Корпоративные договоры, финансовая отчётность, кадровые документы и рабочая переписка оказываются в руках вымогателей без единого вредоносного файла на компьютере жертвы. Схема строится на телефонном звонке. Человеку представляется сотрудник внутренней службы поддержки, говорит о срочной проверке учётной записи и направляет на страницу входа, неотличимую от стандартного окна Microsoft 365. Логин, пароль и код подтверждения уходят напрямую атакующим. Дальше они входят в чужой рабочий аккаунт, выкачивают из облака всё, что там хранится, и требуют деньги за отказ от публикации похищенного.
Описание
Звонят в основном директорам, вице-президентам и другим руководителям. У этих сотрудников шире доступ к документам, поэтому одна удачная попытка приносит больше данных, чем взлом рядового специалиста. Каждого абонента ведут вручную: система, перехватывающая вход, пропускает человека через поддельную страницу только тогда, когда оператор подтвердит, что жертва на линии. Такой подход позволяет обойти одноразовые коды и подтверждения, которые обычно защищают аккаунт от кражи пароля.
Отличительная черта кампании - полное отсутствие вредоносного кода. По данным Arctic Wolf, ни в одном из разобранных случаев злоумышленники не устанавливали программу на устройство жертвы и не пытались перемещаться между внутренними серверами компании. Всю работу они ведут удалённо, через легитимные облачные сервисы, к которым у сотрудника и так есть доступ. Поэтому антивирус не видит угрозы: ничего подозрительного на компьютерах просто не появляется.
Вход выполняется с чужой инфраструктуры. Атакующие подключаются через коммерческие службы резидентных прокси - это промежуточные серверы, которые подменяют адрес пользователя на адрес домашнего подключения. Адрес, с которого происходит вход, совпадает с городом и оператором связи жертвы. Проверки, отсекающие подозрительные подключения, срабатывают редко. В последнее время та же инфраструктура используется и для выкачивания файлов, хотя раньше для этого применялись серверы хостинг-провайдеров.
Сбор данных идёт из SharePoint, OneDrive, Exchange и внешнего сервиса Box. Сначала злоумышленники изучают структуру хранилищ: просматривают список сайтов, разделов и документов, чтобы понять, где лежат самые ценные материалы. Затем следует массовая выгрузка. Один пользователь за одну сессию скачивает сотни и тысячи файлов, а из почтовых ящиков выгребается вся переписка. Объём собранного напрямую влияет на размер требования: чем больше украдено, тем сильнее давление на компанию.
За активностью стоят несколько вымогательских брендов: BlackFile, Pink, Helix, Cinder и Redact. Единой личности за ними не просматривается - скорее это связанные между собой группы или одни и те же люди, меняющие название. Аналитики компании отмечают, что организации, попавшие на сайт утечек Cinder, пересекаются с жертвами фишинговых страниц, которые ранее приписывали группе Pink. Это даёт основания считать Cinder переименованием или продолжением прежней деятельности.
География и отрасли жертв устойчивы. Почти все пострадавшие компании находятся в США. Среди них преобладают строительство и проектирование, медицина и фармацевтика, управление недвижимостью, финансы и профессиональные услуги. Для приманки злоумышленники зарегистрировали сотни похожих доменов, маскирующихся под реальные организации. Адрес страницы часто содержит название компании-жертвы в виде поддомена, поэтому ссылка выглядит правдоподобно даже для внимательного сотрудника.
Полностью закрыть схему одним средством не получится. Первый шаг - разрешать вход в корпоративные сервисы только с управляемых и соответствующих политике устройств: украденная сессия тогда не сработает на чужом компьютере. Полезно блокировать подключения через анонимные и прокси-сети либо требовать дополнительное подтверждение при входе с них. Надёжнее обычных кодов работают аппаратные ключи безопасности: они привязывают вход к конкретному устройству и не позволяют перехватить сессию. Разумно ограничить объём документов, доступных одному сотруднику, и промаркировать чувствительные файлы особыми метками.
Отдельного внимания требует служба поддержки. Сотрудники должны знать: настоящая поддержка не звонит первой и не просит зарегистрировать новый способ входа или сменить средство подтверждения. Любой неожиданный звонок проверяется по независимому известному каналу, а о подозрительном разговоре сообщается в службу безопасности. Компаниям также полезно включать мгновенный отзыв активных сессий при изменении оценки риска. Тогда украденный доступ закрывается в считаные минуты, а не через часы, и у злоумышленников остаётся меньше времени на выгрузку документов.
Индикаторы компрометации
