Documente scurse legate de grupul de extorcare Luna Moth le oferă specialiștilor în apărare o perspectivă rară asupra modului în care este organizată operațiunea. Potrivit Infosecurity Magazine, materialul sugerează un efort pe mai multe fronturi în care specialiștii în inginerie socială și atacatorii mai tehnici lucrează împreună pentru a manipula o singură țintă. Pentru oricine încearcă să înțeleagă manualul de inginerie socială al Luna Moth, această diviziune a muncii este detaliul cheie, deoarece explică de ce un singur apel telefonic convingător poate duce la o intruziune mult mai amplă.

Ce dezvăluie scurgerile despre manualul de inginerie socială al Luna Moth

Grupul este cunoscut și sub numele de Silent Ransom Group, Chatty Spider și UNC3753. Avertismentele publice, inclusiv unul menționat în rezultatele căutării de la FBI și IC3, îl descriu ca vizând firmele de avocatură cu tehnici de inginerie socială, inclusiv impersonarea personalului IT. Cercetări separate privind amenințările descriu utilizarea phishingului cu apel invers ca parte a campaniilor sale de extorcare a datelor.

Ce adaugă noile scurgeri, pe baza relatării, este o perspectivă din interior. În locul unui singur atacator care face totul, documentele indică un efort coordonat vizând o singură victimă odată. O acoperire anterioară pe vpn.social a analizat modul în care fișierele Luna Moth expun un manual de extorcare a firmelor de avocatură și plățile presupuse scoase la iveală de o scurgere separată. Împreună, aceste scurgeri sugerează o afacere structurată, mai degrabă decât o colecție dezorganizată de oportuniști.

Merită să fim precauți aici. Articolul sursă este un rezumat scurt, iar documentele scurse în sine sunt afirmații care nu au fost toate verificate independent. Tiparul pe care îl descriu, totuși, corespunde cu ceea ce avertismentele publice au avertizat deja.

Cum își împart munca apelanții și intrușii tehnici

Lecția practică din structura raportată este că atacul este o ștafetă. Un grup de oameni se ocupă de latura umană: construirea unui pretext credibil, determinarea unei ținte să interacționeze și convingerea ei să întreprindă o acțiune specifică. Un alt grup se ocupă de latura tehnică: folosirea oricărui acces pe care îl produce acea conversație pentru a se deplasa prin sisteme și a lua date.

Această divizare contează din două motive.

În primul rând, persoana de la telefon nu trebuie să fie sofisticată din punct de vedere tehnic. Sarcina ei este persuasiunea. Trebuie doar ca ținta să predea o acreditare, să aprobe o solicitare sau să deschidă o ușă, iar operatorii tehnici preiau de acolo.

În al doilea rând, operatorii tehnici nu trebuie să găsească o vulnerabilitate de software. Dacă li se înmânează o autentificare legitimă sau o sesiune la distanță de încredere, o mare parte din munca lor arată ca activitate normală. Acesta este motivul pentru care atacurile de acest tip sunt greu de depistat doar cu instrumente perimetrale.

Consecințele au fost vizibile în sectorul juridic. Relatările pe care le-am acoperit anterior au notat că Jones Day și Mayer Brown au confirmat că fișiere sensibile au fost furate, iar în cel puțin un caz publicate online după ce cererile de extorcare au rămas neplătite. Un raport conex despre creșterea atacurilor asupra firmelor de avocatură și a escrocheriilor vishing arată aceeași temă: punctul de intrare este adesea o persoană, nu o bucată de malware.

Cum să recunoști pretextele de phishing și vishing înainte de a acționa

Deoarece prima etapă este o conversație, cea mai bună apărare timpurie este un obicei, nu un instrument. Pretextele care impersonează suportul IT tind să împărtășească câteva trăsături:

  • Urgență. Apelantul sau e-mailul spune că ceva este stricat, expiră sau compromis și necesită acțiune imediată.
  • Contact nesolicitat. Nu ai deschis un tichet, totuși cineva susține că te ajută cu unul.
  • O cerere de acces. Ți se cere să citești un cod, să aprobi o solicitare de autentificare, să instalezi software sau să începi o sesiune la distanță.
  • Un număr de apel invers furnizat de expeditor. Phishingul cu apel invers se bazează pe faptul că formezi un număr controlat de atacator.

