Cyberspionnen die bij organisaties proberen in te breken doen zich vaak voor als het IT-personeel van de aangevallen organisatie. Ook sturen ze vaak phishingmails die security-gelateerd zijn en bijvoorbeeld van een anti-virusbedrijf afkomstig lijken. Dat meldt het Amerikaanse beveiligingsbedrijf Mandiant in een nieuw rapport. 78% van de gerichte phishingmails die het bedrijf voorbij zag komen waren IT- of security-gerelateerd.

Social engineering, waarbij gebruikers worden verleid om een e-mailbijlage te openen of een bepaalde website te openen, in combinatie met ongepatchte beveiligingslekken zijn dan ook de voornaamste manier waarop aanvallers toegang tot organisaties weten te krijgen. De meeste phishingmails die werden geanalyseerd bleken op zaterdag te zijn verstuurd.

Het rapport laat verder zien dat 69% van de getroffen organisaties een inbraak op het netwerk via een externe partij komt te weten, terwijl 31% van de slachtoffers het zelf ontdekt. Gemiddeld zouden aanvallers vorig jaar 205 dagen toegang tot aangevallen netwerken hebben gehad voordat ze werden opgemerkt. Een daling van 24 dagen ten opzichte van 2013. Bij één organisatie wisten de aanvallers zich zelfs 8 jaar te verbergen.

Mimikatz

Om wachtwoorden, hashes en certificaten van gecompromitteerde systemen en netwerken te stelen zouden aanvallers steeds vaker het programma Mimikatz gebruiken, zo waarschuwt Mandiant. Mimikatz is vrijelijk via internet te downloaden en volgens de ontwikkelaar een tool om met Windows security te "experimenteren". Via de tool kunnen wachtwoorden, hashes en Kerberos-tickets uit het geheugen worden gehaald. In bijna alle gevallen die werden onderzocht en waar Mimikatz was ingezet bleek de aanwezige anti-virussoftware de tool niet te stoppen.