Фишинг комплектът N0va атакува компании в САЩ и ЕС: ново предизвикателство за сигурността на идентичността

N0va атакува организации в Северна Америка и Европа с фишинг кампании, които се представят за доверени услуги и злоупотребяват с легитимни процеси по автентификация. Успешните атаки могат да осигурят на киберпрестъпниците достъп до валидни профили, без да разчитат на явна активност на зловреден код.

Оттам нататък една-единствена компрометирана самоличност може да отвори вратата към чувствителни данни, бизнес системи и допълнителни облачни ресурси. Колкото по-дълго този достъп остане незабелязан, толкова по-голям е потенциалът за по-широко компрометиране, прекъсване на оперативната дейност и финансови загуби.

N0va достига до организации в рискови сектори

Активността на N0va е наблюдавана в организации от държавния сектор, технологиите, консултантските услуги, здравеопазването и други сектори в Северна Америка и Европа. Използването на доверени бизнес платформи и облачни услуги прави кампанията релевантна за широк кръг от организации.

Свързаната активност може да бъде проследена в Threat Intelligence Lookup на ANY.RUN с помощта на характерния за N0va URL модел:

url:"/api/verification/init\?session=*&flow=*prompt_profile="

Заявката извежда съвпадащи URL адреси и свързана активност, които споделят същата структура на заявките, помагайки на аналитиците да преминат отвъд единичен индикатор и да видят как изглежда кампанията в различни подавания и инфраструктури.

Осигурете на екипа си необходимия контекст, за да разследва по-бързо, да подрежда по приоритет правилните заплахи и да реагира с по-голяма увереност.

Какво може да струва на бизнеса компрометирането от N0va

Компрометирането на самоличността може бързо да се превърне в инцидент, засягащ целия бизнес, след като атакуващите достигнат до системи и данни, свързани с този профил. Въздействието зависи от правата на потребителя, но последиците могат да надхвърлят първоначалното фишинг събитие.

• Финансови загуби: Атакуващите могат да използват компрометирани профили за измами с плащания, манипулиране на фактури или друга финансово мотивирана активност.
• Излагане на чувствителни данни: Достъпът до бизнес приложения може да изложи на риск записи на клиенти, информация за служители, интелектуална собственост и поверителни комуникации.
• Оперативно смущение: Ограничаването на инцидента може да принуди екипите да прекратят сесии, да нулират достъп, да разследват засегнати системи и да ограничат услуги, докато инцидентът бъде разрешен.
• Правни последици и съответствие: Разкриването на регулирани данни може да задейства изисквания за докладване, разследвания, договорни проблеми или глоби.
• Репутационни щети: Пробив, включващ доверени фирмени профили, може да отслаби доверието на клиентите и да обтегне отношенията с партньори и клиенти.

Как N0va използва познати бизнес платформи, за да открадне достъп

N0va използва фишинг примамки, които имитират широко използвани бизнес платформи, включително Microsoft Teams, SharePoint, OneDrive, DocuSign, Google Drive, Dropbox, Zoom и Adobe Sign. Вместо да разчита само на традиционна фалшива страница за вход, кампанията може да преведе жертвите през легитимни процеси на автентификация, правейки взаимодействието да изглежда по-надеждно.

Вижте сесия в изолирана среда с N0va примамка с тема Microsoft

След като потребителят завърши автентификацията, N0va може да прихване токени за достъп и опресняване (access and refresh tokens) и да злоупотреби с механизмите за обмен на токени или регистрация на устройства, за да установи SSO достъп. Това може да даде на атакуващите достъп до имейл, файлове, облачни приложения и други корпоративни ресурси, свързани с компрометираната самоличност.

Накратко, веригата на атаката изглежда така:

Примамка от доверена марка → Фишинг с код на устройство (Device code phishing) → Легитимна автентификация → Прихващане на токени за достъп и опресняване → Обмен на токени / регистрация на устройство → SSO достъп до корпоративни ресурси

Как екипите по сигурност могат да намалят риска от N0va

N0va е по-трудна за ограничаване, когато активността се tretira като поредица от изолирани фишинг събития. Екипите по сигурност се нуждаят от достатъчно контекст, за да разберат дали даден индикатор принадлежи към по-широката кампания, да потвърдят как се държи атаката и да внедрят тези данни в инструментите, които вече защитават средата.

