Uniklé dokumenty spojené s vyděračskou skupinou Luna Moth dávají obráncům vzácný pohled na to, jak je tato operace organizována. Podle Infosecurity Magazine materiál naznačuje vícesměrné úsilí, v němž specialisté na sociální inženýrství a technicky zdatnější útočníci spolupracují na manipulaci s jediným cílem. Pro každého, kdo se snaží pochopit playbook sociálního inženýrství skupiny Luna Moth, je toto rozdělení práce klíčovým detailem, protože vysvětluje, proč jediný přesvědčivý telefonát může vést k mnohem rozsáhlejšímu průniku.

Co úniky playbooku sociálního inženýrství Luna Moth odhalují

Skupina je známá také jako Silent Ransom Group, Chatty Spider a UNC3753. Veřejná varování, včetně jednoho zmiňovaného ve výsledcích vyhledávání FBI a IC3, ji popisují jako skupinu zaměřující se na advokátní kanceláře pomocí technik sociálního inženýrství, včetně vydávání se za IT personál. Samostatný výzkum hrozeb popisuje využívání callback phishingu jako součásti jejích kampaní za vydírání dat.

To, co nové úniky přinášejí, je podle reportáže pohled zevnitř. Namísto osamělého útočníka, který dělá vše, dokumenty ukazují na koordinované úsilí zaměřené vždy na jednu oběť. Dřívější zpravodajství na vpn.social se zabývalo tím, jak soubory Luna Moth odhalují playbook vydírání advokátních kanceláří a jak samostatný únik odhalil údajné platby. Společně tyto úniky naznačují strukturované podnikání, nikoli volné seskupení oportunistů.

Zde je na místě opatrnost. Zdrojový článek je krátké shrnutí a samotné uniklé dokumenty jsou tvrzení, která nebyla všechna nezávisle ověřena. Vzor, který popisují, však odpovídá tomu, před čím již veřejná varování varovala.

Jak volající a techničtí útočníci rozdělují práci

Praktickým ponaučením z popisované struktury je, že útok je štafetou. Jedna skupina lidí se zabývá lidskou stránkou: vytvářením uvěřitelné záminky, přiměřením cíle k interakci a přesvědčením, aby provedl konkrétní akci. Další skupina se zabývá technickou stránkou: využitím přístupu, který tento rozhovor vytvoří, k pohybu v systémech a odcizení dat.

Toto rozdělení je důležité ze dvou důvodů.

Za prvé, osoba na telefonu nemusí být technicky sofistikovaná. Jejím úkolem je přesvědčování. Potřebuje pouze to, aby cíl vydal přihlašovací údaje, schválil výzvu nebo otevřel dveře, a techničtí operátoři převezmou štafetu.

Za druhé, techničtí operátoři nemusí hledat softwarovou zranitelnost. Pokud jim je předáno legitimní přihlášení nebo důvěryhodná vzdálená relace, velká část jejich práce vypadá jako běžná aktivita. To je důvod, proč je obtížné útoky tohoto druhu zachytit pouze pomocí perimetrových nástrojů.

Důsledky jsou viditelné v právním sektoru. Zpravodajství, kterému jsme se dříve věnovali, uvedlo, že Jones Day a Mayer Brown potvrdily odcizení citlivých souborů, a v nejméně jednom případě byly soubory zveřejněny online poté, co požadavky na výkupné nebyly uhrazeny. Související zpráva o rostoucích útocích na advokátní kanceláře a vishingových podvodech ukazuje stejné téma: vstupním bodem je často člověk, nikoli kus malwaru.

Rozpoznání phishingových a vishingových záminek dříve, než jednáte

Protože první fází je rozhovor, vaší nejlepší ranou obranou je návyk, nikoli nástroj. Záminky, které se vydávají za IT podporu, mají obvykle několik společných rysů:

  • Naléhavost. Volající nebo e-mail tvrdí, že něco nefunguje, vyprší nebo je kompromitováno a vyžaduje okamžitou akci.
  • Neočekávaný kontakt. Neotevřeli jste tiket, přesto někdo tvrdí, že s jedním pomáhá.
  • Žádost o přístup. Jste požádáni, abyste přečetli kód, schválili přihlašovací výzvu, nainstalovali software nebo spustili vzdálenou relaci.
  • Zpětné volací číslo poskytnuté odesílatelem. Callback phishing spoléhá na to, že vytočíte číslo, které útočník ovládá.

