Hackers vallen 'zero-day' kwetsbaarheden aan voordat bedrijven kunnen ingrijpen

21 oktober 2021 - HP publiceerde recentelijk haar nieuwste wereldwijde HP Wolf Security Threat Insights Report, waarin een analyse van aanvallen op cyberbeveiliging in de reële wereld is opgenomen. Dankzij isolering van bedreigingen die detectietools hebben omzeild en bij de eindgebruikers terecht zijn gekomen heeft HP Wolf Security een uniek inzicht verworven in de nieuwste technieken van cybercriminelen. 

Het HP Wolf Security bedreigingsonderzoeksteam vond bewijs dat cybercriminelen zich snel organiseren om zero-day aanvallen in te zetten op nieuwe kwetsbaarheden. Op 8 september onderschepte HP voor het eerst exploits van de zero-day CVE-2021-404441 – een remote uitvoering van een code (via misbruik van Microsoft Office-documenten) die de exploitatie van de MSHTML-browser engine activeert. Dit gebeurde een week voordat de patch werd vrijgegeven op 14 september.
Op 10 september – amper drie dagen na het initiële bedreigingsrapport – merkte de HP-afdeling van bedreigingsonderzoek dat op GitHub scripts werden gedeeld die waren ontworpen om de aanmaak van deze exploit te automatiseren. Tenzij er wordt ingegrepen met een patch, stelt de exploit aanvallers in staat om eindpunten met zeer weinig gebruikersinteractie te destabiliseren. De exploit gebruikt hiervoor een kwaadaardig archiefbestand dat de malware uitrolt via een Office-document. Gebruikers hoeven het bestand zelfs niet eens te openen of macro's te starten: alleen al bekijken via het previewvenster in de Verkenner is genoeg om de aanval in te zetten. De gebruiker beseft vaak niet eens wat er op zijn/haar computer gebeurt. Zodra het toestel gecompromitteerd is kunnen aanvallers achterdeurtjes installeren op systemen en deze eventueel doorverkopen aan ransomwaregroepen.
 
Opvallende dreigingen
Het HP Wolf Security dreigingsonderzoeksteam definieerde daarbij nog andere opvallende bedreigingen:
 

• Opmars van cybercriminelen die malware hosten via legitieme cloud- en webproviders. Een recente GuLoader-campagne was host voor de Remcos Remote Access Trojan (RAT) op grote platformen zoals OneDrive zodat inbraakdetectiesystemen konden worden misleid, en whitelistingtests overleefd konden worden. HP Wolf Security ontdekte ook dat meerdere malwarefamilies worden gehost op sociale-mediaplatformen voor gaming zoals Discord.
• JavaScript-malware glipt voorbij detectietools. Een campagne verspreidt diverse JavaScript RAT's via kwaadaardige e-mailbijlagen. JavaScript-downloaders hebben een lager detectieniveau dan Office-downloaders of -binaries. RAT's duiken steeds frequenter op waar aanvallers het hebben gemunt op inlogdata voor zakelijke accounts of cryptoportefeuilles.
• Gerichte campagne onder het mom van Ugandan National Social Security Fund ontdekt. Aanvallers hanteerden 'typosquatting' (een vervalst webadres dat op een officiële domeinnaam lijkt) om doelwitten naar een site te lokken die een kwaadaardig Word-document downloadt. Dit adres gebruikt vervolgens macro's om een PowerShell-script te lanceren dat securitylogging blokkeert en de Windows-functie Antimalware Scan Interface omzeilt.
• Overstap naar HTA-bestanden verspreidt malware met één klik. De Trickbot Trojan wordt nu afgeleverd via HTA-bestanden ('HTML application') die de malware lanceren na opening van de bijlage of het archiefbestand waarin hij verstopt zit. HTA-bestanden zijn minder gebruikelijk waardoor detectietools de kwaadaardige exemplaren niet altijd kunnen onderscheiden.

