Luna Moth -kiristysryhmään liittyvät vuodetut asiakirjat antavat puolustajille harvinaisen näkymän siihen, miten operaatio on organisoitu. Infosecurity Magazinen mukaan materiaali viittaa monihaaraiseen pyrkimykseen, jossa sosiaalisen manipuloinnin asiantuntijat ja teknisemmät hyökkääjät työskentelevät yhdessä yhden kohteen manipuloimiseksi. Jokaiselle, joka yrittää ymmärtää Luna Mothin sosiaalisen manipuloinnin pelikirjaa, tämä työnjako on keskeinen yksityiskohta, sillä se selittää, miksi yksi vakuuttava puhelinsoitto voi johtaa paljon suurempaan tunkeutumiseen.

Mitä Luna Mothin sosiaalisen manipuloinnin pelikirjan vuodot paljastavat

Ryhmä tunnetaan myös nimillä Silent Ransom Group, Chatty Spider ja UNC3753. Julkiset tiedotteet, mukaan lukien yksi FBI:n ja IC3:n hakutuloksissa viitattu, kuvailevat sen kohdistuvan lakitoimistoihin sosiaalisen manipuloinnin keinoin, mukaan lukien IT-henkilöstönä esiintyminen. Erillinen uhkatutkimus kuvailee takaisinsoittotietojen kalastelun (callback phishing) käyttöä osana sen datan kiristyskampanjoita.

Se, mitä uudet vuodot lisäävät raportoinnin perusteella, on näkymä sisältäpäin. Sen sijaan, että yksinäinen hyökkääjä tekisi kaiken, asiakirjat viittaavat koordinoituun pyrkimykseen, joka kohdistuu yhteen uhriin kerrallaan. Aiempi vpn.socialin kattaus tarkasteli, miten Luna Moth -tiedostot paljastavat lakitoimistojen kiristyspelikirjan ja väitettyjä maksuja, jotka nousivat esiin erillisestä vuodosta. Yhdessä nämä vuodot viittaavat jäsenneltyyn liiketoimintaan pikemminkin kuin löyhään opportunistien joukkoon.

Tässä kannattaa olla varovainen. Lähdeartikkeli on lyhyt yhteenveto, eivätkä vuodetut asiakirjat itsessään ole väitteitä, joita kaikkia olisi itsenäisesti vahvistettu. Niiden kuvaama kaava vastaa kuitenkin sitä, mistä julkiset tiedotteet ovat jo varoittaneet.

Miten soittajat ja tekniset tunkeutujat jakavat työn

Raportoidun rakenteen käytännön oppi on, että hyökkäys on viestijuoksu. Yksi ihmisryhmä hoitaa inhimillisen puolen: rakentaa uskottavan verukkeen, saa kohteen osallistumaan ja suostuttelee hänet tiettyyn toimintaan. Toinen ryhmä hoitaa teknisen puolen: käyttää mitä tahansa pääsyä, jonka kyseinen keskustelu tuottaa, liikkuakseen järjestelmissä ja viedäkseen dataa.

Tällä jaolla on merkitystä kahdesta syystä.

Ensinnäkin puhelimessa olevan henkilön ei tarvitse olla teknisesti kehittynyt. Hänen tehtävänsä on suostuttelu. Hän tarvitsee vain, että kohde luovuttaa tunnistetiedon, hyväksyy kehotteen tai avaa oven, ja tekniset operaattorit hoitavat loput.

Toiseksi teknisten operaattorien ei tarvitse löytää ohjelmistovirhettä. Jos heille annetaan laillinen kirjautuminen tai luotettu etäistunto, suuri osa heidän työstään näyttää normaalilta toiminnalta. Tästä syystä tämänkaltaisia hyökkäyksiä on vaikea havaita pelkillä kehätyökaluilla.

Seuraukset ovat olleet näkyviä oikeudellisella sektorilla. Aiemmin kattauksessamme todettiin, että Jones Day ja Mayer Brown vahvistivat arkaluontoisten tiedostojen tulleen varastetuiksi, ja ainakin yhdessä tapauksessa ne julkaistiin verkossa, kun kiristysvaatimuksiin ei vastattu. Aiheeseen liittyvä raportti lakitoimistoihin kohdistuvien hyökkäysten ja vishing-huijausten kasvusta osoittaa saman teeman: sisäänkäyntipiste on usein ihminen, ei haittaohjelma.