Răspunsul este simplu, chiar dacă incomod în momentul respectiv. Închide apelul sau oprește răspunsul. Apoi contactează echipa ta IT sau furnizorul folosind un număr sau un canal despre care știi deja că este autentic, cum ar fi un director intern sau site-ul oficial al companiei. Nu folosi detaliile de contact din mesajul în sine. Personalul de suport legitim nu va avea nimic împotrivă să fie verificat.

Organizațiile mici ar trebui, de asemenea, să convină asupra unei reguli în avans: nimeni nu este niciodată rugat să aprobe o autentificare sau să instaleze software de acces la distanță din cauza unui apel primit. O regulă scrisă elimină presiunea de pe angajatul individual.

Limitarea daunelor după furtul unei acreditări

Presupune că în cele din urmă cineva va fi păcălit. Scopul atunci este să faci o acreditare furată mai puțin utilă.

Folosește MFA rezistent la phishing. Codurile trimise prin mesaj text sau solicitările din aplicație pot fi obținute de la o victimă printr-un apel. Cheile de securitate hardware și passkey-urile sunt concepute să funcționeze doar cu site-ul autentic, ceea ce elimină lucrul cel mai comun pe care îl poate cere un apelant.

Limitează la ce poate ajunge orice cont individual. Dacă o singură autentificare poate deschide fiecare partaj de fișiere, un singur apel poate expune totul. Separă accesul pe roluri și elimină permisiunile vechi.

Urmărește instrumentele la distanță neobișnuite și transferurile mari. Software-ul nou de acces la distanță sau mișcarea în bloc a datelor în afara orelor normale ar trebui să declanșeze o revizuire.

Ai un plan de răspuns. Știi pe cine să suni, cum să dezactivezi conturile rapid și cum să păstrezi dovezile. Grupurile de extorcare se bazează pe confuzie și întârziere.

Ce înseamnă acest lucru pentru tine

Nu trebuie să fii o firmă de avocatură pentru a fi o țintă pentru acest stil de atac. Aceleași pretexte funcționează asupra oricărui angajat sau individ care are acces care merită furat. Scurgerile întăresc faptul că punctul cel mai slab este adesea momentul în care cineva decide dacă să aibă încredere într-o voce. Dacă lucrezi cu date sensibile ale clienților sau clienților, structura descrisă în scurgeri ar trebui să îți modeleze prioritățile: verifică mai întâi, protejează conturile cu autentificare mai puternică și redu ce poate ajunge orice cont individual.

Concluzii acționabile

  • Tratează orice apel neașteptat de la „suport IT" ca neverificat până când îl confirmi printr-un canal cunoscut.
  • Nu citi niciodată coduri, nu aproba solicitări și nu instala instrumente la distanță la cererea unui apelant care te contactează.
  • Mută conturile critice pe MFA rezistent la phishing, cum ar fi chei de securitate sau passkey-uri.
  • Reduce permisiunile conturilor astfel încât o singură autentificare furată să nu poată expune totul.
  • Notează o regulă de verificare și o listă de contacte pentru incidente înainte de a avea nevoie de ele.

Manualul de inginerie socială al Luna Moth funcționează pentru că combină o voce umană convingătoare cu o urmărire tehnică răbdătoare. Revizuiește-ți propria expunere la apeluri false de suport IT săptămâna aceasta, treci la MFA rezistent la phishing acolo unde poți și citește acoperirea noastră conexă despre scurgerile Luna Moth și extorcarea bazată pe vishing pentru a vedea cum se desfășoară aceste atacuri în practică.