97 dagen
"Bedrijven hebben gemiddeld 97 dagen nodig om de nodige en gepaste tests uit te voeren om hun patches volledig te implementeren. Dit geeft cybercriminelen de kans om deze WOV ('window of vulnerability’) uit te buiten. Vroeger waren enkel uiterst bedreven hackers hiertoe in staat, maar deze toegangsdrempel werd verlaagd met behulp van automatische scripts waardoor dit soort aanvallen nu ook binnen het bereik van actoren met minder kennis, bagage en bronnen ligt. Hierdoor nemen voor bedrijven de risico's enorm toe, want zero-day exploits worden als kant-en-klare producten op de markt gebracht via ondergrondse forums en andere platforms", verduidelijkt Alex Holland, Senior Malware Analyst bij het bedreigingsonderzoeksteam HP Wolf Security van HP. "Deze nieuwe exploits lijken alsmaar effectiever te worden in het omzeilen van detectietools omdat handtekeningen niet feilloos zijn en snel achterhaald worden terwijl het inzicht in het bereik van een exploit verandert. Wij verwachten dat bedreigingsactoren CVE-2021-40444 zullen toevoegen aan hun wapenarsenaal en misschien zelfs de typische exploits gaan vervangen die vandaag de dag worden gebruikt om toegang tot systemen te forceren, zoals diegene die gebruik maken van Equation Editor."
"We zien ook dat hackers erin slagen kortstondige aanvallen uit te voeren via belangrijke platformen zoals OneDrive. Normaal wordt malware die op dergelijke platformen wordt gehost, vrij snel weer onschadelijk gemaakt, maar nu schrikt dit aanvallers niet af, omdat ze er in de enkele uren dat hun links actief blijven vaak al in slagen hun doelstelling te realiseren om namelijk malware te verspreiden," vervolgt Holland. "Sommige van die actoren wijzigen hun gebruikte script- of bestandstype om de paar maanden. Kwaadaardige JavaScript- en HTA-bestanden zijn niets nieuws, maar ze komen nog altijd in de mailbox van personeel en brengen daardoor het bedrijf in gevaar. Bij één campagne werd de Vengeance Justice Worm ingezet die zich naar andere systemen en USB-drives kan verspreiden."
De bevindingen zijn gebaseerd op data van miljoenen eindpunten die gebruikmaken van HP Wolf Security. HP Wolf Security spoort malware op door riskante taken te openen in geïsoleerde micro-VM's (virtual machines) om zo de volledige infectieketen te begrijpen en te onderscheppen, en op die manier te helpen aanvallen te blokken die voorbij andere beveiligingstools zijn geglipt. Hierdoor konden gebruikers klikken op meer dan 10 miljard e-mailbijlagen, webpagina's en downloads zonder dat er melding werd gemaakt van inbreuken2. Dankzij beter inzicht in het gedrag van malware binnen zijn geviseerde biotoop slagen de onderzoekers en ingenieurs van HP Wolf Security erin de eindpuntbeveiliging en globale systeemresiliëntie te verbeteren.
 
Enkele essentiële bevindingen van het rapport
 

• twaalf procent van de geïsoleerde e-mailmalware had minstens één gatewayscanner overleefd
• 89 procent van de opgespoorde malware werd via e-mail afgeleverd; webdownloads waren goed voor elf procent; andere vectoren zoals verwijderbare opslagtoestellen tellen voor minder dan een procent
• De meest gebruikte bijlagen om malware binnen te loodsen zijn archiefbestanden (38 procent – vorig kwartaal nog 17,26 procent), Word-documenten (23 procent), spreadsheets (zeventien procent) en uitvoerbare 'exe'-bestanden (zestien procent)
• De top-vijf van het phishinglokaas verwijst naar bedrijfstransacties zoals 'bestelling', 'betaling', 'nieuw', 'offerte' en 'verzoek'
• Het rapport stelt dat twaalf procent van de onderschepte malware tot nu onbekend was3

"We mogen niet langer alleen maar op detectie blijven vertrouwen. Het landschap van de bedreigingen is te dynamisch, en uit de analyse van bedreigingen die we in onze VM's onderscheppen, blijkt dat aanvallers steeds meer aansturen op detectieomzeilin," stelt dr. Ian Pratt, Global Head of Security for Personal Systems, HP. "Organisaties moeten naar een meerlagige benadering van eindpuntbeveiliging, volgens zero-vertrouwenprincipes, om de meest gebruikelijke aanvalsvectoren – e-mail, browsers en downloads – in te sluiten en te isoleren. Zo schakelen ze het aanvalsplatform uit voor hele groepen van bedreigingen, en krijgen ze dat beetje ademruimte dat vereist is voor een veilige coördinatie van patchcycli zonder onderbreking van de dienstverlening."
 

Doorsturen  |  Reageer  |  Nieuwsbrief