Cybercriminelen vallen op grote schaal ERP-applicaties aan

Voor dit onderzoek zochten de bedrijven op het openbare, deep en dark web naar onder andere tactieken, activiteit en informatie van cybercriminelen in relatie tot ERP-systemen. Het onderzoek toont onder meer aan dat de twee populairste ERP-systemen wereldwijd (SAP en Oracle) steeds meer kwetsbaarheden bevatten. De afgelopen drie jaar is het aantal bekende kwetsbaarheden met 100 procent toegenomen naar 9.000. Deze beveiligingsrisico’s blijven ook cybercriminelen niet onopgemerkt. Uit het onderzoek blijkt dat tussen 2016 en 2017 de activiteiten van cybercriminelen rondom SAP en Oracle met 160 procent is gestegen. Digital Shadows analyseerde bijvoorbeeld de website 0day.today en identificeerde hierop al 50 exploits voor SAP en 30 voor Oracle.

17.000 applicaties

De onderzoekers van Digital Shadows en Onapsis vonden daarnaast meer dan 17.000 online ERP-applicaties van SAP en Oracle die zijn blootgesteld. Veel van deze applicaties draaien op verouderde versies met onbeschermde componenten. Cybercriminelen delen op grote schaal informatie over deze kwetsbare bedrijven op het dark web en criminele fora. 

Drie groepen cybercriminelen  

Het onderzoek laat zien dat drie groepen cybercriminelen interesse hebben in inbreuken op ERP-systemen: 

• Cybercriminelen: deze groep maakt gebruik van de bekende malware Dridex. Deze is in 2017 geüpdatet en wordt sinds februari 2018 gebruikt om inloggegevens van SAP-gebruikers te stelen.

• Hacktivisten (zoals het Anonymous collectief): cybercriminelen die voor een goed doel hacken of een statement willen maken, vaak vanwege een vorm van protest. Hacktivisten hebben sinds 2013 al negen keer bedrijfskritische ERP-platforms aangevallen.

• Nation-state actors: cybercriminelen die gesponsord worden door landen voor bijvoorbeeld spionage of datadiefstal. Deze mensen werken in landsbelang.

545 SAP-configuratiebestanden  

Daarnaast worden beveiligingsrisico’s ook vaak veroorzaakt door medewerkers of partners. Zij stellen (vaak onbedoeld) cruciale informatie bloot die zeer waardevol is voor criminelen. Het onderzoek ontdekte 545 SAP-configuratiebestanden die publiekelijk beschikbaar waren op verkeerd geconfigureerde FTP- en SMB-servers. Deze informatie biedt criminelen de mogelijkheid om gevoelige bestanden te lokaliseren op de netwerken van organisaties. Ook werden publieke Trello-borden gevonden die uitleg geven over de toegang tot bepaalde servers. 

Beveiligingsrisico’s

Dit onderzoek wordt als dusdanig kritisch beschouwd dat het Department of Homeland Security’s United States Computer Emergency Readiness Team (US-CERT) vandaag een waarschuwing heeft afgegeven voor de grote beveiligingsrisico’s van ERP-applicaties. In mei 2016 werd al eerder gewaarschuwd voor dergelijke aanvallen. Toen werd een vijf jaar oude kwetsbaarheid in SAP-applicaties gebruikt voor de toegang tot informatie van 36 internationale organisaties.  

Rick Holland, CISO en VP of Strategy bij Digital Shadows:  ‘Cybercriminelen evolueren voortdurend hun doelstellingen en tactieken om te profiteren van organisaties. Door het type gegevens dat ERP-platforms bezitten is dit niet schokkend. We waren echter wel verrast hoe ernstig het probleem al is. ‘

‘Deze samenwerking met Digital Shadows heeft geresulteerd in ongekend belangrijke informatie over dreigingen, ‘ aldus JP Perez, CTO bij Onapsis.  ‘Door te laten zien hoe deze applicaties actief worden benaderd door criminele groepen in verschillende regio's en sectoren, hopen we de risico’s in de markt bloot te leggen. Hiermee willen we CIO's, CISO's en hun organisaties helpen het risico van grootschalige aanvallen op ERP-applicaties – die een verwoestende impact kunnen hebben – in te perken en te voorkomen. ‘