新聞

攻擊停留時間平均超過10天!IAB「隱形」入侵讓多個攻擊者可能鎖定同一目標

2022 / 06 / 13
編輯部
攻擊停留時間平均超過10天!IAB「隱形」入侵讓多個攻擊者可能鎖定同一目標
Sophos發布《2022 年主動攻擊者劇本》(Active Adversary Playbook 2022) 報告,詳細介紹 Sophos Rapid Response 團隊在 2021 年看到的攻擊者行為。調查結果顯示攻擊者停留的時間增加了 36%。2021 年入侵者停留時間中位數為 15 天,而 2020 年只有 11 天。該報告還揭露 Microsoft Exchange 中 ProxyShell 漏洞造成的影響。Sophos 認為某些初始訪問代理 (IAB) 先入侵了這些網路,然後將存取權限出售給其他攻擊者。 
 
Sophos 資深安全顧問 John Shier 表示:「網路犯罪的世界已經變得非常多樣化和專業化。IAB 會入侵目標、進行探索性偵察或安裝後門程式,然後將存取權限出售給想要發動攻擊的勒索軟體團體,而這種作法形成了一個分工的犯罪行業。
 
「在這個日益變動、非常專業的網路威脅環境中,企業很難跟上攻擊者不斷變化的工具和手法。重要的是,防禦人員必須了解在攻擊鏈的每個階段應該觀察的內容,如此一來才能盡快偵測和消除攻擊。」
 
Sophos 的研究還表明,入侵者在較小型組織環境中停留時間更久。攻擊者在員工人數 250 人的組織中停留約 51 天,而在員工人數 3,000 到 5,000 人的組織中通常只停留約 20 天。 
 
Shier 繼續表示:「攻擊者認為更大型組織更有價值,因此他們更有動力入侵,取得想要的東西後就離開。較小型組織能獵取的價值較少,因此攻擊者會潛伏在網路花更多時間。也有可能是這些攻擊者經驗不足,需要更多時間來安排入侵進入網路後的下一步。最後,較小型組織通常沒有能力看出攻擊鏈,無法偵測和驅逐這些攻擊者,使得他們得以延長停留的時間。
 
「隨著尚未修補的 ProxyLogon 和 ProxyShell 漏洞被發現以及 IAB 興起,我們看到更多證據表明在單一目標中同時有多個攻擊者。如果這麼多攻擊者都鎖定同一個網路,那麼他們會想要盡快行動以搶得先機。」

劇本主要發現

  • 尚未發展成如勒索軟體等重大攻擊的「隱形」入侵,以及 IT 安全資源較少的小型組織和行業領域,攻擊者在被偵測出來前停留時間的中位數更長。受勒索軟體攻擊的組織,攻擊者的平均停留時間為 11 天。遭到入侵但尚未發生如勒索軟體等重大攻擊 (佔所有事件的 23%) 影響的組織,中位停留時間則為 34 天。教育領域或員工少於 500 人的組織,停留時間則更長。
     
  • 停留時間越長,進入點越多,組織越容易受到多個攻擊者的攻擊。鑑識證據發現了多個攻擊者的實際案例,包括 IAB、勒索軟體團體、加密挖礦程式,有時甚至是多個勒索軟體操作者同時鎖定同一個組織 。
     
  • 儘管使用遠端桌面通訊協定 (RDP) 進行存取的情形有所下降,但攻擊者使用這項工具進行內部橫向移動的情形增加了。2020 年,攻擊者使用 RDP 進行外部活動佔所有分析案例的 32%,但到 2021 年這一比例下降到 13%。雖然這種轉變是好的,表明組織已經改進了對外部受攻擊面的管理,但攻擊者仍繼續濫用 RDP 進行內部橫向移動。Sophos 發現,2021 年攻擊者在 82% 的案例中使用 RDP 進行內部橫向移動,高於 2020 年的 69%。
     
  • 在攻擊中結合常用的工具,是顯示入侵者活動的強烈警訊。例如,事件調查發現,2021 年 64% 的案例中同時出現了 PowerShell 和惡意的非 PowerShell 腳本;同時出現 PowerShell 和 Cobalt Strike 的情況佔 56%;同時發現 PowerShell 和 PsExec 的情況佔 51%。偵測到這些關聯性時,可以作為即將發生的攻擊的預警,或確認網路上是否存在主動攻擊。
     
  • 50% 的勒索軟體事件都與資料外流有關——根據可獲得的資料顯示,資料外流到部署勒索軟體之間的平均間隔為 4.28 天。Sophos 在 2021 年回應的事件中有 73% 和勒索軟體有關。在這些勒索軟體事件中,50% 外流過資料。資料外流通常是勒索軟體發布攻擊前的最後階段,事件調查顯示,它們之間的平均間隔為 4.28 天,中位數為 1.84 天。
     
  • Conti 是 2021 年最多產的勒索軟體,佔總體事件的 18%。REvil 勒索軟體佔 10%,而其他主流的勒索軟體,包括攻擊美國油管公司 Coloial Pipeline 的惡名昭彰的勒索軟體即服務 DarkSide,以及 2021 年 3 月的 Black KingDom,這是 ProxyLogon 漏洞之後於 2021 年 3 月出現的新勒索軟體面孔。在本次分析的 144 起事件中,發現了 41 個 不同的勒索軟體攻擊團體。其中,大約 28 個是 2021 年首次被發現的新團體。2020 年事件中出現的 18 個勒索軟體團體已從 2021 年的名單中消失。
 
Shier 進一步補充:「防禦人員應注意的危險訊號包括偵測到合法工具、結合使用工具,或在意外地點或不常見時間進行的活動。
 
「值得注意的是,活動很少或沒有活動並不意味著組織沒有遭到入侵。例如,可能還有更多目前未知的 ProxyLogon 或 ProxyShell 漏洞,而攻擊者已經將 Web Shell 和後門程式植入目標中以進行持續存取。這些目標將一直處於安靜狀態,直到存取權限被使用或出售。防禦人員必須對任何可疑訊號保持警惕並立即進行調查。他們需要修補嚴重錯誤,尤其是廣泛使用軟體中的錯誤,並且優先強化遠距存取服務的安全性。直到公開的入口點被關閉,而且攻擊者為建立和保留存取權限所做的一切都被徹底清除之前,幾乎任何有心人士都可以循此途徑進入,而且很可能會發生。」 
 
《2022 年 Sophos 主動攻擊者劇本》研究了 2021 年的 144 起事件,涵蓋美國、加拿大、英國、德國、義大利、西班牙、法國、瑞士、比利時、荷蘭、奧地利、阿拉伯聯合大公國、沙烏地阿拉伯、菲律賓、巴哈馬、安哥拉和日本等地各種規模和產業的組織。最具代表性的行業是製造業 (17%),其次是零售業 (14%)、醫療保健 (13%)、資訊科技 (9%)、建築業 (8%) 和教育 (6%)。