L'innovazione nel crimine cibernetico nell'era post-pandemica

Con l'allentamento delle misure mediche ed economiche legate al COVID-19, gli attaccanti hanno dovuto reinventarsi per trovare nuove modalità di guadagno, affinando le loro competenze di ingegneria sociale, mercificando tecniche d'attacco una volta sofisticate e cercando creativamente nuove opportunità in luoghi inaspettati. Nel 2022, il panorama dei ciberattacchi ha registrato sviluppi significativi in vari ambiti, che spaziano dagli attacchi mirati e di forza bruta su cloud agli smishing conversazionali, fino alla proliferazione di tecniche di bypass dell'autenticazione multifattore (MFA). "Microsoft 365 costituisce una percentuale significativa della superficie di attacco tipica delle organizzazioni. L'abuso diffuso di questa piattaforma, dalle macro di Office ai documenti OneNote, continua a delineare i contorni generali del panorama delle minacce", ha affermato Ryan Kalember, EVP, strategia di cybersecurity di Proofpoint.

La decadenza delle macro di Office e l'ascesa di nuove minacce

Le macro di Office, dopo quasi tre decenni di utilizzo come metodo di distribuzione di malware, hanno iniziato a calare a seguito di aggiornamenti da parte di Microsoft. Ciò ha innescato una serie di tentativi da parte dei ciberattaccanti di cercare tecniche alternative per compromettere i bersagli. Nel frattempo, i minacce come lo smishing conversazionale e i cosiddetti "pig butchering threats" - attacchi che iniziano con messaggi apparentemente innocui - hanno registrato un notevole incremento, diventando la minaccia in più rapida crescita nell'ambito mobile. Gli attacchi tramite chiamate telefoniche (TOAD) hanno raggiunto un picco di 13 milioni di messaggi al mese, con attori di minaccia avanzate persistenti (APT) sponsorizzati da stati che investono tempo nello scambio di messaggi benigni con i loro obiettivi per costruire un rapporto nel corso di settimane e mesi.

Kit per il phishing e minacce nel cloud

I framework per il bypass del MFA, come EvilProxy, Evilginx2 e NakedPages, sono stati responsabili di oltre un milione di messaggi di phishing al mese. Le organizzazioni sono state spesso bersaglio di minacce provenienti dai giganti del cloud come Microsoft e Amazon, le cui infrastrutture ospitano innumerevoli servizi legittimi di cui le organizzazioni si avvalgono. L'attore della minaccia dietro SocGholish, TA569, ha sfruttato un metodo di distribuzione innovativo che coinvolge download drive-by e falsi aggiornamenti del browser per infettare i siti web e ingannare le vittime a scaricare il malware. Molte volte, i siti che ospitano SocGholish non sono nemmeno a conoscenza della presenza del malware, facilitandone la diffusione.

Il panorama delle minacce nell'era post-pandemica

Nonostante il volume elevato di messaggi inviati - oltre 25 milioni nel 2022 - l'attività di Emotet è stata intermittente, con il gruppo che ha mostrato segni di apatia nell'adattarsi al panorama delle minacce post-pandemiche. Sebbene i crimini finanziariamente motivati siano predominanti nel panorama delle minacce post-pandemiche, un singolo attacco da un attore di minaccia avanzata persistente (APT) può avere un impatto massiccio. Un esempio di ciò è stata una vasta campagna condotta da TA471, un gruppo APT in linea con la Russia che si occupa di spionaggio sia corporativo che governativo. TA416, un attore APT in linea con lo stato cinese, è stato tra i più attivi, con significative nuove campagne lanciate in coincidenza con l'inizio della guerra tra Russia e Ucraina, prendendo di mira entità diplomatiche europee coinvolte nei servizi per rifugiati e migranti.