Увеличение атак на Microsoft 365 с помощью клиентских инструментов
Компания Proofpoint сообщает о росте кибератак, в которых злоумышленники эффективно используют законные клиентские инструменты HTTP, такие как XMLHttpRequest и Node.js HTTP, для компрометации сред Microsoft 365. Эти инструменты, изначально загруженные из открытых репозиториев, становятся всё более популярными в атаках типа «Противник посередине» (Man-in-the-Middle — AitM) и методах грубой силы.
Масштабная кампания 2018 года
В феврале 2018 года исследователи Proofpoint выявили обширную вредоносную кампанию, нацеленную на тысячи организаций по всему миру, где была использована необычная клиентская версия OkHttp (okhttp/3.2.0). Злоумышленники использовали выделенные хостинг-сервисы в Канаде и США для последовательных попыток несанкционированного доступа к системам на протяжении почти четырех лет.
Целевые группы
Основными объектами атак стали:
- Руководители высшего звена
- Привилегированные пользователи
- Финансовые сотрудники
- Менеджеры по работе с клиентами
- Операционный персонал
Основные отрасли, которые подвергались атакам, включали транспорт, строительство, финансы, информационные технологии и здравоохранение.
Методы атак
Злоумышленники применяют различные техники для получения доступа к учетным записям:
- Перечисление пользователей
- Фишинг с использованием spear
- Разбрасывание паролей
В последнем случае, Proofpoint выделила особенно эффективную кампанию, использующую HTTP-клиент Axios, что привело к среднему месячному показателю успешности взлома учетных записей пользователей в 38%.
Влияние атак
По данным компании, с июня по конец ноября 2023 года было затронуто более 51% целевых организаций, и скомпрометировано 43% учетных записей целевых пользователей. Исследования показали, что злоумышленники часто нацеливаются на учетные записи студентов, которые могут оказаться менее защищенными и быть использованы для спам-кампаний.
Объем атак с использованием Node-fetch
С 9 июня 2024 года было зарегистрировано более 13 миллионов попыток входа в систему, что составляет в среднем более 66 000 попыток ежедневно. Наблюдается повышенная активность в пятницы и воскресенья. Это подчеркивает необходимость усиления мер безопасности со стороны организаций, особенно в образовательном секторе, на который приходится более 178 000 целевых учетных записей в более чем 3000 организаций.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
