Documenti trapelati legati al gruppo di estorsione Luna Moth stanno offrendo ai difensori uno sguardo raro su come è organizzata l'operazione. Secondo Infosecurity Magazine, il materiale suggerisce uno sforzo su più fronti in cui specialisti di social engineering e attaccanti più tecnici lavorano insieme per manipolare un singolo obiettivo. Per chiunque cerchi di comprendere il playbook di social engineering di Luna Moth, questa divisione del lavoro è il dettaglio chiave, perché spiega perché una singola telefonata convincente può portare a un'intrusione molto più ampia.

Cosa rivelano le falle del playbook di social engineering di Luna Moth

Il gruppo è noto anche come Silent Ransom Group, Chatty Spider e UNC3753. Avvisi pubblici, incluso uno citato nei risultati di ricerca dell'FBI e dell'IC3, lo descrivono come mirato agli studi legali con tecniche di social engineering, tra cui l'impersonificazione del personale IT. Ricerche separate sulle minacce descrivono l'uso del callback phishing come parte delle sue campagne di estorsione dei dati.

Ciò che le nuove falle aggiungono, secondo il resoconto, è una visione dall'interno. Piuttosto che un singolo attaccante che fa tutto, i documenti indicano uno sforzo coordinato rivolto a una vittima alla volta. Una precedente copertura su vpn.social ha esaminato come i file di Luna Moth espongono un playbook di estorsione ai danni di studi legali e i presunti pagamenti emersi da una fuga di notizie separata. Insieme, queste falle suggeriscono un'azienda strutturata piuttosto che un insieme disorganizzato di opportunisti.

Vale la pena essere cauti qui. L'articolo di origine è un breve riassunto, e i documenti trapelati stessi sono affermazioni che non sono state tutte verificate in modo indipendente. Il modello che descrivono, tuttavia, corrisponde a ciò di cui gli avvisi pubblici hanno già messo in guardia.

Come i centralinisti e gli intrusi tecnici si dividono il lavoro

La lezione pratica dalla struttura riportata è che l'attacco è una staffetta. Un gruppo di persone gestisce il lato umano: costruire un pretesto credibile, far sì che un obiettivo si coinvolga e persuaderlo a compiere un'azione specifica. Un altro gruppo gestisce il lato tecnico: usare qualunque accesso quella conversazione produca per muoversi attraverso i sistemi e prelevare dati.

Questa divisione conta per due ragioni.

Primo, la persona al telefono non ha bisogno di essere tecnicamente sofisticata. Il suo compito è la persuasione. Ha solo bisogno che l'obiettivo consegni una credenziale, approvi un prompt o apra una porta, e gli operatori tecnici prendono il controllo da lì.

Secondo, gli operatori tecnici non hanno bisogno di trovare una falla software. Se a loro viene consegnato un login legittimo o una sessione remota fidata, gran parte del loro lavoro appare come attività normale. Questo è il motivo per cui attacchi di questo tipo sono difficili da individuare con i soli strumenti perimetrali.

Le conseguenze sono state visibili nel settore legale. Il resoconto che abbiamo trattato in precedenza notava che Jones Day e Mayer Brown hanno confermato che file sensibili sono stati rubati, e in almeno un caso pubblicati online dopo che le richieste di estorsione sono rimaste non pagate. Un rapporto correlato su l'aumento degli attacchi agli studi legali e le truffe di vishing mostra lo stesso tema: il punto di ingresso è spesso una persona, non un pezzo di malware.

Riconoscere i pretesti di phishing e vishing prima di agire

Poiché la prima fase è una conversazione, la tua migliore difesa precoce è un'abitudine piuttosto che uno strumento. I pretesti che impersonano il supporto IT tendono a condividere alcuni tratti:

  • Urgenza. Il chiamante o l'email dice che qualcosa è rotto, in scadenza o compromesso e richiede un'azione immediata.
  • Contatto non richiesto. Non hai aperto un ticket, eppure qualcuno afferma di stare aiutando con uno.
  • Una richiesta di accesso. Ti viene chiesto di leggere un codice, approvare un prompt di login, installare software o avviare una sessione remota.
  • Un numero di richiamata fornito dal mittente. Il callback phishing si basa sul fatto che tu componga un numero controllato dall'attaccante.

La risposta è semplice, anche se imbarazzante nel momento. Riaggancia o smetti di rispondere. Poi contatta il tuo team IT o il fornitore usando un numero o un canale che sai già essere autentico, come una directory interna o il sito web ufficiale dell'azienda. Non usare i dettagli di contatto dal messaggio stesso. Il personale di supporto legittimo non si offenderà se verifichi.

Le piccole organizzazioni dovrebbero anche concordare in anticipo una regola: a nessuno viene mai chiesto di approvare un login o installare software di accesso remoto a causa di una chiamata in entrata. Una regola scritta toglie la pressione dal singolo dipendente.

Limitare i danni dopo il furto di una credenziale

Presupponi che alla fine qualcuno verrà ingannato. L'obiettivo allora è rendere una credenziale rubata meno utile.

Usa l'MFA resistente al phishing. I codici inviati via SMS o i prompt delle app possono essere estorti a una vittima durante una chiamata. Le chiavi di sicurezza hardware e le passkey sono progettate per funzionare solo con il sito autentico, il che elimina la cosa più comune che un chiamante può richiedere.

Limita ciò a cui può accedere qualsiasi singolo account. Se un singolo login può aprire ogni condivisione file, una singola chiamata può esporre tutto. Separa l'accesso per ruolo e rimuovi i permessi obsoleti.

Sorveglia strumenti remoti insoliti e trasferimenti di grandi dimensioni. Nuovo software di accesso remoto o spostamenti massicci di dati al di fuori degli orari normali dovrebbero attivare una revisione.

Abbi un piano di risposta. Sappi chi chiamare, come disabilitare rapidamente gli account e come preservare le prove. I gruppi di estorsione si basano sulla confusione e sul ritardo.

Cosa significa questo per te

Non devi essere uno studio legale per essere un obiettivo di questo stile di attacco. Gli stessi pretesti funzionano su qualsiasi dipendente o individuo che abbia un accesso che vale la pena rubare. Le falle rafforzano il fatto che il punto più debole è spesso il momento in cui qualcuno decide se fidarsi di una voce. Se lavori con dati sensibili di clienti o consumatori, la struttura descritta nelle falle dovrebbe plasmare le tue priorità: verifica prima, proteggi gli account con un'autenticazione più forte e riduci ciò a cui può accedere qualsiasi singolo account.

Punti chiave pratici

  • Tratta qualsiasi chiamata inaspettata dal "supporto IT" come non verificata finché non la confermi attraverso un canale noto.
  • Non leggere mai codici, approvare prompt o installare strumenti remoti su richiesta di un chiamante in entrata.
  • Passa gli account critici all'MFA resistente al phishing come chiavi di sicurezza o passkey.
  • Riduci i permessi degli account in modo che un singolo login rubato non possa esporre tutto.
  • Scrivi una regola di verifica e un elenco di contatti per gli incidenti prima di averne bisogno.

Il playbook di social engineering di Luna Moth funziona perché combina una voce umana convincente con un paziente seguito tecnico. Esamina la tua esposizione alle false chiamate di supporto IT questa settimana, passa all'MFA resistente al phishing dove puoi, e leggi la nostra copertura correlata sulle falle di Luna Moth e sull'estorsione guidata dal vishing per vedere come questi attacchi si sviluppano nella pratica.