Согласно этим выводам, обнаружение скрытых угроз в ИТ-сетях предприятия до того, как злоумышленники смогут шпионить, распространять и красть, становится все более критическим, согласно отчету. Атакующие выбирают время и тщательно проводят агитационные кампании, чтобы они происходили в течение нескольких месяцев.
В результате анализа конкретных действий злоумышленников в недавних кампаниях, используемых для кражи важной информации ICS, в отчете было обнаружено, что «в нескольких случаях участники угроз обращались к рабочим станциям и серверам в корпоративной сети, которые содержали данные, выводимые из ICS в зданиях по производству энергии. Это связано с подозрительным администратором и подозрительным поведением учетной записи Kerberos».
Часто длительные несколько месяцев, эти медленные, спокойные разведывательные миссии включают наблюдение за поведением оператора и создание уникального плана атаки. Исследование выявило, что удаленные злоумышленники закрепились в сетях с энергетическими и коммунальными услугами, создавая вредоносное ПО для кражи административных учетных данных. Внутри они используют административные соединения и протоколы для проведения разведки и распространения в поперечном направлении в поисках конфиденциальных данных о промышленных системах управления.
«Скрытое злоупотребление административными полномочиями предоставляет злоумышленникам неограниченный доступ к критическим инфраструктурным системам и данным», - сказал Дэвид Монахан, управляющий научными руководителями по вопросам безопасности и управления рисками в Enterprise Management Associates. «Это одна из наиболее важных областей риска в жизненном цикле кибер-атаки».
В отчете, основанном на наблюдениях и данных, опубликованных
в Black Hat Conference Edition о поведении пользователей атаки, также было
обнаружено, что во время фазы атаки с командами и контролем было обнаружено 194
вредоносных поведения внешнего удаленного доступа на 10 000 хост-устройств и
рабочих нагрузок, Также в каждом из 10 000 хост-устройств и рабочих нагрузок
было обнаружено 314 боковых движений атаки. И на заключительном этапе
жизненного цикла атаки на этапе 10000 хост-устройств и рабочих нагрузок было
обнаружено фазу экстрафильтрации 293 поведения контрабандистов данных.