In questo blog, gli esperti globali dei nostri team Rapid7 Labs e Managed Services condividono informazioni in tempo reale sulle vulnerabilità e sulle minacce, in modo che i nostri clienti possano anticipare e prevenire le violazioni, individuare le minacce critiche e assumere con sicurezza il controllo della loro superficie di attacco.
I nostri team hanno risposto a centinaia di incidenti importanti, vulnerabilità significative e minacce ransomware nel 2024, rafforzati dalla visibilità su centinaia di trilioni di eventi analizzati dal Rapid7 Threat Engine . La nostra risposta ha incluso la ricerca sulle minacce emergenti e sulle vulnerabilità esterne, che condividiamo regolarmente con la community qui sul blog Rapid7, nonché attività di risposta agli incidenti per i nostri clienti di sicurezza gestita in tutto il mondo.
Il team di Rapid7 Labs ha raccolto statistiche e tendenze che hanno attirato la nostra attenzione nel corso dell’anno, che spaziano dai ransomware ai vettori di accesso iniziale, ai ceppi di malware più comuni, allo sfruttamento CVE più degno di nota e molto altro.
Attività del gruppo ransomware
Il panorama del ransomware del 2024 era tutto incentrato sullo spingere i limiti, con diversi gruppi che si sforzavano di farsi un nome nei circoli dell’estorsione. Sulla base dei dati di Rapid7 Labs, 33 nuovi o rinominati attori della minaccia sono apparsi tra il 1° gennaio e il 10 dicembre 2024. Nello stesso periodo di tempo, c’erano un totale di 75 gruppi (inclusi i novellini) che cercavano attivamente di estorcere alle loro vittime pubblicando dati rubati sui loro siti di fuga. Tra questi 74 gruppi ci sono stati un totale di 5.477 post sui siti di fuga.
I gruppi Ransomware-as-a-service (RaaS) come RansomHub hanno esfiltrato dati da centinaia di obiettivi che spaziano dall’assistenza sanitaria ai servizi finanziari, alla produzione critica e molto altro. I dati ransomware di Rapid7 mostrano che da quando questo gruppo è emerso all’inizio di febbraio di quest’anno, ha pubblicato 573 post sul suo sito di fuga di notizie (al 30 novembre). Questo numero elevato di post ha fatto guadagnare a RansomHub un posto nella lista “Top 10 Active Ransomware Groups” di Rapid7 per il 2024, arrivando molto vicino al secondo posto dopo LockBit, che ha chiuso novembre con 579 post. Visualizza l’intera top 10 nel grafico qui sotto.
Sebbene non sia così prolifico nel postare sul suo sito di fuga di notizie come RansomHub, Qilin è un esempio di un player affermato che ha esposto una quantità di dati sensibili e ottenuto anche pagamenti significativi. Non uno che si tira indietro dal settore sanitario, Qilin ha fatto trapelare poco meno di 1 milione di cartelle cliniche dei pazienti dopo un tentativo di estorcere 50 milioni di $ dagli ospedali di Londra all’inizio di quest’anno. Con richieste di riscatto tipiche che vanno da $ 50.000 a $ 800.000 , oltre a un generoso schema di affiliazione, Qilin sarà probabilmente un pilastro del 2025.
Uno o due nuovi gruppi stanno combinando attacchi ad alta visibilità con trovate di marketing accattivanti, molto probabilmente per farsi strada rapidamente nella scala degli affiliati. Hellcat è apparentemente spuntato dal nulla per chiedere 125.000 $ in “pane francese” a una vittima. Questo è, ovviamente, un espediente da parte loro, con il riscatto che dovrebbe essere pagato in criptovaluta Monero. Spesso vengono richiesti riscatti molto più grandi, ma non tutti hanno un appeal stampa incorporato.
Diversi gruppi hanno periodi in cui apparentemente “si oscurano”, in cui non vediamo post sui loro siti di fuga di notizie per settimane alla volta. Potrebbe essere che questi gruppi stiano usando questo periodo per rielaborare la loro infrastruttura, o forse stanno ricevendo rapidi risarcimenti dalle vittime che desiderano evitare danni alla reputazione e la stampa negativa associata a una violazione che viene alla luce.
Tendenze nella risposta agli incidenti
I soccorritori di Rapid7 hanno visto una combinazione di gruppi ransomware inesperti e vecchi trucchi di sicurezza riempire gran parte dell’anno. Mentre le organizzazioni lavorano per proteggere i loro sistemi rivolti all’esterno, devono anche tenere conto dei criminali che cercano di ingannare i dipendenti con ingegneria sociale e giochi di prestigio psicologici.
Osservando le vaste superfici di attacco delle organizzazioni, gli addetti alla risposta agli incidenti di Rapid7 hanno osservato diverse vulnerabilità sfruttate in natura per l’accesso iniziale quest’anno. I settori verticali che Rapid7 ha visto maggiormente presi di mira sono stati produzione, servizi professionali, vendita al dettaglio e assistenza sanitaria.
