"0ktapus" -uhkaryhmän lonkerot uhriksi 130 yritystä

Kohdistetut hyökkäykset Twilion ja Cloudflaren työntekijöitä vastaan ​​on sidottu massiiviseen tietojenkalastelukampanjaan, joka johti 9,931 130 tilin vaarantumiseen yli 0 organisaatiossa. Kampanjat liittyvät kohdennettuun identiteetin väärinkäyttöön ja pääsynhallintayhtiö Oktaan, joka sai tutkijoilta uhkatoimijoille XNUMXktapus-nimen.

"Uhkatoimijoiden ensisijainen tavoite oli saada Okta-identiteettitunnisteet ja monitekijätodennuskoodit (MFA) kohdeorganisaatioiden käyttäjiltä", kirjoitti Group-IB:n tutkijat. tuoreessa raportissa. "Nämä käyttäjät saivat tekstiviestejä, joissa oli linkkejä tietojenkalastelusivustoille, jotka matkivat heidän organisaationsa Okta-todennussivua."

Vaikutusten kohteena oli 114 yhdysvaltalaista yritystä ja lisäuhreja 68 muussa maassa.

Group-IB:n vanhempi uhkatiedustelun analyytikko Roberto Martinez sanoi, että hyökkäysten laajuus on edelleen tuntematon. "0ktapus-kampanja on ollut uskomattoman onnistunut, ja sen koko mittakaava ei ehkä ole tiedossa pitkään aikaan", hän sanoi.

Mitä 0ktapus-hakkerit halusivat

0ktapus-hyökkääjien uskotaan aloittaneen kampanjansa kohdistamalla televiestintäyrityksiin toivoen voittavan pääsyn mahdollisten kohteiden puhelinnumeroihin.

Vaikka emme ole varmoja tarkalleen, kuinka uhkatoimijat saivat luettelon MFA-hyökkäyksissä käytetyistä puhelinnumeroista, yksi tutkijoiden esittämä teoria on, että 0ktapus-hyökkääjät aloittivat kampanjansa televiestintäyrityksiin.

"[A]Group-IB:n analysoimien vaarantuneiden tietojen mukaan uhkatekijät aloittivat hyökkäyksensä kohdistamalla matkapuhelinoperaattoreihin ja televiestintäyrityksiin ja olisivat voineet kerätä numerot noista ensimmäisistä hyökkäyksistä", tutkijat kirjoittivat.

Seuraavaksi hyökkääjät lähettivät phishing-linkkejä kohteille tekstiviesteillä. Nämä linkit johtivat verkkosivuille, jotka matkivat kohteen työnantajan käyttämää Okta-todennussivua. Uhreja pyydettiin sitten toimittamaan Okta-identiteettitunnukset sen lisäksi, että työntekijät käyttivät kirjautumisensa turvaamiseen käyttämiä MFA-koodeja.

Mukana tekninen blogi, Group-IB:n tutkijat selittävät, että enimmäkseen ohjelmistoja palveluna toimivien yritysten alkuperäiset kompromissit olivat ensimmäinen vaihe monitahoisessa hyökkäyksessä. 0ktapusin perimmäisenä tavoitteena oli päästä yrityksen postituslistoihin tai asiakaskohtaisiin järjestelmiin toimitusketjun hyökkäysten helpottamiseksi.

Mahdollisessa asiaan liittyvässä tapahtumassa muutama tunti sen jälkeen, kun Group-IB julkaisi raporttinsa viime viikon lopulla, yritys DoorDash paljasti, että sen kohteena oli hyökkäys, jolla oli kaikki 0ktapus-tyylisen hyökkäyksen tunnusmerkit.

Räjähdyssäde: MFA-hyökkäykset

Jonkin sisällä blogi DoorDash paljastettiin; "luvaton osapuoli käytti myyjän työntekijöiden varastettuja valtuustietoja päästäkseen käsiksi joihinkin sisäisiin työkaluihimme." Viestin mukaan hyökkääjät varastivat henkilökohtaisia ​​tietoja - mukaan lukien nimet, puhelinnumerot, sähköpostiosoitteet ja toimitusosoitteet - asiakkailta ja jakeluhenkilöiltä.

Kampanjansa aikana hyökkääjä vaaransi 5,441 XNUMX MFA-koodia, Group-IB raportoi.

"Turvatoimenpiteet, kuten MFA, voivat näyttää turvallisilta... mutta on selvää, että hyökkääjät voivat voittaa ne suhteellisen yksinkertaisilla työkaluilla", tutkijat kirjoittivat.

"Tämä on jälleen yksi tietojenkalasteluhyökkäys, joka osoittaa, kuinka helppoa vastustajien on ohittaa oletettavasti suojattu monitekijätodennus", KnowBe4:n tietoihin perustuva puolustusevankelista Roger Grimes kirjoitti lausunnossaan sähköpostitse. "Ei yksinkertaisesti ole hyödyllistä siirtää käyttäjiä helposti kalastettavissa olevista salasanoista helposti kalasteltaviin MFA:han. Se vaatii paljon kovaa työtä, resursseja, aikaa ja rahaa, ettei mitään hyötyä saa."

0ktapus-tyylisten kampanjoiden lieventämiseksi tutkijat suosittelivat hyvää hygieniaa URL-osoitteiden ja salasanojen suhteen sekä FIDO2-yhteensopivat suojausavaimet MFA:lle.

"Riippumatta siitä, mitä MFA:ta joku käyttää", Grimes neuvoi, "käyttäjälle tulisi opettaa yleisiä hyökkäyksiä, joita hänen MFA-muotoaan vastaan ​​tehdään, kuinka tunnistaa nämä hyökkäykset ja miten niihin vastataan. Teemme samoin, kun käskemme käyttäjiä valitsemaan salasanat, mutta emme tee, kun käskemme heitä käyttämään oletettavasti turvallisempaa MFA:ta."