Onderzoek: meeste ransomware slaat meer dan drie dagen na infectie toe

Ransomware slaat in 75 procent van de gevallen toe na meer dan drie dagen na een infectie. Onderzoek van beveiligingsbedrijf FireEye wijst uit dat de meeste bedrijven na die tijd worden getroffen. Ook slaat de meeste ransomware buiten werktijden toe.

Het onderzoek van FireEye keek naar ransomware-infecties bij bedrijven tussen 2017 en 2019. De onderzoekers bestudeerden hoe de malware zich gedroeg als hij eenmaal de systemen infecteerde. In de meeste gevallen probeert de ransomware eerst het netwerk in kaart te brengen en bijvoorbeeld adminwachtwoorden te stelen om dieper in het systeem te komen. Daarom slaat een ransomwareaanval zelden direct toe. In driekwart van de gevallen duurde dat minimaal drie dagen, schrijft FireEye.

Er waren echter ook infecties waarbij de ransomware pas na 299 dagen toesloeg. Volgens FireEye hebben bedrijven daardoor veel kans een infectie tegen te gaan als zij die in een vroeg stadium kunnen detecteren, door het virus te isoleren en te verwijderen. Daarbij moet wel worden opgemerkt dat FireEye zelf producten verkoopt die dat doen.

Het bedrijf ontdekte ook dat ransomware in 76 procent van de gevallen buiten kantoortijden toeslaat. Dat gebeurde dan in weekenden, of 's avonds of 's nachts. Dat gebeurde bijvoorbeeld ook bij de Universiteit Maastricht, die vlak voor kerstavond werd getroffen door ransomware. Uit het onderzoek bleek dat dat hoogstwaarschijnlijk bewust was gedaan, omdat er op dat moment minder mensen werken die de aanval kunnen stoppen. FireEye zegt ook dat de meeste ransomware-infecties binnenkomen via het Remote Desktop Protocol en dat dat nog steeds het meest via phishingmails gebeurt.

Reacties (60)

[Eldunari]

Ik weet niet wat er op de y-as van de bijgevoegde grafiek staat, maar als ik zo een inschatting moet maken uit die grafiek zou ik nooit iets aflezen wat in de buurt komt van 75%
Is er op de middelbare school (ja, dat is al weer even geleden) niet aangeleerd dat je altijd assen moet uitleggen?

[naarden 4ever]

Ik heb dit vast weer te rigoureus aangepakt, maar ik heb de foto gekopieerd, ingeladen in Python, en het aantal witte en blauwe pixels van elkaar gescheiden.

Mijn data:
Aantal blauwe pixels: 41474px
Aantal witte pixels: 248503px
Totaal: 289977px

Percentage blauwe pixels t.o.v. gehele afbeelding: 14,3%

Breedte afbeelding: 593px (dus 2 pixels breedte per dag in de x-as)
aantal blauwe pixels vóór de 7e colom: 2602px
percentage blauwe pixels voor 7e kolom t.o.v. totaal aantal blauwe pixels: 6,3%
(uit deze cijfers kan ik dus stellen dat slechts 6,3% van de ransomware binnen 3 dagen na infectie toeslaat)

Hoogte afbeelding: 489px
maximale hoogte grafiek: 411px
maximale hoogte t.o.v. aslengte: 84,0%

Als totale oppervlakte van de grafiek als waarde 1 wordt beschouwd (oppervlak grafiek beslaat 100% van alle waarden), dan is de maximale waarde van de grafiek 821px/41474px = 1,98%.

Dus anders gezegd: dag 1 beslaat ongeveer 2% van alle meetwaarden. Als de grafiek beschrijft hoe lang het duurt totdat elk van de gemeten infecties toeslaat, dan zou de waarde langs de y-as bij de piek op dag 1 dus 2% moeten zijn. Rond dag 25 slaat dus 1% van alle infecties toe.