Kalastelu- ja vishing-verukkeiden tunnistaminen ennen toimimista

Koska ensimmäinen vaihe on keskustelu, paras varhainen puolustuksesi on tapa, ei työkalu. IT-tukea esittävillä verukkeilla on tapana jakaa muutama piirre:

  • Kiireellisyys. Soittaja tai sähköposti sanoo, että jokin on rikki, vanhenemassa tai vaarantunut ja vaatii toimia heti.
  • Pyytämätön yhteydenotto. Et avannut tukipyyntöä, mutta joku väittää auttavansa sellaisen kanssa.
  • Pääsyn pyytäminen. Sinua pyydetään lukemaan koodi ääneen, hyväksymään kirjautumiskehote, asentamaan ohjelmisto tai aloittamaan etäistunto.
  • Lähettäjän antama takaisinsoittonumero. Takaisinsoittokalastelu perustuu siihen, että soitat numeroon, jota hyökkääjä hallitsee.

Vastaus on yksinkertainen, joskin hetkessä kiusallinen. Katkaise puhelu tai lopeta vastaaminen. Ota sitten yhteyttä IT-tiimiisi tai palveluntarjoajaasi käyttäen numeroa tai kanavaa, jonka tiedät jo olevan aito, kuten sisäistä hakemistoa tai virallista yrityksen verkkosivustoa. Älä käytä viestin omia yhteystietoja. Aito tukitiimi ei pane pahakseen vahvistamista.

Pienten organisaatioiden kannattaa myös sopia säännöstä etukäteen: keneltäkään ei koskaan pyydetä kirjautumisen hyväksymistä tai etäkäyttöohjelmiston asentamista saapuvan puhelun perusteella. Kirjallinen sääntö poistaa paineen yksittäiseltä työntekijältä.

Vahinkojen rajoittaminen tunnistetiedon varastamisen jälkeen

Oleta, että lopulta joku tulee huijatuksi. Tavoitteena on silloin tehdä varastetusta tunnistetiedosta vähemmän hyödyllinen.

Käytä phishing-kestävää MFA:ta. Tekstiviestillä tai sovelluskehotuksilla lähetetyt koodit voidaan puhua ulos uhrilta puhelun aikana. Laitteistopohjaiset suojausavaimet ja passkeys on suunniteltu toimimaan vain aidon sivuston kanssa, mikä poistaa yleisimmän asian, jota soittaja voi pyytää.

Rajoita sitä, mitä yksittäinen tili voi tavoittaa. Jos yksi kirjautuminen voi avata kaikki tiedostoresurssit, yksi puhelu voi paljastaa kaiken. Erottele pääsy roolin mukaan ja poista vanhat käyttöoikeudet.

Tarkkaile epätavallisia etätyökaluja ja suuria siirtoja. Uusi etäkäyttöohjelmisto tai joukkotiedonsiirto normaaliaikojen ulkopuolella pitäisi laukaista tarkastelu.

Varaa vastaussuunnitelma. Tiedä, kehen ottaa yhteyttä, miten tilit poistetaan käytöstä nopeasti ja miten todisteet säilytetään. Kiristysryhmät luottavat hämmennykseen ja viivytykseen.

Mitä tämä tarkoittaa sinulle

Sinun ei tarvitse olla lakitoimisto ollaksesi tämän tyyppisen hyökkäyksen kohde. Samat verukkeet toimivat kenelle tahansa työntekijälle tai henkilölle, jolla on varastamisen arvoista pääsyä. Vuodot vahvistavat, että heikoin kohta on usein hetki, jolloin joku päättää, luottaako ääneen. Jos työskentelet arkaluontoisten asiakas- tai asiakastietojen parissa, vuodoissa kuvatun rakenteen tulisi muovata prioriteettejasi: vahvista ensin, suojaa tilit vahvemmalla todennuksella ja vähennä sitä, mitä yksittäinen tili voi tavoittaa.

Käytännön toimenpiteet

  • Kohtele mitä tahansa odottamatonta "IT-tuesta" tulevaa puhelua vahvistamattomana, kunnes vahvistat sen tunnetun kanavan kautta.
  • Älä koskaan lue koodeja ääneen, hyväksy kehotteita tai asenna etätyökaluja saapuvan soittajan pyynnöstä.
  • Siirrä kriittiset tilit phishing-kestävään MFA:han, kuten suojausavaimiin tai passkeyhin.
  • Karsi tilien käyttöoikeuksia, jotta yksi varastettu kirjautuminen ei voi paljastaa kaikkea.
  • Kirjoita muistiin vahvistussääntö ja incident-yhteyshenkilöluettelo ennen kuin tarvitset niitä.

Luna Mothin sosiaalisen manipuloinnin pelikirja toimii, koska se yhdistää vakuuttavan inhimillisen äänen kärsivälliseen tekniseen toteutukseen. Käy läpi oma altistumisesi väärennetyille IT-tukipuheluille tällä viikolla, vaihda phishing-kestävään MFA:han missä voit, ja lue aiheeseen liittyvä kattauksemme Luna Moth -vuodoista ja vishing-vetoisesta kiristyksestä nähdäksesi, miten nämä hyökkäykset etenevät käytännössä.