Διαρρεύσαντα έγγραφα που συνδέονται με την ομάδα εκβιασμών Luna Moth δίνουν στους υπερασπιστές μια σπάνια ματιά στο πώς είναι οργανωμένη η επιχείρηση. Σύμφωνα με το Infosecurity Magazine, το υλικό υποδηλώνει μια πολυμέτωπη προσπάθεια στην οποία ειδικοί στην κοινωνική μηχανική και πιο τεχνικοί επιτιθέμενοι συνεργάζονται για να χειραγωγήσουν έναν μόνο στόχο. Για όποιον προσπαθεί να κατανοήσει το εγχειρίδιο κοινωνικής μηχανικής της Luna Moth, αυτή η κατανομή εργασιών είναι η βασική λεπτομέρεια, επειδή εξηγεί γιατί ένα μόνο πειστικό τηλεφώνημα μπορεί να οδηγήσει σε μια πολύ μεγαλύτερη παραβίαση.

Τι αποκαλύπτουν οι διαρροές για το εγχειρίδιο κοινωνικής μηχανικής της Luna Moth

Η ομάδα είναι επίσης γνωστή ως Silent Ransom Group, Chatty Spider και UNC3753. Δημόσιες ειδοποιήσεις, συμπεριλαμβανομένης μιας που αναφέρεται σε αποτελέσματα αναζήτησης από το FBI και το IC3, την περιγράφουν ως στοχεύουσα δικηγορικές εταιρείες με τεχνικές κοινωνικής μηχανικής, συμπεριλαμβανομένης της πλαστοπροσωπίας προσωπικού πληροφορικής. Ξεχωριστή έρευνα απειλών περιγράφει τη χρήση callback phishing ως μέρος των εκστρατειών εκβιασμού δεδομένων της.

Αυτό που προσθέτουν οι νέες διαρροές, βάσει του ρεπορτάζ, είναι μια ματιά από τα μέσα. Αντί για έναν μοναχικό επιτιθέμενο που τα κάνει όλα, τα έγγραφα υποδεικνύουν μια συντονισμένη προσπάθεια με στόχο ένα θύμα τη φορά. Προηγούμενη κάλυψη στο vpn.social εξέτασε πώς τα αρχεία της Luna Moth αποκαλύπτουν ένα εγχειρίδιο εκβιασμού δικηγορικών εταιρειών και φερόμενες πληρωμές που ήρθαν στο φως από μια ξεχωριστή διαρροή. Μαζί, αυτές οι διαρροές υποδηλώνουν μια δομημένη επιχείρηση παρά μια χαλαρή συλλογή καιροσκόπων.

Αξίζει προσοχή εδώ. Το άρθρο πηγής είναι μια σύντομη σύνοψη, και τα ίδια τα διαρρεύσαντα έγγραφα είναι ισχυρισμοί που δεν έχουν όλοι επαληθευτεί ανεξάρτητα. Το μοτίβο που περιγράφουν, ωστόσο, ταιριάζει με αυτό για το οποίο έχουν ήδη προειδοποιήσει οι δημόσιες ειδοποιήσεις.

Πώς οι τηλεφωνητές και οι τεχνικοί εισβολείς μοιράζουν τη δουλειά

Το πρακτικό δίδαγμα από την αναφερόμενη δομή είναι ότι η επίθεση είναι μια σκυταλοδρομία. Μια ομάδα ανθρώπων χειρίζεται την ανθρώπινη πλευρά: χτίζοντας ένα αξιόπιστο πρόσχημα, κάνοντας έναν στόχο να εμπλακεί και πείθοντάς τον να προβεί σε μια συγκεκριμένη ενέργεια. Μια άλλη ομάδα χειρίζεται την τεχνική πλευρά: χρησιμοποιώντας όποια πρόσβαση παράγει αυτή η συνομιλία για να κινηθεί μέσα στα συστήματα και να πάρει δεδομένα.

Αυτός ο διαχωρισμός έχει σημασία για δύο λόγους.

Πρώτον, το άτομο στο τηλέφωνο δεν χρειάζεται να είναι τεχνικά εξελιγμένο. Η δουλειά του είναι η πειθώ. Χρειάζεται μόνο ο στόχος να παραδώσει ένα διαπιστευτήριο, να εγκρίνει ένα μήνυμα ή να ανοίξει μια πόρτα, και οι τεχνικοί χειριστές αναλαμβάνουν από εκεί.

