Staten voeren steeds meer destructieve aanvallen uit met behulp van ransomware en wipers. Wat kan er gedaan worden om dit risico te beheersen?
In 2017, Rusland-gelieerde tegenstanders ontketende een aanval die later bekend werd als NotPetya, als onderdeel van een voortdurende campagne tegen Oekraïne. Vermomd om eruit te zien als de Petya ransomware, De gevolgen van de verwoestende cyberaanval waren destructief in plaats van financieel gewin. De schade veroorzaakt door de wiper-tool reikte veel verder dan het beoogde doelwit en trof bedrijven in heel Europa en daarbuiten.
Bijna tien jaar later worden wipers en ransomware belangrijke instrumenten voor natiestaat aanvallers Het stilleggen van essentiële diensten en het veroorzaken van verstoringen.
De 2021 Koloniale pijplijn Het incident is een treffend voorbeeld van de schade die kan ontstaan als gevolg van dit soort aanvallen. Toegeschreven aan DarkSide — een groep met Russische links — De aanval dwong de grootste brandstofpijpleiding van de VS tot stilstand, wat leidde tot wijdverspreide brandstoftekorten.
In 2021, Noord-Korea tegenstanders met banden met de overheid De daders pleegden de Maui-ransomware-aanvallen tegen ziekenhuizen en diagnostische centra, met als doel inkomsten te genereren en chaos te veroorzaken.
De escalerende geopolitieke situatie, inclusief de oorlog tussen Rusland en Oekraïne, en Iran-conflict deze dreiging wordt versterkt door de groeiende angst voor verwoestende aanvallen van tegenstanders die banden hebben met vijandige naties zoals China, Rusland, Iran en Noord-Korea (CRINK).
Het heeft ertoe geleid dat nationale veiligheidsdiensten waarschuwingen gevenwaarbij het Britse National Cyber Security Centre (NCSC) tools beschrijft om bedrijven te helpen. het risico beperken.
Wat kunnen bedrijven doen om dit groeiende probleem aan te pakken?
De evolutie van ransomware
Er bestaat geen twijfel over het risico van aanvallen door staten die gebruikmaken van... ransomware Het gebruik ervan als onderdeel van geopolitieke doelen neemt toe. Tracey Hannan-Jones, directeur informatiebeveiligingsadvies bij UBDS Digital, is van mening dat de grens tussen cybercriminaliteit en geopolitiek "nog nooit zo dun is geweest".
Wat ooit het domein was van financieel gemotiveerde criminele bendes, is volgens Hannan-Jones uitgegroeid tot een "verfijnd instrument van staatsmacht".
Hierbij zien we ransomware, malware en destructieve cyberaanvallen niet langer alleen voor afpersing worden gebruikt. "Het zijn wapens van geografische ontwrichting, ingezet door staten om regeringen te destabiliseren, infrastructuur lam te leggen en macht uit te stralen – zonder dat er een schot wordt gelost", zegt ze.
Voorheen volgden ransomware-aanvallen een voorspelbare logica: versleutelen, betaling eisen en winst maken.
Dit is drastisch veranderd doordat natiestaten – met name die welke banden hebben met Rusland, Noord-Korea, China en Iran – dezelfde technieken hebben overgenomen en aangepast, vaak "met doelstellingen die veel verder reiken dan financieel gewin", aldus Hannan-Jones.
Het ondermijnen van vertrouwen
Gary Barlet, CTO voor de publieke sector bij Illumio, is het eens met de analyse van Hannan-Jones. In sommige gevallen zijn aanvallen erop gericht het publieke vertrouwen te ondermijnen, operationele instabiliteit te creëren en economische druk uit te oefenen, aldus Barlet.
Hij legt uit hoe veel ransomwaregroepen opereren in omgevingen waar ze indirecte bescherming of stilzwijgende goedkeuring krijgen van overheden die strategische waarde zien in hun activiteiten. "Deze convergentie vormt een enorme uitdaging voor verdedigers, die niet langer alleen te maken hebben met geïsoleerde criminele activiteiten."
Het probleem zit hem nu in de dreigingen die zich in een 'grijs gebied' bevinden tussen financieel gemotiveerde aanvallen en operaties die door staten worden gesteund, aldus Barlet. "Ransomwaregroepen gedragen zich steeds vaker als tussenpersonen, die zich richten op buitenlandse tegenstanders of bijdragen aan bredere destabilisatiepogingen."
Tegelijkertijd is het moeilijk om de daders te identificeren, omdat cyberaanvallen bewust zo zijn ontworpen dat criminelen zich achteraf kunnen beroepen op een geloofwaardige ontkenning. "Een aanval lijkt op het eerste gezicht misschien financieel gemotiveerd, maar de timing, de doelwitkeuze of de bredere impact kunnen wijzen op een onderliggende strategische intentie", legt Barlet uit.
Opportunistisch versus strategisch
Aanvallen door staten kunnen strategisch of opportunistisch van aard zijn. Geld is vaak een drijfveer achter aanvallen door staten, zoals die gepleegd door Noord-Korea.
Het is niet ongebruikelijk dat vijandige natiestaten "digitale onveiligheid te gelde maken om illegale inkomsten te genereren", zegt Jamie Moles, senior technical manager bij ExtraHop. "Door samen te werken met cybercriminele syndicaten zetten staten ransomware in en buiten ze kwetsbaarheden in de toeleveringsketen uit. Deze financiële uitbuiting stelt regimes in staat internationale sancties te omzeilen en 'off-the-book' inlichtingenoperaties te financieren."
