Hakerzy używają vishingu przeciw firmom z Wall Street
Google ostrzega, że grupa UNC6671 dzwoni do pracowników, podszywając się pod IT, by wyłudzić hasła i tokeny MFA.
Grupa UNC6671 prowadzi kampanię vishingową wymierzoną w duże firmy inwestycyjne i inne instytucje finansowe, podszywając się pod działy IT i kontaktując pracowników na prywatne numery telefonów. Celem jest wyłudzenie poświadczeń dostępowych i tokenów uwierzytelniania wieloskładnikowego (MFA), podaje zespół Google Threat Intelligence Group (GTIG).
GTIG opisuje mechanikę ataku: napastnicy dzwonią do pracowników, informują o pilnych aktualizacjach bezpieczeństwa i kierują ich na fałszywe strony logowania. Strony działają jako panele attacker-in-the-middle (AiTM) — przechwytują wpisywane hasła oraz tokeny MFA, po czym automatyczne skrypty pobierają dane z usług chmurowych, w tym Microsoft 365 i Okta.
Do czerwca grupa koncentrowała się na firmach technologicznych, transportowych i hotelarskich. Latem operatorzy zmienili cele i zaczęli kierować swoje kampanie przeciwko firmom inwestycyjnym, kancelariom prawnym i agencjom ratingowym, wynika z raportu.
Analiza opublikowanych domen i subdomen powiązała część fałszywych paneli z nazwami takimi jak Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital oraz Moody’s.
Google odnotował, że niektóre firmy rozważały zapłatę okupu, ale nie ujawnił, które. Nie ma publicznego potwierdzenia, które organizacje padły ofiarą udanych włamań wymagających dalszych ustaleń.
Raport wskazuje, że ataki wykorzystują luki w kontroli prywatnych numerów telefonów pracowników oraz podatność standardowych metod MFA opartych na kodach SMS lub aplikacjach, które mogą zostać przechwycone przez panele AiTM.
Zespół GTIG i inne zespoły bezpieczeństwa publikują techniczne ślady używanych domen i subdomen, aby umożliwić firmom ich identyfikację i zablokowanie. Eksperci monitorują aktywność grupy i aktualizują listy wskaźników złośliwości.
Precyzyjne określenie zakresu udanych włamań i ostatecznych strat wymaga dalszych dochodzeń ze strony zaatakowanych organizacji i zespołów śledczych.
Treści publikowane na GNcrypto mają wyłącznie charakter informacyjny i nie stanowią porady finansowej. Dokładamy starań, aby informacje były rzetelne i aktualne, jednak nie gwarantujemy ich pełnej poprawności, kompletności ani niezawodności. GNcrypto nie ponosi odpowiedzialności za ewentualne błędy, pominięcia ani straty finansowe wynikające z polegania na tych treściach. Wszystkie działania podejmujesz na własne ryzyko. Zawsze prowadź własne badania i korzystaj z pomocy profesjonalistów. Szczegóły znajdziesz w naszych Warunkach, Polityce prywatności i Zastrzeżeniach.
Artykuły tego autora
