Estudo Sophos Active Adversary: cibercriminosos desativaram ou eliminaram os logs de telemetria em 82% dos ataques

28 November 2023

Segundo o relatório, 38% dos ‘ataques rápidos’ de ransomware ocorreram no prazo de cinco dias após o acesso inicial.
Os ‘ataques rápidos’ de ransomware prejudicam a capacidade de resposta veloz das equipas de defesa.

A Sophos, líder global em inovação e oferta de soluções de cibersegurança como serviço, divulgou o seu "Active Adversary Report for Security Practitioners", que concluiu que os logs de telemetria estavam em falta em quase 42% dos casos de ataque estudados. Em 82% desses casos, os cibercriminosos desativaram ou apagaram a telemetria para ocultar o seu rasto. O relatório engloba casos de Resposta a Incidentes (IR, na sua sigla em inglês) que a Sophos analisou desde janeiro de 2022 até ao primeiro semestre de 2023.

As lacunas na telemetria diminuem a tão necessária visibilidade sobre as redes e sistemas das organizações, especialmente porque o tempo de permanência dos atacantes (o tempo decorrido desde o acesso inicial até à sua deteção) continua a diminuir, encurtando o tempo que as equipas de defesa têm para responder eficazmente a um incidente.

"O tempo é crucial ao dar resposta a uma ameaça ativa – o tempo entre a deteção do evento de acesso inicial e a atenuação total da ameaça deve ser o mais curto possível. Quanto mais longe na cadeia de ataque o atacante chegar, maior será a dor de cabeça para os responsáveis pela defesa. A telemetria em falta acrescenta ainda mais tempo às remediações, que a maioria das organizações não pode pagar. É por isso que um logging completo e preciso é essencial, mas estamos a ver, com demasiada frequência, que as organizações não têm os dados de que necessitam," disse John Shier, Field CTO da Sophos.

Neste relatório, a Sophos classifica os ataques de ransomware com um tempo de permanência inferior ou igual a cinco dias como ‘ataques rápidos’, tendo representado 38% dos casos estudados. Os ataques de ransomware ‘lentos’ são os que têm um tempo de permanência superior a cinco dias, e representaram 62% dos casos.

Ao examinar estes ataques de ransomware ‘rápidos’ e ‘lentos’ a um nível granular, não se detetou muita variação nas ferramentas, técnicas e binários "living-off-the-land" (LOLBins) que os atacantes utilizaram, sugerindo que as equipas de defesa não precisam de reinventar as suas estratégias defensivas à medida que o tempo de permanência diminui. No entanto, precisam de estar cientes de que os ataques rápidos podem prejudicar os tempos de resposta rápidos, levando a uma maior destruição.

"Os cibercriminosos só inovam quando têm de o fazer, e fazem-no apenas na medida certa para chegarem ao seu objetivo. Os atacantes não vão mudar algo que está a funcionar, mesmo que passe menos tempo entre o seu acesso e a sua deteção. Esta é uma boa notícia para as organizações, porque não têm de alterar radicalmente a sua estratégia defensiva à medida que os atacantes aceleram os seus calendários. As mesmas defesas que detetam ataques rápidos vão aplicar-se a todos os ataques, independentemente da sua velocidade. Estas incluem telemetria completa, proteções robustas em todos os sistemas e monitorização omnipresente," afirmou John Shier. "O segredo é aumentar os atritos sempre que possível – se dificultarmos o trabalho dos atacantes, podemos ganhar tempo valioso para responder, prolongando cada etapa de um ataque. No caso de um ataque de ransomware, se tivermos mais fricção, podemos atrasar o tempo até à exfiltração de dados. A exfiltração ocorre, muitas vezes, imediatamente antes da deteção e é muitas vezes a parte mais dispendiosa do ataque.”

Neste relatório, a Sophos dá o exemplo de dois incidentes de ransomware em Cuba. Uma empresa (Empresa A) tinha uma monitorização contínua implementada com serviços de Deteção e Resposta Geridas (MDR), pelo que a Sophos conseguiu detetar a atividade maliciosa e parar o ataque em poucas horas para evitar o roubo de dados. Outra empresa (Empresa B) não tinha esta fricção; o ataque só foi detetado algumas semanas após o acesso inicial, e depois de os atacantes já terem exfiltrado com êxito 75 gigabytes de dados sensíveis. Chamaram então a equipa de IR da Sophos e, um mês depois, ainda estavam a tentar voltar à atividade normal.