Δεύτερον, οι τεχνικοί χειριστές δεν χρειάζεται να βρουν ένα σφάλμα λογισμικού. Αν τους παραδοθεί μια νόμιμη σύνδεση ή μια έμπιστη απομακρυσμένη συνεδρία, μεγάλο μέρος της δουλειάς τους μοιάζει με φυσιολογική δραστηριότητα. Αυτός είναι ο λόγος που επιθέσεις αυτού του είδους είναι δύσκολο να εντοπιστούν μόνο με εργαλεία περιμέτρου.

Οι συνέπειες έχουν γίνει ορατές στον νομικό τομέα. Ρεπορτάζ που καλύψαμε νωρίτερα ανέφερε ότι οι Jones Day και Mayer Brown επιβεβαίωσαν ότι εκλάπησαν ευαίσθητα αρχεία, και σε τουλάχιστον μία περίπτωση δημοσιεύτηκαν online αφού οι απαιτήσεις εκβιασμού έμειναν απλήρωτες. Μια σχετική αναφορά για την αύξηση των επιθέσεων σε δικηγορικές εταιρείες και τις απάτες vishing δείχνει το ίδιο θέμα: το σημείο εισόδου είναι συχνά ένα πρόσωπο, όχι ένα κομμάτι κακόβουλου λογισμικού.

Εντοπίζοντας προσχήματα phishing και vishing πριν δράσετε

Επειδή το πρώτο στάδιο είναι μια συνομιλία, η καλύτερη πρώιμη άμυνά σας είναι μια συνήθεια παρά ένα εργαλείο. Τα προσχήματα που υποδύονται την υποστήριξη πληροφορικής τείνουν να μοιράζονται μερικά χαρακτηριστικά:

  • Επείγον. Ο καλών ή το email λέει ότι κάτι είναι χαλασμένο, λήγει ή έχει παραβιαστεί και χρειάζεται ενέργεια τώρα αμέσως.
  • Ανεπιθύμητη επαφή. Δεν ανοίξατε εσείς κάποιο αίτημα υποστήριξης, ωστόσο κάποιος ισχυρίζεται ότι βοηθά με ένα.
  • Αίτημα για πρόσβαση. Σας ζητούν να διαβάσετε έναν κωδικό, να εγκρίνετε ένα μήνυμα σύνδεσης, να εγκαταστήσετε λογισμικό ή να ξεκινήσετε μια απομακρυσμένη συνεδρία.
  • Αριθμός επιστροφής κλήσης που παρέχεται από τον αποστολέα. Το callback phishing βασίζεται στο να καλέσετε εσείς έναν αριθμό που ελέγχει ο επιτιθέμενος.

Η απάντηση είναι απλή, αν και άβολη τη στιγμή. Κλείστε το τηλέφωνο ή σταματήστε να απαντάτε. Στη συνέχεια επικοινωνήστε με την ομάδα πληροφορικής ή τον πάροχό σας χρησιμοποιώντας έναν αριθμό ή κανάλι που γνωρίζετε ήδη ότι είναι γνήσιο, όπως έναν εσωτερικό κατάλογο ή την επίσημη ιστοσελίδα της εταιρείας. Μη χρησιμοποιείτε στοιχεία επικοινωνίας από το ίδιο το μήνυμα. Το νόμιμο προσωπικό υποστήριξης δεν θα έχει πρόβλημα να επαληθευτεί.

Οι μικροί οργανισμοί θα πρέπει επίσης να συμφωνήσουν εκ των προτέρων σε έναν κανόνα: ποτέ δεν ζητείται από κανέναν να εγκρίνει μια σύνδεση ή να εγκαταστήσει λογισμικό απομακρυσμένης πρόσβασης λόγω μιας εισερχόμενης κλήσης. Ένας γραπτός κανόνας αφαιρεί την πίεση από τον μεμονωμένο εργαζόμενο.

Περιορίζοντας τη ζημιά μετά την κλοπή ενός διαπιστευτηρίου

Υποθέστε ότι τελικά κάποιος θα ξεγελαστεί. Ο στόχος τότε είναι να κάνετε ένα κλεμμένο διαπιστευτήριο λιγότερο χρήσιμο.