L’ingegneria sociale nel 2024 era orientata verso un facile accesso iniziale tramite lo sfruttamento dei servizi di supporto. Un caso di un cliente ha coinvolto un dipendente dell’help desk che è stato ingannato nel configurare un nuovo dispositivo MFA e nel reimpostare una password utente. Un incidente separato ha coinvolto un attacco di avvelenamento SEO e il download e l’installazione di una versione trojanizzata dello strumento di analisi del disco freeware SpaceSniffer. Gli strumenti di analisi e pulizia sono obiettivi popolari per pubblicità false e download fasulli, che si trovano in genere in cima ai risultati di ricerca sponsorizzati.
Malware più osservato
Diverse forme di malware sono state in testa al gruppo per tutto il 2024 in tutti i settori. SocGholish, GootLoader e AsyncRAT hanno guidato la carica con un mix inebriante di accesso remoto e furto di credenziali. Oltre un quarto (28%) degli incidenti dei clienti a cui Rapid7 ha risposto nel 2024 ha coinvolto una di queste tre famiglie di malware.
SocGholish è stato osservato nel 14% degli incidenti nel 2024. Il primo dei tre pilastri malware ampiamente osservati del 2024, SocGholish (noto anche come FakeUpdates) è radicato nella compromissione dei siti Web e negli attacchi drive-by. I siti Web dirottati vengono utilizzati per offrire “aggiornamenti” fasulli a ignari utenti finali. Puoi vedere un esempio simile a SocGholish nella nostra analisi di ClearFake di agosto 2023 .
Gli aggiornamenti di SocGholish spesso si mascherano da programmi di uso comune come i browser web. Se i proprietari della campagna ritengono che il sistema di destinazione sia di interesse, JavaScript viene utilizzato per attivare un payload tratto da un’ampia varietà di malware. A luglio di quest’anno, SocGholish è stato utilizzato per distribuire AsyncRAT , un altro dei nostri trojan di accesso remoto (RAT) più comunemente osservati.
GootLoader è stato osservato nel 10% degli incidenti nel 2024. Viene spesso osservato nelle campagne di avvelenamento SEO che in genere coinvolgono parole chiave mirate su siti Web compromessi. È il metodo di distribuzione per payload come Cobalt Strike tramite diverse query dei motori di ricerca come ” gatti del Bengala ” e ” accordi di lavoro “.
AsyncRAT è stato osservato nel 4% degli incidenti nel 2024. Si tratta di un RAT utilizzato dal 2019 per attività come furto di dati e keylogging. AsyncRAT in genere arriva su un PC tramite social engineering o allegati falsi e può anche essere utilizzato per distribuire malware aggiuntivo. È stato anche recentemente utilizzato come parte di una campagna di distribuzione di malware GenAI .
Vettori di accesso iniziale
Lo sfruttamento delle vulnerabilità e l’accesso remoto ai sistemi senza autenticazione a più fattori (MFA) hanno continuato a essere i principali fattori di incidenti in generale nel 2024, rispettivamente al 17% e al 56% degli incidenti. Abbiamo assistito a un cambiamento significativo (e piuttosto sfortunato) nei dati di accesso iniziale anno su anno nel 2024 rispetto al 2023. Circa il 40% degli incidenti che il team Rapid7 Managed Services ha visto nel terzo trimestre del 2023 erano accessi remoti a sistemi con applicazione mancante o poco efficace dell’MFA, in particolare per VPN e infrastrutture desktop virtuali (VDI). Nel terzo trimestre del 2024, ben due terzi (67%) delle risposte agli incidenti hanno coinvolto l’abuso di account validi e l’applicazione mancante o poco efficace dell’MFA, ancora una volta principalmente su VPN e VDI, sebbene anche l’RDP esposto abbia aggiunto un piccolo numero di incidenti ai conteggi degli accessi remoti.
Anche lo sfruttamento delle vulnerabilità rimane un vettore di accesso iniziale prevalente, attestandosi al 13% degli incidenti sia nel terzo trimestre del 2023 che nel terzo trimestre del 2024. Rapid7 MDR ha osservato lo sfruttamento delle seguenti CVE negli ambienti dei clienti tra gennaio e novembre 2024 (non esaustivo):
- CVE-2024-3400 in Palo Alto Networks PAN-OS
- CVE-2024-24919 nei gateway di sicurezza Check Point
- CVE-2024-1709 nella schermata ConnectWiseConnect
- CVE-2023-48788 in Fortinet FortiClient
- CVE-2023-48365 in Qlik Sense Enterprise per Windows
- CVE-2023-36025 in Windows SmartScreen
- CVE-2020-14882 in Oracle WebLogic Server (Oracle Fusion Middleware)
- CVE-2018-15961 in Adobe ColdFusion
Come dimostrano i CVE sopra, lo sfruttamento delle vulnerabilità che Rapid7 ha osservato negli ambienti dei clienti gestiti ha incluso nuovi difetti oltre a vulnerabilità note e più vecchie che sono state precedentemente sotto attacco. Sia Adobe ColdFusion CVE-2018-15961 che Oracle WebLogic Server CVE-2020-14882 sono nell’elenco delle vulnerabilità note sfruttate (KEV) della Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti da novembre 2021.
