Procurjeli dokumenti povezani s iznuđivačkom grupom Luna Moth pružaju braniteljima rijedak uvid u to kako je operacija organizirana. Prema Infosecurity Magazineu, materijal upućuje na višestruki napor u kojem stručnjaci za socijalni inženjering i tehnički napredniji napadači rade zajedno kako bi manipulirali jednom metom. Za svakoga tko pokušava razumjeti playbook socijalnog inženjeringa Luna Moth, ta podjela rada ključni je detalj, jer objašnjava zašto jedan uvjerljiv telefonski poziv može dovesti do mnogo većeg upada.

Što otkriva curenje playbooka socijalnog inženjeringa Luna Moth

Grupa je također poznata kao Silent Ransom Group, Chatty Spider i UNC3753. Javne preporuke, uključujući onu na koju se pozivaju rezultati pretraživanja FBI-ja i IC3, opisuju je kao grupu koja cilja odvjetničke tvrtke tehnikama socijalnog inženjeringa, uključujući lažno predstavljanje IT osoblja. Odvojeno istraživanje prijetnji opisuje korištenje callback phishingu kao dijela njezinih kampanja iznude podataka.

Ono što novo curenje dodaje, na temelju izvještavanja, jest pogled iznutra. Umjesto usamljenog napadača koji radi sve, dokumenti upućuju na koordinirani napor usmjeren na jednu žrtvu istovremeno. Ranije izvještavanje na vpn.social bavilo se time kako datoteke Luna Moth otkrivaju playbook iznude odvjetničkih tvrtki i navodnim plaćanjima koja je otkrilo odvojeno curenje. Zajedno, ta curenja upućuju na strukturirani posao, a ne na labavu skupinu oportunista.

Ovdje vrijedi biti oprezan. Izvorni je članak kratak sažetak, a sami procurjeli dokumenti tvrdnje su koje nisu sve neovisno provjerene. Obrazac koji opisuju, međutim, odgovara onome na što su javne preporuke već upozoravale.

Kako pozivatelji i tehnički napadači dijele posao

Praktična lekcija iz opisane strukture jest da je napad štafeta. Jedna skupina ljudi bavi se ljudskom stranom: gradi uvjerljiv pretext, navodi metu na angažman i uvjerava je da poduzme određenu radnju. Druga skupina bavi se tehničkom stranom: koristi pristup koji taj razgovor proizvede kako bi se kretala kroz sustave i uzela podatke.

Ta je podjela važna iz dva razloga.

Prvo, osoba na telefonu ne mora biti tehnički sofisticirana. Njihov je posao uvjeravanje. Trebaju samo da meta preda vjerodajnicu, odobri upit ili otvori vrata, a tehnički operateri preuzimaju odatle.

Drugo, tehnički operateri ne moraju pronaći softversku ranjivost. Ako im se preda legitimna prijava ili pouzdana udaljena sesija, velik dio njihova rada izgleda kao normalna aktivnost. Zato je napade ove vrste teško uhvatiti samo perimetarskim alatima.

Posljedice su bile vidljive u pravnom sektoru. Izvještavanje koje smo ranije obradili zabilježilo je da su Jones Day i Mayer Brown potvrdili krađu osjetljivih datoteka, a u najmanje jednom slučaju one su objavljene online nakon što zahtjevi za iznudu nisu plaćeni. Povezano izvješće o rastu napada na odvjetničke tvrtke i vishing prijevara pokazuje istu temu: ulazna točka često je osoba, a ne komad zlonamjernog softvera.

Prepoznavanje phishing i vishing pretexta prije nego što djelujete

Budući da je prva faza razgovor, vaša najbolja rana obrana je navika, a ne alat. Pretexti koji se lažno predstavljaju kao IT podrška obično dijele nekoliko osobina:

  • Hitnost. Pozivatelj ili e-pošta kaže da je nešto pokvareno, istječe ili kompromitirano i da zahtijeva radnju odmah sada.
  • Neželjeni kontakt. Niste otvorili zahtjev, a ipak netko tvrdi da pomaže s njim.
  • Zahtjev za pristupom. Od vas se traži da pročitate kod, odobrite upit za prijavu, instalirate softver ili započnete udaljenu sesiju.
  • Broj za povratni poziv koji je dao pošiljatelj. Callback phishing oslanja se na to da vi birate broj koji napadač kontrolira.

