Luna Moth gasp grubuyla bağlantılı sızdırılmış belgeler, savunuculara operasyonun nasıl organize edildiğine dair nadir bir bakış sunuyor. Infosecurity Magazine'e göre, materyaller sosyal mühendislik uzmanlarının ve daha teknik saldırganların tek bir hedefi manipüle etmek için birlikte çalıştığı çok yönlü bir çabaya işaret ediyor. Luna Moth sosyal mühendislik oyun kitabını anlamaya çalışan herkes için bu iş bölümü kilit detaydır, çünkü tek bir inandırıcı telefon görüşmesinin neden çok daha büyük bir ihlale yol açabileceğini açıklar.

Luna Moth sosyal mühendislik oyun kitabı sızıntılarının ortaya koydukları

Grup aynı zamanda Silent Ransom Group, Chatty Spider ve UNC3753 olarak da bilinmektedir. FBI ve IC3'ten alınan arama sonuçlarında atıfta bulunulan bir tanesi de dahil olmak üzere kamu uyarıları, grubun BT personeli kılığına girme dahil sosyal mühendislik teknikleriyle hukuk firmalarını hedef aldığını açıklamaktadır. Ayrı tehdit araştırmaları, veri gaspı kampanyalarının bir parçası olarak geri arama kimlik avı (callback phishing) kullanımını tanımlamaktadır.

Habere göre yeni sızıntıların eklediği şey, içeriden bir bakış açısıdır. Belgeler, her şeyi yapan yalnız bir saldırgan yerine, her seferinde tek bir kurbana yönelik koordineli bir çabaya işaret etmektedir. vpn.social'deki önceki haberlerde Luna Moth dosyalarının bir hukuk firması gasp oyun kitabını nasıl ortaya çıkardığına ve ayrı bir sızıntıyla ortaya çıkan iddia edilen ödemelere bakmıştık. Bu sızıntılar birlikte, fırsatçıların gevşek bir topluluğu yerine yapılandırılmış bir işletmeye işaret etmektedir.

Burada dikkatli olmakta fayda var. Kaynak makale kısa bir özettir ve sızdırılan belgelerin kendisi, tamamı bağımsız olarak doğrulanmamış iddialardır. Ancak tanımladıkları örüntü, kamu uyarılarının halihazırda uyardığı şeyle örtüşmektedir.

Arayanlar ve teknik saldırganlar işi nasıl bölüşüyor

Bildirilen yapıdan çıkarılacak pratik ders, saldırının bir bayrak yarışı olduğudur. Bir grup insan işin insani tarafını üstlenir: inandırıcı bir bahane (pretext) oluşturmak, hedefin etkileşime geçmesini sağlamak ve onları belirli bir eylemi yapmaya ikna etmek. Başka bir grup teknik tarafı üstlenir: o konuşmanın ürettiği erişimi kullanarak sistemler arasında hareket etmek ve veri almak.

Bu ayrım iki nedenden dolayı önemlidir.

Birincisi, telefondaki kişinin teknik açıdan sofistike olması gerekmez. Onların işi ikna etmektir. Hedefin bir kimlik bilgisi vermesi, bir istemi onaylaması veya bir kapı açması yeterlidir ve teknik operatörler oradan devralır.

İkincisi, teknik operatörlerin bir yazılım açığı bulması gerekmez. Kendilerine meşru bir oturum açma veya güvenilir bir uzak oturum verilirse, çalışmalarının çoğu normal faaliyet gibi görünür. Bu tür saldırıların yalnızca çevre araçlarıyla yakalanmasının zor olmasının nedeni budur.

Sonuçlar hukuk sektöründe görünür olmuştur. Daha önce ele aldığımız haberlerde Jones Day ve Mayer Brown'ın hassas dosyaların çalındığını doğruladığı ve en az bir vakada gasp talepleri ödenmedikten sonra dosyaların çevrimiçi yayınlandığı belirtilmişti. Artan hukuk firması saldırıları ve vishing dolandırıcılıkları hakkındaki ilgili bir rapor da aynı temayı göstermektedir: giriş noktası genellikle bir kişidir, bir kötü amaçlı yazılım parçası değil.

Harekete geçmeden önce kimlik avı ve vishing bahanelerini fark etmek

İlk aşama bir konuşma olduğu için, en iyi erken savunmanız bir araçtan ziyade bir alışkanlıktır. BT desteği kılığına giren bahaneler birkaç ortak özellik taşır:

  • Aciliyet. Arayan veya e-posta, bir şeyin bozulduğunu, süresinin dolduğunu veya ele geçirildiğini ve hemen harekete geçilmesi gerektiğini söyler.
  • İstenmeyen iletişim. Bir talep açmadınız, ancak birisi bir taleple ilgili yardım ettiğini iddia ediyor.
  • Erişim talebi. Sizden bir kod okumanız, bir oturum açma istemini onaylamanız, yazılım yüklemeniz veya uzak bir oturum başlatmanız istenir.
  • Gönderen tarafından sağlanan bir geri arama numarası. Geri arama kimlik avı, saldırganın kontrol ettiği bir numarayı aramanıza dayanır.