O Sophos Active Adversary Report for Security Practitioners baseia-se em 232 casos de Resposta a Incidentes (IR) da Sophos em 25 setores, ocorridos entre 1 de janeiro de 2022 e 30 de junho de 2023. As organizações visadas estavam localizadas em 34 países diferentes, em seis continentes, e 83% dos casos foram registados em organizações com menos de 1.000 colaboradores.

Este estudo fornece informações acionáveis sobre como os profissionais de segurança devem moldar melhor a sua estratégia defensiva. Para saber mais sobre os comportamentos, ferramentas e técnicas dos atacantes, leia o Active Adversary Report for Security Practitioners no website da Sophos.

Sobre a Sophos: A Sophos é líder e inovadora mundial em soluções de cibersegurança avançadas, incluindo serviços de Deteção e Resposta Geridas (MDR, na sua sigla em inglês), serviços de resposta a incidentes e um vasto portefólio de tecnologias de segurança de endpoints, rede, email e Cloud que ajudam as empresas a defender-se de ciberataques. Sendo um dos maiores fornecedores de cibersegurança totalmente dedicados, a Sophos protege mais de 500.000 organizações e 100 milhões de consumidores a nível global de adversários ativos, ransomware, phishing, malware e outros. Os serviços e produtos da Sophos estão ligados através da Sophos Central, a sua consola de gestão baseada na Cloud, e são impulsionados pela Sophos X-Ops, a unidade de inteligência de ameaças transversal da empresa. A inteligência da Sophos X-Ops enriquece todo o Ecossistema Adaptativo de Cibersegurança da empresa, que inclui um data lake centralizado que tira partido de um rico conjunto de APIs abertas e disponíveis para clientes, parceiros, programadores e outros fornecedores de cibersegurança e tecnologias de informação. A Sophos oferece segurança-como-serviço a organizações que necessitam soluções de segurança totalmente geridas e ‘chave na mão’. Os clientes podem gerir a sua cibersegurança diretamente com a plataforma de operações de segurança da Sophos, ou recorrer a uma abordagem híbrida que complementa as suas equipas internas com serviços Sophos, incluindo threat hunting e remediação. A atividade comercial da Sophos é realizada através de parceiros revendedores e fornecedores de serviços geridos (MSPs) em todo o mundo. A empresa tem sede em Oxford, no Reino Unido. Mais informação em www.sophos.com.

Inês Barbosa

Lisbon Director at TEAM LEWIS

+351 910 939 846

Tecnologia

OPPO apresenta A5 Pro 4G & 5G: um smartphone robusto, fiável e de alto desempenho para atividades ao ar livre, jogos e entretenimento

24 April 2025

A OPPO, marca líder em inovação de dispositivos inteligentes, lançou hoje o A5 Pro 4G & 5G em Portugal, que traz durabilidade e fiabilidade elevadas à Série A da marca, apresentado resistência a água e poeira IP69/68/66 acima da sua classe, bem como certificação de r...

24 April 2025

Tecnologia

Estudo Axis Communications: Mais de 60% dos especialistas considera cibersegurança e privacidade como as questões mais críticas para o futuro da videovigilância

23 April 2025

Num contexto global caracterizado pela utilização crescente da Inteligência Artificial (IA) e pela necessidade de cumprir várias regulamentações sobre o tratamento de dados pessoais, o debate sobre a privacidade, a transparência e a ética tecnológica ganhou força, especi...

23 April 2025

Tecnologia

OPPO revela iniciativa de IA Agêntica no Google Cloud Next 2025, destacando inovações e liderança em experiências de IA

14 April 2025

A OPPO, marca líder em inovação de dispositivos inteligentes, articulou a sua visão estratégica para a IA Agêntica (Agentic AI) no Google Cloud Next 2025, sublinhando a sua estratégia enquanto líder em experiências de IA através do desenvolvimento interno e da colaboraçã...

14 April 2025

Tecnologia

Sophos nomeia Chris Bell como Senior Vice President of Global Channel, Alliances and Corporate Development para liderar evolução da estratégia global de Canal

9 April 2025

A Sophos, líder global em soluções de segurança inovadoras que vencem os ciberataques, anunciou hoje a nomeação de Chris Bell como Senior Vice President of Global Channel, Alliances and Corporate Development, cargo no qual vai liderar a evolução da estratégia global de C...

9 April 2025