En nylig publisert ukentlig trusselvurdering som dekker perioden 7. til 13. september har flagget et nivå av koordinert cyberangrepsaktivitet som forskere beskriver som et "varig grunnlinjeskifte." Rapporten sporet 33 samtidige APT-klynger (avanserte vedvarende trusler) som var aktive i løpet av uken, en ny toppnotering, og den tredje påfølgende uken der aktiviteten har holdt seg forhøyet over historiske normer.

Selv om rådgivninger som denne vanligvis er skrevet for sikkerhetsoperasjonsteam og CISOs, er de underliggende tallene viktige for alle som bruker internett til å banke, handle, jobbe eller kommunisere. Når volumet av aktiv trusselinfrastruktur stiger så kraftig og holder seg forhøyet, øker sjansene for at vanlige brukere møter phishing-sider, ondsinnede nedlastinger eller kompromitterte nettverk tilsvarende.

Hva Tallene Faktisk Viser

Rådgivningens hovedtall, 33 samtidige APT-klynger, refererer til distinkte, samtidig aktive grupper av statslenkede eller organiserte cyberkriminelle aktører som kjører kampanjer samtidig. Forskere bemerket at tidligere veiledning hadde satt en terskel: hvis dette tallet landet over 15 i rapporteringsuken, ville det bli behandlet som bevis på en varig endring snarere enn en midlertidig topp. Uken det gjelder landet på 33, mer enn det dobbelte av denne terskelen, og det er derfor analytikere nå kaller dette et bekreftet grunnlinjeskifte snarere enn en tilfeldighet.

Ved siden av klyngetallet loggførte rapporten 57 981 unike kompromitteringsindikatorer (IOC-er), de digitale fingeravtrykkene, ondsinnede IP-adressene, filhash-ene og domenene som forsvarere bruker for å oppdage og blokkere angrep. En enkelt "vedvarende C2-operatør," som refererer til en trusselaktør som driver langvarig kommando-og-kontroll-infrastruktur, sto for mer enn 53 000 av disse IOC-ene alene. Denne konsentrasjonen antyder at en spesielt aktiv og godt utrustet operasjon driver en stor andel av det totale volumet, snarere enn at økningen er jevnt fordelt på mange mindre aktører.

Rådgivningen registrerte også en 5,5x økning i løsepengevirusaktivitet sammenlignet med grunnlinjenivåer. Løsepengeviruskampanjer er bemerkelsesverdige fordi de ofte starter med de samme taktikkene som påvirker hverdagsbrukere: phishing-e-poster, eksponerte eksterne tilgangspunkter og uoppdaterte programvaresårbarheter. En kraftig økning i løsepengevirusoperasjoner korrelerer ofte med en økning i masse-phishing- og legitimasjonsstykkampanjer som driver disse operasjonene.

Hvorfor et "Varig Grunnlinjeskifte" Er Annerledes enn en Topp

Sikkerhetsforskere skiller mellom kortsiktige topper, som avtar tilbake til normalen innen en uke eller to, og grunnlinjeskifter, som representerer et nytt, vedvarende aktivitetsnivå. Denne rådgivningens språk er bevisst: tre påfølgende forhøyede uker, kombinert med et klyngetall langt over den tidligere fastsatte terskelen, blir tolket som bevis på at trusselmiljøet i seg selv har endret seg, ikke at dette var en enkeltstående travel uke.

For lesere er den praktiske implikasjonen grei. Sikkerhetsråd som antar at angrep er sjeldne, isolerte hendelser, er i økende grad i utakt med virkeligheten. Vedvarende infrastruktur, som C2-operatøren ansvarlig for hovedtyngden av denne ukens IOC-er, har en tendens til å holde seg og bli gjenbrukt på tvers av flere kampanjer, noe som betyr at de samme ondsinnede domenene og serverne kan dukke opp igjen i phishing-forsøk eller distribusjon av skadevare i uker eller måneder etter at de først er identifisert.

Denne typen vedvarende infrastruktur forsterker også risikoen når den kombineres med nylig avslørte programvaresårbarheter. For eksempel viser den nylig avslørte MiniPlasma-privilegieeskaleringsfeilen hvordan angripere kan oppnå full SYSTEM-nivåtilgang på Windows-maskiner selv etter at standardoppdateringer er brukt. Når vedvarende C2-operatører har både varig infrastruktur og tilgang til ferske utnyttelser som dette, gir kombinasjonen dem flere måter å nå og kontrollere offerenheter over lengre tid.

Hva Dette Betyr For Deg

Du trenger ikke være sikkerhetsprofesjonell for å bli påvirket av et skifte som dette. Forhøyet APT- og løsepengevirusaktivitet oversettes generelt til flere phishing-e-poster, flere ondsinnede annonser og falske påloggingssider, og større sjanse for at uoppdaterte enheter blir målrettet opportunistisk, selv om du ikke er det spesifikke målet for noen nasjonalstatsgruppe.

Den gode nyheten er at det grunnleggende innen personlig cybersikkerhet ikke endres bare fordi trusselvolumet har økt. Det som endres er viktigheten av konsistens: å holde programvare oppdatert, være skeptisk til uventede lenker og vedlegg, og bruke sterke, unike passord med multifaktorautentisering forblir de mest effektive forsvarene mot taktikkene som vedvarende trusselaktører er mest avhengige av.

Handlingsrettede Tips

  • Hold operativsystemet og applikasjonene dine satt til automatisk oppdatering, siden vedvarende APT-aktivitet ofte utnytter kjente, men uoppdaterte sårbarheter.
  • Behandle uventede e-poster, lenker og påloggingsforespørsler med ekstra forsiktighet i perioder med bekreftet forhøyet aktivitet som denne.
  • Aktiver multifaktorautentisering på dine viktigste kontoer, særlig e-post, bank og skylagring.
  • Sikkerhetskopier viktige filer regelmessig og oppbevar minst én kopi offline, gitt den kraftige økningen i løsepengevirusaktivitet som er nevnt i denne rådgivningen.
  • Følg sikkerhetsrådgivninger fra pålitelige kilder slik at du forstår når trusselnivåer er genuint forhøyede kontra rutinemessig bakgrunnsstøy.

Ukentlige trusselvurderinger som denne handler til syvende og sist om mønstergjenkjenning over tid, ikke om en enkelt hendelse. Et varig grunnlinjeskifte, bekreftet over tre strake uker og støttet av nesten 58 000 unike kompromitteringsindikatorer, er et signal verdt å følge med på. Å holde seg oppdatert på grunnleggende sikkerhetshygiene forblir den mest pålitelige måten å forbli beskyttet på mens denne grunnlinjen fortsetter å utvikle seg.