Cyberinbreuk op Amerikaanse water- en afvalwatersystemen

Het Cybersecurity and Infrastructure Agency (CISA) heeft een waarschuwing uitgegeven over een aanhoudende cyberdreiging voor de Amerikaanse water- en afvalwatersystemen. Daarbij werden ook vijf incidenten genoemd die plaatsvonden tussen maart 2019 en augustus 2021. Deze systemen worden gebruikt voor het beheer en de levering van schoon water aan gemeenschappen in het hele land. Deze waarschuwing komt slechts enkele dagen nadat de Amerikaanse minister van Binnenlandse Veiligheid uitlegde dat dergelijke aanvallen uiteindelijk een risico kunnen vormen voor de gezondheid en veiligheid van Amerikaanse burgers.

Overzicht inbreuk

Een gezamenlijk rapport van CISA, FBI, EPA en NSA over de inbreuk stelde dat deze activiteit gericht was op het ondermijnen van de systeemintegriteit door middel van ongeautoriseerde toegang. De kwaadwillenden maakten gebruik van twee methoden om WWS-systemen binnen te dringen: spear-phishing en via verouderde of niet-gepatchte besturingssystemen (OS) en software.

In het rapport worden ook de vijf verschillende cyberaanvallen van 2019 tot begin 2021 beschreven die op de WWS-sector waren gericht:

• Een voormalige werknemer bij een WWS-faciliteit in Kansas probeerde in maart 2019 op afstand toegang te krijgen tot een computer van de faciliteit met behulp van inloggegevens die niet waren ingetrokken
• Inbreuk op bestanden en potentieel Makop-ransomware waargenomen in een WWS-faciliteit in New Jersey in september 2020
• Een onbekende ransomwarevariant die in maart 2021 werd ingezet tegen een WWS-faciliteit in Nevada
• Introductie van ZuCaNo-ransomware op de SCADA-computer van het afvalwater van een WWS-faciliteit in Maine in juli 2021
• A Spook-ransomware aanval op een WWS-faciliteit in Californië in augustus 2021

Wat zijn deze aanvallen en wat kan ik doen?

Speervissen

Spear-phishing is een vorm van phishing die zich richt op een specifieke persoon of organisatie met als doel toegang te krijgen tot gevoelige informatie. Net als bij phishing wordt bij spear-phishing een vervalste e-mail verstuurd naar een specifiek doelwit dat online is opgezocht. De e-mail bevat unieke informatie over de beoogde persoon. Whaling is vergelijkbaar met spear-phishing, maar richt zich op hooggeplaatste leidinggevenden in een poging toegang te krijgen tot hun vertrouwelijke gegevens.

Wat te doen?

Phishingaanvallen zijn een van de makkelijkste manieren om uw medewerkers te leren herkennen en vermijden. Volg deze best practices om de kans te verkleinen dat u slachtoffer wordt van een spearphishingaanval.

1. Train uw medewerkers in het herkennen, vermijden en verwijderen van phishingaanvallen
2. Test uw medewerkers met phishing-testaanvallen; train degenen die uw tests niet doorstaan opnieuw
3. Schaf een wachtwoordmanager aan en train uw medewerkers in het gebruik ervan. Als u een phishingwebsite bezoekt en probeert uw wachtwoord in te voeren met een wachtwoordmanager, lukt dat NIET. Medewerkers die wachtwoorden hergebruiken, zullen hun wachtwoorden zeker opnieuw invoeren.
4. Om het internet te beschermen tegen phishingaanvallen die uw domeinnaam gebruiken, stelt u SPF, DKIM en DMARC-records om de ontvangst van e-mails die zich voordoen als uw domeinnaam te blokkeren

Ongepatcht besturingssysteem en software

Patches (updates) worden doorgaans uitgebracht om een ​​probleem met een apparaat of softwareoplossing op te lossen. Vaak brengen leveranciers patches uit om een ​​kritieke beveiligingsfout of kwetsbaarheid te verhelpen . Door commerciële standaardsoftware (COTS) aan te schaffen , bent u verzekerd van een constante ontwikkelingscyclus die patches voor de software van uw bedrijf omvat. Houd er wel rekening mee dat alle software de end-of-life- en end-of-support-status kan bereiken , wat betekent dat de softwareontwikkelaar geen patches meer zal uitbrengen om problemen op te lossen. In dergelijke gevallen moet u upgraden naar een recentere versie van de hardware of software om patches voor uw IT-infrastructuur te blijven ontvangen.

