SpyCloud: “Infostealers leiden direct tot ransomware-aanvallen”

“There’s a clear pattern emerging that shows infostealer malware is directly leading to ransomware attacks,” concludeert SpyCloud in hun Ransomware Defense Report 2023. Uit hun onderzoek bleek dat 30% van de 2.613 onderzochte Noord-Amerikaanse en Europese organisaties, vóór een ransomware-aanval, te maken had gehad met een infostealer-infectie.

Laten we vooropstellen: een infostealer-infectie kan inderdaad leiden tot een ransomware-aanval, en dit gebeurt regelmatig. SpyCloud wijst er terecht op dat het bewustzijn over deze connectie te beperkt is.

Op basis van deze bevinding is het echter moeilijk om een causaal verband vast te stellen. Zelfs de aanwezigheid van een sterke correlatie is discutabel. Waarom? SpyCloud richtte zich in dit onderzoek op organisaties met minimaal 500 medewerkers, waarvan de meeste meer dan 1.000 medewerkers hadden. Uit ervaring weten wij dat het zeldzaam is voor een organisatie van die omvang om nooit met een infostealer-infectie te maken te hebben gehad.

De discrepantie kan te maken hebben met een onduidelijke definitie van wat SpyCloud als een infostealer-infectie beschouwt. Het kan ook zijn dat SpyCloud een relatief kleine infostealer-dataset gebruikte, waardoor slechts een beperkt aantal infecties werd gedetecteerd. Dit zou betekenen dat er mogelijk meer gegevens beschikbaar zijn om een betere correlatie aan te tonen, maar op basis van de huidige gegevens blijft dit onduidelijk.

Conclusie

SpyCloud suggereert een causaal verband tussen infostealers en ransomware-aanvallen. Hoewel zo'n verband aannemelijk is, blijkt dit niet overtuigend uit hun analyse. Sterker nog, gezien de lage 30% die wordt gerapporteerd bij organisaties groter dan 500 medewerkers, roept dit juist twijfels op over de correlatie. Bij grotere organisaties zijn infostealer-infecties immers vrij gangbaar, wat deze 30% juist een laag percentage maakt.