Reakce je jednoduchá, i když v danou chvíli nepříjemná. Zavěste nebo přestaňte odpovídat. Poté kontaktujte svůj IT tým nebo poskytovatele pomocí čísla nebo kanálu, o kterém již víte, že je skutečný, například interního adresáře nebo oficiálního webu společnosti. Nepoužívejte kontaktní údaje ze samotné zprávy. Legitimní pracovníci podpory se nebudou zlobit, že je ověřujete.

Malé organizace by se také měly předem dohodnout na pravidle: nikdo není nikdy požádán, aby schválil přihlášení nebo nainstaloval software pro vzdálený přístup kvůli příchozímu hovoru. Písemné pravidlo snímá tlak z jednotlivého zaměstnance.

Omezení škod po odcizení přihlašovacích údajů

Předpokládejte, že někdo bude nakonec oklamán. Cílem pak je učinit odcizené přihlašovací údaje méně užitečnými.

Používejte MFA odolné vůči phishingu. Kódy zasílané textovou zprávou nebo výzvy v aplikaci mohou být z oběti vylákány během hovoru. Hardwarové bezpečnostní klíče a passkeys jsou navrženy tak, aby fungovaly pouze se skutečným webem, což odstraňuje nejběžnější věc, o kterou může volající požádat.

Omezte, k čemu má kterýkoli účet přístup. Pokud jediné přihlášení může otevřít všechny sdílené složky, jediný hovor může odhalit vše. Oddělte přístup podle role a odstraňte stará oprávnění.

Sledujte neobvyklé nástroje pro vzdálený přístup a velké přenosy. Nový software pro vzdálený přístup nebo hromadný pohyb dat mimo běžnou pracovní dobu by měly vyvolat kontrolu.

Mějte plán reakce. Vězte, komu volat, jak rychle deaktivovat účty a jak zachovat důkazy. Vyděračské skupiny spoléhají na zmatek a zpoždění.

Co to znamená pro vás

Nemusíte být advokátní kancelář, abyste byli cílem tohoto stylu útoku. Stejné záminky fungují na každého zaměstnance nebo jednotlivce, který má přístup, jenž stojí za odcizení. Úniky potvrzují, že nejslabším místem je často okamžik, kdy se někdo rozhoduje, zda důvěřovat hlasu. Pokud pracujete s citlivými údaji klientů nebo zákazníků, struktura popsaná v únicích by měla formovat vaše priority: nejprve ověřujte, chraňte účty silnějším ověřováním a omezte, k čemu má kterýkoli jednotlivý účet přístup.

Praktické závěry

  • S každým neočekávaným hovorem od „IT podpory“ zacházejte jako s neověřeným, dokud jej nepotvrdíte známým kanálem.
  • Nikdy nepředčítejte kódy, neschvalujte výzvy ani neinstalujte nástroje pro vzdálený přístup na žádost příchozího volajícího.
  • Přesuňte kritické účty na MFA odolné vůči phishingu, jako jsou bezpečnostní klíče nebo passkeys.
  • Omezte oprávnění účtů, aby jedno odcizené přihlášení nemohlo odhalit vše.
  • Sepište pravidlo ověřování a seznam kontaktů pro incidenty dříve, než je budete potřebovat.

Playbook sociálního inženýrství skupiny Luna Moth funguje, protože kombinuje přesvědčivý lidský hlas s trpělivým technickým následováním. Tento týden si projděte své vlastní vystavení falešným hovorům IT podpory, přejděte tam, kde je to možné, na MFA odolné vůči phishingu a přečtěte si naše související zpravodajství o únicích Luna Moth a vishingem řízeném vydírání, abyste viděli, jak se tyto útoky v praxi odvíjejí.