Sammanfattning: F-Secure Attack Landscape H1 2019

Friday, September 20, 2019

UnderrättelserF-SecureSammanfattning

En kortare rapport om vad F-Secure sett genom sitt världsomspännande nätverk av honeypots under första halvåret för 2019.

Nyckelinsikter

  • Distribution av skadlig kod sker i huvudsak genom bruteforcing av RDP och sedan genom spam/e-post.
  • Det som sprids är Ransomware, banking trojaner och kryptominers.
  • Trend: Användning av certifikat för att signera binärer ökar!
  • En majoritet av all inkommande trafik är automatiska scanningar.

Lite om rapporten…

Det framgår inte om de mottagna scanningarna även omfattar mer än honeypot-nätet. Eftersom det är honeypots det handlar om kan vi också rimligen anta att många riktade angrepp faller bort helt eftersom dessa rimligen inte genomförs med hjälp av automatisk scanning av nätverk.

Rapporten ska således ses som en rapport om “bruset”, det din organisation kommer att se oavsett den bransch eller typ av verksamhet ni bedriver. Bara det faktum att ni har en uppkoppling mot Internet är tillräckligt för att omfattas av den här rapporten.

Jag säger att detta är en del av den generella hotbilden.

Anteckningar

99.9% av alla inkommande trafik till deras Honeypots-nätverk är automatiska scanningar. Bottar, skadlig kod

Vad ser vi?

Trafik till Telnet (TCP/23) och SMB (TCP/445) och så även SSH (TCP/22) på tredje plats. Telnet i stor utsträckning på grund av alla IoT-enheter. MSSQL (TCP/1433) också mycket vanligt.

Distribution och filtyper

ZIP, PDF, DOC och XLS är fortfarande absolut vanligast för att sprida skadlig kod men de har även noterat att ISO/IMG-filer används i större utsträckning. Särskilt för att leverera AgentTesla och NanoCore RAT.

31% av distributionen av skadlig kod kommer genom RDP, 23% genom mejl och spam, och 12% genom sårbar firmware eller middleware.

Typ av skadlig kod

Ransomware, banking trojans och cryptominers är den tveklöst vanligaste typen av skadlig kod.

Signerade binärer

En annan trend är användningen av certifikat för att signera binärer då användare i stor utsträckning litar på dessa. https://attack.mitre.org/techniques/T1116/

UnderrättelserF-SecureSammanfattning

Christoffer Strömblad

Några fler relaterade artiklar:

Sammanfattning: F-Secure Hotlandskapet H1 2018 Sammanfattning: The Underground Economy av Trustwave Sammanfattning: Symantec Cloud Security Threat Report 2019 Sammanfattning: Sonicwall halvårsrapport 2019 Sammanfattning: Trustwave Global Security Report 2019

Vad innebär det att underrättelsearbetet inriktas? (eng. intelligence direction)

Föreläsning: En resa genom cyberangreppet - Från angriparens perspektiv