PREY-0058 использует вишинг для доступа к облачным данным

PREY-0058, кампания по голосовому фишингу и вымогательству данных, нацелена на Microsoft 365, Okta/Duo SSO, Exchange Online и другие облачные платформы. Активность пересекается с описаниями деятельности UNC6671 и связывается с брендами вымогателей BlackFile, Redact, Pink и Helix. Злоумышленники не эксплуатируют уязвимости программного обеспечения и не шифруют системы, а получают действительные учётные данные, токены MFA и доступ к облачным данным с помощью социальной инженерии, после чего угрожают опубликовать украденную информацию.

Вишинг и перехват учётных данных

Кампания начинается с целевого вишинга или выдачи себя за сотрудников ИТ либо службы поддержки через SMS. Среди основных целей:

• руководители;
• директора;
• вице-президенты;
• сотрудники ИТ.

Атакуемых пользователей перенаправляют на контролируемые злоумышленниками порталы типа «злоумышленник посередине». Их размещают в доменах с терминами «passkey», «oskey», «passkeydeploy», «setpasskey» или «oskeyconnect». Такие порталы перехватывают учётные данные и токены MFA.

Затем злоумышленники получают доступ к страницам учётных записей Microsoft, включая mysigns.microsoft.com и myaccount.microsoft.com, для разведки учётных записей. Они также могут зарегистрировать новые сведения для обеспечения безопасности, инициировать сброс пароля или изменить MFA.

Доступ к облачным данным и инфраструктура прокси

Во всех расследованных инцидентах использовалась статическая инфраструктура жилых прокси-серверов, в частности NodeMaven Proxy. Такая инфраструктура должна была сделать активность похожей на легитимный доступ пользователя и снизить вероятность обнаружения из-за ротации IP-адресов или ограничения частоты запросов.

После получения доступа злоумышленники похищают почту Exchange Online через приложение One Outlook Web Client с AppID 9199bf20-a13f-4107-85dc-02114787ef48. Они используют нетипичный путь API с идентификатором c999ed3e-27ae-4cb3-b3a2-46b056af63d3 и генерируют большие объёмы событий MailItemsAccessed и AttachmentAccessed.

Злоумышленники изучают облачную инфраструктуру, а затем быстро извлекают файлы из облачных репозиториев. Такая активность сопровождается событиями FileAccessed и FileDownloaded.

В более ранних операциях использовались строки user-agent Python requests. В более новых операциях злоумышленники подделывали строки user-agent Chrome.

Вымогательство после эксфильтрации

В течение нескольких часов после эксфильтрации через TOX отправляются сообщения с вымогательством. Обычно в них устанавливается срок 72 часа, содержится угроза публичного раскрытия информации и предлагаются образцы украденных данных в качестве доказательства.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.