Специалисты компании Mandiant, входящей в Google Threat Intelligence Group (GTIG), зафиксировали значительную активизацию угрозы, связанной с группировками, использующими тактики, схожие с прошлыми операциями под брендом ShinyHunters. Злоумышленники совершенствуют методы для получения доступа к корпоративным облачным средам с последующей кражей конфиденциальных данных для вымогательства.
Описание
Основным вектором атаки остается сложный социальный инжиниринг. Угроза, отслеживаемая под кластерами UNC6661, UNC6671 и UNC6240, начинается с целенаправленного голосового фишинга (vishing). Злоумышленники, представляясь сотрудниками IT-отдела, звонят сотрудникам целевых компаний под предлогом обновления настроек многофакторной аутентификации (MFA). Они направляют жертв на фишинговые сайты, имитирующие корпоративные порталы входа. Эти домены часто следуют шаблонам, например, "<companyname>sso[.]com" или "<companyname>internal[.]com". На таких страницах происходит кража учетных данных единого входа (SSO) и кодов MFA, после чего злоумышленники регистрируют собственное устройство для аутентификации.
После получения первоначального доступа акторы угрозы перемещаются по среде жертвы, нацеливаясь на данные в облачных SaaS-приложениях. Анализ показывает, что доступ к конкретным платформам часто носит оппортунистический характер и зависит от разрешений скомпрометированной учетной записи. При этом целевой поиск определенной информации присутствует. Например, в некоторых случаях злоумышленники искали в приложениях документы, содержащие слова "confidential", "internal", "proposal", или нацеливались на персональные данные в Salesforce. В качестве подтверждения кражи данных в ходе последующих операций вымогательства использовались образцы файлов, размещенные на платформе Limewire.
Для сокрытия следов применялись изощренные методы. В одном инциденте, получив доступ к учетной записи клиента Okta, группа UNC6661 установила и использовала аддон ToogleBox Recall для Google Workspace. Этот инструмент предназначен для поиска и безвозвратного удаления писем. С его помощью была удалена уведомительная электронная почта от Okta о регистрации нового устройства MFA, что затруднило обнаружение компрометации для сотрудника. Кроме того, в другом случае скомпрометированные почтовые ящики использовались для рассылки фишинговых писем контактам в криптовалютных компаниях с последующим удалением исходящих сообщений.
Активность по вымогательству после вторжений UNC6661 специалисты GTIG атрибутируют кластеру UNC6240. В вымогательских письмах, рассылавшихся в середине января 2026 года, злоумышленники указывали перечень похищенных данных, сумму выкупа в биткоинах и срок в 72 часа. Также наблюдались агрессивные тактики давления, включая прямую harassment (преследование) сотрудников жертв и DDoS-атаки на корпоративные веб-сайты. В конце января появилась новая площадка под брендом ShinyHunters для публикации украденной информации.
Отдельный кластер UNC6671 демонстрирует схожие TTP, но с различиями в деталях, например, использованием других регистраторов доменов и небрендированных писем для вымогательства. Это указывает на возможное участие отдельных лиц или параллельных групп в рамках общей модели операций.
Важно подчеркнуть, что эта активность не является результатом уязвимостей в продуктах или инфраструктуре вендоров. Она наглядно демонстрирует эффективность социальной инженерии против традиционных методов MFA, таких как push-уведомления или SMS. Эксперты Mandiant и Google настоятельно рекомендуют организациям по возможности переходить на устойчивые к фишингу методы аутентификации. Такие решения, как FIDO2-ключи или пасквили (passkeys), обеспечивают более высокий уровень защиты от перехвата учетных данных.
В целом, наблюдаемая активность свидетельствует об эволюции и расширении операций, связанных с вымогательством. Злоумышленники не только увеличивают перечень целевых облачных платформ для сбора более чувствительных данных, но и экспериментируют с новыми способами давления на жертв. Это требует от компаний повышенного внимания к защите идентификации, обучению сотрудников и внедрению более надежных технологий аутентификации.
Индикаторы компрометации
IPv4
- 104.32.172.247
- 142.127.171.133
- 149.50.97.144
- 157.131.172.74
- 198.52.166.197
- 199.127.61.200
- 206.170.208.23
- 209.222.98.200
- 23.234.100.107
- 23.234.100.235
- 24.242.93.122
- 37.15.73.132
- 38.190.138.239
- 67.21.178.234
- 68.73.213.196
- 73.135.228.98
- 76.64.54.159
- 76.70.74.63
- 85.238.66.242