Wat te doen?

Elk mkb-bedrijf zou een proces moeten hebben voor het afhandelen van kritieke beveiligingswaarschuwingen (patches) om snel risico's te kunnen inschatten en belangrijke, tijdgevoelige beslissingen te kunnen nemen over hoe te reageren. Met een Vulnerability Alert Management Process (VAMP) beschikt u over een duidelijke leidraad voor wanneer en hoe ver u moet gaan bij een bepaalde kwetsbaarheid of blootstelling.

Om altijd up-to-date te blijven, is het belangrijk om een ​​cloudgebaseerde patchmanagementoplossing te implementeren waarmee software automatisch kan worden bijgewerkt wanneer en waar nodig. De meeste Managed Service Providers maken gebruik van een van de drie grote Remote Monitoring and Management (RMM)-oplossingen ( Connectwise , Datto en Kaseya) voor het patchen van hun beheerde systemen. Deze RMM-oplossingen bieden hun klanten naast geteste en gevalideerde patchservices ook monitoring en toegang op afstand.

Standalone patchmanagementoplossingen voor bedrijven die geen gebruik maken van de bovengenoemde RMM-oplossingen zijn onder andere ManageEngine en Automox.

Identity en Access Management

Bij één van de gemelde inbreuken probeerde een ontslagen medewerker toegang te krijgen tot een systeem met zijn of haar live-account. Zorg voor robuuste onboarding- en offboardingprocessen om toegang tijdig te verlenen en in te trekken. Combineer deze met een driemaandelijks auditproces om naleving te garanderen. Voeg tweefactorauthenticatie en Single Sign-On (SSO)-functionaliteit toe aan uw bedrijf om nalevingscontroles te vereenvoudigen en de algehele beveiliging te verbeteren.

Ransomware

Ransomware is een type kwaadaardige software dat is ontworpen om de toegang tot een computersysteem te blokkeren, en belangrijker nog, tot de cruciale gegevens die het bevat, totdat een geldbedrag of losgeld is betaald. Dit heeft gevolgen voor de beschikbaarheid van gegevens. Recentelijk is ransomware zo ontwikkeld dat hackers de vergrendelde gegevens kunnen exporteren naar online opslaglocaties en dreigen de gegevens vrij te geven als het losgeld niet wordt betaald. Dit heeft gevolgen voor de vertrouwelijkheid van gegevens.

Aanvallers vragen traditioneel om betaling in bitcoin, maar zoals bleek bij de Colonial Pipeline-aanvallen, vinden bitcoinbetalingen plaats op een openbare blockchain, waardoor het grootste deel van de bitcoinbetalingen kon worden teruggevonden. Recente ontwikkelingen in ransomware laten zien dat hackers overstappen op " Monero-cryptocurrencybetalingen ", omdat de blockchain zelf het walletadres, het transactiebedrag en de betalende partij verbergt. Dit leidt tot een veel grotere anonimiteit van cryptocurrencybetalingen, wat kwaadwillenden nodig hebben om hun betalingen te beschermen tegen terugvordering.

Wat te doen?

De beste aanpak om uzelf te verdedigen tegen ransomware is als volgt:

• adopteren two-factor authenticatie om te voorkomen dat het wachtwoord van het VPN van uw bedrijf, e-maildiensten en andere kritieke diensten die rechtstreeks via internet toegankelijk zijn, wordt geschonden
• Maak regelmatig een back-up van uw gegevens na de 3-2-1 back-upmethode voor het maken van een back-up van al uw kritieke en gevoelige gegevens
• Train medewerkers over hoe u phishingaanvallen kunt herkennen en vermijden, de voornaamste manier waarop ransomware-aanvallen plaatsvinden
• Heb een gedocumenteerde en geteste Business Continuity and Disaster Recovery (BCDR)-plan

Bronnen: 

TheHackerNieuws

CISA-gezamenlijk rapport

Aanvullende metingen:

Agentschappen waarschuwen voor aanhoudende cyberdreigingen voor waterzuiveringsinstallaties

Instanties waarschuwen voor cyberdreigingen voor water- en afvalwatersystemen.

PCMagazine waarschuwt voor ransomware-dreigingen tegen waterzuiveringssystemen

Ontdek hoe CyberHoot uw bedrijf kan beveiligen.

Plan een demo