Gelegenheid speelt soms een rol, bijvoorbeeld doordat het conflict in Iran landen als Rusland de mogelijkheid biedt om onder de radar te blijven.
Ondertussen maken door de staat gesponsorde aanvallers soms misbruik van het cybercriminele ecosysteem om hun schuld aan aanvallen te verbergen, zegt Andrew Brandt, hoofdverantwoordelijke voor incidenten met betrekking tot dreigingsinformatie bij Huntress. "Waarom zou je tijd besteden aan het ontwikkelen van aangepaste malware als je gewoon de gelekte broncode kunt gebruiken?" Gh0stRAT en dat in plaats daarvan gebruiken?”
Risico's in de toeleveringsketen en kritieke infrastructuur
Het risico neemt verder toe naarmate toeleveringsketens digitaal meer met elkaar verbonden raken, waardoor ze nieuwe zwakke punten krijgen die aanvallers snel uitbuiten. Cybercriminelen misbruiken routinematig verkeerde configuraties, onveilige API's en zwakke authenticatie om initiële toegang te verkrijgen voordat ze zich verder uitbreiden naar kritieke systemen, aldus Barlet van Illumio.
Ransomwaregroepen weten ook dat het verstoren van toeleveringsketens veel schadelijker en winstgevender kan zijn dan het stelen van gegevens. "Zelfs kortstondige verstoringen kunnen zich door de wereldwijde toeleveringsketens verspreiden, met name in just-in-time productieomgevingen waar vertragingen snel doorwerken in de keten," zegt Barlet.
Naarmate deze dreiging toeneemt, kunnen traditionele beveiligingsmodellen tekortschieten, omdat ze zijn ontworpen voor incidenten in plaats van door de staat gesteunde campagnes.
Volgens Barlet zijn beveiligingsmodellen vaak gebouwd vanuit een 'perimetergerichte denkwijze'. 'Beveiligingsteams denken in binaire termen: of een aanvaller wel of niet is binnengedrongen, waardoor ze vaak geen rekening houden met wat er daarna gebeurt. Dit schept onrealistische verwachtingen dat elke inbreuk kan worden voorkomen.'
Wanneer aanvallers echter de perimeter doorbreken, verplaatsen ze zich vaak lateraal tussen systemen, waardoor de toegang toeneemt en er wijdverspreide verstoringen ontstaan. "Door zich te veel te richten op de perimeter, verdedigen organisaties in feite een afgebakende grens, terwijl ransomware-aanvallers ongehinderd binnen die grens opereren zodra ze erdoorheen zijn gekomen", legt Barlet uit.
Hij zegt de Jaguar Land Rover En de aanvallen op winkels vorig jaar volgden dit patroon. "De aanvallers infiltreerden netwerken, richtten zich op systemen die cruciaal waren voor de dienstverlening en bedrijfsvoering, en roofden gevoelige informatie."
Beperk de impact
Naarmate de aanvalslijnen steeds vager worden, is het essentieel om te zorgen voor veerkrachtig denken, sectoroverschrijdend bewustzijn, transparantie in de toeleveringsketen en verantwoordelijkheid op directieniveau. Kaderwerken zoals ISO 27001 kan een basis bieden voor risicobeheer te midden van toenemende dreigingen.
Nu de dreiging van staten toeneemt te midden van geopolitieke onrust wereldwijd, is Barlet van mening dat bedrijven – met name die actief zijn in kritieke sectoren – het idee van totale preventie moeten loslaten en zich in plaats daarvan moeten richten op het beperken van de impact van ransomware door inbreuken in te dammen.
"Een strategie die zich eerst richt op het inperken van de aanval dwingt aanvallers om te vertragen, waardoor het voor hen moeilijker wordt om verborgen te blijven en zich tussen verschillende systemen te verplaatsen", legt hij uit. "Belangrijker nog, het dwingt aanvallers om hun technieken en procedures aan te passen, waardoor beveiligingsteams een veel betere kans hebben om aanvallen te detecteren, erop te reageren en ervan te herstellen."
Hannan-Jones van UBDS Digital vindt dat de focus moet liggen op veerkracht in plaats van preventie. "Geen enkele organisatie kan garanderen dat ze niet aangevallen zal worden, dus de focus moet verschuiven naar veerkracht: het vermogen om aanvallen te detecteren, erop te reageren en te herstellen met een robuust bedrijfscontinuïteits- en rampenherstelplan."
Volgens Hannan-Jones is paraatheid bij incidenten essentieel, inclusief geoefende plannen met "duidelijke escalatiepaden en communicatieprotocollen om de impact van een succesvolle aanval aanzienlijk te verminderen".
Organisaties zouden ook prioriteit moeten geven aan de integratie van dreigingsinformatie, adviseert ze. "Dit betekent verder kijken dan algemene beveiligingswaarschuwingen en sectorspecifieke, geopolitiek gecontextualiseerde dreigingsinformatie gebruiken om te begrijpen welke dreigingsactoren actief zijn, welke tactieken ze hanteren en op welke doelen ze zich richten, zodat ze een proportioneel risicomanagement kunnen toepassen."
Breid je kennis uit
Podcast: Phishing voor problemen S01 E02: Beveiliging van openbare systemen en diensten
Blog: De veerkrachtfactor: een analyse van de BridgePay-ransomwareaanval