Odgovor je jednostavan, iako neugodan u trenutku. Prekinite poziv ili prestanite odgovarati. Zatim kontaktirajte svoj IT tim ili pružatelja usluga koristeći broj ili kanal za koji već znate da je stvaran, poput internog imenika ili službene web stranice tvrtke. Nemojte koristiti podatke za kontakt iz same poruke. Legitimno osoblje podrške neće imati ništa protiv toga da bude provjereno.

Male organizacije također bi trebale unaprijed dogovoriti pravilo: od nikoga se nikada ne traži da odobri prijavu ili instalira softver za udaljeni pristup zbog dolaznog poziva. Pisano pravilo skida pritisak s pojedinog zaposlenika.

Ograničavanje štete nakon krađe vjerodajnice

Pretpostavite da će na kraju netko biti prevaren. Cilj je tada učiniti ukradenu vjerodajnicu manje korisnom.

Koristite MFA otporan na phishing. Kodovi poslani tekstualnom porukom ili upiti u aplikaciji mogu se izmamiti od žrtve tijekom poziva. Hardverski sigurnosni ključevi i passkeys osmišljeni su da rade samo s pravom stranicom, što uklanja najčešću stvar koju pozivatelj može zatražiti.

Ograničite što bilo koji račun može dosegnuti. Ako jedna prijava može otvoriti svaki mrežni resurs, jedan poziv može izložiti sve. Odvojite pristup po ulozi i uklonite stare dozvole.

Pazite na neobične alate za udaljeni pristup i velike prijenose. Novi softver za udaljeni pristup ili masovno premještanje podataka izvan uobičajenog radnog vremena trebali bi potaknuti pregled.

Imajte plan odgovora. Znajte koga pozvati, kako brzo onemogućiti račune i kako sačuvati dokaze. Iznuđivačke grupe oslanjaju se na zbrku i odgodu.

Što to znači za vas

Ne morate biti odvjetnička tvrtka da biste bili meta ovakvog stila napada. Isti pretexti djeluju na svakog zaposlenika ili pojedinca koji ima pristup vrijedan krađe. Curenja potvrđuju da je najslabija točka često trenutak kada netko odlučuje hoće li vjerovati glasu. Ako radite s osjetljivim podacima klijenata ili kupaca, struktura opisana u curenjima trebala bi oblikovati vaše prioritete: prvo provjerite, zaštitite račune jačom autentifikacijom i smanjite što bilo koji pojedini račun može dosegnuti.

Primjenjivi zaključci

  • Svaki neočekivani poziv od "IT podrške" tretirajte kao neprovjeren dok ga ne potvrdite putem poznatog kanala.
  • Nikada ne čitajte kodove, ne odobravajte upite i ne instalirajte alate za udaljeni pristup na zahtjev dolaznog pozivatelja.
  • Prebacite kritične račune na MFA otporan na phishing, poput sigurnosnih ključeva ili passkeysa.
  • Smanjite dozvole računa kako jedna ukradena prijava ne bi mogla izložiti sve.
  • Zapišite pravilo provjere i popis kontakata za incidente prije nego što vam zatrebaju.

Playbook socijalnog inženjeringa Luna Moth djeluje jer kombinira uvjerljiv ljudski glas sa strpljivim tehničkim praćenjem. Ovog tjedna pregledajte svoju izloženost lažnim pozivima IT podrške, prijeđite na MFA otporan na phishing gdje možete i pročitajte naše povezano izvještavanje o curenjima Luna Moth i iznudi vođenoj vishingom kako biste vidjeli kako se ti napadi odvijaju u praksi.