Laut einer studie von cisco talos nutzen hacker immer Öfter gestohlene identitäten, um sich in fremde systeme einzuschleichen.
Der Missbrauch Legitimer Privilegierter Zugänge (accès privilégié légitime) Nimmt Zu. Wie der Cisco Talos ‘Jahresrückblick 2024 Herausfand, Nutzten Angreifer immer Öfter gestohlene identitäten für ihre attaen, darunter auch ransomware-erpressungen. Dafür missbrauchen die hacker
- Anmededaten,
- Jetons,
- Api-Schlüssel
- Zertifikate.
Angriffe dieser art waren zuletzt für über die hälfte aller Sicherheitsverletzungen verantwortlich. Gestohlene Zugangsdaten Ermöglichten angreifern initial zugang zu synmen ihrer opfer und dort interne weitere laterale bewegengen. Dans über 60 prozent der Untersuchten Cyber-Vorfälle Wurden Identitäten Komprotittier, bei ransomware sogar in sieben von zehn fällen.
Erstzugang mit gültigen konten
Ransomware-Banden Nutzen Cisco Zufolge Gestohlene Anmedededaten Für den Erstzugang Zu Netzwerken, Oft über Inimal Access Broker (IABS). Diese daten werden im sombre web schon ab zehn dollar verkauft, hochwertige zugänge können allerdings bis zu 3.000 dollar kosten. InfoSteller-Malware Extrahiert Hierfür Passwörter, session-tokens und zertifikate von infizierten Geräten. Der Vorteil Gestohlener Anmeldedaten Leegt Darin, Dass Sie Einfacher Zu Nutzen Sind als Schwachstellen Oder von Manipulierten Nutzern installatertweware.
Laut Dem Bericht
- Nutzte Jeder Fünfte Ransomware-Angreifer Bekannte Schwachstellen,
- 12 prozent erfolgten opportunistisch und
- Phishing war mit rapide 25 prozent eine der häufigsten erstzugriffsmethoden.
Angreifer Tarnen Sich Hierfür als Bekannte Marken Wie Microsoft, Apple Oder Amazon Beziehungsweise Unternehmensssespifische Dienste Wie Dhl, Confluence Oder Sharepoint Online.
Die Häufigste Phishing-Technik Basiert auf Bösartigen Liens MIT 58 Prozent, Gefolgt von Infizierten Anhängen dans Einem Viertel der Fälle und phishing mit 17 prozent.
Outils legale für laterale bewegengen
Angreifer mit kompromittierten zugangsdaten können sich oft unauffällig im Netzwerk bewegen und so nach und nach auf verschedene interne systeme zugreifen. Die rapide Hälfte der Identitätsangriffe Zielte Auf Active Directory (AD), Ein Fünftel auf Cloud-Anwentungen.
Das Tool Mimikatz Wird Hierfür Häufig Verwendet, Um Anmeldeinformationen Zu ExtraHieren. Angreifer Nutzen Darüber Hinaus Legale Tools Wie Psexec, Anydesk Sowie Das Remote Desktop Protocol (RDP) Für Laterale Bewegengen. SIE ZIELEN AUF LOCAL-SECURITY-Authority-Subsystem-Service- (LSASS-) DATEN, SAM-DATENBANKEN AUD ZWISCHENGESPEEIGLERTE ANMELDEINformationen AB. Hierfür missbrauchen sie auch techniken wie dcsync, um Zugriff auf Domänen-contrôleur Zu Erlangen.
API-Schlüssel und Sitzungstokens als Neue Agriffsziele
ALS Die Am Weitesten Verbreitete Authentifizierungs- und autorisierungslösung in der Unternehmens-it ist Das Active Directory (AD) eine Goldgrube für angreifer. Für unternehmen ist es daher von entscheidender bedutung, bei der konfiguration und dem entwurf von Sicherheitsrichtlien für Active Directory Die Die Best Practices Der Branche Zu Befolgen.
Zu Verhindern Gibt es Viel: Angreifer Nutzen Zum Beispiel Die Verknüpfung von Azure Active Directory Mit Lokalen Ad-Installationn, Um Zwischen Cloud- und Lokalen Netzwerken Zu Wechseln und Erweitern Die Zu Schützenden Anmeldeinformationn Um API-SCHLASSED UND.
Outils wie roadtools und aaainternals ermöglichen es den kriminellen zudem, Microsoft Entra id-umbungen zu durchsuquen und befehle auszuführen. Hacker missbrauchen darüber hinaus fehlende oder falsch konfiguririerte mfa, etwa durch push-spray-angriffe (mfa-bombing) oder phishing-kits, die opfer zur eingabe von mfa codes verleiten.
100 000 „Gehilfen“ Durch Komprotittiertes Administratorkonto
Dans einem von talos ir untersuchten beispiel kompromittierten cyberkriminelle eine universität mit mehr als 100.000 nutzern: sie Brachten einen systéadminertoror dazu, auf einen authentifizierungslink zu klicken lisy das device Device Hinzufügte.
DAS Administratorkonto War Durch Einen Früheren Einbruch oder iab Bereits KOMPROMITTTIERT. Die Hacker Nutzten Das Konto, Um Unter Anderem Phishing-e-Mails Zu Versenden. Ein Weiteres Risiko War die hohe anzahl Un administrateur-Konten von Externn auftragnehmern, die offen im Zugriff der Cybergangster Lagen.
Ein Weiterer Unistherheitsfaktor Sind Zudem Mehr und Mehr Ki-Getützte Phishing-Techniken, Welche angriffe Zunehmend Raffinierter und Schwerer Erkennbar Machen.
MFA Für Alle Konten
Die experten empfehlen deshalb, mfa für alle konten zu aktivieren, insbesondere bei vpn-konten, unisen darauf hin, dass mfa korrekt konfiguerert und verdächtige aktivitäten überwacht werden müssen. Zudem Sollten Unternehmen Benutzer über Mfa-Erschöpfungsangriffe aufklären, strengère Schwellenwerte für mfa-anfragen einführen und höhere sicheheitsfaktoren wie Challenge-Response-uthifizierung auktitiveren.
Die RegistrierUng Neuer Mfa-Geräte Sollte Zudem Kontinuierlich überwacht und Strengeren Richtlien Unterzogen Werden.
