A Luna Moth zsarolócsoporthoz köthető kiszivárgott dokumentumok ritka betekintést nyújtanak a védekezők számára abba, hogyan szerveződik a művelet. Az Infosecurity Magazine szerint az anyag egy többirányú erőfeszítésre utal, amelyben szociális mérnöki szakemberek és technikailag felkészültebb támadók működnek együtt egyetlen célpont manipulálása érdekében. Mindazok számára, akik meg próbálják érteni a Luna Moth szociális mérnöki játékkönyvét, ez a munkamegosztás a kulcsfontosságú részlet, mert megmagyarázza, miért vezethet egyetlen meggyőző telefonhívás sokkal nagyobb behatoláshoz.

Mit árulnak el a Luna Moth szociális mérnöki játékkönyvéről kiszivárgott adatok

A csoport a Silent Ransom Group, a Chatty Spider és az UNC3753 néven is ismert. A nyilvános figyelmeztetések, köztük az FBI és az IC3 keresési eredményeiben hivatkozott egyik, úgy írják le, hogy ügyvédi irodákat céloz szociális mérnöki technikákkal, beleértve az IT-személyzet megszemélyesítését. Külön fenyegetéskutatások a visszahívásos adathalászat (callback phishing) alkalmazását írják le adatzsarolási kampányai részeként.

Ami újat a friss kiszivárogtatások hozzáadnak a tudósítás alapján, az a belülről származó nézet. Ahelyett, hogy egyetlen támadó tenne mindent, a dokumentumok egy összehangolt erőfeszítésre mutatnak, amely egyszerre egy áldozatra irányul. A vpn.social korábbi tudósítása azt vizsgálta, hogyan a Luna Moth fájlok feltárják egy ügyvédi iroda zsarolási játékkönyvét, és hogy egy külön kiszivárogtatás milyen állítólagos kifizetéseket hozott felszínre. Ezek a kiszivárogtatások együtt egy strukturált vállalkozásra utalnak, nem pedig opportunisták laza gyűjteményére.

Itt érdemes óvatosnak lenni. A forrás-cikk rövid összefoglaló, és maguk a kiszivárgott dokumentumok olyan állítások, amelyeket nem minden esetben ellenőriztek függetlenül. A minta azonban, amelyet leírnak, megegyezik azzal, amire a nyilvános figyelmeztetések már korábban figyelmeztettek.

Hogyan osztják fel a munkát a telefonálók és a technikai behatolók

A jelentett struktúra gyakorlati tanulsága, hogy a támadás egy váltófutás. Az egyik csoport az emberi oldalt kezeli: hihető ürügyet épít, ráveszi a célpontot a kapcsolatteremtésre, és meggyőzi egy adott művelet végrehajtásáról. Egy másik csoport a technikai oldalt kezeli: a beszélgetés során keletkezett hozzáférést használja arra, hogy áthaladjon a rendszereken és adatokat vegyen el.

Ez a felosztás két okból számít.

Először is, a telefonálónak nem kell technikailag kifinomultnak lennie. A feladata a meggyőzés. Csak annyi kell, hogy a célpont átadjon egy hitelesítő adatot, jóváhagyjon egy kérést, vagy kinyisson egy ajtót, és a technikai operátorok onnan átveszik.

Másodszor, a technikai operátoroknak nem kell szoftverhibát keresniük. Ha egy legitim bejelentkezést vagy egy megbízható távoli munkamenetet adnak át nekik, munkájuk nagy része normál tevékenységnek tűnik. Ezért nehéz az ilyen típusú támadásokat kizárólag peremvédelmi eszközökkel elkapni.

A következmények láthatóak voltak a jogi szektorban. A korábban tárgyalt tudósításunk megjegyezte, hogy a Jones Day és a Mayer Brown megerősítette, hogy bizalmas fájlokat loptak el, és legalább egy esetben nyilvánosan közzétették őket, miután a zsarolási követelések kifizetetlenek maradtak. Egy kapcsolódó jelentés a növekvő ügyvédi irodák elleni támadásokról és a vishing-csalásokról ugyanazt a témát mutatja: a belépési pont gyakran egy személy, nem egy kártevő.

Hogyan ismerjük fel az adathalász és vishing-ürügyeket, mielőtt cselekednénk

Mivel az első szakasz egy beszélgetés, a legjobb korai védelem egy szokás, nem egy eszköz. Az IT-támogatást megszemélyesítő ürügyek általában néhány jellemzőt mutatnak:

  • Sürgetés. A telefonáló vagy az e-mail azt mondja, hogy valami elromlott, lejár vagy kompromittálódott, és azonnali cselekvésre van szükség.
  • Nem kért kapcsolatfelvétel. Ön nem nyitott hibajegyet, mégis valaki azt állítja, hogy egy ügyben segít.
  • Hozzáférés-kérés. Arra kérik, hogy olvasson fel egy kódot, hagyjon jóvá egy bejelentkezési kérést, telepítsen szoftvert vagy indítson távoli munkamenetet.
  • A feladó által megadott visszahívási szám. A visszahívásos adathalászat arra támaszkodik, hogy Ön egy olyan számot tárcsáz, amelyet a támadó ellenőriz.

