Microsoft Threat Intelligence har advaret om, at en Kina-baseret trusselsaktør, som de sporer som NeedyMantis, har målrettet organisationer på tværs af en række brancher. Ifølge rapportens dækning er gruppen afhængig af malware bygget til NeedyMantis malware persistent network access, hvilket betyder, at målet ikke er et hurtigt smash-and-grab, men et langt ophold i offerets miljø.

Det offentlige resumé er sparsomt med tekniske detaljer, så dette indlæg holder sig til det, der er blevet rapporteret, og forklarer, hvorfor mønsteret er vigtigt for personer, hvis data befinder sig i målrettede organisationer.

Hvad Microsoft siger, NeedyMantis gør

Microsoft Threat Intelligence beskriver NeedyMantis som en trusselsaktør fra Kina. Virksomheden siger, at gruppen har målrettet organisationer på tværs af en række brancher snarere end en enkelt sektor. Malwaren, der forbindes med gruppen, beskrives som at muliggøre vedvarende adgang til ofrenes netværk.

Vedvarende adgang er en nøglefrase. Det betyder, at en indtrængende etablerer et fodfæste, der overlever genstart, adgangskodeændringer eller rutinemæssig oprydning, så de kan vende tilbage, når de vil. Kildematerialet oplister ikke specifikke ofre, malwarefunktioner, datoer eller tekniske indikatorer, og vi vil ikke gætte på dem. Organisationer, der ønsker disse detaljer, bør konsultere Microsofts egen rådgivning direkte.

Hvorfor vedvarende adgang er vigtig for personoplysninger

En angriber, der stille kan forblive inde i et netværk, har tiden på sin side. I stedet for at tage, hvad der er tilgængeligt på dag ét, kan de observere, hvordan systemer fungerer, finde ud af, hvor følsomme registre befinder sig, og indsamle information gradvist. Den slags adgang kan være svær at opdage, fordi den måske ikke udløser de højlydte symptomer, folk forbinder med ransomware eller defacement.

For enkeltpersoner er risikoen indirekte. Du installerer måske aldrig noget mistænkeligt eller klikker på et dårligt link, men dine oplysninger kan stadig blive eksponeret, fordi en arbejdsgiver, tjenesteudbyder eller institution, du har med at gøre, blev kompromitteret. Registre som kontaktoplysninger, kontoinformation eller ansættelsesdata er den slags materiale, som organisationer rutinemæssigt opbevarer, og en langsigtet indtrængende kan være positioneret til at nå dem.

Intet i rapporteringen siger, at personoplysninger er blevet stjålet i denne kampagne. Pointen er strukturel: Når statsstøttede aktører sætter sig fast i netværk, bliver dataene i disse netværk tilgængelige.

Hvilke sektorer bringer forbrugeroplysninger i fare

Microsoft siger, at NeedyMantis har ramt en række brancher, hvilket antyder, at ingen kategori er sikker at ignorere. Generelt set er enhver organisation, der opbevarer kunde-, patient-, medarbejder- eller medlemsoplysninger, en potentiel kilde til personoplysninger. Tænk på de virksomheder og institutioner, som de fleste har regelmæssig kontakt med: arbejdsgivere, tjenesteudbydere, professionelle firmaer og leverandører, der forbinder til større organisationer.

Fordi kilden ikke navngiver de påvirkede brancher, ville det være unøjagtigt at pege på specifikke sektorer som bekræftede mål. En praktisk konklusion er simpelthen at antage, at de organisationer, der opbevarer dine oplysninger, er potentielle mål, og planlægge derefter.

Hvad dette betyder for dig

Du kan ikke patche en andens netværk, men du kan reducere, hvor meget et brud andetsteds skader dig. Her er, hvad der er realistisk:

  • Brug unikke adgangskoder og en adgangskodeadministrator. Hvis én organisation kompromitteres, giver genbrugte legitimationsoplysninger angribere mulighed for at prøve dem andre steder.
  • Slå multi-faktor-godkendelse til for e-mail, bank og arbejdskonti, ideelt set med en godkendelsesapp eller sikkerhedsnøgle frem for SMS.
  • Del mindre. Giv kun organisationer de personoplysninger, de virkelig har brug for, da data, der aldrig indsamles, ikke kan stjæles.
  • Vær opmærksom på opfølgende phishing. Stjålne oplysninger driver ofte overbevisende beskeder, der refererer til rigtige konti eller arbejdsgivere.
  • Hold enheder opdaterede, så dine egne systemer ikke er et let sekundært indgangspunkt.

Det hjælper også at være klar over grænserne for forbrugerværktøjer. En VPN krypterer trafik mellem din enhed og VPN-serveren, hvilket er nyttigt på utro值得 netværk. Det beskytter ikke data, som en organisation opbevarer på sine egne servere, og det kan ikke stoppe en indtrængende, der allerede er inde i en virksomheds netværk.

Et parallelt eksempel: Statsrelaterede aktører og hverdagsnetværk

Statsrelaterede aktører, der går efter almindelige brugere, er ikke nyt. Microsoft har tidligere henledt opmærksomheden på russisk aktivitet på offentlige netværk, og vores dækning af, hvordan Microsoft kædede hotel-Wi-Fi-malwareangreb sammen med Ruslands APT29, viser, hvordan rejsende kan blive mål. Vi rapporterede også om Microsofts advarsel om russiske hackere på hotel-Wi-Fi-netværk, som involverede stjålne Microsoft 365-legitimationsoplysninger og malware pushet til Windows-pc'er. En yderligere advarsel dækkede Storm-2945 falske Wi-Fi-angreb på rejsende.

Disse sager viser, hvor en krypteret tunnel kan hjælpe: På delt eller utro值得 Wi-Fi gør den det sværere for andre på netværket at snuse til din trafik. De viser også, hvor den kommer til kort. Hvis du indtaster legitimationsoplysninger på en overbevisende falsk login-side eller installerer malware, redder kryptering under transmission dig ikke.

Vigtige pointer

NeedyMantis-advarslen er en påmindelse om, at vedvarende adgang er den reelle trussel: stille, tålmodig og svær at opdage. Styrk det, du kontrollerer. Brug stærke, unikke adgangskoder, aktivér multi-faktor-godkendelse, vær forsigtig på offentlige netværk, og brug en krypteret forbindelse, når du ikke kan stole på Wi-Fi'en. Kombinér disse vaner med skepsis over for uventede beskeder, og du vil være langt bedre stillet, hvis en organisation, der opbevarer dine data, nogensinde bliver kompromitteret.