เอกสารที่รั่วไหลซึ่งเชื่อมโยงกับกลุ่มกรรโชกทรัพย์ Luna Moth กำลังมอบมุมมองที่หาได้ยากให้แก่ฝ่ายป้องกันเกี่ยวกับวิธีการจัดองค์กรของการปฏิบัติการ ตามรายงานของ Infosecurity Magazine เนื้อหาชี้ให้เห็นถึงความพยายามหลายแนวทางซึ่งผู้เชี่ยวชาญด้านวิศวกรรมสังคมและผู้โจมตีที่มีความเชี่ยวชาญทางเทคนิคมากกว่าทำงานร่วมกันเพื่อ Manipulate เป้าหมายรายเดียว สำหรับใครก็ตามที่พยายามทำความเข้าใจเพลย์บุ๊กวิศวกรรมสังคมของ Luna Moth การแบ่งแยกแรงงานนั้นคือรายละเอียดสำคัญ เพราะมันอธิบายว่าทำไมการโทรหนึ่งครั้งที่น่าเชื่อถือเพียงครั้งเดียวจึงสามารถนำไปสู่การบุกรุกที่ใหญ่กว่ามากได้

สิ่งที่การรั่วไหลของเพลย์บุ๊กวิศวกรรมสังคมของ Luna Moth เผยให้เห็น

กลุ่มนี้ยังเป็นที่รู้จักในชื่อ Silent Ransom Group, Chatty Spider และ UNC3753 คำเตือนสาธารณะ รวมถึงฉบับหนึ่งที่อ้างอิงในผลการค้นหาจาก FBI และ IC3 อธิบายว่ากลุ่มนี้กำหนดเป้าหมายไปที่สำนักงานกฎหมายด้วยเทคนิควิศวกรรมสังคม รวมถึงการแอบอ้างเป็นบุคลากรฝ่ายไอที งานวิจัยภัยคุกคามแยกต่างหากอธิบายถึงการใช้ callback phishing เป็นส่วนหนึ่งของแคมเปญกรรโชกข้อมูล

สิ่งที่การรั่วไหลครั้งใหม่เพิ่มเข้ามา ตามรายงาน คือมุมมองจากภายใน แทนที่จะเป็นผู้โจมตีคนเดียวที่ทำทุกอย่าง เอกสารชี้ให้เห็นถึงความพยายามประสานงานที่มุ่งเป้าไปที่เหยื่อครั้งละราย ความครอบคลุมก่อนหน้านี้บน vpn.social ได้ดูว่า ไฟล์ Luna Moth เปิดเผยเพลย์บุ๊กกรรโชกสำนักงานกฎหมายอย่างไร และ การชำระเงินที่ถูกกล่าวอ้างซึ่งเปิดเผยโดยการรั่วไหลอีกครั้ง เมื่อรวมกัน การรั่วไหลเหล่านี้ชี้ให้เห็นถึงธุรกิจที่มีโครงสร้างมากกว่าการรวมตัวกันหลวม ๆ ของผู้ฉวยโอกาส

ควรระมัดระวัง ณ จุดนี้ บทความต้นฉบับเป็นบทสรุปสั้น ๆ และเอกสารที่รั่วไหลเองก็เป็นการกล่าวอ้างที่ยังไม่ได้รับการตรวจสอบอย่างอิสระทั้งหมด อย่างไรก็ตาม รูปแบบที่พวกเขาอธิบายนั้นตรงกับสิ่งที่คำเตือนสาธารณะได้เตือนไว้แล้ว

ผู้โทรและผู้บุกรุกทางเทคนิคแบ่งงานกันอย่างไร

บทเรียนเชิงปฏิบัติจากโครงสร้างที่รายงานคือการโจมตีเป็นการวิ่งผลัด คนกลุ่มหนึ่งดูแลด้านมนุษย์: สร้างข้ออ้างที่น่าเชื่อ ทำให้เป้าหมายมีส่วนร่วม และโน้มน้าวให้พวกเขาดำเนินการเฉพาะอย่าง อีกกลุ่มดูแลด้านเทคนิค: ใช้การเข้าถึงใดก็ตามที่บทสนทนานั้นสร้างขึ้นเพื่อเคลื่อนที่ผ่านระบบและขโมยข้อมูล

