Netskope Threat Labs monitora gli avversari che prendono di mira attivamente i clienti Netskope per comprenderne meglio le motivazioni, le tattiche e le tecniche. Utilizziamo poi queste informazioni per aiutare i nostri clienti a difendere i loro sistemi da questi avversari. Gli avversari monitorati da Netskope Threat Labs rientrano generalmente in due categorie, in base alle loro motivazioni.
Penale
L'obiettivo principale dei gruppi criminali avversari è il guadagno finanziario e il loro set di strumenti comprende solitamente ladri di informazioni e ransomware. Negli ultimi anni l'estorsione è stata un'attività estremamente redditizia per i criminali informatici: si stima che nel 2022 siano stati effettuati pagamenti di riscatto per un valore di 457 milioni di dollari. La maggior parte dei criminali ha diversificato le proprie operazioni utilizzando sia ransomware che infostealer per aumentare le probabilità che la vittima paghi. Se la crittografia dei loro sistemi con un ransomware non fosse stata sufficiente a convincerli a pagare, forse la divulgazione pubblica delle informazioni sensibili rubate all'organizzazione avrebbe potuto aiutare. Sebbene si cerchi di etichettare ciascun gruppo criminale avversario in base al Paese in cui opera, molti gruppi operano a livello transnazionale. Inoltre, molti ora operano secondo un modello di affiliazione, rendendo le loro attività ancora più disperse. Di conseguenza, solitamente associamo un gruppo al paese o alla regione in cui si ritiene che risiedano i suoi membri principali.
Geopolitica
I gruppi avversari geopolitici sono motivati da questioni geopolitiche. In genere si tratta di Stati nazionali o di loro delegati, e le loro attività rispecchiano solitamente conflitti politici, economici, militari o sociali più ampi. Ad esempio, gruppi avversari russi hanno lanciato attacchi informatici contro l'Ucraina in concomitanza con l'invasione del Paese. I gruppi geopolitici sono solitamente impegnati in operazioni informatiche contro altri stati nazionali e tali operazioni sono diventate una componente fondamentale delle moderne relazioni internazionali. A volte i confini tra avversari geopolitici e criminali sono poco definiti, e alcuni gruppi geopolitici sono anche coinvolti in attività motivate da interessi finanziari. Ad esempio, l'attuale regime nordcoreano finanzia lo sviluppo del suo programma missilistico attraverso la criminalità informatica. Le specifiche operazioni informatiche intraprese dagli avversari geopolitici variano e comprendono lo spionaggio informatico contro organizzazioni governative e non governative e il sabotaggio di infrastrutture critiche per destabilizzare un avversario. Gli avversari geopolitici sono anche impegnati in una guerra dell'informazione, diffondendo propaganda, manipolando l'opinione pubblica e influenzando le elezioni popolari.
Attribuire attività a uno specifico gruppo avversario può essere una sfida. Gli avversari cercano di nascondere la loro vera identità o addirittura di lanciare intenzionalmente operazioni sotto falsa bandiera, in cui cercano di far apparire i loro attacchi come se provenissero da un altro gruppo. Spesso più gruppi utilizzano le stesse tattiche e tecniche, alcuni arrivando addirittura a utilizzare gli stessi identici strumenti o addirittura a condividere l'infrastruttura. Anche definire i gruppi avversari può essere difficile, poiché i gruppi si evolvono o i membri si spostano da un gruppo all'altro. Per queste ragioni, le attribuzioni degli avversari sono vaghe e soggette a cambiamenti ed evoluzioni man mano che emergono New informazioni. Nel resto del rapporto presentiamo statistiche sulle attività degli avversari osservate sulla piattaforma Netskope Security Cloud e sui gruppi più probabilmente responsabili di tali attività.