Ook kan ik hiermee bepalen dat het eerste kwartiel (de 25% van de gevallen die het snelst toeslaan) toeslaat binnen 17 dagen. 75% van de gevallen slaat dus meer dan 17 dagen na infectie toe.

Maar je conclusie is terecht: het is een ontzettende schijtgrafiek.

[Reactie gewijzigd door naarden 4ever op 23 juli 2024 20:45]

[Jorgen]

En hierom kom ik graag op Tweakers

[Micahve]

Haha, vaak zijn de mensen in de reacties nog beter in het uitleggen dan de redactie
Nothing personal ^^

[Micahve]

Klopt wat je zegt, alleen het doel van zo'n grafiek is het makelijker maken om die conclusie te behalen.
Als men graag code in python wilt gooien om de grafiek af te lezen hadden ze net zo goed de raw data kunnen posten, dan had je nog een accuratere conclusie kunnen trekken haha

[qubixes]

Ik vermoed dat de y-as logaritmisch is. Helaas is in dat geval niet meer te bepalen of de grafiek correct is. Aannemend dat de grafiek correct is kan je wel de y-as reconstrueren...

Maar blijft natuurlijk een slechte grafiek.

[eevh]

Diagram ipv grafiek ;-) Maar verder absolute complimenten voor het werk en de analyse!

[pruimenpit]

Het is gewoon een simpele histogram, dus je aanname dat de hele grafiek 100% is klopt niet.

Als je de totale oppervlakte bekijkt van alle cases na de mark 3 dagen ten opzichte van het gehele blauwe oppervlakte heb ik geen Python nodig om te kunnen zien dat dat wel ~75% kan zijn!

Een cumulatieve lijngrafiek tot 100% was beter geweest om dit te illustreren!

[Reactie gewijzigd door pruimenpit op 23 juli 2024 20:45]

[naarden 4ever]

Het is gewoon een simpele histogram, dus je aanname dat de hele grafiek 100% is klopt niet.

Hè? Maar wat laat een histogram dan zien volgens jou?

Als ik een set data heb van, laat ik een voorbeeld noemen, het aantal kilometers dat men van het huisadres af op vakantie gaat, dan wil ik dat (eventueel eerst categoriseren, en dan) weergeven in een histogram. Zo'n histogram laat dan de verdeling zien van alle gevallen, afgezet tegen de afstand.

Dit is inderdaad een histogram, en heeft dus dezelfde eigenschappen: alle mogelijke meetwaarden vallen binnen de range die is weergegeven op de x-as (waarschijnlijk niet, er zullen best voorbeelden van ransomware zijn die meer dan een jaar aanwezig zijn, maar die zullen buiten deze analyse zijn gehouden). Dus ja, dit is een histogram, en een histogram toont de verdeling van 100% van de meetwaarden tegenover een andere variabele.

Als je de totale oppervlakte bekijkt van alle cases na de mark 3 dagen ten opzichte van het gehele blauwe oppervlakte heb ik geen Python nodig om te kunnen zien dat dat wel ~75% kan zijn!

Naja, de claim 'meeste ransomware slaat meer dan drie dagen na infectie toe' is opzich niet incorrect, maar het statement 'Ransomware slaat in 75 procent van de gevallen toe na meer dan drie dagen na een infectie' geeft wel een vertekend beeld. Na het punt van drie dagen beslaat de grafiek nog ruim 93% van de totale oppervlakte. Dus op zich is het statement niet onjuist, maar 'Ransomware slaat in ruim 90% procent van de gevallen toe na meer dan drie dagen na een infectie' was net zo juist geweest, en gaf misschien een eerlijker beeld van de realiteit. Nu lijkt het namelijk alsof een kwart van de ransomware binnen drie dagen aan het werk gaat, terwijl dat dus niet zo is; dat is een kleine minderheid van zo'n 6,3% van de gevallen.

