UNC6671 automatizálja a Microsoft 365 fiókok ellopását vishing hívásokkal

Régi trükk, új csavar: a vishing találkozik az automatizálással

Egy UNC6671 néven követett fenyegető csoport megtalálta a módját, hogy egy régi vágású social engineering taktikát modern automatizálással ötvözzön, és az eredmény költséges annak a szervezetnek, amelyik az útjába kerül. A csoport tevékenységéről szóló beszámolók szerint az UNC6671 belső IT helpdesk munkatársaknak adja ki magát telefonon, hogy rávegye az alkalmazottakat Microsoft 365-ös és Okta-s fiókjaik hozzáférésének átadására. Amint bejutottak, a csoport aktív munkamenet-tokeneket lop, ezzel gyakorlatilag lehetővé téve a támadók számára, hogy teljesen megkerüljék a jelszavakat és a többtényezős hitelesítést, majd automatizálják a vállalati adatok ellopását zsarolási céllal.

Nem a kezdeti kapcsolatfelvételi módszer teszi figyelemre méltóvá ezt a kampányt. A hangalapú adathalászat, azaz a "vishing" már évek óta ismert taktika. Az automatizálási réteg az, ami egyetlen sikeres telefonhívást skálázható adatlopási műveletté alakít át, amely csendben képes fájlokat és kommunikációt begyűjteni egy teljes Microsoft 365 környezetből, mielőtt bárki észrevenné.

Hogyan működik valójában a támadás

A támadás általában egy telefonhívással kezdődik. Egy alkalmazott látszólag rutinszerű hívást kap a cége informatikai támogató csapatától, gyakran egy valószerű technikai problémára hivatkozva, például bejelentkezési hibára vagy fiókzárolásra. A hívó végigvezeti a célpontot olyan lépéseken, amelyek végül egy aktív munkamenet-token vagy a Microsoft 365-höz vagy az Okta-hoz – ahhoz az identitásplatformhoz, amelyet sok szervezet használ felhőalapú eszközeik egyszeri bejelentkezésének kezelésére – kapcsolódó hitelesítő adatok átadásához vezetnek.

A munkamenet-tokenek azért különösen értékesek a támadók számára, mert egy már hitelesített munkamenetet testesítenek meg. Ahelyett, hogy fel kellene törniük egy jelszót vagy meg kellene kerülniük a többtényezős hitelesítést, a támadó egyszerűen újra felhasználja a tokent, hogy megszemélyesítse a legitim felhasználót, sokszor anélkül, hogy kiváltaná azokat a riasztásokat, amelyeket egy új, gyanús bejelentkezés generálhatna.

Miután ez a hozzáférés létrejött, az UNC6671 állítólag automatizálta a kompromittált Microsoft 365 környezetből történő adatkinyerés folyamatát. Ahelyett, hogy egy emberi operátor manuálisan túrná át a postaládákat és a megosztott meghajtókat, szkriptelt eszközök végzik el a nehéz munkát, nagy mennyiségben gyűjtve be e-maileket, fájlokat és más érzékeny anyagokat. Az ellopott adatok ezután zsarolási rendszerben válnak nyomásgyakorlási eszközzé: a csoport az információ kiszivárogtatásával vagy eladásával fenyegetőzik, ha nem fizetnek.

Ez a minta visszhangozza azt, amit a kutatók dokumentáltak a ugyanehhez a zsaroló csoporthoz köthető hedge fundok elleni támadások kapcsán, ahol pénzügyi cégeket vettek célba hasonló social engineering és adatzsarolási taktikákkal. A pénzügyi szolgáltatási szervezetek azért vonzó célpontok, mert nagy mennyiségű érzékeny ügyféladatot birtokolnak, és gyakran nyomás nehezedik rájuk, hogy gyorsan és csendben rendezzék az incidenseket.

