Rapporto Netskope Threat Labs: Banking 2024

Salta a una sezione

In questo rapporto Introduzione Social Engineering Distribuzione di contenuti dannosi

TA577 Ragno Indrik

Sicurezza dei dati GenAI Raccomandazioni Netskope Threat Labs Informazioni su questo rapporto

9 minuti di lettura

In questo rapporto

Gli aggressori che prendono di mira le vittime nel settore bancario si concentrano sulle frodi finanziarie, utilizzando il phishing come una delle loro principali strategie per rubare i dati dei conti bancari e le credenziali di accesso ai servizi bancari.
I principali gruppi di avversari che hanno preso di mira il settore bancario lo scorso anno sono stati i gruppi criminali TA577 e Indrik Spider, operanti dalla Russia. Tra le principali famiglie di malware figurano il downloader SLoad, l'infostealer AgentTesla e i malware basati su JavaScript FakeUpdater e Parrot TDS.
Il settore bancario riduce il rischio che gli utenti trasmettano dati regolamentati alle app genAI implementando controlli più aggressivi rispetto ad altri settori, tra cui strategie di blocco aggressive e policy DLP in tempo reale.

Introduzione

Questo rapporto si concentra su tre tipi di minacce che il settore bancario deve affrontare:

Ingegneria sociale : gli aggressori utilizzano tattiche come il phishing e l'impersonificazione per sfruttare il comportamento umano e aggirare le misure di sicurezza.
Distribuzione di contenuti dannosi : gli aggressori tentano di indurre le vittime ad accedere a contenuti dannosi sul Web o nel cloud.
Sicurezza dei dati : la sicurezza dei dati è a rischio a causa di violazioni mirate da parte di avversari esterni e di utenti interni che gestiscono in modo improprio i dati.

L'ingegneria sociale è una delle minacce informatiche più significative per il settore bancario. L'ingegneria sociale include phishing, aggiornamenti software finti, truffe di supporto tecnico e Trojan. Il phishing è una delle tattiche più diffuse: ogni mese 3 persone su 1000 che lavorano nel settore bancario cliccano su un link di phishing, un dato in linea con quello di altri settori. Le vittime cliccano su link presenti in vari posti, tra cui e-mail, app di messaggistica, social media, annunci pubblicitari e risultati dei motori di ricerca. Gli aggressori che prendono di mira il settore bancario si concentrano sulle frodi finanziarie, quindi i loro obiettivi di phishing sono in linea con tale obiettivo. Invece di prendere di mira le app cloud, cosa comune in altri settori,gli aggressori creano pagine di phishing che assomigliano ai siti web degli istituti bancari presi di mira per rubare i dati dei conti bancari e le credenziali di accesso al portale bancario e commettere frodi finanziarie. Il grafico seguente analizza gli obiettivi più comuni, dove più della metà dei clic è avvenuta su link che imitavano gli istituti bancari.

Distribuzione di contenuti dannosi

Netskope sfrutta i suoi motori Advanced Threat Protection per impedire che 1 persona su cento che lavora nel settore bancario acceda a contenuti dannosi sul web o nel cloud ogni mese. Questi contenuti dannosi assumono più forme, inclusi contenuti JavaScript dannosi eseguiti dal browser e download malware che la vittima deve eseguire. Le cinque famiglie più importanti che recentemente si rivolgevano al settore bancario sono elencate di seguito.

Downloader.SLoad (noto anche come Starslord) è un downloader spesso utilizzato per distribuire Ramnit.

Infostealer.AgentTesla è un . Trojan di accesso remoto basato su NET con molte funzionalità, tra cui il furto delle password dei browser, la cattura di tasti e il furto di contenuti della cartellina.

Trojan.FakeUpdater (noto anche come SocGholish) è un downloader JavaScript che fornisce vari payload, tra cui Dridex e Azorult.

Trojan.Parrottds è un sistema di direzione del traffico basato su JavaScript utilizzato per reindirizzare il traffico verso varie posizioni dannose dal 2019.

Trojan.Valyria (noto anche come POWERSTATS) è una famiglia di documenti Microsoft Office dannosi che contengono VBScript dannosi incorporati, solitamente per consegnare altri payload dannosi.

