Regelmatig verschijnen er in de media berichten over cyberspionage en ook op politiek niveau is er regelmatig aandacht voor dit onderwerp, toch zijn de meeste van dit soort aanvallen eenvoudig te voorkomen. Dat laat Jenn Miller-Osborn van beveiligingsbedrijf Palo Alto Networks tegenover Security.NL weten. Miller-Osborn werkte hiervoor bij MITRE en was daar, net als nu, betrokken bij onderzoek naar Advanced Persistent Threats (APTs). In tegenstelling tot wat de naam doet vermoeden zijn de aanvallen vaak niet geavanceerd en gebruiken zeer primitieve aanvalsmethodes die ook worden gebruikt om doorsnee thuisgebruikers met malware te infecteren, namelijk linkjes en e-mailbijlagen.

Het gaat dan meestal om Word-, Excel- en PowerPoint-documenten die exploits bevatten voor kwetsbaarheden binnen deze programma´s. Het gebruik van zip-bestanden komt minder vaak voor bij cyberspionage, aldus Miller-Osborn. Het voordeel van Office-documenten is dat dit binnen ondernemingen gebruikelijk is, aangezien de meeste organisaties met doc en xlsx-formaten werken. Voor het uitvoeren van de aanval versturen de aanvallers een kwaadaardig document dat, zodra geopend door een kwetsbare versie van Microsoft Office, malware op de computer kan installeren. Het gaat hier in de meeste gevallen om bekende kwetsbaarheden waar updates voor beschikbaar zijn. De aanval zal dan ook mislukken als Microsoft Office up-to-date is.

Patches

Ondanks alle aandacht voor cyberspionage en adviezen over het installeren van updates komt het nog steeds voor dat bedrijven en organisaties, waaronder ook grote ondernemingen, geen patches installeren en daardoor risico lopen. Een bekend voorbeeld is een lek in Word dat Microsoft begin 2012 patchte. Inmiddels is het 2015 en zijn er nog steeds grote ondernemingen die de betreffende update missen en via dit lek succesvol worden aangevallen. "Mensen patchen gewoon niet", merkt Miller-Osborn op. "Het zou niet zo eenvoudig moeten zijn, maar het is echt zo, mensen installeren gewoon geen updates."

Een reden voor bedrijven om niet te patchen kan zijn dat de update invloed op de werking van andere software of processen heeft. Een andere reden kan zijn dat ondernemingen te klein zijn en geen IT-personeel hebben, waardoor het nooit gebeurt, of dat de IT is geoutsourcet en er daar geen aandacht aan patching wordt gegeven. Miller-Osborn noemt deze bedrijven dan ook nalatig. "Het was een ding als het vijf jaar geleden plaatsvond. Mensen wisten toen niet hoe malware werkte en het kwam ook weinig in de media. Maar nu is er zoveel aandacht aan gegeven dat er weinig excuus is om patches die vier of vijf jaar oud zijn niet te installeren."

Een andere aanvalstactiek is het gebruik van kwaadaardige macro's. Een Word-document vraagt dan om macro's uit te voeren, zogenaamd om de inhoud van het document weer te geven, maar onzichtbaar voor de gebruiker wordt er malware in de achtergrond gedownload. Gebruikers zouden hier wel iets bewuster van zijn geworden en sturen documenten bijvoorbeeld door naar hun IT- of securityteam om te controleren of het document wel oké is. Toch gebeurt dat niet altijd waarschuwt de beveiligingsexpert. "Het probleem is dat zoveel mensen er blindelings vanuit gaan dat iets oké is en op "ja" klikken."

VPN-gegevens

Cyberspionnen hebben dan ook weinig reden om hun werkwijze aan te passen, hoewel ze ook links in e-mailberichten gebruiken omdat sommige organisatie bijlagen strippen, merkt Miller-Osborn op. De links wijzen dan naar phishingpagina's waar geprobeerd wordt om inloggegevens voor het bedrijfs-VPN te stelen. "Ze zijn zeer geïnteresseerd in VPN-gegevens", laat ze weten. Via de VPN-gegevens kunnen ze als de gebruiker inloggen. Veel bedrijven verwachten ook dat werknemers via een VPN binnenkomen. Nu zouden organisaties kunnen monitoren vanaf welk IP-adres de verbinding is opgezet, maar dat gebeurt meestal niet. De aanvallers, ook al komen ze vanaf een andere IP-reeks dan de werknemer, worden dan niet opgemerkt. Via de VPN-verbinding kan vervolgens malware op het netwerk worden geïnstalleerd en krijgen de aanvallers meer permanente toegang.

Als het gaat om de doelwitten van cyberspionage wordt vaak gedacht aan grote ondernemingen of belangrijke personen binnen een organisatie. Toch zijn die niet altijd het directe doelwit, aangezien cyberspionnen vaak via een omweg werken. Zo komt het voor dat een klein bedrijf dat leverancier of partner van een grote onderneming is wordt aangevallen. Vervolgens liften de aanvallers mee op eerdere e-mailcommunicatie om een kwaadaardig document naar het uiteindelijke doelwit te sturen. Een andere omweg is bijvoorbeeld het aanvallen van administratief personeel, zoals de persoonlijke assistent. CEO's zijn mogelijk meer op hun hoede, terwijl een persoonlijke assistent continu documenten verwerkt en ook toegang tot de e-mail en andere zaken van haar baas heeft of informatie krijgt te verwerken voordat die naar haar leidinggevende gaat. Sommige van de cyberspionagecampagnes zijn dan ook specifiek op deze medewerkers gericht. "Uiteindelijk hoeft er maar één iemand de bijlage te openen", waarschuwt ze.

Trainen

Volgens Miller-Osborne is het trainen van gebruikers dan ook belangrijk. Toch wordt het nog te vaak achterwege gelaten. "Veel van de kwetsbaarheden zijn op die manier te voorkomen en je legt de lat hoger, waardoor de aanvallers gedwongen worden om tenminste een zero day-lek te gebruiken, en die zijn lastiger te ontwikkelen en erg kostbaar. Veel kleinere campagnes die nu wel succesvol zijn hebben daar niet de middelen voor. Een hoop problemen zijn dan ook te verhelpen als mensen beter zouden zijn in basale beveiligingsmaatregelen."