Изследователи от ANY.RUN проследиха фишинг кампанията CSuite, насочена основно към САЩ, чрез 351 анализа в изолирана среда, като 51% от подадените заявки произхождат от Съединените щати. Организации от секторите на технологиите, производството, държавното управление и консултантските услуги показват най-висока степен на уязвимост.

Чрез комбиниране на кражба на сесии от Microsoft 365 с внедряване на инструменти за отдалечен достъп, CSuite може да превърне единичен фишинг инцидент в по-мащабно компрометиране на акаунти, финансови измами и траен достъп до бизнес системите.

Фишингът CSuite води както до компрометиране на акаунти, така и до достъп до крайни устройства

Верига на атаката CSuite, разкрита от изследователите на ANY.RUN

CSuite започва с познати бизнес примамки, изградени около Adobe, DocuSign, Zoom, Google Meet, Dropbox и Microsoft 365.

Фалшифициран DocuSign плик от името на адвокатска кантора, анализиран в интерактивната изолирана среда на ANY.RUN

Оттам операцията може да поеме в две посоки. Единият път доставя инсталатори, архиви или олекотени BAT/VBS дропъри, които инсталират легитимни инструменти за управление като ScreenConnect или Action1, осигурявайки на атакуващите отдалечен достъп до крайното устройство.

Другият път е насочен към идентичността. Жертвите могат да бъдат насочени към събиране на идентификационни данни или фишинг процеси с код на устройството (device-code phishing), проектирани да прихващат достъп и активни сесии в Microsoft 365.

В една сесия в изолираната среда на ANY.RUN примамка с тема Adobe доставя BAT файл, който ескалира привилегии и инсталира ScreenConnect, демонстрирайки колко бързо фишинг страница може да се превърне в отдалечен достъп до крайно устройство.

Примамка с тема Adobe, анализирана в изолирана среда на ANY.RUN

Резултатът надхвърля мащаба на типичен фишинг инцидент: CSuite може да предостави на атакуващите контрол както върху бизнес акаунтите, така и върху устройствата на служителите, разширявайки потенциалните щети от компрометиране на пощенска кутия до трайно присъствие в корпоративната среда.

Намалете разходите при сложни инциденти, като предоставите на екипите необходимия контекст за тяхното изолиране, преди достъпът да се разпространи.

Дейността на CSuite е концентрирана в САЩ и критични за бизнеса сектори

Телеметрията от изолираната среда на ANY.RUN показва ясна концентрация на активността на CSuite в САЩ, като 51% от свързаните заявки идват от Съединените щати. Индия съставлява 18%, докато допълнителна активност е регистрирана във Филипините, Австралия, Обединеното кралство, Канада и други държави.

Заявки за анализ на CSuite в изолирана среда по държави

Кампанията засяга и редица ключови сектори с висока стойност. Технологиите, производството, държавната администрация и консултантските услуги са сред най-засегнатите в изследваната извадка.

Защо CSuite ескалира бързо

CSuite може да даде на атакуващите достъп както до Microsoft 365 акаунти, така и до крайните устройства на служителите, създавайки множество възможности за превръщане на една успешна фишинг атака в мащабен инцидент за организацията.

  • Превземане на пощенска кутия: Атакуващите могат да четат текущи разговори, да следят комуникация относно плащания и да се представят за доверени служители.
  • Финансови измами: Достъпът до реална бизнес кореспонденция позволява манипулиране на фактури, пренасочване на плащания и измами с доставчици.
  • Траен отдалечен достъп: Злоупотребата с RMM инструменти позволява на атакуващите да поддържат връзка със системите на жертвата дълго след първоначалната фишинг атака.
  • Вътрешно разпространение: Компрометираните акаунти могат да бъдат използвани за атакуване на колеги, партньори или клиенти от името на доверена самоличност.
  • По-широк обхват на инцидента: Екипите по сигурност може да се наложи едновременно да овладяват откраднати сесии и компрометирани крайни устройства, което увеличава усилията за реакция и прекъсването на работните процеси.

Какво трябва да приоритизират ръководителите по сигурността срещу CSuite

CSuite изисква интегриран подход при защитата. Ръководителите по сигурността трябва да се съсредоточат върху съкращаване на времето за разследване, контрол върху неоторизираните инструменти за отдалечен достъп и подобряване на видимостта както върху автентикацията, така и върху активността на крайните точки.

Осигурете на аналитиците пълна видимост върху веригата на атаката

CSuite може бързо да премине от убедителна бизнес примамка към браузърна активност, изпълнение на скриптове, доставка на зловреден код и инсталиране на отдалечен достъп. Аналитиците трябва да възстановят цялата последователност, вместо да оценяват инцидента само по един файл или домейн.

