Lækkede dokumenter knyttet til afpresningsgruppen Luna Moth giver forsvarere et sjældent indblik i, hvordan operationen er organiseret. Ifølge Infosecurity Magazine tyder materialet på en flerstrenget indsats, hvor specialister i social engineering og mere tekniske angribere arbejder sammen om at manipulere et enkelt mål. For alle, der forsøger at forstå Luna Moths social engineering-playbook, er denne arbejdsdeling den afgørende detalje, fordi den forklarer, hvorfor et enkelt overbevisende telefonopkald kan føre til et meget større indbrud.

Hvad lækagerne om Luna Moths social engineering-playbook afslører

Gruppen er også kendt som Silent Ransom Group, Chatty Spider og UNC3753. Offentlige advarsler, herunder en, der refereres til i søgeresultater fra FBI og IC3, beskriver den som målrettet mod advokatfirmaer med social engineering-teknikker, heriblandt at udgive sig for at være IT-personale. Separat trusselsforskning beskriver brugen af callback-phishing som en del af dens dataafpresningskampagner.

Det nye, som lækagerne tilføjer, baseret på rapporteringen, er et indblik indefra. I stedet for en enkelt angriber, der gør alt, peger dokumenterne på en koordineret indsats rettet mod ét offer ad gangen. Tidligere dækning på vpn.social undersøgte, hvordan Luna Moth-filerne afslører en playbook for afpresning af advokatfirmaer og påståede betalinger, som en separat lækage bragte for dagens lys. Tilsammen tyder disse lækager på en struktureret forretning snarere end en løs samling af opportunister.

Det er værd at være forsigtig her. Kildeartiklen er et kort resumé, og de lækkede dokumenter er i sig selv påstande, som ikke alle er blevet uafhængigt verificeret. Det mønster, de beskriver, stemmer dog overens med det, offentlige advarsler allerede har advaret om.

Hvordan opkaldere og tekniske indtrængere deler arbejdet

Den praktiske lære af den rapporterede struktur er, at angrebet er en stafet. Én gruppe mennesker håndterer den menneskelige side: at opbygge et troværdigt påskud, få et mål til at engagere sig og overtale dem til at foretage en bestemt handling. En anden gruppe håndterer den tekniske side: at bruge den adgang, samtalen frembringer, til at bevæge sig gennem systemer og tage data.

Denne opdeling er vigtig af to grunde.

For det første behøver personen i telefonen ikke at være teknisk avanceret. Deres job er overbevisning. De har kun brug for, at målet udleverer en adgangskode, godkender en prompt eller åbner en dør, og de tekniske operatører tager den derfra.

For det andet behøver de tekniske operatører ikke at finde en softwarefejl. Hvis et legitimt login eller en betroet fjernsession bliver givet til dem, ligner meget af deres arbejde normal aktivitet. Det er derfor, angreb af denne type er svære at fange alene med perimeter-værktøjer.

Konsekvenserne har været synlige i advokatsektoren. Rapportering, vi dækkede tidligere, bemærkede, at Jones Day og Mayer Brown bekræftede, at fortrolige filer blev stjålet, og i mindst ét tilfælde offentliggjort online, efter at afpresningskrav forblev ubetalt. En relateret rapport om stigende angreb på advokatfirmaer og vishing-svindel viser det samme tema: indgangspunktet er ofte en person, ikke et stykke malware.

Spot phishing- og vishing-påskud, før du handler

Fordi det første trin er en samtale, er dit bedste tidlige forsvar en vane snarere end et værktøj. Påskud, der udgiver sig for at være IT-support, har tendens til at dele nogle få træk:

  • Hastværk. Opringeren eller e-mailen siger, at noget er i stykker, udløber eller er kompromitteret og kræver handling lige nu.
  • Uopfordret kontakt. Du har ikke oprettet en sag, alligevel hævder nogen at hjælpe med en.
  • En anmodning om adgang. Du bliver bedt om at læse en kode højt, godkende en login-prompt, installere software eller starte en fjernsession.
  • Et callback-nummer angivet af afsenderen. Callback-phishing afhænger af, at du ringer til et nummer, som angriberen kontrollerer.

Svaret er enkelt, om end akavet i øjeblikket. Læg på eller stop med at svare. Kontakt derefter dit IT-team eller din udbyder via et nummer eller en kanal, som du allerede ved er ægte, såsom en intern mappe eller den officielle virksomhedshjemmeside. Brug ikke kontaktoplysninger fra selve meddelelsen. Legitimt supportpersonale vil ikke have noget imod at blive verificeret.

Små organisationer bør også på forhånd blive enige om en regel: ingen bliver nogensinde bedt om at godkende et login eller installere fjernadgangssoftware på grund af et indgående opkald. En nedskrevet regel tager presset af den enkelte medarbejder.

Begræns skaden, efter en adgangskode er stjålet

Antag, at nogen med tiden vil blive narret. Målet er da at gøre en stjålet adgangskode mindre anvendelig.

Brug phishing-resistent MFA. Koder sendt via sms eller app-prompts kan lokkes ud af et offer i et opkald. Hardware-sikkerhedsnøgler og passkeys er designet til kun at fungere med det ægte websted, hvilket fjerner det mest almindelige, en opringer kan bede om.

Begræns, hvad en enkelt konto kan nå. Hvis et enkelt login kan åbne alle filshare, kan et enkelt opkald eksponere alt. Adskil adgang efter rolle, og fjern gamle tilladelser.

Hold øje med usædvanlige fjernværktøjer og store overførsler. Ny fjernadgangssoftware eller massiv databevægelse uden for normal arbejdstid bør udløse en gennemgang.

Hav en beredskabsplan. Vid, hvem du skal ringe til, hvordan du hurtigt deaktiverer konti, og hvordan du bevarer beviser. Afpresningsgrupper er afhængige af forvirring og forsinkelse.

Hvad dette betyder for dig

Du behøver ikke være et advokatfirma for at være et mål for denne angrebsstil. De samme påskud virker på enhver medarbejder eller person, der har adgang, som er værd at stjæle. Lækagerne bekræfter, at det svageste punkt ofte er det øjeblik, hvor nogen beslutter, om de skal stole på en stemme. Hvis du arbejder med følsomme klient- eller kundedata, bør strukturen beskrevet i lækagerne forme dine prioriteter: verificer først, beskyt konti med stærkere godkendelse, og reducer, hvad en enkelt konto kan nå.

Handlingsrettede pointer

  • Behandl ethvert uventet opkald fra "IT-support" som uverificeret, indtil du bekræfter det via en kendt kanal.
  • Læs aldrig koder højt, godkend prompts eller installer fjernværktøjer på anmodning fra en indgående opringer.
  • Flyt kritiske konti til phishing-resistent MFA såsom sikkerhedsnøgler eller passkeys.
  • Trim konto-tilladelser, så ét stjålet login ikke kan eksponere alt.
  • Skriv en verifikationsregel og en kontaktliste til hændelser ned, før du får brug for dem.

Luna Moths social engineering-playbook fungerer, fordi den kombinerer en overbevisende menneskelig stemme med tålmodig teknisk opfølgning. Gennemgå din egen eksponering over for falske IT-supportopkald i denne uge, skift til phishing-resistent MFA, hvor du kan, og læs vores relaterede dækning af Luna Moth-lækagerne og vishing-drevet afpresning for at se, hvordan disse angreb udfolder sig i praksis.