Атакуващи, представящи се за служители от ИТ поддръжката, са се свързвали със служители по телефон, имейл и Microsoft Teams през третото тримесечие на 2026 г. и са ги убеждавали да стартират сесии за отдалечен достъп, установиха от Cisco Talos Incident Response (Talos IR) в рамките на няколко разследвания. В един от случаите този достъп е довел до атака с рансъмуер.
Разполагали са с имена и имейл адреси
„Атакуващите изглежда са знаели имената и имейл адресите на служителите, тъй като са се свързвали с потребителите директно по имейл и чрез Teams, използвайки самоличности, имитиращи легитимен персонал от ИТ поддръжката на компанията“, коментира пред Help Net Security Ализа Джонсън, изследовател в Cisco Talos.
„Те вероятно са разполагали с широки, общи познания за това как обикновено протичат взаимодействията с ИТ поддръжката, тъй като успешно са насочвали жертвите към сесии в Teams и отдалечен достъп и са показали познаване на популярни корпоративни платформи като Quick Assist; въпреки това няма ясни доказателства за задълбочено профилиране на конкретната компания или жертва отвъд основната информация за самоличност и контакт“, допълни тя.
Целите не са били ограничени само до висшия мениджмънт или техническия персонал. „Потърпевшите, с които е осъществен контакт, варират както между различните организации, така и в рамките на една и съща компания. Това предполага, че злонамерените субекти са търсели предимно всеки податлив на манипулация потребител за първоначален достъп, вместо да се насочват към конкретни лица за привилегирован или специализиран достъп“, посочи Джонсън. Защитите, изградени около администратори и ръководители, не биха обхванали много от хората, до които тези атакуващи са достигнали.
„Някои от тези атаки изглеждат опортюнистични. В един от случаите жертвата се е обадила на фалшив номер за ИТ поддръжка, показан в стандартно измамно изскачащо прозорче в браузъра, което не е имитирало организацията на жертвата, и по-късно е предоставила отдалечен достъп на атакуващия. В друг случай киберпрестъпникът е стартирал две фишинг вълни, вероятно очаквайки, че поне една цел ще бъде компрометирана“, каза тя.
В първия от тези случаи жертвата сама е набрала номера.
Една сесия в Quick Assist, последвана от рансъмуер
При разследване на случай, включващ VYPR – вариант на рансъмуер, който Talos счита за нов и все още оперативно незрял – атакуващият е използвал гласов фишинг (вишинг), за да накара потребител да стартира сесия в Microsoft Quick Assist. От Talos не са успели да потвърдят какво точно е казал обаждащият се. Софтуер за отдалечено наблюдение и управление (RMM), който вече е бил наличен в мрежата, след това е изпълнил PowerShell команди, които са изтеглили и инсталирали пакет на Microsoft Software Installer от отдалечен IP адрес.
Операторите на VYPR са надградили по-стар изтекъл изходен код, базиран на Conti, с минимални промени. За да неутрализират EDR инструментите, те са заредили легитимни, но съдържащи уязвимости драйвери, за да получат достъп на ниво ядро – техника, известна като „използване на собствен уязвим драйвер“ (BYOVD) – и са внедрили необичайно голям брой от тях, вероятно като резервни варианти. Извличането на данни е продължило няколко дни, което Talos не наблюдава често при случаи с рансъмуер. Групата не е разполагала със сайт за публикуване на изтекли данни до приключването на разследването.
Скрипт, насочен към идентификационните данни за Claude Code
На отделно крайно устройство с macOS, заразено чрез троянизирано приложение, атакуващите са използвали скрипт за претърсване на Keychain – вграденото хранилище за пароли на Mac – за идентификационни данни, свързани с асистента Claude Code на Anthropic.
„Наблюдавахме контролиран от атакуващия акаунт, който изпълнява следната команда, насочена към идентификационните данни на Anthropic Claude Code, вероятно с цел извличане на пароли. Няма индикации злонамереният субект да е използвал тези данни“, отбеляза Джонсън. Командата е била /bin/sh -c security find-generic-password -a “[USER_NAME]” -w -s “Claude Code-credentials”. Нейният флаг -w указва на macOS да изведе съхранената тайна.
В друг случай вътрешен човек, нает с фалшиви документи и данни, е използвал привилегирован достъп, за да инсталира GitHub Copilot CLI и Claude Code. Разследващите не са открили доказателства за злонамерена дейност или кражба на данни. Достъпът на служителя като разработчик, който е включвал клониране на хранилища с код и свързване към бази данни, е можел да му позволи да използва тези инструменти за автоматизиране на злонамерени действия.
Журнали за събития, MFA и проверки от ИТ поддръжката
Talos IR препоръчва устойчива на фишинг многофакторна автентикация (MFA), като FIDO2/WebAuthn и хардуерни ключове за сигурност, вместо насочени известия (push) и SMS кодове. Експертите също така препоръчват да се изисква проверка от страна на ИТ поддръжката, преди служителите да могат сами да регистрират нови методи за MFA.
Сред разследваните инциденти, при които входната точка е била известна, фишингът остава водещият метод за първоначален достъп с 37 процента, което е спад спрямо над 50 процента през предходното тримесечие. Експлоатирането на публично достъпни приложения следва с 33 процента. Проблемите с управлението на идентификационни данни и тайни, както и слабата автентикация или MFA, се срещат във всеки трети (33 процента) от случаите.
Недостатъчното записване на журнали за събития (логинг) оглавява списъка със слабости, появявайки се в над 40 процента от случаите – отчасти защото атакуващите са изтривали журнали, и отчасти защото клиентите не са ги съхранявали или конфигурирали правилно. Talos препоръчва поне 90 дни централизирано съхранение на журналите, като записите се препращат извън всяко устройство, за да оцелеят при манипулация и преинсталиране на системите.