Vulnerabilità degne di nota
Mentre Rapid7 ha osservato un continuo utilizzo da parte degli avversari di vulnerabilità zero-day in tecnologie di rete edge come VPN e gateway sicuri, i difetti zero-day hanno rappresentato una percentuale complessiva inferiore di vulnerabilità principali del 2024 rispetto a quanto visto nel 2023. Anche le tecnologie di trasferimento file hanno avuto una serie di vulnerabilità gravi divulgate nel 2024, ma sorprendentemente, molte di queste sono rimaste inutilizzate oltre i soliti tentativi di attaccare honeypot rivolti a Internet. Ci si aspettava che i problemi critici sia nel software GoAnywhere MFT di Fortra che nella soluzione MOVEit Transfer di Progress Software vedessero attacchi su larga scala, ma fortunatamente, finora tali attacchi non si sono materializzati.
Nel 2024 Attack Intelligence Report di Rapid7 , abbiamo scoperto che un quarto delle vulnerabilità diffuse delle minacce analizzate dal nostro team per il periodo erano il risultato di uno sfruttamento zero-day ampio e globale da parte di un singolo autore di minacce altamente qualificato. Tale tendenza ha perso slancio nella seconda metà dell’anno, ma l’abbiamo comunque vista riemergere di tanto in tanto. Il FortiManager RCE di ottobre 2024 ( CVE-2024-47575 ) offre un esempio lampante: quando la vulnerabilità è stata resa pubblica, decine di organizzazioni in tutto il mondo erano già state compromesse da una campagna di minacce mirata ma prolifica. Un paio di falle zero-day ampiamente sfruttate nei firewall di Palo Alto Networks ( CVE-2024-0012 , CVE-2024-9474 ) hanno costituito un altro esempio importante. Le voci di una possibile vulnerabilità zero-day hanno circolato per settimane prima che il fornitore fosse in grado di confermare attacchi nel mondo reale a metà novembre.
Di seguito è riportato un campione di CVE degni di nota tratti dai dati di intelligence sulle vulnerabilità di Rapid7, la maggior parte dei quali (ma non tutti) sono stati attaccati negli ultimi 11 mesi.
La piattaforma aperta di Rapid7 per la ricerca sulle vulnerabilità, AttackerKB , ha incorporato nuovi tag nel 2024 per consentire agli utenti di annotare quando sono state osservate vulnerabilità in attacchi ransomware o sponsorizzati dallo stato. Il nostro team e la nostra community hanno aggiunto tag ransomware a oltre 250 CVE nel 2024 e oltre 75 vulnerabilità sono state contrassegnate per il loro utilizzo (verificato) in campagne di minacce note sponsorizzate dallo stato. Sono stati segnalati più di 1.700 CVE unici sfruttati in natura in AttackerKB e abbiamo incorporato centinaia di valutazioni dettagliate delle vulnerabilità da parte di ricercatori di sicurezza, addetti alla risposta agli incidenti e pen tester. Vuoi esplorare altri dati sulle vulnerabilità? Unisciti alla community qui .
Apprendimenti chiave
Il panorama delle minacce nel 2024 ha visto una serie di nuovi attori ransomware creare caos in modi nuovi, ma ha anche dimostrato che gli aggressori sono disposti a usare tecniche collaudate e vere per violare le difese. Alla fine della giornata (ehm, anno) le best practice rimangono le best practice. Avere un solido programma di gestione del rischio di vulnerabilità, costruire solide difese contro campagne di phishing e spear phishing, avere solide procedure di patching (in particolare per gli zero-day) e istituire l’autenticazione a più fattori rimangono alcuni dei modi più efficaci per impedire agli attori delle minacce di rendere la tua organizzazione un’altra statistica. A proposito di statistiche, ecco un’infografica con alcuni punti salienti di questo post.
Come sempre, Rapid7 Labs è qui per aiutarti. Abbiamo trascorso il 2024 a svolgere ricerche uniche e innovative sui comportamenti degli attori delle minacce e non abbiamo intenzione di fermarci nel 2025. Se vuoi vedere il nostro lavoro fino a oggi, vai alla pagina Rapid7 Labs . E tienila d’occhio perché l’anno prossimo ci saranno grandi novità.