A válasz egyszerű, még ha a pillanatban kínos is. Tegye le a telefont, vagy hagyja abba a válaszolást. Ezután lépjen kapcsolatba az IT-csapatával vagy szolgáltatójával egy olyan számon vagy csatornán, amelyről már tudja, hogy valódi, például egy belső címtáron vagy a hivatalos vállalati weboldalon keresztül. Ne használja az üzenetben megadott elérhetőségeket. A legitim támogatási munkatársakat nem fogja zavarni az ellenőrzés.

A kis szervezeteknek előre meg kell állapodniuk egy szabályban is: soha senkit nem kérnek fel bejelentkezés jóváhagyására vagy távoli hozzáférési szoftver telepítésére egy bejövő hívás miatt. Egy írásos szabály leveszi a nyomást az egyes alkalmazottakról.

A károk korlátozása egy hitelesítő adat ellopása után

Tételezzük fel, hogy végül valakit meg fognak téveszteni. A cél ekkor az, hogy egy ellopott hitelesítő adat kevésbé legyen hasznos.

Használjon adathalászat-ellenálló MFA-t. A szöveges üzenetben vagy alkalmazáskérésben küldött kódokat egy telefonhívás során ki lehet beszélni az áldozatból. A hardveres biztonsági kulcsokat és a passkey-eket úgy tervezték, hogy csak a valódi oldallal működjenek, ami megszünteti a leggyakoribb dolgot, amit egy telefonáló kérhet.

Korlátozza, hogy egyetlen fiók mihez férhet hozzá. Ha egyetlen bejelentkezés minden fájlmegosztást megnyithat, egyetlen hívás mindent felfedhet. Válassza szét a hozzáférést szerepkör szerint, és távolítsa el a régi jogosultságokat.

Figyelje a szokatlan távoli eszközöket és a nagy átviteleket. Az új távoli hozzáférési szoftverek vagy a normál munkaidőn kívüli tömeges adatmozgatás felülvizsgálatot kell hogy kiváltson.

Legyen választerve. Tudja, kit kell hívni, hogyan kell a fiókokat gyorsan letiltani, és hogyan kell megőrizni a bizonyítékokat. A zsarolócsoportok a zűrzavarra és a késlekedésre támaszkodnak.

Mit jelent ez Önnek

Nem kell ügyvédi irodának lennie ahhoz, hogy célpont legyen ilyen stílusú támadásnak. Ugyanezek az ürügyek bármely alkalmazottal vagy egyénnel szemben működnek, akinek van ellopásra érdemes hozzáférése. A kiszivárogtatások megerősítik, hogy a leggyengébb pont gyakran az a pillanat, amikor valaki eldönti, hogy megbízzon-e egy hangban. Ha bizalmas ügyfél- vagy vásárlói adatokkal dolgozik, a kiszivárogtatásokban leírt struktúrának kell alakítania a prioritásait: először ellenőrizzen, védje a fiókokat erősebb hitelesítéssel, és csökkentse, hogy egyetlen fiók mihez férhet hozzá.

Gyakorlati tanulságok

  • Kezeljen minden váratlan "IT-támogatástól" érkező hívást ellenőrizetlenként, amíg meg nem erősíti egy ismert csatornán keresztül.
  • Soha ne olvasson fel kódokat, hagyjon jóvá kéréseket vagy telepítsen távoli eszközöket egy bejövő telefonáló kérésére.
  • Helyezze át a kritikus fiókokat adathalászat-ellenálló MFA-ra, például biztonsági kulcsokra vagy passkey-ekre.
  • Csökkentse a fiókengedélyeket, hogy egy ellopott bejelentkezés ne fedhessen fel mindent.
  • Írjon le egy ellenőrzési szabályt és egy incidens-kapcsolattartói listát, mielőtt szüksége lenne rájuk.

A Luna Moth szociális mérnöki játékkönyve azért működik, mert egy meggyőző emberi hangot kombinál türelmes technikai végrehajtással. Ezen a héten vizsgálja felül saját kitettségét a hamis IT-támogatási hívásokkal szemben, váltson adathalászat-ellenálló MFA-ra, ahol tud, és olvassa el a Luna Moth kiszivárogtatásokról és a vishing-vezérelt zsarolásról szóló kapcsolódó tudósításainkat, hogy lássa, hogyan bontakoznak ki ezek a támadások a gyakorlatban.