Χρησιμοποιήστε MFA ανθεκτικό στο phishing. Κωδικοί που αποστέλλονται με γραπτό μήνυμα ή ειδοποιήσεις εφαρμογής μπορούν να αποσπαστούν από ένα θύμα σε μια κλήση. Τα κλειδιά ασφαλείας υλικού και τα passkeys είναι σχεδιασμένα να λειτουργούν μόνο με τη γνήσια ιστοσελίδα, κάτι που αφαιρεί το πιο συνηθισμένο πράγμα που μπορεί να ζητήσει ένας καλών.

Περιορίστε τι μπορεί να προσεγγίσει οποιοσδήποτε λογαριασμός. Αν μια μόνο σύνδεση μπορεί να ανοίξει κάθε κοινόχρηστο φάκελο, μια μόνο κλήση μπορεί να εκθέσει τα πάντα. Διαχωρίστε την πρόσβαση ανά ρόλο και αφαιρέστε παλιές άδειες.

Προσέξτε για ασυνήθιστα απομακρυσμένα εργαλεία και μεγάλες μεταφορές. Νέο λογισμικό απομακρυσμένης πρόσβασης ή μαζική μετακίνηση δεδομένων εκτός κανονικών ωρών θα πρέπει να προκαλεί αναθεώρηση.

Έχετε ένα σχέδιο απόκρισης. Ξέρετε ποιον να καλέσετε, πώς να απενεργοποιήσετε λογαριασμούς γρήγορα και πώς να διατηρήσετε αποδεικτικά στοιχεία. Οι ομάδες εκβιασμού βασίζονται στη σύγχυση και την καθυστέρηση.

Τι σημαίνει αυτό για εσάς

Δεν χρειάζεται να είστε δικηγορική εταιρεία για να είστε στόχος αυτού του στυλ επίθεσης. Τα ίδια προσχήματα λειτουργούν σε οποιονδήποτε εργαζόμενο ή άτομο έχει πρόσβαση που αξίζει να κλαπεί. Οι διαρροές ενισχύουν ότι το πιο αδύναμο σημείο είναι συχνά η στιγμή που κάποιος αποφασίζει αν θα εμπιστευτεί μια φωνή. Αν εργάζεστε με ευαίσθητα δεδομένα πελατών, η δομή που περιγράφεται στις διαρροές θα πρέπει να διαμορφώσει τις προτεραιότητές σας: επαληθεύστε πρώτα, προστατέψτε τους λογαριασμούς με ισχυρότερη αυθεντικοποίηση και μειώστε τι μπορεί να προσεγγίσει οποιοσδήποτε μεμονωμένος λογαριασμός.

Πρακτικά συμπεράσματα

  • Αντιμετωπίστε οποιαδήποτε απρόσμενη κλήση από "υποστήριξη πληροφορικής" ως μη επαληθευμένη μέχρι να την επιβεβαιώσετε μέσω γνωστού καναλιού.
  • Ποτέ μη διαβάζετε κωδικούς, μην εγκρίνετε μηνύματα ή μην εγκαθιστάτε απομακρυσμένα εργαλεία κατόπιν αιτήματος εισερχόμενου καλούντος.
  • Μετακινήστε κρίσιμους λογαριασμούς σε MFA ανθεκτικό στο phishing, όπως κλειδιά ασφαλείας ή passkeys.
  • Περιορίστε τις άδειες λογαριασμών ώστε μια κλεμμένη σύνδεση να μην μπορεί να εκθέσει τα πάντα.
  • Γράψτε έναν κανόνα επαλήθευσης και μια λίστα επαφών περιστατικών πριν τους χρειαστείτε.

Το εγχειρίδιο κοινωνικής μηχανικής της Luna Moth λειτουργεί επειδή συνδυάζει μια πειστική ανθρώπινη φωνή με υπομονετική τεχνική συνέχεια. Εξετάστε τη δική σας έκθεση σε ψεύτικες κλήσεις υποστήριξης πληροφορικής αυτή την εβδομάδα, μεταβείτε σε MFA ανθεκτικό στο phishing όπου μπορείτε και διαβάστε τη σχετική κάλυψή μας για τις διαρροές της Luna Moth και τον εκβιασμό που καθοδηγείται από vishing για να δείτε πώς αυτές οι επιθέσεις εκτυλίσσονται στην πράξη.