Yanıt basittir, o anda garip gelse de. Telefonu kapatın veya yanıtlamayı bırakın. Ardından BT ekibinizle veya sağlayıcınızla, dahili bir rehber veya resmi şirket web sitesi gibi gerçek olduğunu zaten bildiğiniz bir numara veya kanal üzerinden iletişime geçin. Mesajın kendisindeki iletişim bilgilerini kullanmayın. Meşru destek personeli doğrulanmaktan rahatsız olmayacaktır.

Küçük kuruluşlar ayrıca önceden bir kural üzerinde anlaşmalıdır: gelen bir arama nedeniyle kimseden asla bir oturum açmayı onaylaması veya uzaktan erişim yazılımı yüklemesi istenmez. Yazılı bir kural, bireysel çalışanın üzerindeki baskıyı ortadan kaldırır.

Bir kimlik bilgisi çalındıktan sonra hasarı sınırlamak

Sonunda birinin kandırılacağını varsayın. O zaman amaç, çalınan bir kimlik bilgisini daha az kullanışlı hale getirmektir.

Kimlik avına dayanıklı MFA kullanın. Kısa mesaj veya uygulama istemleriyle gönderilen kodlar, bir görüşmede kurbandan ikna yoluyla alınabilir. Donanım güvenlik anahtarları ve passkey'ler yalnızca gerçek siteyle çalışacak şekilde tasarlanmıştır, bu da bir arayanın isteyebileceği en yaygın şeyi ortadan kaldırır.

Herhangi bir hesabın erişebileceği kapsamı sınırlayın. Tek bir oturum açma tüm dosya paylaşımlarını açabiliyorsa, tek bir arama her şeyi açığa çıkarabilir. Erişimi role göre ayırın ve eski izinleri kaldırın.

Olağandışı uzak araçlara ve büyük transferlere dikkat edin. Normal saatler dışında yeni uzaktan erişim yazılımı veya toplu veri hareketi bir incelemeyi tetiklemelidir.

Bir müdahale planınız olsun. Kimi arayacağınızı, hesapları hızla nasıl devre dışı bırakacağınızı ve kanıtları nasıl koruyacağınızı bilin. Gasp grupları kafa karışıklığına ve gecikmeye güvenir.

Bu Sizin İçin Ne Anlama Geliyor

Bu tarz bir saldırının hedefi olmak için bir hukuk firması olmanıza gerek yok. Aynı bahaneler, çalınmaya değer erişimi olan herhangi bir çalışan veya birey üzerinde işe yarar. Sızıntılar, en zayıf noktanın genellikle birinin bir sese güvenip güvenmeyeceğine karar verdiği an olduğunu pekiştirmektedir. Hassas müşteri veya müşteri verileriyle çalışıyorsanız, sızıntılarda tanımlanan yapı önceliklerinizi şekillendirmelidir: önce doğrulayın, hesapları daha güçlü kimlik doğrulama ile koruyun ve herhangi bir hesabın erişebileceği kapsamı azaltın.

Uygulanabilir çıkarımlar

  • "BT desteğinden" gelen beklenmedik herhangi bir aramayı, bilinen bir kanal aracılığıyla doğrulayana kadar doğrulanmamış olarak değerlendirin.
  • Gelen bir arayanın talebi üzerine asla kod okumayın, istemleri onaylamayın veya uzak araçlar yüklemeyin.
  • Kritik hesapları güvenlik anahtarları veya passkey'ler gibi kimlik avına dayanıklı MFA'ya taşıyın.
  • Hesap izinlerini kısıtlayın, böylece çalınan tek bir oturum açma her şeyi açığa çıkaramaz.
  • İhtiyaç duymadan önce bir doğrulama kuralı ve olay iletişim listesi yazın.

Luna Moth sosyal mühendislik oyun kitabı işe yarıyor çünkü inandırıcı bir insan sesini sabırlı teknik takip ile birleştiriyor. Bu hafta sahte BT destek aramalarına karşı kendi maruziyetinizi gözden geçirin, mümkün olan yerlerde kimlik avına dayanıklı MFA'ya geçin ve bu saldırıların pratikte nasıl geliştiğini görmek için Luna Moth sızıntıları ve vishing kaynaklı gasp hakkındaki ilgili haberlerimizi okuyun.