Threat intelligence als cyber defense?

Het aantal ransomware aanvallen rijst de pan uit en de kosten van een ransomware aanval stijgen fors. Voor veel bedrijven kan een ransomware aanval wel eens compleet “out of business” betekenen. Dit schrijft Erik Westhovens, cybersecurity experts bij Insight, in deze blog.

Bijgaand stukje uit een live chat tussen een serviceprovider en de ransomware groep maakt duidelijk dat je als getroffen bedrijf weinig keuze hebt:

• 2022-04-19 15:23:57 We are not doing well. A part of our customers don't have complete backups. We want to protect them and support them.
• 2022-04-19 15:25:15 We want to pay. I am here to find a reasonable price.
• 2022-04-19 15:28:16 If we find an agreement we can pay ASAP.
• 2022-04-19 15:30:01 The only way to restore your network and your customers systems is to pay. It is a matter of time before you procrastinate we increase the price, we can return your name to the blog, upload the names and files of your customers to our blog (we know who was attacked and we have your table of damaged customers). Then you and your customers will have much more questions and problems.
• 2022-04-19 15:31:36 Therefore, it is a very reasonable price!
• 2022-04-19 15:32:25 I know. Let's find a solution. 1 Mio $ would kill the company immediately.
• 2022-04-19 15:32:59 If we won't pay: We are out of business. If we would pay $ 1 Mio we are out of business.

Maar de kosten van beveiliging tegen ransomware zijn ook niet mals. En kennis is erg schaars op de arbeidsmarkt waardoor zeker de kleinere bedrijven en het MKB al snel achter het net vissen. Ze kunnen de juiste middelen en licenties wel aanschaffen, maar vaak is daar speciale kennis voor vereist en juist die is schaars en dus duur.

Een van de beste methodes om tegen ransomware beschermt te zijn word dan ook vaak over het hoofd gezien of niet belangrijk genoeg geacht.

Threat Intelligence verdient een steeds belangrijkere rol om als bedrijf zijnde continu op de hoogte te zijn van mogelijke threats en hoe daar tegen te beschermen.

In het boek '13 Ransomwared' wordt belicht hoe threat intelligence steeds meer en betere mogelijkheden om hackers een stapje voor te zijn. Dagelijks ben ik bezig met het analyseren van zero days, aanvalsrapporten en onderzoek op het darknet om te zien wat ransomware groeperingen bezig houd en over welke methodes geschreven worden. Door actief deel te nemen aan qTox (Whatsapp variant op Darknet) groepen krijg ik dagelijks informatie binnen die me in staat stelt om betere beveiligingsmethodes te ontwikkelen en veel van deze kennis deel ik op Linkedin zodat volgers en connecties deze meteen ook kunnen inzien. Als bijvangst zie ik ook vaak namen van bedrijven langskomen die op dat moment gehacked zijn terwijl ze het zelf nog niet weten.

Toch is juist threat intelligence een erg onderschatte methode. Gisteren nog deelde ik een stuk over een nieuwe zero day in Office die misbruik maakt van het MSDT protocol om de optie disable macro’s te omzeilen. Hacker  groepen maken daar al snel misbruik van en duiken op de methode. Door threat intelligence weten we van deze methode en kunnen we snel maatregelen bouwen. In minder dan 24 uur hebben we zo een detectie methode weten in te bouwen zodat we meteen zien als het in de omgeving van het bedrijf misbruikt word en hebben we een extra methode gebouwd om misbruik tegen te gaan door de MSDT protocol handler veel lagere permissions te geven waardoor de methode niet meer werkt. Zonder threat intelligence zou ons dit nooit gelukt zijn omdat we dan altijd veel te ver achter de feiten aanlopen.

Door: Erik Westhovens, cybersecurity experts bij Insight en mede-auteur van '13 Ransomwared'