I en nylig rapport fra Microsoft Threat Intelligence har trusselaktøren kjent som Midnight Blizzard (tidligere sporet som NOBELIUM) blitt identifisert som utfører svært målrettede sosialtekniske angrep ved hjelp av phishing-lokker for legitimasjonstyveri sendt gjennom Microsoft Teams-chatter. Denne siste kampanjen visertrusselaktørens fortsatte innsats for å nå sine mål gjennom en kombinasjon av nye og kjente teknikker.
Hvem er Midnight Blizzard?
Midnight Blizzard er en Russland-basert gruppe kjent som Foreign Intelligence Service of the Russian Federation, eller SVR, ifølge amerikanske og britiske myndigheter. De er kjent av andre sikkerhetsleverandører som Cozy Bear, UNC2452 og APT29. T-arvtaktikk involverer langsiktig og dedikert spionasje som dateres tilbake til minst tidlig 2018, avhengig av ulike innledende tilgangsmetoder, for eksempel stjålet legitimasjon, forsyningskjedeangrep og utnyttelse av lokale og skymiljøer.
Hva innebærer deres angrepskampanje?
Microsofts undersøkelse har indikert at færre enn 40 globale organisasjoner har blitt påvirket av denne siste kampanjen. De målrettede sektorene antyder at Midnight Blizzards mål primært dreier seg om spionasjeaktiviteter, med fokus på:
Regjeringer
Ikke-statlige organisasjoner (NGOer)
IT-tjenester
Teknologi
Diskret produksjon
Mediesektorer
Denne kampanjen omfatter bruk av tidligere kompromitterte Microsoft 365-leiere eid av små bedrifter til å opprette nye domener som vises som enheter for teknisk støtte. Midnight Blizzard utnytter deretter disse domenene til å sende Teams-meldinger som inneholder phishing-lokker som tar sikte på å stjele legitimasjon fra målrettede organisasjoner.
Angrepskjeden består av trusselaktøren rettet mot brukere med enten gyldig kontolegitimasjon eller kontoer konfigurert med passordløs autentisering. Når brukeren prøver å autentisere gjennom MFA, sender trusselaktøren en Teams-melding, og tvinger brukeren til å skrive inn koden som vises på mobilenhetens Microsoft Authenticator-app. Etter vellykket innføring av koden får trusselaktøren tilgang til brukerens Microsoft 365-konto.
Anbefalinger om skadebegrensning
Microsoft anbefaler flere tiltak for å redusere risikoen for denne trusselen, inkludert:
Distribuere godkjenningsmetoder som er motstandsdyktige mot phishing
Implementering av godkjenningsstyrke for betinget tilgang
Opplæring av brukere om sosial manipulering og legitimasjonsbaserte phishing-angrep
Konklusjon
Etter hvert som trusselen om målrettede sosial manipulering-angrep fortsetter å utvikle seg, må organisasjoner være årvåkne og implementere robuste sikkerhetstiltak for å beskytte dataene og systemene sine mot sofistikerte trusselaktører som Midnight Blizzard. Ved å følge anbefalte fremgangsmåter for sikkerhet og holde seg informert om nye trusler, kan organisasjoner forbedre forsvaret mot potensielle nettangrep.
Absec tilbyr gratis sikkerhetsjekk av bedriftens RISIKO og Sårbarheter. Ikke gå glipp av denne enestående muligheten å utføre risikoreduserende tiltak, jmf GDPR og rammeverk som ISO 27001.
I et vannhullangrep må trusselaktører vanligvis følge en rekke trinn. Først må de undersøke målet og sørge for at de vet hvilken type nettsted det potensielle offeret besøker. Deretter prøver de å infisere den med ondsinnet kode slik at når offeret besøker den. Så utnytter nettstedet en sårbarhet i nettleseren eller overbeviser dem om å laste ned en fil som kompromitterer brukerenheten.
Vannhullangrep: Hva er det?
Denne typen angrep er designet for å være målrettet mot ansatte i en bestemt bransje eller brukergruppe og som bruker regelmessig de nettstedene som de besøker. Dette for å lokke dem inn i en felle som gir tilgang til selskapets bedriftsnettverk. Datatyveri, økonomisk tap og omdømmeskade er ofte de viktigste konsekvensene av vannhullangrep.
Selv om disse truslene ligner på forsyningskjedeangrep på nært hold, er de ikke helt like. I begge tilfeller kompromitterer hackere en tredjepartstjeneste for å infisere andre systemer. Forsyningskjedeangrep kompromitterer imidlertid vanligvis et produkt som er kjøpt, eller en tjeneste som brukes av målet, mens et vannhullangrep infiserer nøytrale nettsteder. I motsetning til dette distribuerer et forsyningskjedeangrep skadelig programvare gjennom det “svakeste” leddet i en organisasjons nettverk, for eksempel en leverandør, leverandør eller partner.
