Ransomware is het cybersecurityverhaal van het afgelopen decennium. Maar in die tijd zijn de tactieken, technieken en procedures (TTP's) van tegenstanders blijven veranderen, afhankelijk van de voortdurend veranderende wapenwedloop tussen aanvallers en netwerkverdedigers. Met historisch lage aantallen slachtofferbedrijven die ervoor kiezen hun afpersers te betalen, richten ransomware-filialen zich op snelheid, timing en camouflage.

De vraag is: nu de meeste aanvallen in het weekend en in de vroege ochtenduren plaatsvinden, beschikken netwerkbeveiligers nog wel over de juiste instrumenten en processen om de dreiging te beperken? Met name financiële dienstverleners hebben dringend een antwoord op deze vragen nodig voordat ze moeten voldoen aan de EU- verordening inzake digitale operationele veerkracht (DORA).

Van kracht tot kracht

Ransomware blijft, volgens één maatstaf, floreren. Dit jaar zal naar verwachting het jaar met de hoogste omzet ooit worden, zo blijkt uit een analyse van cryptobetalingen aan adressen die gelinkt zijn aan criminele activiteiten. Volgens een rapport van blockchain-onderzoeker Chainalysis uit augustus bedraagt ​​de ransomware-instroom dit jaar tot nu toe $460 miljoen, een stijging van ongeveer 2% ten opzichte van dezelfde periode vorig jaar ($449 miljoen). Het bedrijf beweert dat deze toename grotendeels te wijten is aan "big-game hunting" – de tactiek om zich te richten op een kleiner aantal grote bedrijven die mogelijk beter in staat en bereid zijn om hogere losgelden te betalen. Deze theorie wordt bevestigd door een betaling van $75 miljoen door een niet nader genoemd bedrijf aan de Dark Angels ransomwaregroep eerder dit jaar – de grootste ooit geregistreerde betaling.

Over het geheel genomen is de mediane losgeldbetaling aan de meest voorkomende ransomware-stammen ook gestegen: van iets minder dan $ 200,000 begin 2023 tot $ 1.5 miljoen medio juni 2024. Chainalysis beweert dat dit suggereert "dat deze stammen prioriteit geven aan het targeten van grotere bedrijven en kritieke infrastructuurproviders die mogelijk eerder hoge losgelden betalen vanwege hun diepe zakken en systemische belang."

De schijnbare kracht van het ransomware-ecosysteem is des te indrukwekkender gezien de successen van de wetshandhaving eerder dit jaar, die twee grote groepen leken te ontwrichten: LockBit en ALPHV/BlackCat. Chainalysis beweert dat deze inspanningen de cybercriminele onderwereld enigszins hebben gefragmenteerd, waarbij aangesloten groepen overstappen op "minder effectieve varianten" of hun eigen varianten lanceren. Dit komt overeen met een analyse van ransomware-specialist Coveware uit het tweede kwartaal van 2024, waarin een toename wordt geconstateerd van het aantal "lone wolf"-groepen die niet verbonden zijn aan een groot ransomware-merk. Velen hebben deze beslissing genomen "vanwege de toenemende dreiging van blootstelling, verstoring en winstverlies die gepaard gaat met 'toxische' ransomware-merken", aldus Coveware.

Maar de kern van de zaak is dat deze dreigingsactoren nog steeds actief zijn. En met betalingspercentages die dalen van een hoogtepunt van ongeveer 85% van de slachtoffers in 2019 tot ongeveer een derde daarvan vandaag de dag, zijn ze altijd op zoek naar manieren om hun inspanningen effectiever te maken.

Tijd is alles

Een nieuw rapport van de ThreatDown-groep van Malwarebytes onthult precies hoe ze dat hopen te doen. Het rapport stelt dat ransomwaregroepen het afgelopen jaar vaker slachtoffers hebben aangevallen in het weekend en in de vroege ochtenduren. Het dreigingsteam behandelde de meeste aanvallen tussen 1 en 5 uur 's ochtends lokale tijd.

De reden hiervoor is duidelijk: de cybercriminelen hopen een organisatie te pakken te krijgen wanneer het IT-team slaapt of in het weekend de batterijen oplaadt.

Verder stelt het rapport dat aanvallen steeds sneller worden. In 2022 testte Splunk tien van de meest voorkomende ransomwarevarianten en ontdekte dat de gemiddelde snelheid voor het versleutelen van 100,000 bestanden slechts 43 minuten bedroeg, waarbij LockBit met slechts vier minuten de snelste was. Malwarebytes ziet echter een versnelling van de gehele aanvalsketen – van de eerste toegang tot laterale verplaatsing, data-exfiltratie en uiteindelijk versleuteling. Daardoor hebben netwerkbeveiligers, die vaak al vermoeid zijn, nog minder tijd om te reageren en een dreiging in te dammen voordat het te laat is.

Het rapport beweert ook dat kwaadwillende actoren Living Off the Land (LOTL)-technieken gebruiken, die legitieme tools en processen gebruiken om verborgen te blijven in netwerken terwijl ze deze doelen bereiken. "Recente klantincidenten van topbendes zoals LockBit, Akira en Medusa onthullen dat het grootste deel van de moderne ransomware-aanvalsketen nu bestaat uit LOTL-technieken", aldus het rapport.

Hoe u het risico op ransomware in 2024 kunt beperken

Aanvallen op groot wild halen misschien wel de meeste krantenkoppen, maar de waarheid is dat de meeste ransomware-slachtoffers technisch gezien MKB's zijn. Coveware beweert dat de mediaan in Q2 2024 slechts 200 werknemers bedroeg. Dus hoe kunnen deze organisaties zich 's nachts en in het weekend verdedigen tegen sluipende aanvallen?

"De enige oplossing is om ervoor te zorgen dat deze activa om 1 uur 's nachts met dezelfde zorgvuldigheid worden bewaakt als om 1 uur 's middags", vertelt Mark Stockley, senior threat intelligence-onderzoeker bij Malwarebytes, aan ISMS.online.

“Dat kan worden bereikt door een in-house Security Operations Centre (SOC) in te zetten dat 24/7 operationeel is. Maar voor de meeste organisaties is het praktischer en kosteneffectiever om een ​​service van derden te gebruiken, zoals Managed Detection and Response (MDR), of om een ​​Managed Service Provider (MSP) het te laten doen.”

Nu het DORA-tijdperk nadert, zullen dergelijke maatregelen steeds noodzakelijker worden voor financiële dienstverleners en hun leveranciers. Continue monitoring, 24/7 paraatheid voor incidentrespons, robuuste planning van bedrijfscontinuïteit en regelmatige tests zullen allemaal vereist zijn om toezichthouders ervan te overtuigen dat de veerkracht op een passend niveau is.

Stockley is van mening dat best practice-normen en -kaders zoals ISO 27001 organisaties kunnen helpen dit punt te bereiken.

"Zoals elke standaard of elk raamwerk is ISO 27001 een middel om een ​​doel te bereiken. Organisaties kunnen het niveau van informatiebeveiliging bereiken dat ze nodig hebben zonder het, maar standaarden en raamwerken kunnen dienen als nuttige kaarten om ze te helpen daar te komen en daar te blijven", voegt hij toe. "De juiste keuze van het raamwerk hangt af van het beveiligingsniveau van de organisatie. Uiteindelijk maakt het cybercriminelen niet uit welke certificeringen je hebt; het kan ze alleen schelen of ze worden gestopt."