Relatório de Inteligência de Ameaças Cibernéticas 2021

Em uma Era marcada por um grau de incerteza nunca visto antes, com tantos dispositivos espalhados por redes corporativas, os(as) profissionais de segurança enfrentam muitos desafios.

Os incidentes recentes, os rompimentos em larga escala e o custo das operações de ransomware ilustram o crescente impacto das ameaças cibernéticas no risco corporativo em todos os segmentos. Esse risco é cada vez mais difícil de controlar e mitigar em ambientes de TI e TO.

Enquanto a virtualização na nuvem e o avanço de dispositivos conectados à internet aliviam a carga sobre os sistemas industriais, essas tecnologias também introduzem novas vulnerabilidades. Em particular, dispositivos focados em edge, como switches e roteadores, que controlam os dados que entram e saem da organização. Eles são fundamentais para a segurança da TO e as violações podem resultar em acesso direto aos seus ambientes, ignorando completamente as redes de TI.

Os líderes de segurança devem demonstrar aos membros da alta gestão e do conselho que entendem a importância tanto da continuidade das operações quanto de trabalhar em parceria com as demais equipes internas.

A análise da Accenture Cyber Threat Intelligence, do primeiro semestre de 2021, identificou quatro tendências que estão afetando a segurança da TI e TO.

• Os alvos estão mudando: no começo de 2021, os alvos eram a infraestrutura crítica e provedores upstream - seguradoras que detêm grandes quantidades de dados.
• As táticas mais rígidas: a negociadora de ransomware Coveware relatou vários casos em que os dados foram destruídos em vez de criptografados, o que impede a recuperação mesmo após o pagamento do resgate.
• A extorsão está mais pessoal: novas táticas de exposição, detectadas pela primeira vez em 2020, ganharam velocidade, o que ocasiona em mais extorsões via vazamento de dados, resultando em danos à reputação.
• Táticas, Técnicas e Procedimentos (TTPs) estão mais avançados: a Accenture Cyber Threat Intelligence identificou as principais táticas de evasão de defesa adotadas por operadores de ransomware Hades, que usam ferramentas e ações “mãos no teclado” para desativar defesas de endpoint.

O foco das organizações deve ser em defesas de preparação, prevenção e pré-criptografia.

• O Cobalt Strike está se espalhando: as versões recentes do Cobalt Strike são cada vez mais acessíveis e personalizáveis do que as anteriores.
• As ferramentas de ataque estão evoluindo: agentes de ameaças evoluem seus próprios carregadores personalizados para acionar o Cobalt Strike.
• Os malwares se fundem: pela primeira vez, a Accenture Cyber Threat Intelligence identificou sobreposições entre a infraestrutura dos malwares de roubo de informações EvilGrab e Cobalt Strike Beacon, no início de 2021.

As organizações precisam adotar novas ferramentas defensivas capazes de combater essa ameaça crescente aos testes de penetração em ambientes críticos de produção.

• O malware de commodities de primeira fase permite a implantação de mais malwares no endpoint.
• O uso de versões genéricas de malware ou ferramentas de commodities por parte dos agentes de ameaças, como instâncias de Cobalt Strike pirateadas, aumenta o risco de infecções por toda a infraestrutura da organização e até mesmo para ativos de OT.
• Algumas das campanhas ativas de malware observadas incluem Qakbot e IcedID, DoppelDridex e Hancitor.

As organizações precisam considerar a prevenção, em vez da resposta, como a defesa mais eficaz contra ameaças de malware de commodities.

• Os atuantes em ransomware CLOP e Hades estão mudando o jogo: informações divulgadas no início de 2021 ligaram os atores de ransomware CLOP a uma série de violações globais de dados, explorando uma vulnerabilidade recentemente descoberta no Accellion File Transfer Appliance (FTA). Esses atuantes também ganharam força no início de 2021 e demonstraram capacidade de contornar ferramentas de detecção e resposta de endpoint e alcançar dispositivos da edge.
• As informações são fáceis de comprar e ainda mais de se usar: a Accenture Cyber Threat Intelligence observou um singelo, mas notável, aumento nos agentes de ameaças que vendem logs de malware e consistem em dados derivados de malware.

As organizações precisam compartilhar informações entre os defensores para entender, prevenir, identificar e responder às ameaças.