In het laatste kwartaal van 2024 hebben cybercriminelen hun strategie aangepast, met een sterke focus op webapplicaties en ongepatchte, publiek toegankelijke toepassingen. Dat blijkt uit de analyse van alle incidenten die threat intelligence organisatie Cisco Talos op zijn radar kreeg. Cybercriminelen zetten met name webshells in, schadelijke scripts om via webservers toegang te krijgen tot de computer van een slachtoffer. Daarmee veranderden ze ook het geweer van schouder, want voorafgaand aan dit kwartaal was misbruik van identiteit en legitieme accounts al meer dan een jaar de meest populaire aanvalsvorm. In 35 procent van de incidenten gebruikten cyberaanvallers open source en publieke webshells tegen kwetsbare of ongepatchte webapplicaties. Dat is een aanzienlijke stijging ten opzichte van het vorige kwartaal, toen deze aanvalstechniek minder dan 10 procent vertegenwoordigde.

Aandeel ransomware daalt, maar blijft erg groot

Het aandeel van ransomware binnen het aanvalsspectrum daalde dit kwartaal licht naar 30 procent, vergeleken met 40 procent eerder. Pas tegen het jaareinde was er opnieuw een toename van ransomware aanvallen, met een opvallende rol voor onder andere RansomHub en vooral BlackBasta. Die aanvallers doen zich voor als IT personeel om via social engineering toegang te krijgen tot het account van een werknemer en gevoelige informatie te stelen, die ze vervolgens ook versleutelen. Bij die dubbele afpersingsaanvallen zetten ze slachtoffers onder druk om hen twee maal te doen betalen. Het is een bedreiging die cybersecurity experts in 2025 in de gaten moeten houden. Daarnaast kreeg Talos voor het eerst Interlock in het vizier.

De detectietijd voor ransomware varieerde dit kwartaal van ongeveer 17 dagen voor Interlock tot 44 dagen bij onder meer RansomHub. Langere detectietijden kunnen erop wijzen dat een cybercrimineel zijn aanvalsperimeter probeert uit te breiden, beveiligingsmaatregelen wil omzeilen en-of interessante gegevens wil identificeren voor exfiltratie. Bij een RansomHub aanval hadden de criminelen al ruim een maand netwerktoegang voordat ze de ransomware activeerden.

Deze versturen we 3-4x per jaar.