Rò rỉ Luna Moth tiết lộ kẻ gọi điện và tin tặc làm việc song hành

Các tài liệu bị rò rỉ liên quan đến nhóm tống tiền Luna Moth đang cho giới phòng thủ một cái nhìn hiếm hoi về cách thức tổ chức của chiến dịch này. Theo Infosecurity Magazine, tài liệu cho thấy một nỗ lực đa hướng trong đó các chuyên gia kỹ thuật xã hội và những kẻ tấn công thiên về kỹ thuật hơn phối hợp với nhau để thao túng một mục tiêu duy nhất. Đối với bất kỳ ai đang cố gắng hiểu về chiến thuật kỹ thuật xã hội của Luna Moth, sự phân công lao động đó chính là chi tiết then chốt, bởi nó giải thích tại sao chỉ một cuộc gọi điện thoại đầy thuyết phục lại có thể dẫn đến một vụ xâm nhập lớn hơn nhiều.

Những gì các tài liệu rò rỉ về chiến thuật kỹ thuật xã hội của Luna Moth tiết lộ

Nhóm này còn được biết đến với tên gọi Silent Ransom Group, Chatty Spider và UNC3753. Các khuyến cáo công khai, bao gồm một khuyến cáo được nhắc đến trong kết quả tìm kiếm từ FBI và IC3, mô tả nhóm này nhắm vào các công ty luật bằng các kỹ thuật kỹ thuật xã hội, bao gồm giả danh nhân viên IT. Các nghiên cứu về mối đe dọa riêng biệt mô tả việc sử dụng lừa đảo qua cuộc gọi lại (callback phishing) như một phần trong các chiến dịch tống tiền dữ liệu của nhóm.

Điều mà các tài liệu rò rỉ mới bổ sung, dựa trên bài báo cáo, là góc nhìn từ bên trong. Thay vì một kẻ tấn công đơn độc làm mọi việc, các tài liệu chỉ ra một nỗ lực phối hợp nhắm vào từng nạn nhân một. Các bài viết trước đây trên vpn.social đã xem xét cách các tài liệu Luna Moth phơi bày chiến thuật tống tiền công ty luật và các khoản thanh toán bị cáo buộc được hé lộ bởi một vụ rò rỉ riêng biệt. Cùng lại, những vụ rò rỉ này cho thấy một hoạt động kinh doanh có cấu trúc chứ không phải một tập hợp lỏng lẻo những kẻ cơ hội.

Cần thận trọng ở đây. Bài báo nguồn là một bản tóm tắt ngắn, và bản thân các tài liệu bị rò rỉ là những tuyên bố chưa được xác minh độc lập hoàn toàn. Tuy nhiên, mô thức mà chúng mô tả khớp với những gì các khuyến cáo công khai đã cảnh báo trước đó.

Cách những kẻ gọi điện và kẻ xâm nhập kỹ thuật phân chia công việc

Bài học thực tiễn từ cấu trúc được báo cáo là cuộc tấn công diễn ra theo kiểu chuyền tiếp. Một nhóm người xử lý khía cạnh con người: xây dựng một lý do giả tạo đáng tin, khiến mục tiêu tham gia, và thuyết phục họ thực hiện một hành động cụ thể. Một nhóm khác xử lý khía cạnh kỹ thuật: sử dụng bất kỳ quyền truy cập nào mà cuộc trò chuyện đó tạo ra để di chuyển qua các hệ thống và lấy dữ liệu.

Sự phân chia đó quan trọng vì hai lý do.

Thứ nhất, người nghe điện thoại không cần phải có trình độ kỹ thuật cao. Công việc của họ là thuyết phục. Họ chỉ cần mục tiêu trao một thông tin đăng nhập, phê duyệt một lời nhắc, hoặc mở một cánh cửa, và các nhà vận hành kỹ thuật sẽ tiếp quản từ đó.

Thứ hai, các nhà vận hành kỹ thuật không cần phải tìm ra một lỗ hổng phần mềm. Nếu một thông tin đăng nhập hợp pháp hoặc một phiên truy cập từ xa đáng tin cậy được trao cho họ, phần lớn công việc của họ trông giống như hoạt động bình thường. Đây là lý do tại sao các cuộc tấn công kiểu này khó bị phát hiện chỉ bằng các công cụ vành đai.

Hậu quả đã được thấy rõ trong lĩnh vực pháp lý. Báo cáo mà chúng tôi đưa tin trước đó ghi nhận rằng Jones Day và Mayer Brown xác nhận các tệp tin nhạy cảm đã bị đánh cắp, và trong ít nhất một trường hợp đã bị công bố trực tuyến sau khi các yêu cầu tống tiền không được đáp ứng. Một báo cáo liên quan về sự gia tăng các cuộc tấn công vào công ty luật và lừa đảo qua thoại (vishing) cho thấy cùng một chủ đề: điểm xâm nhập thường là một con người, chứ không phải một đoạn mã độc.

