W I kwartale 2022 atakowane były głównie organizacje z branży telekomunikacyjnej, placówki edukacyjne i sektor rządowy, wynika z analiz specjalistów ds. cyberbezpieczeństwa z zespołu Cisco Talos Incident Response (CTIR). Wiele naruszeń bezpieczeństwa było precyzyjnie wymierzonych i miało na celu pozyskanie konkretnych informacji dotyczących określonych hostów, maszyn uczestniczących w wymianie danych, które miały stać się obiektem ataków.
W I kwartale 2022 r. odnotowano wzrost ataków typu ATP (advanced persistent threat). To złożone, wielostopniowe i prowadzone przez długi czas działania wymierzone w konkretną organizację. Wymagają dużych inwestycji, dlatego stroną atakującą lub sponsorem często są agencje rządowe. Ostatnio stwierdzono aktywność MuddyWater APT finansowanej przez Iran, Mustang Panda powiązanej z Chinami wykorzystującej dyski USB do infekowania trojanem zdalnego dostępu PlugX (RAT) oraz „Deep Panda” stosującej lukę Log4j. Ta podatność była wykorzystywana do obejścia zabezpieczeń instalując dedykowany backdoor. Następnie program PowerShell służący do automatyzacji zadań z obszaru IT, w tym testowania i wdrażania rozwiązań, wydawał polecenie pobrania trzech dodatkowych plików z serwera powiązanego z cyberprzestępcami, które siały spustoszenie w zasobach organizacji.
Podobnie jak w roku 2021, ransomware dalej pozostaje najczęściej występującym zagrożeniem w cyberprzestrzeni. Na początku tego roku zaobserwowano ataki z wykorzystaniem nowych rodzin ransomware: Cerber (zwanym CerberImposter), Entropy oraz Cuba. Żadna rodzina ransomware nie została zaobserwowana dwukrotnie w incydentach, które zakończyły się w pierwszym kwartale. Taka dywersyfikacja to zdaniem specjalistów ds. bezpieczeństwa Cisco efekt demokratyzacji ransomware, trendu polegającego na darmowym udostępnianiu narzędzi do przeprowadzania cyberataków. Gdy te okazują się skuteczne twórcy złośliwego oprogramowania partycypują w ewentualnych zyskach z okupu.
Początkowym etapem ataków był zwykle phishing mający na celu instalację, po kliknięciu w zainfekowany link lub pobraniu dokumentu, złośliwego oprogramowania, które odpowiadało za przygotowanie do dalszej serii naruszeń. W porównaniu z końcem 2021 r. specjaliści Cisco zaobserwowali również więcej zagrożeń wykorzystujących socjotechnikę oraz prób podszycia się pod zaufane programy i aplikacje.