1. Дайте на екипа си контекст за приоритетизиране на риска от N0va

Threat Intelligence Lookup помага на екипите по сигурност бързо да определят дали даден подозрителен индикатор за N0va е изолиран или свързан с по-широка кампания. Чрез свързване на URL адреси, домейни, IP адреси, файлове, сесии в изолирана среда и инфраструктура, той предоставя на аналитиците необходимия контекст за разбиране на обхвата на активността, без да се налага ръчно да сглобяват всяка връзка.

Това означава по-малко време, прекарано в потвърждаване на разпокъсани сигнали, и повече внимание към активността, която представлява най-голям риск. За ръководителите по сигурността това поддържа по-бързо подреждане по приоритет, по-ефективно използване на времето на аналитиците и по-ясни решения относно това къде първо да бъдат насочени ресурсите за разследване и реакция.

2. Оборудвайте вашия SOC с доказателства за поведенческия анализ

N0va може да злоупотребява с легитимни процеси за автентификация и доверени бизнес услуги, което прави видимостта на поведението от решаващо значение за потвърждаване на случващото се. С Interactive Sandbox на ANY.RUN аналитиците от ниво Tier 1 могат да наблюдават атаката в реално време, докато се разгръща – от първоначалната примамка и пренасочванията до мрежовата активност и последващото поведение.

В скорошен случай с N0va, включващ примамка с тема Microsoft, изолираната среда генерира първата присъда за зловреден характер само за 24 секунди и разкри цялата верига на атаката в рамките на същата сесия. Тази скорост помага на аналитиците от Tier 1 да разрешават повече случаи самостоятелно, вместо да ескалират всяко подозрително събитие към по-опитни членове на екипа.

За ръководителите по сигурността това означава по-висок капацитет на Tier 1, по-малко ненужни ескалации към Tier 2 и повече време за старшите аналитици за инциденти, които наистина изискват по-задълбочено разследване.

3. Превърнете разузнаването за N0va в по-широко покритие за откриване

След като активността на N0va бъде потвърдена, следващата стъпка е гарантирането, че тези констатации укрепват откриването отвъд един случай. Threat Intelligence Feeds могат да внесат нови индикатори и данни за заплахи в SIEM, SOAR, EDR, защитни стени и други инструменти за сигурност, които вече се използват в средата.

Разузнавателните данни за заплахи на ANY.RUN са изградени на базата на активност, наблюдавана в над 16 000 организации и над 700 000 специалисти по сигурност, което дава на екипите по-широк поглед върху възникващата злонамерена инфраструктура и повтарящите се модели на атаки. За ръководителите по сигурността това означава по-широко покритие за откриване, по-бързо обогатяване на бъдещи сигнали и по-малко време, прекарано в повторно откриване на заплахи, които вече са били видени на други места.

Изградете по-бърза реакция при заплахи срещу самоличността

N0va показва колко лесно фишингът може да се превърне в по-широк инцидент със сигурността на самоличността, когато атакуващите злоупотребяват с доверени платформи и легитимни процеси на автентификация. Предоставянето на екипите на по-бърз достъп до контекста на заплахите, доказателства за поведението и нови разузнавателни данни помага за съкращаване на времето между откриването и ограничаването.

С ANY.RUN организациите са намалили времето за разследване на Tier 1 с 20%, намалили са ескалациите от Tier 1 към Tier 2 с 30% и са съкратили MTTR с 21 минути на случай. Това означава повече инциденти, разрешени на първа линия, по-малък натиск върху старшите аналитици и по-малко време компрометираният достъп да се превърне в по-голям бизнес проблем.

Спрете заплахите срещу самоличността да консумират времето на аналитиците, старшия опит и капацитета за реагиране на инциденти.