Изтекли документи, свързани с изнудващата група Luna Moth, дават на защитниците рядък поглед към това как е организирана операцията. Според Infosecurity Magazine материалите подсказват за многостранно усилие, при което специалисти по социално инженерство и по-технически атакуващи работят заедно, за да манипулират една единствена цел. За всеки, който се опитва да разбере наръчника за социално инженерство на Luna Moth, това разделение на труда е ключовият детайл, защото обяснява защо едно убедително телефонно обаждане може да доведе до много по-голямо проникване.

Какво разкриват изтеклите документи за наръчника за социално инженерство на Luna Moth

Групата е известна още като Silent Ransom Group, Chatty Spider и UNC3753. Публични предупреждения, включително едно, цитирано в резултати от търсене на FBI и IC3, я описват като насочена към адвокатски кантори с техники за социално инженерство, включително представяне за ИТ персонал. Отделно изследване на заплахи описва използването на callback фишинг като част от кампаниите ѝ за изнудване чрез данни.

Това, което новите изтекли документи добавят, въз основа на репортажа, е поглед отвътре. Вместо самотен атакуващ, който върши всичко, документите сочат към координирано усилие, насочено към една жертва наведнъж. По-ранно отразяване на vpn.social разгледа как файловете на Luna Moth разкриват наръчник за изнудване на адвокатски кантори и предполагаеми плащания, изплували от отделен изтекъл документ. Заедно тези изтекли документи подсказват структуриран бизнес, а не разхвърляна сбирка от опортюнисти.

Тук си струва да се внимава. Изходната статия е кратко резюме, а самите изтекли документи са твърдения, които не всички са независимо проверени. Моделът, който описват обаче, съвпада с това, за което публичните предупреждения вече са предупреждавали.

Как обаждащите се и техническите натрапници си разделят работата

Практическият урок от описаната структура е, че атаката е щафета. Една група хора се занимава с човешката страна: изграждане на достоверен претекст, ангажиране на целта и убеждаването ѝ да предприеме конкретно действие. Друга група се занимава с техническата страна: използване на какъвто и достъп да произведе този разговор, за да се придвижи през системите и да вземе данни.

Това разделение е важно по две причини.

Първо, човекът по телефона не трябва да е технически издържан. Работата му е убеждаването. Той само трябва целта да предаде идентификационни данни, да одобри подкана или да отвори врата, а техническите оператори поемат оттам.

Второ, техническите оператори не трябва да намират софтуерен дефект. Ако им бъде предаден легитимен вход или доверена отдалечена сесия, голяма част от работата им изглежда като нормална активност. Ето защо атаки от този вид са трудни за улавяне само с инструменти за периметър.

Последствията са видими в правния сектор. Отразяването, което покрихме по-рано, отбеляза, че Jones Day и Mayer Brown потвърдиха, че са откраднати чувствителни файлове, а в поне един случай публикувани онлайн, след като изнудващите искания останаха неплатени. Свързан репортаж за нарастващите атаки срещу адвокатски кантори и vishing измами показва същата тема: входната точка често е човек, а не парче злонамерен софтуер.

Разпознаване на фишинг и vishing претексти, преди да действате

Тъй като първият етап е разговор, най-добрата ви ранна защита е навик, а не инструмент. Претекстите, които се представят за ИТ поддръжка, обикновено споделят няколко характеристики:

  • Спешност. Обаждащият се или имейлът казва, че нещо е счупено, изтича или е компрометирано и изисква действие веднага.
  • Непоискан контакт. Вие не сте отворили тикет, но някой твърди, че помага с такъв.
  • Искане за достъп. От вас се иска да прочетете код, да одобрите подкана за вход, да инсталирате софтуер или да стартирате отдалечена сесия.
  • Номер за обратно обаждане, предоставен от подателя. Callback фишингът разчита на това да наберете номер, който атакуващият контролира.

Отговорът е прост, макар и неудобен в момента. Затворете или спрете да отговаряте. След това се свържете с вашия ИТ екип или доставчик, използвайки номер или канал, за който вече знаете, че е истински, като вътрешен указател или официалния уебсайт на компанията. Не използвайте данните за контакт от самото съобщение. Легитимният персонал за поддръжка няма да има нищо против да бъде проверен.

Малките организации също трябва да се споразумеят предварително за правило: никой никога не е помолен да одобри вход или да инсталира софтуер за отдалечен достъп поради входящо обаждане. Писмено правило сваля натиска от отделния служител.

Ограничаване на щетите след кражба на идентификационни данни

Приемете, че в крайна сметка някой ще бъде заблуден. Тогава целта е да се направи откраднатите идентификационни данни по-малко полезни.

Използвайте MFA, устойчива на фишинг. Кодовете, изпратени чрез текстово съобщение или подкани в приложение, могат да бъдат изтръгнати от жертва по време на разговор. Хардуерните ключове за сигурност и passkeys са проектирани да работят само с истинския сайт, което премахва най-честото нещо, което обаждащият се може да поиска.

Ограничете какво може да достигне всеки отделен акаунт. Ако един вход може да отвори всеки файлов дял, едно обаждане може да изложи всичко. Разделете достъпа по роля и премахнете стари разрешения.

Следете за необичайни отдалечени инструменти и големи трансфери. Нов софтуер за отдалечен достъп или масово движение на данни извън нормалните часове трябва да задейства преглед.

Имайте план за реакция. Знайте на кого да се обадите, как бързо да деактивирате акаунти и как да запазите доказателства. Изнудващите групи разчитат на объркване и забавяне.

Какво означава това за вас

Не е нужно да сте адвокатска кантора, за да бъдете цел на този стил атака. Същите претексти работят върху всеки служител или индивид, който има достъп, който си струва да бъде откраднат. Изтеклите документи подсилват, че най-слабата точка често е моментът, в който някой решава дали да се довери на глас. Ако работите с чувствителни клиентски данни, структурата, описана в изтеклите документи, трябва да оформи приоритетите ви: първо проверявайте, защитавайте акаунтите с по-силно удостоверяване и намалете какво може да достигне всеки отделен акаунт.

Практически изводи

  • Отнасяйте се към всяко неочаквано обаждане от „ИТ поддръжка“ като непотвърдено, докато не го потвърдите чрез известен канал.
  • Никога не четете кодове, не одобрявайте подкани и не инсталирайте отдалечени инструменти по искане на входящ обаждащ се.
  • Прехвърлете критичните акаунти към MFA, устойчива на фишинг, като ключове за сигурност или passkeys.
  • Ограничете разрешенията на акаунтите, така че един откраднат вход да не може да изложи всичко.
  • Запишете правило за проверка и списък с контакти за инциденти, преди да имате нужда от тях.

Наръчникът за социално инженерство на Luna Moth работи, защото съчетава убедителен човешки глас с търпеливо техническо проследяване. Прегледайте собствения си риск от фалшиви обаждания от ИТ поддръжка тази седмица, преминете към MFA, устойчива на фишинг, където можете, и прочетете свързаното ни отразяване на изтеклите документи за Luna Moth и изнудването, движено от vishing, за да видите как тези атаки се развиват на практика.