Dat, of ik heb een onterechte aanname gedaan dat de grafiek een lineaire y-as heeft terwijl de y-as eignenlijk logaritmisch is zoals eerder is aangegeven. Die hypothese is aannemelijk, en dat zou met de vorm van de grafiek ook de 75% grens dichter bij de drie dagen brengen. Bovendien wordt daarmee ook het grote oppervlakte tussen 50 en 200 dagen in absolute aantallen wat lager, wat ook niet geheel onwaarschijnlijk is. Dus ik vermoed eigenlijk dat het een logaritmische schaal is, maar it's anyone's guess. Daarom heb ik ook specifiek mijn meetwaarden meegegeven in mijn eerdere bijdrage, zodat enthousiastelingen die verder willen rekenen hiermee de data hebben om zelf aan de slag te gaan.

Een cumulatieve lijngrafiek tot 100% was beter geweest om dit te illustreren!

Daar kan ik het alleen maar mee eens zijn! Des te interessanter de vraag waarom daar niet voor gekozen is. Dat maakt nog een sterk argument dat er waarschijnlijk sprake is van een logaritmische schaalverdeling op de y-as.

[Giesber]

Ik weet niet wat er op de y-as van de bijgevoegde grafiek staat, maar als ik zo een inschatting moet maken uit die grafiek zou ik nooit iets aflezen wat in de buurt komt van 75%
Is er op de middelbare school (ja, dat is al weer even geleden) niet aangeleerd dat je altijd assen moet uitleggen?

Klopt, maar op de marketing school wordt dan weer geleerd hoe je met zo vaag mogelijke grafieken de waarheid zo kan weergeven dat het veel voordeliger lijkt voor je bedrijf dan het in werkelijkheid is.

Ik zie in de grafiek ook niet die 75% (tenzij ze een of andere vage schaal gebruiken, maar dat weten we dus niet), en ik zie ook niet terugkomen dat de meeste ransomware pas na 3 dagen toeslaat: de piek in de grafiek ligt bij 0 of 1 dag lijkt het.

Ik zou dan ook geen waarde hechten aan de grafiek, en de auteur van dit artikel haalt ook al aan dat we ons tenminste kritisch moeten blijven bij de waarde van de rest van het onderzoek.

[Micahve]

Ze gebruiken geen schaal of Y-as, je moet maar het artikel geloven dat de Y as de hoeveelheid gevallen is, maar het had net zo goed de hoeveelheid donuts in een politie kantoor kunnen zijn waneer een politie agent aan het trakteren was.

[n9iels]

Je zou denken dat op de Y-as het aantal onderzochte ransomware besmettingen staat. Maar ik vraag mij dan wel af wat de stapgrootte is, want 3 dagen is ongeveer de linker 4mm van de grafiek

[Micahve]

Klopt, de stap grote is veeeeeel te groot.
Meer dan de helft van de gevallen zit voor de 50 dagen, deze grafiek neemt stappen van 50, dat is veelste groot en onhandig om aftelezen.

Aangezien onderzoekers praten over de eerste paar dagen, hadden ze better eerst een stap grote van 1 dag aan kunnen houden en na 10 stappen met een zaaglijn dingetje over gaan naar 20 of 25 dagen voor de rest van de grafiek. Was een stuk duidelijker geweest.

[biomass]

Zelfs als je kijkt naar het oppervlak rechts van de X-as op drie dagen kom je eerder aan 90%.
"For 75 percent of incidents, at least three days passed between the first evidence of malicious activity and ransomware deployment.". De grafiek lijkt niet te kloppen met de claim, of men koos voor een statement met daarin drie dagen in plaats van vijfentwintig (ofzo)...

[Takenzo]

Dit lijkt mij een density plot. Het geeft de verdeling aan van de gevallen met een incubatietijd die op de x as staat. Als de grafiek hoog is komen veel gevallen daar voor, en als hij laag is weinig.

Zie het als een histogram met heel veel small bins (met frequentie op y as).

Hoe dit op 75% binnen 3 dagen is zie ik niet, dan zou de oppervlakte onder de eerste 3 dagen ook 75% van het totaal omvatten, wat duidelijk niet zo is.

