UNC6671 automatyzuje kradzież z Microsoft 365 za pomocą połączeń vishingowych

Nowy wymiar starej sztuczki: vishing spotyka automatyzację

Grupa zagrożeniowa śledzona jako UNC6671 znalazła sposób na połączenie starej socjotechniki z nowoczesną automatyzacją, a skutki okazują się kosztowne dla organizacji, które znajdą się na jej drodze. Według doniesień o działalności grupy, UNC6671 podszywa się pod pracowników wewnętrznego helpdesku IT, by przez telefon nakłonić pracowników do przekazania dostępu do ich kont Microsoft 365 i Okta. Po uzyskaniu dostępu grupa wykrada aktywne tokeny sesyjne, co pozwala atakującym całkowicie ominąć hasła i uwierzytelnianie wieloskładnikowe, a następnie automatyzuje kradzież danych firmowych w celu wymuszenia okupu.

To, co wyróżnia tę kampanię, nie jest początkową metodą kontaktu. Vishing, czyli phishing głosowy, jest znaną taktyką od lat. Kluczowa jest nałożona na to automatyzacja, która przekształca pojedynczą udaną rozmowę telefoniczną w skalowalną operację kradzieży danych, zdolną po cichu zebrać pliki i komunikację z całego środowiska Microsoft 365, zanim ktokolwiek to zauważy.

Jak faktycznie przebiega atak

Atak zwykle zaczyna się od telefonu. Pracownik odbiera pozornie rutynowy telefon od działu wsparcia IT swojej firmy, często powołujący się na wiarygodny problem techniczny, taki jak problem z logowaniem czy blokada konta. Dzwoniący prowadzi ofiarę przez kroki, które ostatecznie skutkują przekazaniem aktywnego tokenu sesyjnego lub poświadczeń powiązanych z Microsoft 365 lub Oktą – platformą tożsamości, którą wiele organizacji używa do zarządzania dostępem jednokrotnego logowania w swoich narzędziach chmurowych.

Tokeny sesyjne są szczególnie cenne dla atakujących, ponieważ reprezentują już uwierzytelnioną sesję. Zamiast łamać hasło lub omijać uwierzytelnianie wieloskładnikowe, atakujący po prostu ponownie używa tokenu, by podszyć się pod prawowitego użytkownika, często nie wywołując alertów, jakie mogłoby wygenerować nowe, podejrzane logowanie.

Po uzyskaniu dostępu UNC6671 podobno automatyzuje proces wyciągania danych ze skompromitowanego środowiska Microsoft 365. Zamiast ręcznego przeszukiwania skrzynek pocztowych i dysków współdzielonych przez człowieka, narzędzia skryptowe wykonują ciężką pracę, zbierając na masową skalę e-maile, pliki i inne poufne materiały. Skradzione dane stają się następnie kartą przetargową w schemacie wymuszenia – grupa grozi ich wyciekiem lub sprzedażą, jeśli nie zostanie wypłacony okup.

Ten schemat przypomina to, co badacze udokumentowali w atakach na fundusze hedgingowe powiązane z tą samą grupą wymuszającą UNC6671, gdzie firmy finansowe były celem przy użyciu podobnych socjotechnik i taktyk wymuszania danych. Organizacje świadczące usługi finansowe są atrakcyjnym celem, ponieważ przechowują duże ilości wrażliwych danych klientów i często odczuwają presję, aby szybko i po cichu rozwiązywać incydenty.

Dlaczego to ma znaczenie poza nagłówkami o wyciekach

Łatwo potraktować to jako kolejną historię o naruszeniu firmowych danych, ale konsekwencje dla prywatności rozchodzą się szeroko. Gdy grupa zagrożeniowa przejmuje sesję Microsoft 365 pracownika, nie uzyskuje jedynie dostępu do wewnętrznych plików firmy. Potencjalnie zyskuje wgląd w dokumentację klientów, dane osobowe klientów lub partnerów oraz wewnętrzną komunikację, która nigdy nie miała opuścić organizacji.

Ponieważ początkowy dostęp opiera się na socjotechnice, a nie na technicznym exploicie, tradycyjne narzędzia bezpieczeństwa, takie jak łatanie luk czy wykrywanie na punktach końcowych, nie zatrzymują ataku u źródła. Wykorzystywaną luką jest ludzkie zaufanie – konkretnie uzasadnione przypuszczenie pracownika, że dzwoniący, podający się za wsparcie IT, rzeczywiście nim jest. To sprawia, że ten rodzaj ataku trudno w pełni wyeliminować wyłącznie za pomocą technologii, i zwiększa znaczenie szkoleń organizacyjnych oraz procesów weryfikacji.

Aspekt automatyzacji też ma znaczenie. Po kradzieży tokenu sesyjnego szybkość i skala, z jaką dane mogą być eksfiltrowane, pozostawia zespołom bezpieczeństwa coraz mniej czasu na wykrycie i reakcję, zanim znaczne ilości wrażliwych informacji zostaną utracone.

Co to oznacza dla Ciebie

Jeśli pracujesz w organizacji korzystającej z Microsoft 365 lub Okta, a robi to większość dużych pracodawców, ta kampania przypomina, że Twoja własna czujność podczas pozornie rutynowej rozmowy z IT ma większe znaczenie, niż mogłoby się wydawać. Legalne działy IT rzadko proszą pracowników o odczytywanie jednorazowych kodów, zatwierdzanie niespodziewanych monitów logowania czy przechodzenie na nieznane strony resetowania podczas niezamówionej rozmowy.

Dla osób indywidualnych wnioskiem jest nie tyle pobieranie nowego oprogramowania, co wyrobienie nawyków. Bądź podejrzliwy wobec niezamówionych połączeń z prośbą o dostęp do konta, nawet jeśli dzwoniący brzmi na osobę znającą wewnętrzne systemy Twojej firmy. Zweryfikuj prośby za pośrednictwem osobnego, znanego kanału, np. dzwoniąc do działu IT na numer z wewnętrznego spisu, a nie podany przez dzwoniącego.

Praktyczne wskazówki

Kilka praktycznych kroków może zmniejszyć narażenie na ten typ ataku:

• Podchodź ostrożnie do niezamówionych połączeń od wsparcia IT, zwłaszcza tych z prośbą o kody logowania, zatwierdzanie sesji lub resetowanie haseł.
• Zweryfikuj każdą prośbę IT przez niezależnie pozyskany numer telefonu lub wewnętrzny system czatu, a nie oddzwaniając pod numer podany podczas podejrzanej rozmowy.
• Zgłoś nietypowe rozmowy z helpdeskiem swojemu zespołowi bezpieczeństwa natychmiast, nawet jeśli nie udostępniłeś(-aś) żadnych informacji, ponieważ może to wskazywać, że Twoja organizacja jest celem.
• Jeśli podejrzewasz, że Twoja sesja została przejęta, poproś IT o unieważnienie aktywnych tokenów i wymuszenie świeżego logowania z uwierzytelnianiem wieloskładnikowym.

Kampania UNC6671 pokazuje, że w miarę jak organizacje wzmacniają zabezpieczenia techniczne, atakujący coraz częściej celują w warstwę ludzką. Zachowanie czujności wobec prób socjotechnicznych pozostaje jedną z najskuteczniejszych i najtańszych form obrony dostępnych dla zwykłych pracowników.