Cisco Talos: ecco come si sono evolute le minacce informatiche nel 2023

Il mondo della sicurezza informatica è in continua evoluzione e presenta nuove sfide ogni anno. Il rapporto annuale di Cisco Talos, una delle principali società di ricerca e intelligence nel settore, ha esaminato le principali tendenze che hanno caratterizzato il panorama delle minacce informatiche nel 2023.

Tra i temi trattati nel report spiccano il ransomware, gli attacchi alle reti e il malware loader.

Cisco Talos: il ransomware ha colpito soprattutto il settore sanitario nel 2023

Come ben sappiamo, il ransomware è una forma di malware che cifra i dati delle vittime e richiede un riscatto per il loro ripristino. Nel 2023, questa minaccia ha colpito soprattutto il settore sanitario e della salute pubblica, che è vulnerabile a causa di budget limitati per la sicurezza informatica e di bassa tolleranza ai tempi di inattività. Inoltre, le organizzazioni sanitarie detengono informazioni sensibili che possono essere usate per estorcere denaro o per scopi di spionaggio. Nello specifico il gruppo di ransomware più attivo nel 2023 è stato LockBit, seguito da ALPHV e Clop.

Proteggi i tuoi dati con Bitdefender, Leader mondiale in sicurezza informatica

Tuttavia, il panorama del ransomware è in costante cambiamento, con gruppi che si fondono, cambiano nome o iniziano nuove operazioni. Questo rende difficile il monitoraggio e il contrasto da parte delle forze dell’ordine e dei ricercatori. Molti criminali informatici offrono i loro servizi di ransomware a pagamento, permettendo a chiunque di lanciare attacchi senza avere competenze tecniche.

Inoltre, alcuni gruppi hanno sfruttato vulnerabilità di tipo zero-day, cioè non note ai produttori di software, per infiltrarsi nelle reti delle vittime. Un esempio è il già citato gruppo Clop, che ha sfruttato vulnerabilità in piattaforme come GoAnywhere MFT, MOVEit e PaperCut.

Cambiano anche le modalità degli attacchi

Un’altra tendenza emersa nel 2023 è il passaggio da un modello di cifratura a un modello di estorsione basato sul furto di dati. In questo caso, i criminali informatici non cifrano i dati, ma li rubano e minacciano di divulgarli se non ricevono il riscatto richiesto. Questa tattica potrebbe essere dovuta ai miglioramenti nelle capacità di rilevamento del ransomware da parte del software di sicurezza o alla pressione delle autorità contro gli attori del ransomware.

Il report Cisco Talos 2023 ci rivela anche dinamiche interessanti rispetto agli attacchi alle infrastrutture di rete, vale a dire ai dispositivi che consentono la comunicazione tra i vari sistemi informatici. Questi dispositivi sono spesso trascurati dal punto di vista della sicurezza e sono esposti a vulnerabilità, credenziali deboli o configurazioni insicure. Gli attacchi alle reti sono stati condotti sia da criminali informatici che da attori paragovernativi, con lo scopo di spiare, sabotare o accedere a obiettivi secondari. I gruppi più attivi in questo ambito sono stati quelli basati in Cina e in Russia.

L’evoluzione dei malware loader nel 2023

Infine, il rapporto di Cisco Talos 2023 ha analizzato il malware loader di tipo commodity, cioè il malware che viene usato per scaricare e installare altri malware sulle macchine infette. Questi malware sono nati come trojan bancari, cioè malware che rubano le informazioni sulle carte di credito, ma si sono evoluti per essere più furtivi ed efficaci. 

Alcuni esempi sono Qakbot, Ursnif, Emotet, Trickbot e IcedID. Questi malware sono spesso usati come punto di ingresso per altri attacchi, come il ransomware o spyware.

Tuttavia, per diffondere i loro malware, i cybercriminali hanno dovuto adattarsi alle nuove misure di sicurezza di Microsoft sui prodotti Office, che hanno reso più difficile l’uso delle macro, ovvero dei codici eseguibili inseriti nei documenti. Per questo motivo, hanno usato diversi metodi alternativi, come JavaScript, PowerShell, documenti OneNote o file HTA, per infettare i dispositivi degli utenti. Hanno anche sfruttato la piattaforma Google Ads per distribuire i loro malware, evitando del tutto le macro.

Alcuni attori delle minacce, tuttavia, hanno continuato a usare le macro, probabilmente perché il tasso di successo sui sistemi aziendali non aggiornati è ancora alto. Questi attori hanno distribuito malware come Emotet, IcedID e Ursnif, usando tecniche di ingegneria sociale per convincere gli utenti ad abilitare le macro.

Potete consultare il report completo a questo link.