Sophos hat den „Sophos Active Adversary Report 2025″ veröffentlicht, der das Verhalten und die Techniken von Cyberkriminellen aus über 400 tatsächlichen Angriffen analysiert, die das MDR-Team (Managed-Detection and Response) und die Incident-Response-Spezialisten 2024 durchgeführt haben. Der Report zeigt, dass sich die Angreifenden in erster Linie über externe Remote-Dienste Zugang zu Netzwerken verschafften (56 Prozent aller MDR- und IR-Fälle), indem sie gültige Konten ausnutzten, darunter Edge-Geräte wie Firewalls und VPNs.
Tempo der Angriffe nimmt zu
Weitere Ergebnisse des Sophos-Active-Adversary-Reports 2025
Angreifer benötigen im Schnitt in nur elf Stunden zur Systemübernahme: Zwischen der ersten Aktion eines Cyberkriminellen und seinem ersten (oft erfolgreichen) Versuch, in das Active-Directory – eines der wichtigsten Elemente in jedem Windows-Netzwerk – einzudringen, vergingen im Durchschnitt der untersuchten Fälle nur elf Stunden. Wenn dies gelingt, können Angreifer sehr leicht die Kontrolle über das ganze Unternehmen übernehmen.
Alte Bekannte bei den häufigsten Ransomware-Gruppen: In den von Sophos untersuchten Fällen war Akira die am häufigsten auftretende Ransomware-Gruppe im Jahr 2024, gefolgt von Fog und LockBit – und das, obwohl LockBit Anfang des Jahres durch eine konzertierte Aktion der Strafverfolgungsbehörden vom Netz genommen wurde.
MDR als entscheidender Faktor für die Verweildauer der Kriminellen: Insgesamt ist die Verweildauer, also die Zeit vom Beginn eines Angriffs bis zu seiner Entdeckung, im Jahr 2024 von vier auf zwei Tage gesunken. Dies ist hauptsächlich auf die Aufnahme von MDR-Fällen in den Datensatz zurückzuführen. Die Verweildauer in IR-Fällen blieb stabil bei vier Tagen für Ransomware-Angriffe und 11,5 Tagen für Nicht-Ransomware-Fälle . In den untersuchten MDR-Fällen betrug die Verweildauer bei Ransomware-Angriffen drei Tage und bei Nicht-Ransomware-Fällen nur einen Tag. Dies deutet darauf hin, dass MDR-Teams in der Lage sind, Angriffe schneller zu erkennen und darauf zu reagieren.
Ransomware-Gruppen arbeiten über Nacht: Im Jahr 2024 wurden 84 Prozent der Ransomware-Binärdateien außerhalb der normalen, örtlichen Arbeitszeiten der Zielpersonen verbreitet.
Schwachstelle Remote-Desktop-Protokoll: Das Remonte Desktop Protokoll (RDP) war in 84 Prozent der MDR/IR-Fälle involviert und damit das am häufigsten missbrauchte Microsoft-Tool.
powered by Borlabs Cookie 