Телефонни vishing обаждания от името на IT поддръжката, откраднати сесийни токени и влизания през жилищни прокси мрежи (residential proxies) стоят зад вълна от кражби на данни и рекет срещу Microsoft 365 и други SaaS профили, според Arctic Wolf.
Компанията проследява тази активност под името PREY-0058 и отбелязва, че тя споделя значителни прилики в тактиките и техниките с група за киберрекет, която Google Threat Intelligence Group нарича UNC6671.
Страната, извършваща изнудването, е използвала няколко имена, сред които BlackFile, Pink, Helix, Cinder и Redact. Изследователите отбелязват, че тези наименования „може да представляват партньори (affiliates), променени брандове или други взаимоотношения, а не един-единствен доказан злонамерен субект“.
Те оценяват с умерена увереност, че Cinder е продължение на Pink, тъй като жертвите, вписани в сайта за изтичане на данни на Cinder, се припокриват с организации, засегнати по-рано от фишинг инфраструктура, свързана с Pink.
„Анализът на поддомейни в примамващата инфраструктура разкри стотици записи, имитиращи реални компании. Мишените са основно базирани в САЩ и са концентрирани в строителството и инженерството, здравеопазването и фармацията, недвижимите имоти и управлението на собственост, финансите и професионалните услуги“, заявяват от Arctic Wolf.
„Тези атаки най-често са насочени към директори, вицепрезиденти и друг ръководен персонал.“
Как работят обажданията
Атаката започва с телефонно обаждане от лице, твърдящо, че е от вътрешния IT отдел, което превежда служителя през процес, изглеждащ като рутинна настройка на passkey или многофакторна автентификация (MFA). След това изпраща връзка към страница за вход, проектирана да изглежда така, сякаш принадлежи на компанията на жертвата — често хоствана като поддомейн, съдържащ името на компанията.
Зад тази страница stoi контролиран от атакуващите панел за атака тип „посредник“ (adversary-in-the-middle / AiTM), ръчно настройван за всяка жертва, който симулира процеса на влизане в Microsoft 365, улавя паролата и потвърждението на MFA и ги използва за извличане на автентикиран сесиен токен.
След като проникнат в системата, киберпрестъпниците първо отварят страници като My Sign-ins, My Profile и My Apps, които показват подробностите за профила и списъка със свързани приложения. Оттам те търсят в SharePoint сайт по сайт и страница по страница, работейки систематично през резултатите, за да картографират съхраняваното съдържание, преди да копират каквото и да било.
В последната стъпка авторите на заплахата извършват масово събиране и извличане (exfiltration) на данни от SharePoint, OneDrive, Exchange и други SaaS доставчици като Box.
„Наблюдаваното събиране на данни от Exchange генерира събития MailItemsAccessed, докато събирането от SharePoint и OneDrive генерира големи обеми от събития FileAccessed и FileDownloaded. Използваните за извличане IP адреси на клиенти обикновено се свързват с инфраструктура на центрове за данни/хостинг, но напоследък се пренасочват към използване на същата жилищна прокси мрежа (residential proxy), използвана за първоначалния достъп, като например NodeMaven“, обясняват от Arctic Wolf.
Какво могат да направят организациите
Arctic Wolf съветва организациите да затегнат правилата за условен достъп (Conditional Access), така че трафикът от проксита и хостинг доставчици да бъде блокиран или оспорван, да внедрят защитена от фишинг MFA, която не може да бъде препредавана през фалшива страница за вход, да ограничат достъпа на единични SharePoint профили и да обучат служителите на IT поддръжката да разпознават vishing обаждания.
„Защитниците могат да прекъснат тази активност, като откриват аномално повторно използване на токени през жилищни проксита (residential-proxy token replay), разузнаване и масов достъп в SharePoint, събиране на данни от пощенски кутии и новорегистрирана примамваща инфраструктура с тема автентификация“, добавят те.
Arctic Wolf публикува и индикатори за компрометиране (IoCs), включително примамващи домейни, ASN мрежи за извличане на данни и доставчици на жилищни проксита, свързани с активността по влизане в системи, за организациите, които искат да проверят своите логове спрямо тази заплаха.
- Arctic Wolf Networks
- cybercrime
- Microsoft 365
- phishing