Netskope Threat Labs traccia gli avversari che prendono di mira attivamente i clienti Netskope per comprenderne le motivazioni, tattiche e tecniche, così da poter costruire difese migliori contro di loro. Generalmente categorizziamo le motivazioni avversarie come criminali o geopolitiche. I due principali gruppi avversari che hanno preso di mira il settore bancario nell'ultimo anno sono stati gruppi criminali con sede in Russia.

TA577

Posizione: Russia
Motivazione: Criminale
Alias: Hive0118

TA577 ha preso di mira diversi settori in tutto il mondo, consegnando payload malware, tra cui Qbot, Ursnif e Cobalt Strike.

Ragno Indrik

Posizione: Russia
Motivazione: Criminale
Alias: Evil Corp, Manatee Tempest, DEV-0243
ID mitra: G0119

Nei primi tempi, Indrik Spider utilizzava principalmente il trojan bancario Dridex, prima di passare al ransomware e utilizzare BitPaymer, WastedLocker e Hades. Indrik Spider utilizza spesso JavaScript per distribuire i propri payload e sfrutta il famoso strumento del red team Cobalt Strike per stabilire la persistenza negli ambienti delle vittime.

Attribuire attività a uno specifico gruppo avversario può essere una sfida. Gli avversari cercano di nascondere le loro vere identità o addirittura lanciano intenzionalmente operazioni di false flag cercando di far sembrare i loro attacchi provenienti da un altro gruppo. Più gruppi spesso utilizzano le stesse tattiche e tecniche, alcuni arrivando persino a utilizzare gli stessi strumenti o infrastrutture. Definire i gruppi avversari può essere difficile man mano che i gruppi si evolvono o i membri si spostano tra i gruppi. Le attribuzioni agli avversari sono vaghe e soggette a cambiamenti ed evoluzioni man mano che New informazioni vengono alla luce.

Sicurezza dei dati GenAI

I rischi per la sicurezza più urgenti per le organizzazioni che utilizzano app genAI sono legati ai dati e gli utenti sono gli attori critici nel causare e prevenire tali rischi. Questi rischi hanno due aspetti.

Input: Quali dati inviano gli utenti alle app GenAI?
Output: Come sfruttano gli utenti i risultati ricevuti dalle app genAI?

Per l'input, il rischio principale è la perdita di dati. Per quanto riguarda i risultati, i rischi includono la correttezza (le app genAI sono molto efficaci nel fornire allucinazioni e disinformazione) e preoccupazioni legali (molte aziende hanno addestrato le loro app genAI su contenuti protetti da copyright o con licenza). Questo rapporto si concentra sugli input, poiché la protezione dei dati sensibili è tipicamente la massima priorità per la maggior parte delle organizzazioni.

Adozione da parte dei conservatori

Il settore bancario è riuscito a rallentare l'adozione di GenAI adottando una politica più aggressiva per limitarne l'uso. Il 93% delle organizzazioni bancarie blocca almeno un'app GenAI, mentre la media mondiale è solo del 77%. Inoltre, le organizzazioni bancarie che bloccano le app genAI tendono a bloccare più app genAI rispetto alle loro controparti in altri settori. La figura seguente mostra che il numero medio di app genAI bloccate da un'organizzazione bancaria è aumentato da 5 un anno fa a quasi 9 oggi, con il 25% delle organizzazioni che blocca almeno 24 app. Al contrario, la media globale è di soli 2,6 app, con 12 app nel 25% delle organizzazioni più ricche.

Le app con più blocchi includono app di più categorie, tra cui assistenti di scrittura, chatbot, generatori di immagini e generatori audio, con molte somiglianze con le tendenze globali.

Rapporto Threat Labs: Banking 2024 - Le app di intelligenza artificiale più bloccate in base alla percentuale di organizzazioni che hanno imposto un divieto assoluto sull'app

D'altro canto, le app di genAI più popolari nel settore bancario includono chatbot, assistenti alla scrittura, copiloti e app per prendere appunti, rispecchiando molte tendenze globali.

