En ny vri på et gammelt triks: Vishing møter automatisering

En trusselgruppe sporet som UNC6671 har funnet en måte å kombinere en gammeldags sosial manipuleringstaktikk med moderne automatisering, og resultatene viser seg å bli kostbare for organisasjonene som havner i deres vei. Ifølge rapporter om gruppens aktivitet utgir UNC6671 seg for å være intern IT-brukerstøtte over telefon for å lure ansatte til å gi fra seg tilgang til sine Microsoft 365- og Okta-kontoer. Når de er inne, stjeler gruppen aktive sesjonstokener, noe som effektivt lar angriperne omgå passord og flerfaktorautentisering fullstendig, for deretter å automatisere tyveri av bedriftsdata for utpressingsformål.

Det som gjør denne kampanjen bemerkelsesverdig er ikke den innledende kontaktmetoden. Talefisking, eller «vishing», har vært en kjent taktikk i årevis. Det er automatiseringen lagt oppå som gjør en enkelt vellykket telefonsamtale til en skalerbar datatyverioperasjon – en som stille og rolig kan høste filer og kommunikasjon på tvers av et helt Microsoft 365-miljø før noen merker det.

Slik fungerer angrepet i praksis

Angrepet starter vanligvis med en telefonsamtale. En ansatt mottar det som ser ut som en rutinemessig samtale fra bedriftens IT-støtteteam, ofte med henvisning til et plausibelt teknisk problem som et påloggingsproblem eller kontosperring. Innringeren veileder offeret gjennom trinn som til slutt overleverer et aktivt sesjonstoken eller påloggingsinformasjon knyttet til Microsoft 365 eller Okta, identitetsplattformen mange organisasjoner bruker for å administrere enkel pålogging på tvers av skyverktøyene sine.

Sesjonstokener er spesielt verdifulle for angripere fordi de representerer en allerede autentisert økt. I stedet for å måtte knekke et passord eller omgå flerfaktorautentisering, gjenbruker angriperen ganske enkelt tokenet for å utgi seg for den legitime brukeren, ofte uten å utløse varslene som en ny, mistenkelig pålogging kan generere.

Når den tilgangen er etablert, har UNC6671 angivelig automatisert prosessen med å hente ut data fra det kompromitterte Microsoft 365-miljøet. I stedet for at en menneskelig operatør manuelt graver gjennom e-postbokser og delte disker, gjør skriptede verktøy grovarbeidet med å samle inn e-poster, filer og annet sensitivt materiale i stor skala. De stjålne dataene blir deretter brukt som pressmiddel i et utpressingsforsøk, der gruppen truer med å lekke eller selge informasjonen med mindre betaling utføres.

Dette mønsteret gjenspeiler det forskere har dokumentert i angrep mot hedgefond knyttet til den samme utpresningsgruppen, der finansforetak ble angrepet med lignende sosial manipulering og datautpressingstaktikker. Organisasjoner innen finansielle tjenester er gjerne attraktive mål fordi de sitter på store mengder sensitiv kundedata og ofte opplever press for å løse hendelser raskt og diskré.

Hvorfor dette betyr noe utover overskriftene om sikkerhetsbrudd

Det er fristende å avfeie dette som nok en historie om et sikkerhetsbrudd i en bedrift, men personvernkonsekvensene brer seg utover. Når en trusselgruppe kaprer en ansatts Microsoft 365-økt, får de ikke bare tilgang til interne bedriftsfiler. De kan potensielt se klientoppføringer, personopplysninger som tilhører kunder eller partnere, og intern kommunikasjon som aldri var ment å forlate organisasjonen.

Fordi den innledende tilgangen bygger på sosial manipulering snarere enn et teknisk sikkerhetsbrudd, stopper tradisjonelle sikkerhetsverktøy som patching eller endepunktdeteksjon ikke angrepet ved kilden. Sårbarheten som utnyttes er menneskelig tillit – spesifikt den ansattes rimelige antakelse om at et anrop som hevder å være fra IT-støtten faktisk er fra IT-støtten. Det gjør denne typen angrep vanskelig å eliminere fullstendig gjennom teknologi alene, og legger mer vekt på organisatorisk opplæring og verifiseringsprosedyrer.

Automatiseringsvinkelen er også viktig. Når et sesjonstoken først er stjålet, gir hastigheten og omfanget som data kan eksfiltreres med et krympende tidsvindu for sikkerhetsteam til å oppdage og reagere før betydelige mengder sensitiv informasjon allerede er borte.

Hva dette betyr for deg

Hvis du jobber i en organisasjon som bruker Microsoft 365 eller Okta, noe de fleste større arbeidsgivere gjør, er denne kampanjen en påminnelse om at din egen årvåkenhet under en tilsynelatende rutinemessig IT-samtale betyr mer enn det kan virke som. Seriøse IT-avdelinger ber sjelden ansatte om å lese opp engangskoder, godkjenne uventede påloggingsforespørsler eller navigere til ukjente tilbakestillingssider under en uoppfordret samtale.

For enkeltpersoner handler lærdommen mindre om å laste ned ny programvare og mer om vaner. Vær skeptisk til uoppfordrede samtaler som ber om kontotilgang, selv om innringeren virker kunnskapsrik om bedriftens interne systemer. Bekreft forespørsler via en separat, kjent kanal, for eksempel ved å ringe tilbake til IT-avdelingen på et nummer fra en intern katalog i stedet for et nummer oppgitt av innringeren.

Håndfaste grep du kan ta

Noen praktiske steg kan redusere eksponeringen din for denne typen angrep:

  • Vær på vakt overfor uoppfordrede IT-støttesamtaler, spesielt de som ber om påloggingskoder, øktgodkjenninger eller tilbakestilling av passord.
  • Bekreft enhver IT-forespørsel via et uavhengig fremskaffet telefonnummer eller intern chat-plattform, ikke et tilbakeringingsnummer gitt under den mistenkelige samtalen.
  • Rapporter uvanlige brukerstøttesamtaler til sikkerhetsteamet umiddelbart, selv om du ikke delte noen informasjon, siden det kan tyde på at organisasjonen din er blitt angrepet.
  • Hvis du mistenker at økten din er kompromittert, be IT om å tilbakekalle aktive tokens og tvinge frem en ny pålogging med flerfaktorautentisering.

UNC6671s kampanje viser at etter hvert som organisasjoner forsterker sine tekniske forsvar, sikter angripere seg stadig oftere mot det menneskelige laget. Å være våken for sosial manipuleringsforsøk forblir et av de mest effektive og rimelige forsvarstiltakene som er tilgjengelig for vanlige ansatte.