O cibercrime está crescendo cada vez mais como um modelo de negócios, o ransomware e o ransomware como serviço são impulsionadores da inovação e os dados de acesso roubados estão agindo cada vez mais como uma vaca leiteira. Segundo a Sophos, o ano de 2023 também aguarda as empresas de defesa cibernética.
A Sophos publicou seu Relatório de Ameaças de 2023. Entre outras coisas, o relatório descreve um novo grau de comercialização dentro do crime cibernético, como resultado do qual ofertas introdutórias de baixo limite estão cada vez mais disponíveis para invasores em potencial: Quase todos os cenários podem ser comprados. Um crescente mercado de cibercrime como serviço atende a um público criminoso que vai desde os altamente conhecedores de tecnologia até os completamente ignorantes.
Os tópicos do atual relatório de ameaças da Sophos
- A indústria do cibercrime como serviço atingiu um novo nível de comercialização que remove muitas barreiras à entrada de potenciais criminosos cibernéticos e, dada a liquidez, coloca táticas de ameaças avançadas nas mãos de quase todos os criminosos.
- O ransomware continua a ser uma das principais ameaças enfrentadas pelas empresas, com os cibercriminosos se concentrando em “inovar” suas táticas de ataque e técnicas de extorsão.
- A guerra na Ucrânia levou a uma reestruturação das alianças criminosas e a uma reformulação do cenário do ransomware.
- Os cibercriminosos estão usando cada vez mais o roubo de credenciais para se infiltrar nas redes visadas.
Os agentes de ameaças continuam a usar ferramentas e executáveis legítimos para lançar ataques e cada vez mais introduzem suas próprias vulnerabilidades. - Os dispositivos móveis estão no centro das novas tendências do crime cibernético - os dispositivos Android e iOS são afetados.
- Uma das formas mais antigas de crime criptográfico - a mineração criptográfica - está em declínio à medida que o Monero (uma das moedas mais populares) perde valor. A fraude criptográfica, por outro lado, já é uma indústria em crescimento no sul da Ásia.
Ransomware como impulsionador do mercado e modelo para outros tipos de malware
🔎 Os três primeiros grupos LockBit, BlackCat e Phobos respondem por 40% dos ataques (Imagem: Sophos).
Mercados clandestinos criminosos, como o Genesis, há muito facilitam a compra de malware e serviços de implementação de malware (“malware como serviço”) e a venda em massa de credenciais roubadas e outros dados. Na última década, toda uma economia de “ransomware como serviço” surgiu à medida que a popularidade do ransomware crescia. Os cibercriminosos tomaram o sucesso dessa infraestrutura como exemplo e estão seguindo o exemplo. Portanto, agora, em 2022, o modelo “como serviço” se expandiu enormemente e quase todos os aspectos do cibercrime – desde a infecção inicial até as formas de evitar a detecção – estão à venda.
Além disso, os mercados cibercriminosos também estão funcionando cada vez mais como empresas normais. Alguns mercados criaram páginas dedicadas para candidaturas a empregos e recrutamento de funcionários, onde os candidatos descrevem brevemente suas habilidades e qualificações.
"Os cibercriminosos agora estão vendendo ferramentas e habilidades que antes estavam apenas nas mãos de alguns dos invasores mais sofisticados como serviços para outros atores", disse Sean Gallagher, principal pesquisador de ameaças da Sophos. “Por exemplo, no ano passado, vimos anúncios de OPSEC-as-a-Service, em que os vendedores se ofereciam para ajudar os invasores a ocultar infecções do Cobalt Strike, e vimos o Scanning-a-Service, que dá aos compradores acesso a informações legítimas ferramentas comerciais como o Metasploit para que possam encontrar vulnerabilidades e explorá-las. A comercialização de quase todos os componentes do cibercrime abre novas oportunidades para todos os tipos de invasores.”
Adiamento de parcerias cibercriminosas devido à guerra na Ucrânia
Tradicionalmente, ucranianos e russos são parceiros há muito tempo no negócio de crimes cibernéticos, especialmente quando se trata de ransomware. Com a eclosão da guerra, no entanto, algumas gangues se desfizeram. Entre outras coisas, isso levou ao Conti Leaks – a publicação dos logs de bate-papo desse grupo de ransomware. Outra conta no Twitter também afirmou ter espionado os supostos membros do Trickbot, Conti, Mazo, Diavol, Ryuk e Wizard Spiders. Em suma, no entanto, o trabalho internacional contra o ransomware não se tornou mais fácil. Foi assim que os grupos de ransomware se reagruparam e parece, entre outras coisas, que surgiu um novo “REvil”.
Ransomware continua popular e inovador
Apesar da expansão da infraestrutura do cibercrime, o ransomware continua muito popular e altamente lucrativo. No ano passado, os operadores de ransomware trabalharam para expandir seu serviço de ataque em potencial, visando outras plataformas além do Windows e introduzindo novas linguagens como Rust e Go para evitar a detecção. Alguns grupos, principalmente o Lockbit 3.0, diversificaram suas operações e desenvolveram métodos mais “inovadores” de extorquir as vítimas.
“Se falarmos sobre a crescente sofisticação do submundo do crime, o mesmo acontece com o mundo do ransomware. O Lockbit 3.0, por exemplo, agora oferece programas de recompensa por bugs por seu malware e busca ideias da comunidade criminosa para melhorar suas operações. Outros grupos mudaram para um "modelo de assinatura" para acessar seus dados saqueados, e outros ainda os estão leiloando. Ransomware tornou-se um negócio em primeiro lugar”, disse Gallagher.
🔎 Quasar, Redline e Agent Tesla são os principais ladrões de informações, mas a concorrência está alcançando (Imagem: Sophos).
Dados de acesso a produtos quentes
A evolução da economia clandestina não apenas estimulou o crescimento do ransomware e da indústria “como serviço”, mas também aumentou a demanda por credenciais roubadas. Com a proliferação de serviços da Web, diferentes tipos de credenciais, principalmente cookies, podem ser usados de várias maneiras para obter uma base mais profunda nas redes e até mesmo contornar a autenticação multifator. O roubo de credenciais também é uma das maneiras mais fáceis de os criminosos obterem acesso a mercados clandestinos e iniciarem sua “carreira”.
Sobre o Relatório de Ameaças da Sophos 2023
O Sophos Threat Report 2023 é alimentado por pesquisas e insights da Sophos X-Ops, uma nova entidade multifuncional que reúne três equipes estabelecidas de especialistas em segurança cibernética da Sophos (SophosLabs, Sophos SecOps e Sophos AI). O Sophos X-Ops compreende mais de 500 especialistas em segurança cibernética em todo o mundo, capazes de pintar um quadro completo e multidisciplinar de um cenário de ameaças cada vez mais complexo. Para saber mais sobre ataques cibernéticos diários e TTPs, siga o Sophos X-Ops no Twitter e assine os artigos e relatórios mais recentes sobre pesquisa de ameaças e operações de segurança das linhas de frente da segurança cibernética.
Mais em Sophos.com
Sobre a Sophos A Sophos tem a confiança de mais de 100 milhões de usuários em 150 países. Oferecemos a melhor proteção contra ameaças complexas de TI e perda de dados. Nossas soluções de segurança abrangentes são fáceis de implantar, usar e gerenciar. Eles oferecem o menor custo total de propriedade do setor. A Sophos oferece soluções de criptografia premiadas, soluções de segurança para endpoints, redes, dispositivos móveis, e-mail e web. Também há suporte da SophosLabs, nossa rede global de centros de análise proprietários. A sede da Sophos fica em Boston, EUA e Oxford, Reino Unido.