У публікації від 6 лютого 2023 року Cisco описує тенденції серед угруповань, що займаються програмами-вимагачами, зокрема їхню практику ребрендингу, припинення діяльності та формування нових стратегічних партнерств.
Анонс розділу Cisco Talos Year in Review 2022 від 6 лютого 2023 року підкреслює тенденцію, за якою угруповання ransomware часто змінюють назви, припиняють діяльність або формують нові стратегічні альянси. Це створює труднощі при відстеженні активності конкретних суб'єктів загрози, оскільки тактики, техніки та процедури (TTPs) можуть залишатися незмінними навіть при зміні бренду угруповання.
Рекомендації щодо атрибуції:
- При розборі інцидентів документуйте не лише назву угруповання, а й технічні артефакти та TTPs.
- Перевіряйте джерела інформації про назви угруповань та шукайте підтвердження їхньої історії.
- Не прирівнюйте автоматично нові назви до відомих суб'єктів без додаткових доказів, оскільки це може призвести до помилкових висновків у звітах про безпеку.
Атрибуція атак через технічні індикатори та TTPs
Еволюція угруповань ransomware ускладнює прогнозування загроз. Орієнтація лише на назви зловмисників у звітах може бути оманливою, оскільки тактики та техніки атак залишаються незмінними навіть при зміні бренду. Для бізнесу важливо розуміти технічні індикатори атак, щоб вчасно адаптувати захист до нових реалій.
Практичний крок: Замовте у Softline аудит безпеки та аналіз вразливостей вашої інфраструктури. Ми допоможемо виявити технічні артефакти, характерні для сучасних загроз, та налаштувати захист на основі актуальних тактик зловмисників, незалежно від їхніх назв.
Використані джерела
- blog.talosintelligence.com (blog.talosintelligence.com)