การแบ่งแยกนั้นสำคัญด้วยสองเหตุผล

ประการแรก คนที่อยู่บนสายไม่จำเป็นต้องมีความเชี่ยวชาญทางเทคนิค งานของพวกเขาคือการโน้มน้าว พวกเขาเพียงต้องการให้เป้าหมายส่งมอบข้อมูลรับรอง อนุมัติพรอมต์ หรือเปิดประตู แล้วผู้ปฏิบัติการทางเทคนิคจะดำเนินการต่อจากตรงนั้น

ประการที่สอง ผู้ปฏิบัติการทางเทคนิคไม่จำเป็นต้องค้นหาช่องโหว่ของซอฟต์แวร์ หากการล็อกอินที่ถูกต้องหรือเซสชันระยะไกลที่เชื่อถือได้ถูกส่งมอบให้พวกเขา งานส่วนใหญ่ของพวกเขาจะดูเหมือนกิจกรรมปกติ นี่คือเหตุผลว่าทำไมการโจมตีประเภทนี้จึงจับได้ยากด้วยเครื่องมือป้องกัน perimeter เพียงอย่างเดียว

ผลลัพธ์ปรากฏให้เห็นในภาคกฎหมายแล้ว รายงานที่เราเคยครอบคลุมก่อนหน้านี้ระบุว่า Jones Day และ Mayer Brown ยืนยันว่าไฟล์ที่ละเอียดอ่อนถูกขโมย และอย่างน้อยในกรณีหนึ่งถูกเผยแพร่ทางออนไลน์หลังจากข้อเรียกร้องกรรโชกไม่ได้รับการตอบสนอง รายงานที่เกี่ยวข้องเกี่ยวกับ การโจมตีสำนักงานกฎหมายที่เพิ่มขึ้นและกล scams vishing แสดงธีมเดียวกัน: จุดเข้าสู่ระบบมักเป็นบุคคล ไม่ใช่ชิ้นส่วนของมัลแวร์

การตรวจจับข้ออ้าง phishing และ vishing ก่อนที่คุณจะลงมือ

เนื่องจากขั้นตอนแรกคือบทสนทนา การป้องกันเชิงรุกที่ดีที่สุดของคุณคือนิสัยมากกว่าเครื่องมือ ข้ออ้างที่แอบอ้างเป็นฝ่ายสนับสนุนไอทีมักมีลักษณะร่วมกันบางประการ:

  • ความเร่งด่วน ผู้โทรหรืออีเมลกล่าวว่ามีบางสิ่งเสีย กำลังหมดอายุ หรือถูกบุกรุก และจำเป็นต้องดำเนินการทันที
  • การติดต่อโดยไม่ได้รับเชิญ คุณไม่ได้เปิดตั๋ว แต่มีคนอ้างว่ากำลังช่วยเหลือเกี่ยวกับตั๋วนั้น
  • การขอเข้าถึง คุณถูกขอให้อ่านรหัสออกมา อนุมัติพรอมต์การล็อกอิน ติดตั้งซอฟต์แวร์ หรือเริ่มเซสชันระยะไกล
  • หมายเลขโทรกลับที่ผู้ส่งให้มา Callback phishing อาศัยการที่คุณโทรไปยังหมายเลขที่ผู้โจมตีควบคุม

การตอบสนองนั้นง่าย แม้จะน่าอึดอัดในขณะนั้น วางสายหรือหยุดตอบกลับ จากนั้นติดต่อทีมไอทีหรือผู้ให้บริการของคุณโดยใช้หมายเลขหรือช่องทางที่คุณรู้อยู่แล้วว่าเป็นของจริง เช่น ไดเรกทอรีภายในหรือเว็บไซต์อย่างเป็นทางการของบริษัท อย่าใช้รายละเอียดการติดต่อจากข้อความนั้นเอง เจ้าหน้าที่สนับสนุนที่ถูกต้องจะไม่รังเกียจที่จะถูกตรวจสอบ

องค์กรขนาดเล็กควรตกลงกฎล่วงหน้าด้วย: ไม่มีใครถูกขอให้อนุมัติการล็อกอินหรือติดตั้งซอฟต์แวร์เข้าถึงระยะไกลเพราะการโทรขาเข้า กฎที่เป็นลายลักษณ์อักษรช่วยลดแรงกดดันจากพนักงานแต่ละคน

การจำกัดความเสียหายหลังจากข้อมูลรับรองถูกขโมย

สมมติว่าในที่สุดจะมีคนถูกหลอก เป้าหมายจากนั้นคือทำให้ข้อมูลรับรองที่ถูกขโมยมีประโยชน์น้อยลง

