与Luna Moth勒索团伙相关的泄露文件让防御者罕见地得以一窥该组织的运作方式。据《Infosecurity Magazine》报道，这些材料表明该团伙采取了多管齐下的策略，由社会工程学专家与技术水平更高的攻击者协同配合，共同操纵同一个目标。对于任何试图了解Luna Moth社会工程学套路的人来说，这种分工是关键细节，因为它解释了一通令人信服电话如何能导致更大规模的入侵。

Luna Moth社会工程学套路的泄露内容揭示了什么

该团伙也被称为Silent Ransom Group、Chatty Spider和UNC3753。公开警示——包括搜索结果中引用的FBI和IC3发布的一份警示——将其描述为利用社会工程学技术针对律师事务所，包括冒充IT人员。另有威胁研究描述了其数据勒索活动中使用回拨钓鱼的手法。

根据报道，这些新泄露文件补充的是内部视角。文件显示，并非单个攻击者包揽一切，而是一支协调配合的团队每次针对一个受害者展开行动。vpn.social此前的报道探讨了Luna Moth文件如何暴露律师事务所勒索套路以及另一起泄露事件曝出的涉嫌付款。这些泄露文件共同表明，这是一个结构化的商业运作，而非松散的机会主义者集合。

此处需要谨慎。源文章只是一篇简短摘要，泄露文件本身也只是一些尚未全部经过独立核实的说法。然而，它们所描述的模式与公开警示此前已发出的警告相符。

呼叫者与技术入侵者如何分工

从所报道的结构中得出的实际教训是：攻击是一场接力。一组人负责人的环节：构建可信的借口、让目标参与互动，并说服其采取特定行动。另一组人负责技术环节：利用对话所产生的任何访问权限在系统中横向移动并窃取数据。

这种分工之所以重要，有两个原因。

第一，打电话的人不需要具备技术专长。他们的工作是说服。他们只需要目标交出凭证、批准一个提示或打开一扇门，技术人员便从那里接手。

第二，技术人员不需要找到软件漏洞。如果合法登录凭证或受信任的远程会话被交到他们手中，他们的许多操作看起来就像正常活动。这就是此类攻击难以仅靠边界工具捕获的原因。

其后果在法律行业已显而易见。我们此前报道指出，Jones Day和Mayer Brown确认敏感文件被盗，且至少有一例在勒索要求未获满足后被公开发布到网上。一篇关于律师事务所攻击和语音钓鱼诈骗日益增多的相关报道显示了同一主题：入口往往是人，而非恶意软件。

在行动之前识别钓鱼和语音钓鱼借口

由于第一阶段是对话，你最好的早期防御是一种习惯而非工具。冒充IT支持的借口往往具有几个共同特征：

  • 紧迫性。 来电者或邮件称某物出了故障、即将过期或已被入侵，需要立即采取行动。
  • 未经请求的联系。 你并未提交工单，却有人声称正在帮你处理一个工单。
  • 索取访问权限。 你被要求读出验证码、批准登录提示、安装软件或启动远程会话。
  • 发送方提供的回拨号码。 回拨钓鱼依赖于你拨打攻击者控制的号码。

应对方法很简单，尽管当下可能有些尴尬。挂断电话或停止回复。然后使用你已知是真实的号码或渠道联系你的IT团队或服务提供商，例如内部通讯录或公司官方网站。不要使用消息本身提供的联系方式。合法的支持人员不会介意被核实。

小型组织还应提前约定一条规则：任何人都不应因为一通来电而被要求批准登录或安装远程访问软件。一条书面规则可以减轻员工个人的压力。

在凭证被盗后限制损害

假设最终会有人上当。那么目标就是让被盗凭证变得不那么有用。

使用抗钓鱼MFA。 通过短信发送的验证码或应用推送提示可能在通话中被受害者说出来。硬件安全密钥和通行密钥的设计使其仅与真实网站配合使用，从而消除了来电者最常索取的东西。

限制任何单一账户的访问范围。 如果一个登录凭证可以打开所有文件共享，那么一通电话就能暴露一切。按角色分离访问权限并移除旧权限。

留意异常远程工具和大规模传输。 新的远程访问软件或非工作时间内的大批量数据移动应触发审查。

制定响应计划。 知道该联系谁、如何快速禁用账户以及如何保存证据。勒索团伙依赖于混乱和拖延。

这对你意味着什么

你不需要是一家律师事务所才能成为这类攻击的目标。同样的借口对任何拥有值得窃取的访问权限的员工或个人都有效。泄露文件进一步印证了最薄弱的环节往往是某人决定是否信任一个声音的那一刻。如果你处理敏感客户或消费者数据，泄露文件中描述的结构应塑造你的优先事项：先核实，用更强的身份验证保护账户，并减少任何单一账户所能触及的范围。

可操作的要点

  • 将任何来自“IT支持”的意外来电视为未经核实，直到你通过已知渠道确认。
  • 绝不应来电者的要求读出验证码、批准提示或安装远程工具。
  • 将关键账户迁移至抗钓鱼MFA，如安全密钥或通行密钥。
  • 精简账户权限，使一个被盗登录凭证无法暴露一切。
  • 在你需要之前，写下核实规则和事件联系人清单。

Luna Moth社会工程学套路之所以奏效，是因为它将令人信服的人声与耐心的技术跟进相结合。本周请审视你自己对虚假IT支持来电的暴露风险，尽可能切换到抗钓鱼MFA，并阅读我们关于Luna Moth泄露和语音钓鱼驱动勒索的相关报道，了解这些攻击在实践中如何展开。