Le organizzazioni del settore bancario controllano l'accesso alle app genAI consentite utilizzando una combinazione di controlli, tra cui la prevenzione della perdita di dati (DLP) e il coaching utente in tempo reale. Il DLP come controllo genAI è popolare nel settore bancario, con più della metà delle organizzazioni che lo utilizza per limitare il flusso di informazioni sensibili nelle app genAI, rispetto a una media globale del 43%. Nel settore bancario, un settore altamente regolamentato, il tipo più comune di dati sensibili caricati sulle app genAI sono, non sorprendentemente, quelli regolamentati, dove i controlli DLP aiutano a impedire che tali dati vengano divulgati a fornitori terzi di genAI.

I controlli genAI utilizzati nel settore bancario sono stati molto efficaci. Il settore registra generalmente un'adozione della GenAI inferiore rispetto ad altri settori, con l'87% delle organizzazioni che la utilizzano rispetto alla media globale del 97%. Sebbene l'adozione continui a crescere, lo sta facendo in modo modesto, aumentando di 7 punti nell'ultimo anno. Allo stesso modo, il numero medio di app GenAI utilizzate in ogni organizzazione, 6, è inferiore alla media globale di 9,6.

Raccomandazioni

Netskope Threat Labs raccomanda alle organizzazioni del settore bancario di rivedere la loro postura di sicurezza per assicurarsi di essere adeguatamente protette da queste tendenze:

Ispeziona tutti i download HTTP e HTTPS, inclusi tutti i traffici web e cloud, per evitare che malware possa infiltrarsi nella tua rete. Netskope clienti possono configurare il loroNetskope NG-SWG con una Threat Protection Policy che si applica ai download di tutte le categorie e a tutti i tipi di file.
Assicurarsi che i tipi di file ad alto rischio, come file eseguibili e archivi, vengano ispezionati attentamente utilizzando una combinazione di analisi statica e dinamica prima di essere scaricati. I clienti Netskope Advanced Threat Protection possono utilizzare una Policydi prevenzione del paziente zero per sospendere i download finché non saranno stati completamente ispezionati.
Configurare i criteri per bloccare i download da app e istanze non utilizzate nella tua organizzazione, in modo da ridurre la superficie di rischio solo alle app e alle istanze necessarie per l'azienda.
Configura la Politica per bloccare i caricamenti su app e istanze non utilizzate nella tua organizzazione per ridurre il rischio di esposizione accidentale o deliberata di dati da parte di insider o abusi da parte di attaccanti.
Utilizzare un sistema di prevenzione delle intrusioni (IPS) in grado di identificare e bloccare modelli di traffico dannosi, come il traffico di comando e controllo associato a malware diffusi. Bloccando questo tipo di comunicazione è possibile prevenire ulteriori danni, limitando la capacità dell'aggressore di eseguire ulteriori azioni.
Utilizza la tecnologia Remote Browser Isolation (RBI) per ottenere una protezione aggiuntiva quando è necessario visitare siti web che rientrano in categorie che possono presentare rischi più elevati, come domini appena osservati e appena registrati.

Netskope Threat Labs

Composta dai massimi ricercatori del settore in minacce cloud e malware, Netskope Threat Labs scopre, analizza e progetta difese contro le ultime minacce cloud che colpiscono le aziende. I nostri ricercatori sono presentatori e volontari regolari nelle principali conferenze sulla sicurezza, tra cui DefCon, BlackHat e RSA.

Informazioni su questo rapporto

Netskope offre protezione contro le minacce a milioni di utenti in tutto il mondo. Le informazioni presentate in questo rapporto si basano su dati di utilizzo anonimizzati raccolti dalla piattaforma Netskope One relativi a un sottoinsieme di clienti Netskope con autorizzazione preventiva.

Questo rapporto contiene informazioni sulle rilevazioni sollevate dal Netskope One Next Generation Secure Web Gateway (SWG), senza considerare l'importanza dell'impatto di ciascuna minaccia individuale. Le statistiche in questo rapporto si basano sul periodo dal 1° maggio 2023 al 30 aprile 2024. Le statistiche riflettono le tattiche degli attaccanti, il comportamento degli utenti e le politiche dell'organizzazione.

Rapporto Threat Labs: Banking 2024