Злиті документи, пов'язані з групою вимагання Luna Moth, дають захисникам рідкісну можливість побачити, як організована ця операція. За даними Infosecurity Magazine, матеріали свідчать про багатовекторну спробу, у якій фахівці з соціальної інженерії та більш технічно підковані зловмисники працюють разом, щоб маніпулювати однією ціллю. Для тих, хто намагається зрозуміти сценарій соціальної інженерії Luna Moth, саме цей розподіл праці є ключовою деталлю, оскільки він пояснює, чому один переконливий телефонний дзвінок може призвести до значно більшого вторгнення.

Що розкривають витоки сценарію соціальної інженерії Luna Moth

Група також відома як Silent Ransom Group, Chatty Spider та UNC3753. Публічні попередження, зокрема те, на яке посилаються результати пошуку від ФБР та IC3, описують її як таку, що націлюється на юридичні фірми за допомогою методів соціальної інженерії, включаючи видавання себе за ІТ-персонал. Окреме дослідження загроз описує використання зворотного фішингу (callback phishing) як частини її кампаній з вимагання даних.

Що додають нові витоки, згідно з репортажем, — це погляд зсередини. Замість самотнього зловмисника, який робить усе сам, документи вказують на скоординовані зусилля, спрямовані на одну жертву за раз. У попередніх матеріалах на vpn.social розглядалося, як файли Luna Moth викривають сценарій вимагання юридичної фірми, та ймовірні платежі, виявлені окремим витоком. Разом ці витоки свідчать про структурований бізнес, а не про вільне угруповання опортуністів.

Тут варто бути обережним. Джерельна стаття — це короткий огляд, а самі злиті документи є твердженнями, які не всі були незалежно перевірені. Однак описана в них схема збігається з тим, про що вже попереджали публічні рекомендації.

Як телефонні шахраї та технічні зловмисники розподіляють роботу

Практичний урок з описаної структури полягає в тому, що атака — це естафета. Одна група людей займається людською стороною: створює переконливий привід, спонукає ціль до взаємодії та переконує її вчинити конкретну дію. Інша група займається технічною стороною: використовує будь-який доступ, який дає ця розмова, щоб переміщатися системами та викрадати дані.

Цей поділ важливий з двох причин.

По-перше, людині на телефоні не потрібно бути технічно підкованою. Її робота — переконання. Їй потрібно лише, щоб ціль передала облікові дані, схвалила запит або відчинила двері, а технічні оператори беруть справу на себе далі.

По-друге, технічним операторам не потрібно шукати програмну вразливість. Якщо їм передають легітимний логін або довірену віддалену сесію, значна частина їхньої роботи виглядає як звичайна активність. Ось чому атаки такого типу важко виявити лише засобами периметрального захисту.

Наслідки були помітні в юридичному секторі. У репортажі, який ми висвітлювали раніше, зазначалося, що Jones Day та Mayer Brown підтвердили крадіжку конфіденційних файлів, і принаймні в одному випадку їх опублікували онлайн після того, як вимоги про викуп залишилися несплаченими. Пов'язаний звіт про зростання атак на юридичні фірми та вішинг-шахрайство показує ту саму тему: точкою входу часто є людина, а не шкідливе програмне забезпечення.

Розпізнавання фішингових та вішингових приводів до дії

Оскільки перший етап — це розмова, ваш найкращий ранній захист — це звичка, а не інструмент. Приводи, що видають себе за ІТ-підтримку, зазвичай мають кілька спільних рис:

  • Терміновість. Співрозмовник у дзвінку чи електронному листі каже, що щось зламалося, спливає термін дії або щось скомпрометовано, і потрібно діяти негайно.
  • Неочікуваний контакт. Ви не відкривали заявку, але хтось стверджує, що допомагає з нею.
  • Запит на доступ. Вас просять назвати код, схвалити запит на вхід, встановити програмне забезпечення або розпочати віддалену сесію.
  • Номер для зворотного дзвінка, наданий відправником. Зворотний фішинг розраховує на те, що ви зателефонуєте на номер, який контролює зловмисник.

Відповідь проста, хоч і незручна в моменті. Покладіть слухавку або припиніть відповідати. Потім зв'яжіться зі своєю ІТ-командою або провайдером за номером чи каналом, який ви вже знаєте як справжній, наприклад, через внутрішній довідник або офіційний вебсайт компанії. Не використовуйте контактні дані з самого повідомлення. Легітимний персонал підтримки не заперечуватиме проти перевірки.

Невеликим організаціям також варто заздалегідь домовитися про правило: нікого ніколи не просять схвалити вхід або встановити програмне забезпечення для віддаленого доступу через вхідний дзвінок. Письмове правило знімає тиск з окремого співробітника.

Обмеження шкоди після крадіжки облікових даних

Припускайте, що зрештою когось обдурять. Тоді мета — зробити викрадені облікові дані менш корисними.

Використовуйте фішингостійку MFA. Коди, надіслані текстовим повідомленням або запити в застосунку, можна виманити у жертви під час дзвінка. Апаратні ключі безпеки та паскі за своєю конструкцією працюють лише зі справжнім сайтом, що усуває найпоширеніше, про що може попросити співрозмовник у дзвінку.

Обмежте, до чого може дістатися будь-який окремий обліковий запис. Якщо один логін може відкрити всі файлові ресурси, один дзвінок може викрити все. Розділіть доступ за ролями та видаліть старі дозволи.

Стежте за незвичайними інструментами віддаленого доступу та великими передачами. Нове програмне забезпечення для віддаленого доступу або масове переміщення даних поза звичайними годинами має викликати перевірку.

Майте план реагування. Знайте, кому телефонувати, як швидко вимикати облікові записи та як зберігати докази. Групи вимагання розраховують на плутанину та затримку.

Що це означає для вас

Не обов'язково бути юридичною фірмою, щоб стати ціллю атаки такого стилю. Ті самі приводи працюють на будь-якому співробітнику чи особі, яка має доступ, вартий викрадення. Витоки підтверджують, що найслабшою точкою часто є момент, коли хтось вирішує, чи довіряти голосу. Якщо ви працюєте з конфіденційними даними клієнтів або замовників, структура, описана у витоках, має формувати ваші пріоритети: спершу перевіряйте, захищайте облікові записи сильнішою автентифікацією та зменшуйте те, до чого може дістатися будь-який окремий обліковий запис.

Практичні висновки

  • Ставтеся до будь-якого неочікуваного дзвінка від «ІТ-підтримки» як до непідтвердженого, доки не перевірите його через відомий канал.
  • Ніколи не називайте коди, не схвалюйте запити та не встановлюйте інструменти віддаленого доступу на прохання співрозмовника у вхідному дзвінку.
  • Переведіть критичні облікові записи на фішингостійку MFA, як-от ключі безпеки або паскі.
  • Скоротіть дозволи облікових записів, щоб один викрадений логін не міг викрити все.
  • Запишіть правило перевірки та список контактів для інцидентів до того, як вони знадобляться.

Сценарій соціальної інженерії Luna Moth працює, тому що поєднує переконливий людський голос із терплячим технічним супроводом. Цього тижня перегляньте власну вразливість до фальшивих дзвінків від ІТ-підтримки, переходьте на фішингостійку MFA, де можете, і прочитайте наші пов'язані матеріали про витоки Luna Moth та вимагання на основі вішингу, щоб побачити, як ці атаки розгортаються на практиці.