CrowdStrike Threat Hunting Report 2023 Bedrohungslandschaft wächst sich rasant

Anbieter zum Thema

FTAPI Software GmbH

TXOne Networks

CrowdStrike GmbH

Eine 583-prozentiger Zunahme von Kerberoasting-Angriffen, 40 Prozent mehr interaktive Angriffsversuche und ein Rekordtief der durchschnittlichen Breakout-Time stehen im Mittelpunkt des neuen Threat Hunting Report von CrowdStrike. Dieser bietet Einblicke in die aktuelle Bedrohungslandschaft und zeigt Angriffstrends sowie die Vorgehensweise von Cyberangreifern auf.

Die Bedrohungslandschaft hat an Komplexität und Tiefe zugenommen, da Akteure auf neue Taktiken und Plattformen umschwenken, wie den Missbrauch gültiger Anmeldedaten, um Schwachstellen in Cloud und Software anzugreifen. Sie setzen massiv auf identitätsbasierte Angriffe und ihre Cloud-Expertise, außerdem wächst ihre Kompetenz bei plattformübergreifenden Angriffen zunehmend. Dabei stehen Unternehmen unterschiedlichster Branchen, wie Finanzdienstleister, Telekommunikations-, Technologie- oder Bildungseinrichtungen im Visier.

Anstieg von Kerberoasting-Angriffen

Angreifer setzen verstärkt auf identitätsbasierte Angriffe. So zeigt der neue Threat Hunting Report 2023, der erste Bericht, der von CrowdStrikes neuem Counter Adversary Operations Team veröffentlicht wurde, dass 62 Prozent der interaktiven Angriffsversuche auf dem Missbrauch gültiger Zugangsdaten basieren. Gleichzeitig stieg die Zahl der Versuche, geheime Schlüssel und andere Anmeldeinformationen über Metadaten-APIs von Cloud-Instanzen zu erlangen, um 160 Prozent. Besorgniserregend ist auch der Anstieg der Anzahl der Kerberoasting-Angriffe um 583 Prozent im Vergleich zum Vorjahr. Dabei handelt es sich um eine weitere Technik, mit der sich Angreifer gültige Anmeldeinformationen für Active Directory-Konten erlangen können, die ihnen häufig höhere Privilegien verschaffen und es ihnen ermöglichen, in den Umgebungen der Opfer über längere Zeit unentdeckt zu bleiben.

Neue Rekorde bei der Breakout-Time

Die durchschnittliche Breakout-Time – also der Zeitraum, den Angreifer benötigen, um sich innerhalb der Umgebung ihrer Opfer lateral von einem kompromittierten Host zum nächsten zu bewegen – sank von 84 Minuten im Jahr 2022 auf einen neuen Tiefststand von 79 Minuten. Die kürzeste Breakout-Time des Jahres lag bei einer Rekordzeit von nur sieben Minuten.

Größter Zuwachs an Cyberaktivitäten im Finanzsektor

Die Zahl der interaktiven Angriffsversuche ist um 40 Prozent im Vergleich zum Vorjahr gestiegen, wobei der Technologiesektor im sechsten Jahr in Folge der am häufigsten angegriffene Sektor war, gefolgt vom Finanzsektor, dem Einzelhandel und dem Gesundheitswesen sowie der Telekommunikationsbranche. Das Volumen interaktiver Angriffsversuche auf den Finanzsektor ist im Vergleich zum Vorjahr um über 80 Prozent gestiegen. Das ist der größte Zuwachs an gezielten Aktivitäten, den CrowdStrike bisher in der Finanzdienstleistungsbranche beobachtet hat. Die aggressivsten staatsnahen Angreifer, die es auf den Finanzsektor abgesehen haben, waren nordkoreanische Angreifergruppen. Sie sind weiterhin an zahlreichen finanziell motivierten Operationen beteiligt, die in erster Linie auf Finanz- und Fintech-Unternehmen abzielen.

Die Zahl der im Dark Web geschalteten Inserate von Access-Brokern ist um 147 Prozent gestiegen. Der leichte Zugang zu gültigen Accounts, die zum Verkauf angeboten werden, senkt die Einstiegshürde für eCrime-Akteure, die kriminelle Operationen durchführen wollen, und ermöglicht es etablierten Angreifern, ihr Vorgehen nach der Nutzung zu verfeinern, um ihre Ziele mit größerer Effizienz zu erreichen.

Verdreifachung der Nutzung legitimer RMM-Tools

Die Zahl der Angreifer, die legitime Remote Monitoring and Management (RMM)-Tools ausnutzen, ist im Vergleich zum Vorjahr um 312 Prozent gestiegen: Ein weiterer Beleg für die Berichte der CISA ist die Tatsache, dass Angreifer zunehmend legitime und bekannte Remote-IT-Management-Anwendungen nutzen, um nicht entdeckt zu werden. So können sie auf sensible Daten zugreifen, Ransomware einsetzen oder weitere gezielte Folgetaktiken installieren.

„Wir haben im vergangenen Jahr mehr als 215 Angreifer beobachtet und konnten feststellen, dass die Bedrohungslandschaft zunehmend komplexer und tiefgreifender wird, da sich die Angreifer neue Taktiken und Plattformen zunutze machen, wie z. B. den Missbrauch gültiger Anmeldedaten, um Schwachstellen in der Cloud und in der Software auszunutzen“, erklärt Adam Meyers, Head of Counter Adversary Operations bei CrowdStrike. „Wenn wir über die Verhinderung von Sicherheitsverletzungen sprechen, können wir die unbestreitbare Tatsache nicht ignorieren, dass die Angreifer immer schneller werden und Taktiken anwenden, die absichtlich entwickelt wurden, um herkömmliche Erkennungsmethoden zu umgehen. Sicherheitsverantwortliche müssen daher prüfen, ob ihre Teams über die notwendigen Lösungen verfügen, um laterale Bewegungen eines Angreifers innerhalb von sieben Minuten zu stoppen.“

(ID:49657792)