Интерактивната изолирана среда на ANY.RUN предоставя видимост както върху браузърните процеси, така и върху поведението на крайното устройство. В това разследване инспекцията в браузъра разкри препратка към /m/js/utils.js във фишинг страница на CSuite. След това изследователите използваха този повтарящ се път за идентифициране на свързана дейност в допълнителни анализи.

Импортиране на JavaScript файла utils.js в PDF Viewer

Същият анализ може да освети пренасочвания, JavaScript поведение, мрежови заявки, изпълнение на PowerShell, доставка на зловреден код и инсталиране на RMM, давайки на аналитиците повече контекст за изолиране на заплахата и вземане на решения за ескалация.

Разширете видимостта върху свързаната заплашителна активност

Единичен CSuite домейн или файл може да представлява само малка част от по-широка кампания. Аналитиците трябва да търсят повтарящи се пътища, инфраструктурни връзки и свързана историческа активност, вместо да разглеждат всеки индикатор изолирано.

С Threat Intelligence Lookup на ANY.RUN екипите могат да правят справки от домейни, IP адреси, URL адреси, файлове или повтарящи се артефакти към свързани анализи в изолирана среда.

Една полезна отправна точка от това разследване е: url:„/m/js/utils.js$“

Платформата за разузнаване на заплахи на ANY.RUN предоставя пълен контекст за подозрителната активност на CSuite

Заявката извежда активност от изолирана среда, при която URL адресът завършва с /m/js/utils.js — повтарящ се път, наблюдаван в свързани страници примамки на CSuite.

Разширете засичането без добавяне на допълнителна ръчна работа

Инфраструктурата на CSuite може да се сменя динамично, поради което ръчно поддържаните списъци за блокиране бързо остаряват. Екипите по откриване на заплахи трябва автоматично да подават актуалната злонамерена инфраструктура към съществуващите системи за сигурност, вместо да разчитат аналитиците да обогатяват всяко предупреждение ръчно.

SOC екипите интегрират канали за разузнаване на заплахи за актуални и приложими индикатори за компрометиране (IOC)

Каналите за разузнаване на заплахи на ANY.RUN могат да подават пресни злонамерени IP адреси, домейни, URL адреси и други индикатори за компрометиране (IOC) към SIEM, EDR, защитни стени и други системи за контрол. Базовите данни за заплахи се генерират от активността на над 16 000 организации и повече от 700 000 специалисти по сигурност, помагайки на екипите да поддържат актуална защита при промяна на инфраструктурата.

Осигурете на първо ниво (Tier 1) по-ясни доказателства за ескалация

Разследванията на фишинг атаки често се забавят на етапа на прехвърляне. Аналитиците от първо ниво може да се наложи да обобщават веригата на атаката, да извличат индикатори, да обясняват наблюдаваното поведение и да документират защо даден случай изисква ескалация.

Доклад на ANY.RUN за Tier 1 аналитици с обобщения от изкуствен интелект и препоръки за по-бързо прехвърляне

Структурираните доклади за разследване намаляват обема на тази подготвителна работа. Докладите на ANY.RUN за първо ниво пакетират констатациите от изолираната среда в отчет с поведенчески контекст, индикатори, обобщения от изкуствен интелект и препоръки, осигурявайки на старшите аналитици по-ясна отправна точка при ескалиране на инцидента.

Изграждане на SOC, който е до 3 пъти по-ефективен срещу възникващи заплахи

Кампании като CSuite действат бързо както на ниво идентичност, така и на ниво крайна точка, което принуждава аналитиците да отделят повече време за валидиране на сигнали, възстановяване на веригата на атаката и вземане на решения за ескалация.

ANY.RUN помага за намаляване на това натоварване, като предоставя на екипите по-бърз поведенчески контекст, по-обширно разузнаване на заплахи и структурирани доклади от разследвания. Организациите, използващи тези решения, отчитат:

  • 94% по-бързо триажиране на заплахи, помагайки на екипите да вземат решения за изолиране по-рано.
  • 20% по-малко време за разследване на първо ниво, освобождавайки капацитет за обработка на повече инциденти без увеличаване на персонала.
  • 30% по-малко ескалации от първо към второ ниво (Tier 1 → Tier 2), намалявайки натоварването върху старшите аналитици и предотвратявайки забавянето на сложни случаи.
  • 21 минути по-кратко средно време за възстановяване (MTTR), съкращавайки времето за престой на атакуващия в мрежата и ограничавайки потенциалните щети за бизнеса.

Мащабирайте реакцията на инциденти без разширяване на екипа.

Откривайте заплахи само за 15 секунди. Намалете MTTR с 21 минути на инцидент.