Хакери експлоатират уязвимост в GlobalProtect и превръщат откраднати данни в 2,4 милиона измамни съобщения

Хакери са пробили фирмени мрежи, откраднали са клиентски досиета и са използвали тези данни за изпращане на убедителни фалшиви сметки. Кампанията, наречена Operation Master, съчетава заобикаляне на вход за VPN с атаки срещу уеб приложения и мащабна система за измами с фактури, насочена главно към бразилски клиенти.

Дейността се е разпростряла от април до средата на септември 2026 г. Разследващите откриха доказателства за неоторизиран достъп през седем портала GlobalProtect в четири държави, заедно с откраднати записи от поне девет системи с бази данни.

По-късно атакуващите са използвали повторно клиентска информация, за да направят исканията за измамни плащания да изглеждат лични и достоверни. Изследователи от SOCRadar идентифицираха операцията, след като проследиха разкрит сървър до последователни системи, контролирани от атакуващите.

От SOCRadar заявиха в доклад, споделен с Cyber Security News (CSN), че пробивите са захранвали платформа, способна да изпраща милиони съобщения чрез имейл и SMS.

Мащабът е бил значителен, но финансовият резултат остава неизвестен. До 16 септември панелът за измами е регистрирал 2 468 335 имейла и 1 487 294 SMS съобщения. Неговите записи за плащания показват опити за измама, а не доказателство, че жертвите са превели пълните искани суми.

Хакери се възползват от уязвимост в GlobalProtect

Атакуващите са се възползвали от CVE-2026-0257, заобикаляне на автентификацията в GlobalProtect, за да създадат VPN сесии без валидни идентификационни данни на потребители.

Те са сканирали стотици милиони адреси, филтрирали са обещаващи портали и са захранвали кандидатите в автоматизиран цикъл от експлоатация. По-ранни публикации за заобикаляне на GlobalProtect обясняват конфигурационните условия, които правят тази уязвимост експлоатируема.

Възстановените данни за връзката, включително назначените VPN адреси и мрежови маршрути, потвърдиха работещи сесии на седем портала. Отделно, автоматизирани SQL инжекционни атаки са извлякли информация от поне девет системи.

На един сървър за фактуриране операторът е използвал изпълнение на команди в базата данни, за да чете записи и да изпраща данни навън чрез необичайно структурирани DNS заявки.

Една реконструирана кражба е донесла 24 558 досиета на длъжници, включително данни за контакт, които биха могли да подпомогнат последващо таргетиране. Атакуващият също така е събрал файлове, свързани с идентификационни данни, и е използвал AdaptixC2 за контрол на поне две идентичности на Windows сървъри.

Читателите, запознати с докладите за злоупотреби с AdaptixC2, ще разберат защо утвърдена рамка за отдалечен контрол може да разшири пробива след първоначалния достъп.

Разследващите са свързали профил на оператор, продаващ откраднати данни от енергийния сектор, с последващата схема за измами. Същите организации са се появили в обяви седмици преди техните данни да бъдат заредени в кампаниите.

Тази последователност сочи към две цели на кражбата: първо продажба на записите, а след това използването им за директно изискване на плащания. Разкритите системи също така показват колко бързо откраднатите фирмени записи могат да преминат от мрежов пробив до персонализирани съобщения, доставени на обикновени клиенти в голям мащаб.

Фалшиви сметки в промишлен мащаб

Атакуващите са изградили споделен панел за измами, който е можел да променя брандинга и шаблоните на съобщенията си за различни компании за обществени услуги, под чието име са се представяли.

Той е използвал около 12 отвлечени пощенски кутии в Microsoft 365 за имейл и осем портала за съобщения за SMS. Шаблоните за WhatsApp също са съдържали връзки към измамни документи за фактури.

Панелът е генерирал 622 666 персонализирани кратки връзки и е регистрирал 317 696 събития на щракване до 14 септември. Някои страници за плащане са показвали автентични данни на клиенти и са копирали реални документи за фактури, което прави исканията по- трудни за пренебрегване.

Регистрираните стойности на фактурите са общо R$150,4 милиона, докато фактурите с щраквания представляват R$38,9 милиона излагане на риск; нито една от двете цифри не потвърждава реално получени пари.

Разследващите са открили също фишинг с кодове за устройства в Microsoft 365 и опити по телефона за получаване на кодове за потвърждение. Тези методи се различават от връзка с фалшива сметка, тъй като жертвата може да одобри достъп през реален екран за вход или по време на разговор.

Отделни доклади за фишинг с кодове за устройства илюстрират защо познатите екрани за вход не гарантират, че заявката е безопасна. Компаниите, засегнати от откраднати записи, трябва също да предупредят клиентите си за убедителни опити за самоличност.

Защитниците трябва да инсталират корекции за сигурност на разкритите устройства за отдалечен достъп, да проверят дали е необходимо заобикаляне на автентификацията и да проверяват необичайни VPN сесии.

От SOCRadar също така препоръчват да се ограничи изпълнението на команди в базите данни, да се следи за подозрителен DNS трафик и неочаквана активност по синхронизиране в облака, както и да се преглеждат одобренията на кодове за устройства и масовата поща от институционални акаунти.

За потребителите, неочаквана сметка трябва да бъде проверена през доверен акаунт или предварително известен канал за контакт, преди да се извърши незабавно плащане.

Разкритата инфраструктура е офлайн от средата на септември, но разследващите не можаха да установят дали по-широката операция е спряла, или се е преместила на друго място в множество региони.

Индикатори за компрометиране (IoCs):-

Забележка: IP адресите и домейните са нарочно неутрализирани (напр. [.]), за да се предотврати случайно разрешаване или създаване на хипервръзки. Възстановете ги само в рамките на контролирани платформи за разузнаване на заплахи като MISP, VirusTotal или вашия SIEM.