Edit: in het artikel staat ook:

For 75 percent of incidents, at least three days passed between the first evidence of malicious activity and ransomware deployment.

Dus dan zou 25% in de eerste 3 dagen zitten. Lijkt me nog steeds onwaarschijnlijk op basis van die grafiek.

[Reactie gewijzigd door Takenzo op 23 juli 2024 20:45]

[Micahve]

Klopt, maar de stapgrote is nog steeds vrij groot en de eenheid en grootheid van de Y-as zijn geen eens aanwezig haha

[sympa]

In R kan je er standaard de ECDF (empirical cumulative distribution function) overheen laten zetten.
Zeg maar de optelsom van alle waarden en dan geschaald op 100%. Dan kan je in 1 keer aflezen dat op X dagen er Y % van degevallen bereikt is.
Probleem is dat managers er niks van snappen. Ik heb het ze nog nooit uit kunnen leggen. Misschien omdat het niet in ecxel zit.

[pietje63]

staat dat niet in titel (days)

[Micahve]

Klopt de grafiek zou bij een wiskunde examen 0 punten krijgen.
De Y-as heeft geen eens een hoeveelheid of eenheid.
De X as heeft ook geen eenheid en de stappen zijn vrij groot voor de informatie die aangerijkt wordt.
Er zijn geen eens lijnen aanwezig om de Y as aftelezen, waardoor je nooit percies kan zien waar de punten zitten.

Dit is een grafiek van een niveau van de Basis school.
En blijkbaar moet dit een onderzoeksteam zijn geweest, dan wil ik hun papieren wel zien, als je geen eens een fatsoenlijke grafiek kan maken, wat doe je dan in hemelsnaam in computerscience haha.

[Patriot]

De y-as is "Aantal malware besmetting die aanwezig zijn maar nog niet actief", dat is op moment nul natuurlijk 100% (dan heeft geen enkele malware iets gedaan). Naarmate de tijd verstrijkt (het aantal dagen dus op de x-as) wordt dat aantal minder, omdat malware die actief wordt uit de resultaten verdwijnt.

Dan zie je dus dat je de 75% ergens helemaal aan het begin van de x-as moet zoeken, op het oog ongeveer hier: afbeelding.

[Reactie gewijzigd door Patriot op 23 juli 2024 20:45]

[Verwijderd]

Kop van het artikel is gewoon verkeerd. De meeste ransomware activeert niet drie dagen na infectie maar op zijn minst drie dagen na infectie.

[Onbekend]

"Het bedrijf ontdekte ook dat ransomware in 76 procent van de gevallen buiten kantoortijden toeslaat. "

Even rekenen:
In een week zit 168 uur. Een kantoorbaan is 5 dagen in de week van 9.00 uur tot 17.00 uur, dat is dan 5x 8 uur = 40 uur.
40 uur van 168 uur = 23,8%. Dus 100% - 23,8% = 76,2% van de beschikbare tijd in de week is geen kantoortijd.

76,2% komt zeer goed overeen met die 76 procent in het artikel.
Bij deze een rekenkundig bewijs van hun ontdekking.

[sympa]

40% van de ziektedagen is ook aansluitend aan het weekend... ook zo toevallig.

[wmkuipers]

Lees die reactie nog eens zorgvuldig, volgens mij zie jij iets over het hoofd

[thomasmoors]

incubatietijd

[steveman]

En dit is zo mogelijk nog reraffineerder gezien er daadwerkelijke intelligentie achter zit ipv evolutie.

Een biologisch virus kijkt niet naar feestdagen bijvoorbeeld

[jpsch]

Met oud & nieuw wordt er gemiddeld toch meer gedronken, teveel gegeten en minder bewogen?
Dan slaat een biologisch virus toch ook gemakkelijker toe?

[steveman]

Maar daarvoor hoeft het virus geen andere strategie te volgen.

Veel potentiele host-bodies die met elkaar in contact komen is dan analoog aan veel slechtbeveiligde machines die aan staan of zo.

