Luna Moth крадёт данные юридических фирм через токены Microsoft Graph

Группа Luna Moth, также известная как Silent Ransom Group, по имеющимся данным, вернулась к некоторым юридическим фирмам, которые ранее подвергались вымогательству. Через несколько недель или месяцев после первоначальных атак злоумышленники похитили у этих жертв вторую партию данных. Недавняя активность позволяет предположить, что группа отслеживает организации, не выполнившие её прежние требования. Luna Moth крадёт данные и занимается вымогательством, не шифруя системы.

В новой технике группа использует социальную инженерию, чтобы получить токен доступа Microsoft Graph. Злоумышленники выдают себя за сотрудников ИТ-поддержки. Иногда они отправляют письмо с намеренно повреждённым PDF-файлом, затем убеждают сотрудника присоединиться к видеозвонку и показать экран. Во время звонка жертву просят открыть Microsoft 365 Copilot и извлечь токен из запроса к Microsoft Graph с помощью инструментов разработчика браузера. Затем сотрудник передаёт токен злоумышленникам, по имеющимся данным, через публичный сайт для обмена текстами.

Получив токен, злоумышленник повторно использует его со своей инфраструктуры и через Graph массово скачивает файлы, доступные сотруднику. Токен выпускается в рамках легитимной сессии сотрудника на устройстве, соответствующем требованиям. Поэтому проверки MFA и Conditional Access могут быть пройдены при выпуске токена. При последующем использовании токена из другого места Conditional Access может не повторять проверку устройства. Токен типа bearer может обеспечивать доступ до истечения срока действия или отзыва. Согласно отчёту, злоумышленники скачали тысячи файлов примерно за час.

В отчёте говорится, что такая эксфильтрация переносит активность с конечных точек на доступ к облачным сервисам и потенциально не оставляет ВПО или очевидных неудачных попыток входа. В более ранних атаках Luna Moth использовала приманки, основанные на телефонных звонках, программное обеспечение для удалённого доступа и ручную эксфильтрацию данных в личное облачное хранилище. В описанной последующей активности группа использовала видеозвонок и украденный токен.

Среди мер защиты названы:

• использование непрерывной оценки доступа (Continuous Access Evaluation) с жёстким контролем местоположения;
• ограничение использования инструментов разработчика и неутверждённого программного обеспечения для удалённой поддержки;
• корреляция событий аудита видеозвонков, электронной почты, веб-активности и Microsoft 365.

В отчёте также предупреждают, что аналогичная кража токена может затронуть другие приложения Microsoft 365 и учётные данные сессий браузера.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.