Nhận diện các lý do giả tạo trong lừa đảo qua email và thoại trước khi hành động

Vì giai đoạn đầu là một cuộc trò chuyện, biện pháp phòng thủ sớm tốt nhất của bạn là một thói quen chứ không phải một công cụ. Các lý do giả tạo mạo danh bộ phận hỗ trợ IT thường có chung một vài đặc điểm:

• Tính khẩn cấp. Người gọi hoặc email nói rằng có thứ gì đó bị hỏng, sắp hết hạn hoặc bị xâm phạm và cần hành động ngay lập tức.
• Liên hệ không được yêu cầu. Bạn không mở phiếu hỗ trợ nào, vậy mà ai đó lại tuyên bố đang giúp xử lý một phiếu.
• Yêu cầu quyền truy cập. Bạn được yêu cầu đọc to một mã, phê duyệt một lời nhắc đăng nhập, cài đặt phần mềm hoặc bắt đầu một phiên truy cập từ xa.
• Số gọi lại do người gửi cung cấp. Lừa đảo qua cuộc gọi lại dựa vào việc bạn gọi đến một số điện thoại do kẻ tấn công kiểm soát.

Cách phản ứng rất đơn giản, dù có thể hơi khó xử tại thời điểm đó. Hãy gác máy hoặc ngừng trả lời. Sau đó liên hệ với nhóm IT hoặc nhà cung cấp của bạn bằng một số điện thoại hoặc kênh mà bạn đã biết là chính thống, chẳng hạn như danh bạ nội bộ hoặc trang web chính thức của công ty. Không sử dụng thông tin liên hệ từ chính tin nhắn đó. Nhân viên hỗ trợ chính đáng sẽ không phiền khi được xác minh.

Các tổ chức nhỏ cũng nên thống nhất trước một quy tắc: không ai bao giờ được yêu cầu phê duyệt đăng nhập hoặc cài đặt phần mềm truy cập từ xa vì một cuộc gọi đến. Một quy tắc bằng văn bản sẽ giảm bớt áp lực cho từng nhân viên.

Hạn chế thiệt hại sau khi thông tin đăng nhập bị đánh cắp

Hãy giả định rằng cuối cùng sẽ có người bị lừa. Mục tiêu khi đó là làm cho thông tin đăng nhập bị đánh cắp trở nên ít hữu dụng hơn.

Sử dụng MFA chống lừa đảo. Các mã gửi qua tin nhắn văn bản hoặc lời nhắc ứng dụng có thể bị dụ dỗ khỏi nạn nhân qua điện thoại. Các khóa bảo mật phần cứng và passkey được thiết kế để chỉ hoạt động với trang web chính thống, điều này loại bỏ thứ phổ biến nhất mà kẻ gọi điện có thể yêu cầu.

Hạn chế những gì mỗi tài khoản có thể truy cập. Nếu một thông tin đăng nhập duy nhất có thể mở mọi thư mục chia sẻ, thì một cuộc gọi duy nhất có thể phơi bày mọi thứ. Hãy tách quyền truy cập theo vai trò và loại bỏ các quyền cũ.

Theo dõi các công cụ từ xa bất thường và các giao dịch chuyển dữ liệu lớn. Phần mềm truy cập từ xa mới hoặc việc di chuyển dữ liệu số lượng lớn ngoài giờ làm việc bình thường nên kích hoạt một cuộc rà soát.

Có kế hoạch ứng phó. Biết ai cần gọi, cách vô hiệu hóa tài khoản nhanh chóng, và cách bảo toàn bằng chứng. Các nhóm tống tiền dựa vào sự hỗn loạn và chậm trễ.

Điều này có ý nghĩa gì với bạn

Bạn không cần phải là một công ty luật để trở thành mục tiêu của kiểu tấn công này. Những lý do giả tạo tương tự cũng hiệu quả với bất kỳ nhân viên hoặc cá nhân nào có quyền truy cập đáng bị đánh cắp. Các vụ rò rỉ càng củng cố rằng điểm yếu nhất thường là khoảnh khắc ai đó quyết định có tin tưởng một giọng nói hay không. Nếu bạn làm việc với dữ liệu khách hàng hoặc dữ liệu khách hàng nhạy cảm, cấu trúc được mô tả trong các vụ rò rỉ nên định hình các ưu tiên của bạn: xác minh trước, bảo vệ tài khoản bằng xác thực mạnh hơn, và giảm những gì bất kỳ tài khoản đơn lẻ nào có thể truy cập.

Những điểm cần hành động

• Coi bất kỳ cuộc gọi bất ngờ nào từ "bộ phận hỗ trợ IT" là chưa được xác minh cho đến khi bạn xác nhận qua một kênh đã biết.
• Không bao giờ đọc to mã, phê duyệt lời nhắc hoặc cài đặt công cụ từ xa theo yêu cầu của người gọi đến.
• Chuyển các tài khoản quan trọng sang MFA chống lừa đảo như khóa bảo mật hoặc passkey.
• Cắt giảm quyền của tài khoản để một thông tin đăng nhập bị đánh cắp không thể phơi bày mọi thứ.
• Viết ra một quy tắc xác minh và danh sách liên hệ sự cố trước khi bạn cần đến chúng.

Chiến thuật kỹ thuật xã hội của Luna Moth hiệu quả vì nó kết hợp một giọng nói con người đầy thuyết phục với sự theo đuổi kỹ thuật kiên nhẫn. Hãy xem xét mức độ phơi nhiễm của chính bạn với các cuộc gọi giả danh hỗ trợ IT trong tuần này, chuyển sang MFA chống lừa đảo ở nơi bạn có thể, và đọc các bài viết liên quan của chúng tôi về các vụ rò rỉ Luna Moth và tống tiền qua lừa đảo thoại để thấy những cuộc tấn công này diễn ra như thế nào trong thực tế.