[rob12424]

Niet helemaal waar. Is een host zwak dan kan een biologische virus ook langer overleven en zich aanpassen (dus muteren)

[Wouterie]

Carnaval was anders behoorlijk goed getimed. Net als Chinees nieuwjaar.

[bbob]

Denk dat je verschil moet maken tussen malware die men gewoon random loslaat en kijkt wat gebeurt er. In het voorbeeld Uni Maastricht is dat een gercihte aanval geweest, backups uitgeschakeld en infectie over langere tijd waardoor men echt geen kant op kon.

Als je normaal spreekt over 3 dagen, grote kans dat er nog ergens backup zijn. Bij een gerichte aanval zullen die backups ook doel zijn en onklaar gemaakt worden.

[RobbieHifi]

Nouja Corona lijkt wel het carnavalsvirus

[anargeek]

Soort van, ja. Een goede reden voor malware om te wachten met draaien is dat automatische malware-analyse software vaak lastig om kan gaan met dat soort tijdsperiodes. En ook bij handmatige analyse is het ongebruikelijk om dagen (of langer) te wachten of het stuk malware nog meer doet.

Dus een soort ingebouwde incubatietijd inderdaad, maar vanuit een anti-analyse uitgangspunt

[n9iels]

Interessant onderzoek! Betekend dit nou ook dat je eigenlijk buiten kantoortijden extra zou moeten monitoren op abnormaal schijf en RAM gebruikt? Of zijn de meeste ransomware zo verfijnd dat ze je hele computer langzaam versleutelen zodat je niks door hebt.

[Het.Draakje]

's Nachts draaien batch-processen waaronder een backup. Dan schiet schijf-io, processorbelasting en geheugengebruik ook omhoog. Uiteraard kun je dan gaan analyseren waarom jouw backup vannacht 15 minuten langer duurde. Meestal kom je dan uit op: er was veel gewijzigd.

[MrOleo]

Als ik de link lees dan zegt men dat er in 75% van de gevallen meer dan 3 dagen overheen gaat voor er infectie optreed.
Volgens mij klopt dit artikel niet.

[Dasprive]

Ja inderdaad, "at least 3 days", in ieder geval de titel moet aangepast worden, verderop klopt het al iets meer: In driekwart van de gevallen duurde dat minimaal drie dagen, schrijft FireEye.

Is ook logisch, je ziet steeds meer een beweging dat men een tijd wacht om ook de backups te grazen te nemen.


--- edit
@TijsZonderH zelfs geen hat tipje maar alleen stilletjes titel aangepast?

[Reactie gewijzigd door Dasprive op 23 juli 2024 20:45]

[Patriot]

--- edit
@Tijs Hofmans zelfs geen hat tipje maar alleen stilletjes titel aangepast?

Er wordt niet zonder meer gereageerd op feedback in de comments omdat ze niet altijd gelezen worden, en zeer zelden voordat iemand het heeft gemeld in het daarvoor bestemde topic.

[lordawesome]

Hoewel niet waterdicht, backup ik mijn data één per week op een externe schijf met tijdschakelaar. Die schakelaar zet hem 2 uur per week aan, waarin ook mijn backup staat geroosterd.

De schakelaar is een prul van Aliexpress van 7 euro, hoewel Amazon er positief over is.

[Dennisdn]

Ik doe de periodieke backups juist bewust handmatig even aanzetten. Ik kan mij voorstellen dat ze simpel iets inbouwen wat kijkt wanneer er een automatische backup wordt gemaakt zodat ze die mee kunnen pakken.

Maar het idee van een tijdschakelaar is een simpel en makkelijk goed idee waar ik vast nog een andere usercare voor bedenken.

[denBoom]

Een nas kost iets meer dan een tijdschakelaar en externe disk, maar is volgens mij veiliger. Je kan dan de backupshare zo instellen dat niemand toegang heeft en je dedicated backup account alleen schrijfrechten heeft. Ransomware die local (of domain) admin rechten heeft op je computer en pas na meer dan een week actief word zal ook je backup besmetten.

