Lekkede dokumenter knyttet til utpressingsgruppen Luna Moth gir forsvarere et sjeldent innblikk i hvordan operasjonen er organisert. Ifølge Infosecurity Magazine tyder materialet på en flerfaset tilnærming der spesialister på sosial manipulering og mer tekniske angripere jobber sammen for å manipulere ett enkelt mål. For alle som prøver å forstå Luna Moths playbook for sosial manipulering, er denne arbeidsdelingen nøkkeldetaljen, fordi den forklarer hvorfor én enkelt overbevisende telefonsamtale kan føre til et mye større inntrenging.

Hva lekkasjene om Luna Moths playbook for sosial manipulering avslører

Gruppen er også kjent som Silent Ransom Group, Chatty Spider og UNC3753. Offentlige advarsler, inkludert en som refereres til i søkeresultater fra FBI og IC3, beskriver at den retter seg mot advokatfirmaer med teknikker for sosial manipulering, blant annet ved å utgi seg for å være IT-personell. Separat trusselresearch beskriver bruk av callback-phishing som en del av gruppens datautpressingskampanjer.

Det de nye lekkasjene tilfører, basert på rapporteringen, er et innenfra-perspektiv. I stedet for en enkelt angriper som gjør alt, peker dokumentene på en koordinert innsats rettet mot ett offer om gangen. Tidligere dekning på vpn.social så på hvordan Luna Moth-filene avdekker en playbook for utpressing av advokatfirmaer og på påståtte betalinger avdekket av en separat lekkasje. Samlet tyder disse lekkasjene på en strukturert virksomhet snarere enn en løs samling opportunister.

Det er verdt å være forsiktig her. Kildeartikkelen er et kort sammendrag, og de lekkede dokumentene er i seg selv påstander som ikke alle er uavhengig verifisert. Mønsteret de beskriver, samsvarer imidlertid med det offentlige advarsler allerede har varslet om.

Hvordan innringere og tekniske inntrengere deler arbeidet

Den praktiske lærdommen fra den rapporterte strukturen er at angrepet er en stafett. Én gruppe mennesker håndterer den menneskelige siden: bygger et troverdig påskudd, får et mål til å engasjere seg og overtaler dem til å utføre en bestemt handling. En annen gruppe håndterer den tekniske siden: bruker den tilgangen samtalen gir, til å bevege seg gjennom systemer og ta data.

Denne delingen betyr noe av to grunner.

For det første trenger ikke personen på telefonen å være teknisk avansert. Jobben deres er overtalelse. De trenger bare at målet overleverer en påloggingsopplysning, godkjenner en forespørsel eller åpner en dør, og de tekniske operatørene tar det derfra.

For det andre trenger ikke de tekniske operatørene å finne en programvaresårbarhet. Hvis en legitim pålogging eller en klarert fjøkt økt blir overlevert til dem, ser mye av arbeidet deres ut som normal aktivitet. Dette er grunnen til at angrep av denne typen er vanskelige å fange med perimetersikkerhetsverktøy alene.

Konsekvensene har vært synlige i advokatbransjen. Rapportering vi dekket tidligere, bemerket at Jones Day og Mayer Brown bekreftet at sensitive filer ble stjålet, og i minst ett tilfelle publisert på nettet etter at utpressingskrav ikke ble betalt. En relatert rapport om økende angrep på advokatfirmaer og vishing-svindel viser samme tema: inngangspunktet er ofte et menneske, ikke et stykke skadevare.