Tre nylige eksempler på vannhullangrep:
1. Nitrokod og falske Google Translate for skrivebordet
I slutten av juli 2022 ble det oppdaget en malware-kampanje for cryptocurrency mining som infiserte enheter i 11 land. Trusselaktøren var en programvareutvikler kalt Nitrokod som tilbyr gratisversjoner av populære programmer som ikke har en offisiell desktopversjon. Dens etterligning av oversettelsesverktøyet, opprettet ved hjelp av de offisielle Google Translate-nettsidene og et Chromium-basert rammeverk. Disse var det mest populære tilbudet og var tilgjengelig på freeware-nettsteder, samt høyt rangert i søkeresultatene for “Google Translate desktop download”.
Dessverre ble applikasjonene trojanisert, og når programvaren ble installert på enheten, var infeksjonsprosessen sovende i flere uker for å sikre at den forble ubemerket. Etter det sovende intervallet så sparket skadelig programvare inn og ofrene ville motta en oppdatert fil som ville laste en serie på fire droppere på enheten i løpet av noen dager. Den siste dropperen ville distribuere den Monero-sentriske XMRig-kryptomineren og utføre den. Mens dette skjedde, fortsatte Google Translate å fungere skikkelig, og ingen sikkerhetsanalyser hevet røde flagg. Denne taktikken har gjort det mulig for kampanjen å operere vellykket under radaren i årevis.
2. SolarMarker skadelig programvare
I september 2022 kompromitterte SolarMarker-gruppen et sårbart nettsted drevet av WordPress for å lokke ofrene til å laste ned falske Chrome-nettleseroppdateringer. Denne kampanjen var rettet mot en global skatterådgivningsorganisasjon med tilstedeværelse i USA, Canada, Storbritannia og Europa. I dette tilfellet var offeret en bedriftsansatt som søkte etter medisinsk utstyr fra en bestemt navngitt produsent på Google. Når den ansatte fikk tilgang til det kompromitterte nettstedet, ble han bedt om å laste ned en oppdatering til Chrome-nettleseren. Den ansatte lastet deretter ned og henrettet SolarMarker, som var forkledd som en falsk oppdatering. Den falske oppdateringen var basert på nettleseren offeret brukte da han fikk tilgang til det infiserte nettstedet. Så hvis brukeren hadde brukt en annen nettleser, ville den ha etterlignet Firefox eller Edge.
3. SocGholish malware på amerikanske nyhetsnettsteder
I november 2022 kompromitterte en kriminell gruppe et innholdsleverandørselskap som tilbyr videoinnhold og reklame til store amerikanske medier for å distribuere skadelig programvare på nettstedene sine. I løpet av denne kampanjen ble 250 nasjonale og regionale avisnettportaler i landet målrettet. Skadelig programvare, kalt SocGholish og først sett i 2018. Disse ble injisert i en godartet JavaScript-fil som lastet på medienettstedene og overbeviste besøkende om å laste ned en falsk nettleseroppdatering. Som i forrige tilfelle tok skadelig programvare form av nettleseren som ble brukt av brukeren. Når angriperne fikk første tilgang til nettverkene, kan dette brukes som en vei for å distribuere ransomware, som er en taktikk vi har sett tidligere.
Endepunktbeskyttelse: kritisk forsvar mot et vannhullangrep
Vannhullangrep har en høy suksessrate, da de kompromitterer legitime og pålitelige nettsteder for brukere, slik at selv de mest informerte og forsiktige ansatte kan falle i fellen. Dette er grunnen til at en endepunktbeskyttelsesløsning er nødvendig, som gir kontinuerlig overvåking og forhindrer utførelse av ukjente prosesser.. Imidlertid, med tanke på at når de står overfor et slikt angrep, kan applikasjoner passere som legitime. Teknologien som brukes til å forsvare seg mot den, må beskytte brukere mot avanserte trusler, avanserte vedvarende trusler (ATP), zero day malware og ransomware, samt andre sofistikerte trusler. Bruk av AI og automatisering er gunstig når det gjelder å utføre forebygging, deteksjon, inneslutning og responshandlinger. I tillegg er atferdsanalyse ideell for å oppdage om det er ondsinnede aktører i nettverket. Summen av disse funksjonene bidrar til å oppnå omfattende sikkerhet, som er i stand til å avverge et vannhullangrep.
Det er viktig å ta i bruk en nulltillits-tilnærming, ideelt sett med administrerte tjenester som vi finner i Feature Brief – WatchGuard Zero-Trust Application Service som er i stand til å klassifisere 100% av applikasjonene som skadelig programvare eller pålitelige applikasjoner, og overvåke aktiviteten til alle typer applikasjoner på endepunktet. En nulltillits-tilnærming kan forhindre sofistikerte trusselutførelser, for eksempel forsyningskjedeangrep og vannhullangrep. Ved å observere uregelmessig oppførsel av tilsynelatende legitim programvare og omklassifisere applikasjoner så snart de utfører aktiviteter som vanligvis brukes av trusselaktører. Det er ingen tvil om at nettkriminelle bruker taktikker som blir stadig mer komplekse og vanskelige å oppdage. Med riktig beskyttelse, ved å ta i bruk en AI- og nulltillitstilnærming, er det mulig å håndtere dem og holde bedriftsnettverk sikre.
Interessert i å lære mer om hvordan WatchGuard Endpoint Security hjelper deg med å unngå angrep som dette? Besøk vår hjemmeside og finn all informasjon.
Siste kommentarer