Heb je alleen een externe hd, gebruik dan backup software die je schijf kan loskoppelen zodra de backup voltooid is. De gratis versie van veeam is een voorbeeld van backup software die dit kan.

[lordawesome]

Goed idee over dat auto-disconnect. Helaas werkt het niet met SyncBack Free. Die heeft een 'auto eject' optie, maar dat klinkt alsof het voor een iso mount is of dvd. Het werkt in elk geval niet met een harde schijf die met Veracrypt gemount is. Veracrypt heeft wel de optie om na zoveel minuten zonder schrijven een schijf te disconnecten, maar dat past hij op alle schijven toe.

[beerse]

En hoeveel backups bewaar je?

De 'betere' inbreek-software breekt in, zoekt informatie en verspreidt zich zonder iets anders te doen. Pas na de incubatie tijd slaat het toe. Dan is ze dus ondertussen best wel verspreid.

In jou geval ga je erg nat als de software pas na 10 dagen toeslaat. Dan zit ze dus ook al in je backup. En de meeste software ontdek je pas als ze toeslaat.

[Henrikop]

Simpel geredeneerd is het vanuit malware perspectief wellicht niet handig om te lang te wachten met activeren. Kans op ontdekking neemt ook toe.

[Het.Draakje]

Als je de eerste tijd niets doet (behalve de initiële besmetting) dan loop je ook nauwelijks het risico op ontdekking. Maar jouw besmetting gaat wel de backup in. Impact wordt verhoogd.

De kans op ontdekking is het grootst als de schade al is aangebracht. Dus zorgen dat je voor die tijd zo diep mogelijk in het (backup)systeem zit.

[beerse]

De gevaarlijkere software werkt zo langzaam mogelijk. Vaak begint het met inbreken en onderzoeken. Na enige tijd zal het zich gaan verspreiden gebaseerd op de gevonden informatie. Verspreiden en informatie zoeken zal een paar slagen maken.

En pas als er veel, zo niet alles is geïnventariseerd, zal het toeslaan.

[Henrikop]

Enge gedachte... jammer dat de tools duur en vrij complex zijn om dit tegen te gaan. Ook voor kleinere bedrijven.

[densoN]

Twee uur verder en nog geen aanpassing op het artikel. De kozijnen schilderen valt niet onder 'Thuiswerken' beste Tijs

[beerse]

Wat moet er aangepast worden dan? Is je verf op? Verkeerde kleur? Voor jou info, het is nu te vochtig om netjes de kozijnen te schilderen.

[obimk1]

Tip voor Mac gebruikers,

Ransomeware kan helaas ook op de Mac voorkomen, www.objective-see.com heeft verschillende "low level" Mac security software beschikbaar, waaronder software om ransomeware op de Mac onmogelijk te maken.

De maker van deze website weet waar ie het over heeft, hij is een "ex Mac hacker" die voor de NSA heeft gewerkt.

https://www.objective-see.com/products.html

Toevoeging:

Hallo "reviewende expert", CleanMyMac wordt door Macpaw gemaakt en NIET door objective-see.

[Reactie gewijzigd door obimk1 op 23 juli 2024 20:45]

[Het.Draakje]

Niemand ontkent dat er malware voor de mac is. Maar ...

(Review van MacWorld)
Bottom line
CleanMyMac X 4.4.1 has.. but the Malware module is still a wash and five months of development haven’t brought it to a level where I’d feel comfortable recommending it to other Mac users for its intended purpose.

Mijn samenvatting: it is een slecht product

[obimk1]

CleanMyMac WORDT NIET GEMAAKT DOOR OBJECTIVE-SEE.

AUB, "reviewer" doe eerst wat moeite om uit te zoeken wat ze precies maken.

Nogmaals, CleanMyMac (wel door Macpaw) WORDT NIET door objective-see gemaakt.

(CleanMyMac is ook niet echt "low level")

[Reactie gewijzigd door obimk1 op 23 juli 2024 20:45]