Miért fontos ez az adatvédelmi incidensek címlapjain túl

Csábító lehet ezt újabb vállalati adatvédelmi incidenssztoriként kezelni, de a magánéletre gyakorolt következmények tovagyűrűznek. Amikor egy fenyegető csoport eltérít egy alkalmazotti Microsoft 365 munkamenetet, nem csupán belső vállalati fájlokhoz fér hozzá. Potenciálisan betekintést nyer ügyfélnyilvántartásokba, ügyfelekhez vagy partnerekhez tartozó személyes adatokba, valamint olyan belső kommunikációba, amelynek soha nem lett volna szabad elhagynia a szervezetet.

Mivel a kezdeti hozzáférés social engineeringre épül, nem pedig technikai exploitra, a hagyományos biztonsági eszközök, mint a javításkezelés vagy a végpontészlelés nem állítják meg a támadást a forrásnál. A kiaknázott sebezhetőség az emberi bizalom – pontosabban az, hogy egy alkalmazott jogosan feltételezi, hogy egy IT-támogatástól érkező hívás valóban az IT-támogatástól származik. Emiatt ezt a támadási stílust szinte lehetetlen pusztán technológiával felszámolni, és nagyobb súlyt helyez a szervezeti képzésre és ellenőrzési folyamatokra.

Az automatizálási vetület is számít. Amint egy munkamenet-tokent ellopnak, az adatkiszivárgás sebessége és mértéke egyre szűkülő időablakot hagy a biztonsági csapatok számára, hogy észleljék és reagáljanak, mielőtt jelentős mennyiségű érzékeny információ máris eltűnik.

Mit jelent ez Önnek

Ha olyan szervezetnél dolgozik, amely Microsoft 365-öt vagy Okta-t használ – és a legtöbb nagyvállalat ilyen –, ez a kampány emlékeztető arra, hogy a saját ébersége egy rutinszerűnek tűnő IT-hívás során fontosabb, mint gondolná. A valódi IT-részlegek ritkán kérik a munkavállalókat, hogy mondjanak be egyszer használatos kódokat, hagyják jóvá a váratlan bejelentkezési kéréseket, vagy navigáljanak ismeretlen visszaállítási oldalakra egy kéretlen hívás során.

Egyének számára a tanulság kevésbé az új szoftverek telepítéséről szól, sokkal inkább a szokásokról. Legyen szkeptikus a fiókhoz való hozzáférést kérő kéretlen hívásokkal szemben, még akkor is, ha a hívó tájékozottnak tűnik a cége belső rendszereiről. Ellenőrizze a kéréseket egy külön, ismert csatornán keresztül, például hívja vissza az IT-részleget egy belső címtárból származó telefonszámon, ne a hívó által megadotton.

Alkalmazható tanulságok

Néhány gyakorlati lépés csökkentheti az ilyen típusú támadásoknak való kitettséget:

• Kezelje fenntartással a kéretlen IT-támogatói hívásokat, különösen azokat, amelyek bejelentkezési kódokat, munkamenet-jóváhagyásokat vagy jelszóvisszaállítást kérnek.
• Ellenőrizze az IT-kéréseket egy független forrásból származó telefonszámon vagy belső chatrendszeren keresztül, ne pedig a gyanús hívás során kapott visszahívási számon.
• Azonnal jelentse a szokatlan helpdesk hívásokat a biztonsági csapatának, még akkor is, ha nem osztott meg semmilyen információt, mivel ez jelezheti, hogy szervezete célponttá vált.
• Ha gyanítja, hogy a munkamenetét kompromittálták, kérje az IT-től az aktív tokenek visszavonását és egy új, többtényezős hitelesítéssel történő friss bejelentkezés kikényszerítését.

Az UNC6671 kampánya azt mutatja, hogy ahogy a szervezetek megerősítik technikai védelmüket, a támadók egyre inkább az emberi réteget célozzák. A social engineering próbálkozásokkal szembeni éberség továbbra is az egyik leghatékonyabb, alacsony költségű védelem, ami a hétköznapi munkavállalók rendelkezésére áll.