Microsoft Threat Intelligence a avertizat că un actor de amenințare bazat în China, urmărit de aceasta sub numele NeedyMantis, a vizat organizații din diverse industrii. Conform raportului, grupul se bazează pe malware creat pentru acces persistent în rețea al malware-ului NeedyMantis, ceea ce înseamnă că scopul nu este o lovitură rapidă, ci o ședere îndelungată în mediul victimei.

Rezumatul public oferă puține detalii tehnice, așa că această postare se rezumă la ceea ce a fost raportat și explică de ce tiparul contează pentru persoanele ale căror date se află în organizațiile vizate.

Ce spune Microsoft că face NeedyMantis

Microsoft Threat Intelligence descrie NeedyMantis ca un actor de amenințare din China. Compania afirmă că grupul a vizat organizații din diverse industrii, nu doar dintr-un singur sector. Malware-ul asociat grupului este descris ca permițând acces persistent la rețelele victimelor.

Accesul persistent este o expresie-cheie. Înseamnă că un intrus stabilește o poziție care supraviețuiește repornirilor, schimbărilor de parole sau curățărilor de rutină, astfel încât să poată reveni oricând dorește. Materialul sursă nu enumeră victime specifice, capabilități ale malware-ului, date sau indicatori tehnici, iar noi nu vom face presupuneri despre acestea. Organizațiile care doresc aceste detalii ar trebui să consulte direct alerta Microsoft.

De ce contează accesul persistent pentru datele personale

Un atacator care poate rămâne discret în interiorul unei rețele are timpul de partea sa. În loc să ia tot ce este disponibil din prima zi, poate observa cum funcționează sistemele, poate găsi unde se află înregistrările sensibile și poate colecta informații treptat. Acest tip de acces poate fi greu de detectat, deoarece s-ar putea să nu declanșeze simptomele evidente pe care oamenii le asociază cu ransomware sau defacement.

Pentru persoane fizice, riscul este indirect. S-ar putea să nu instalați niciodată ceva suspect și să nu dați niciodată click pe un link rău, dar informațiile dumneavoastră pot fi totuși expuse pentru că un angajator, un furnizor de servicii sau o instituție cu care aveți de-a face a fost compromisă. Înregistrări precum datele de contact, informațiile de cont sau datele de angajare sunt genul de material pe care organizațiile îl dețin în mod obișnuit, iar un intrus pe termen lung poate fi poziționat să ajungă la ele.

Nimic din raportare nu spune că datele personale au fost furate în această campanie. Ideea este structurală: când actorii susținuți de stat se instalează în rețele, datele din interiorul acelor rețele devin accesibile.

Ce sectoare pun în pericol informațiile consumatorilor

Microsoft afirmă că NeedyMantis a lovit o serie de industrii, ceea ce sugerează că nicio categorie nu poate fi ignorată. În termeni generali, orice organizație care stochează informații despre clienți, pacienți, angajați sau membri este o potențială sursă de date personale. Gândiți-vă la companiile și instituțiile cu care majoritatea oamenilor interacționează în mod regulat: angajatori, furnizori de servicii, firme profesionale și furnizori care se conectează la organizații mai mari.

Deoarece sursa nu numește industriile afectate, ar fi inexact să indicăm sectoare specifice ca ținte confirmate. O concluzie practică este pur și simplu să presupunem că organizațiile care dețin informațiile dumneavoastră sunt potențiale ținte și să vă planificați în consecință.

Ce înseamnă asta pentru dumneavoastră

Nu puteți remedia rețeaua altcuiva, dar puteți reduce cât de mult vă afectează o breșă în altă parte. Iată ce este realist:

  • Folosiți parole unice și un manager de parole. Dacă o organizație este compromisă, acreditările reutilizate le permit atacatorilor să le încerce în altă parte.
  • Activați autentificarea multi-factor pentru e-mail, banking și conturi de serviciu, ideal cu o aplicație de autentificare sau o cheie de securitate, nu prin SMS.
  • Partajați mai puțin. Oferiți organizațiilor doar datele personale de care au cu adevărat nevoie, deoarece datele care nu sunt niciodată colectate nu pot fi furate.
  • Fiți atenți la phishingul ulterior. Detaliile furate alimentează adesea mesaje convingătoare care fac referire la conturi sau angajatori reali.
  • Mențineți dispozitivele actualizate astfel încât propriile sisteme să nu fie un al doilea punct de intrare ușor.

De asemenea, este util să fie clar despre limitele instrumentelor pentru consumatori. Un VPN criptează traficul între dispozitivul dumneavoastră și serverul VPN, ceea ce este util pe rețele nesigure. Nu protejează datele pe care o organizație le stochează pe propriile servere și nu poate opri un intrus care se află deja în rețeaua unei companii.

Un exemplu paralel: actori cu legături de stat și rețele cotidiene

Actorii cu legături de stat care vizează utilizatori obișnuiți nu sunt o noutate. Microsoft a atras anterior atenția asupra activității rusești pe rețele publice, iar materialul nostru despre modul în care Microsoft a legat atacurile de malware prin Wi-Fi hotelier de APT29 al Rusiei arată cum călătorii pot deveni ținte. Am raportat, de asemenea, despre avertismentul Microsoft privind hackerii ruși pe rețelele Wi-Fi hoteliere, care a implicat acreditări Microsoft 365 furate și malware distribuit pe PC-uri Windows. O altă alertă a acoperit atacul cu Wi-Fi fals Storm-2945 asupra călătorilor.

Acele cazuri arată unde un tunel criptat poate ajuta: pe Wi-Fi partajat sau nesigur, face mai dificil pentru ceilalți din rețea să vă spioneze traficul. De asemenea, arată unde nu este suficient. Dacă introduceți acreditări pe o pagină de autentificare falsă convingătoare sau instalați malware, criptarea în tranzit nu vă va salva.

Concluzii cheie

Avertismentul NeedyMantis este o reamintire că accesul persistent este amenințarea reală: discret, răbdător și greu de detectat. Întăriți ceea ce controlați. Folosiți parole puternice și unice, activați autentificarea multi-factor, fiți precauți pe rețelele publice și folosiți o conexiune criptată atunci când nu puteți avea încredere în Wi-Fi. Combinați aceste obiceiuri cu scepticism față de mesajele neașteptate și veți fi mult mai bine poziționat dacă o organizație care deține datele dumneavoastră este vreodată compromisă.