant Consulting zu gezielten Angriffsaktivitäten, die zwischen dem 1. Januar 2023 und dem 31. Dezember 2023 durchgeführt wurden. Die gewonnenen Erkenntnisse wurden bereinigt, um die Identitäten der Ziele und ihrer Daten zu schützen.