Å gjenkjenne phishing- og vishing-påskudd før du handler

Fordi det første stadiet er en samtale, er ditt beste tidlige forsvar en vane snarere enn et verktøy. Påskudd som utgir seg for å være IT-støtte har en tendens til å dele noen trekk:

  • Hastverk. Innringeren eller e-posten sier at noe er ødelagt, utløper eller kompromittert og krever handling akkurat nå.
  • Uoppfordret kontakt. Du har ikke opprettet en sak, men likevel hevder noen å hjelpe med en.
  • En forespørsel om tilgang. Du blir bedt om å lese opp en kode, godkjenne en påloggingsforespørsel, installere programvare eller starte en fjernøkt.
  • Et tilbakeringingsnummer oppgitt av avsenderen. Callback-phishing er avhengig av at du ringer et nummer som angriperen kontrollerer.

Responsen er enkel, om enn litt pinlig i øyeblikket. Legg på eller slutt å svare. Kontakt deretter IT-teamet ditt eller leverandøren din via et nummer eller en kanal du allerede vet er ekte, for eksempel en intern katalog eller det offisielle firmasiden. Ikke bruk kontaktopplysningene fra meldingen selv. Legitim støttepersonale vil ikke ha noe imot å bli verifisert.

Små organisasjoner bør også bli enige om en regel på forhånd: ingen blir noensinne bedt om å godkjenne en pålogging eller installere ekstern tilgangsprogramvare på grunn av en innkommende samtale. En skriftlig regel tar presset bort fra den enkelte ansatte.

Å begrense skaden etter at en påloggingsopplysning er stjålet

Anta at noen til slutt vil bli lurt. Målet er da å gjøre en stjålet påloggingsopplysning mindre nyttig.

Bruk phishing-resistent MFA. Koder sendt via tekstmelding eller app-forespørsler kan bli lurt ut av et offer på en samtale. Maskinvarebaserte sikkerhetsnøkler og passnøkler er designet for å fungere bare med det ekte nettstedet, noe som fjerner det vanligste en innringer kan be om.

Begrens hva en enkelt konto kan nå. Hvis én enkelt pålogging kan åpne alle filressurser, kan én enkelt samtale eksponere alt. Skill tilgang etter rolle og fjern gamle tillatelser.

Vær oppmerksom på uvanlige fjernverktøy og store overføringer. Ny programvare for ekstern tilgang eller massiv dataflytting utenfor normale arbeidstider bør utløse en gjennomgang.

Ha en responsplan. Vit hvem du skal ringe, hvordan du raskt deaktiverer kontoer og hvordan du bevarer bevis. Utpressingsgrupper er avhengige av forvirring og forsinkelse.

Hva dette betyr for deg

Du trenger ikke være et advokatfirma for å være et mål for denne typen angrep. De samme påskuddene fungerer på enhver ansatt eller person som har tilgang som er verdt å stjele. Lekkasjene forsterker at det svakeste punktet ofte er øyeblikket noen bestemmer seg for om de skal stole på en stemme. Hvis du jobber med sensitive klient- eller kundedata, bør strukturen som beskrives i lekkasjene, forme prioriteringene dine: verifiser først, beskytt kontoer med sterkere autentisering og reduser hva en enkelt konto kan nå.

Handlingsrettede punkter

  • Behandle enhver uventet samtale fra «IT-støtte» som uverifisert til du bekrefter den via en kjent kanal.
  • Les aldri opp koder, godkjenn forespørsler eller installer fjernverktøy på forespørsel fra en innkommende innringer.
  • Flytt kritiske kontoer til phishing-resistent MFA som sikkerhetsnøkler eller passnøkler.
  • Reduser kontotillatelser slik at én stjålet pålogging ikke kan eksponere alt.
  • Skriv ned en verifiseringsregel og en kontaktliste for hendelser før du trenger dem.

Luna Moths playbook for sosial manipulering fungerer fordi den kombinerer en overbevisende menneskelig stemme med tålmodig teknisk oppfølging. Gjennomgå din egen eksponering for falske IT-støtte-samtaler denne uken, bytt til phishing-resistent MFA der du kan, og les vår relaterte dekning av Luna Moth-lekkasjene og vishing-drevet utpressing for å se hvordan disse angrepene utspiller seg i praksis.