ใช้ MFA ที่ต้านทาน phishing รหัสที่ส่งทางข้อความหรือพรอมต์แอปสามารถถูกพูดคุยหลอกเอาได้จากเหยื่อบนสาย Hardware security keys และ passkeys ถูกออกแบบมาให้ทำงานกับไซต์จริงเท่านั้น ซึ่งขจัดสิ่ง最もธรรมดาที่ผู้โทรสามารถขอได้

จำกัดสิ่งที่บัญชีใดบัญชีหนึ่งสามารถเข้าถึงได้ หากการล็อกอินครั้งเดียวสามารถเปิดแชร์ไฟล์ทั้งหมดได้ การโทรครั้งเดียวก็สามารถเปิดเผยทุกสิ่งได้ แยกการเข้าถึงตามบทบาทและลบสิทธิ์เก่าออก

เฝ้าระวังเครื่องมือระยะไกลและกาารถ่ายโอนขนาดใหญ่ที่ผิดปกติ ซอฟต์แวร์เข้าถึงระยะไกลใหม่หรือการเคลื่อนย้ายข้อมูลจำนวนมากนอกเวลาทำการปกติควรกระตุ้นการตรวจสอบ

มีแผนการตอบสนอง รู้ว่าจะโทรหาใคร ปิดใช้งานบัญชีอย่างรวดเร็วอย่างไร และเก็บรักษาหลักฐานอย่างไร กลุ่มกรรโชกอาศัยความสับสนและความล่าช้า

สิ่งนี้หมายความสำหรับคุณ

คุณไม่จำเป็นต้องเป็นสำนักงานกฎหมายเพื่อเป็นเป้าหมายของการโจมตีรูปแบบนี้ ข้ออ้างเดียวกันใช้ได้กับพนักงานหรือบุคคลใดก็ตามที่มีการเข้าถึงที่คุ้มค่าจะขโมย การรั่วไหลตอกย้ำว่าจุดอ่อนที่สุดมักเป็นช่วงเวลาที่มีคนตัดสินใจว่าจะเชื่อเสียงหนึ่งหรือไม่ หากคุณทำงานกับข้อมูลลูกค้าหรือลูกค้าที่ละเอียดอ่อน โครงสร้างที่อธิบายในการรั่วไหลควรกำหนดลำดับความสำคัญของคุณ: ตรวจสอบก่อน ปกป้องบัญชีด้วยการพิสูจน์ตัวตนที่แข็งแกร่งขึ้น และลดสิ่งที่บัญชีใดบัญชีหนึ่งสามารถเข้าถึงได้

ประเด็นสำคัญที่นำไปปฏิบัติได้

  • ถือว่าการโทรที่ไม่คาดคิดใด ๆ จาก "ฝ่ายสนับสนุนไอที" เป็นสิ่งที่ยังไม่ได้รับการยืนยันจนกว่าคุณจะยืนยันผ่านช่องทางที่รู้จัก
  • อย่าอ่านรหัสออกมา อนุมัติพรอมต์ หรือติดตั้งเครื่องมือระยะไกลตามคำขอของผู้โทรขาเข้า
  • ย้ายบัญชีสำคัญไปใช้ MFA ที่ต้านทาน phishing เช่น security keys หรือ passkeys
  • ลดสิทธิ์ของบัญชีเพื่อให้การล็อกอินที่ถูกขโมยครั้งเดียวไม่สามารถเปิดเผยทุกสิ่งได้
  • จดกฎการตรวจสอบและรายชื่อติดต่อเหตุการณ์ก่อนที่คุณจะต้องใช้

เพลย์บุ๊กวิศวกรรมสังคมของ Luna Moth ได้ผลเพราะมันผสมผสานเสียงมนุษย์ที่น่าเชื่อถือกับการติดตามทางเทคนิคอย่างอดทน ตรวจสอบการเปิดรับของคุณต่อการโทรแอบอ้างเป็นฝ่ายสนับสนุนไอทีปลอมในสัปดาห์นี้ เปลี่ยนไปใช้ MFA ที่ต้านทาน phishing เมื่อทำได้ และอ่านความครอบคลุมที่เกี่ยวข้องของเราเกี่ยวกับการรั่วไหลของ Luna Moth และการกรรโชกที่ขับเคลื่อนด้วย vishing เพื่อดูว่าการโจมตีเหล่านี้ unfold ในทางปฏิบัติอย่างไร