A „0ktapus” fenyegetőcsoport csápjai 130 céget sújtanak

A Twilio és a Cloudflare alkalmazottai elleni célzott támadások egy hatalmas adathalász kampányhoz kapcsolódnak, amelynek eredményeként több mint 9,931 szervezet 130 fiókja került veszélybe. A kampányok az Okta identitás- és hozzáférés-kezelő céggel való célzott visszaéléshez kapcsolódnak, amely a fenyegető szereplőket 0ktapus becenévvel ruházta fel a kutatóktól.

"A fenyegetés szereplőinek elsődleges célja az volt, hogy megszerezzék az Okta személyazonossági hitelesítő adatait és többtényezős hitelesítési (MFA) kódokat a megcélzott szervezetek felhasználóitól" - írták a Group-IB kutatói. egy friss jelentésben. „Ezek a felhasználók olyan szöveges üzeneteket kaptak, amelyek olyan adathalász webhelyekre mutató linkeket tartalmaztak, amelyek szervezetük Okta hitelesítési oldalát utánozták.”

114 amerikai székhelyű cég volt érintett, és további 68 országban szóródtak szét az áldozatok.

Roberto Martinez, a Group-IB fenyegetések hírszerzési elemzője szerint a támadások hatóköre még mindig ismeretlen. "A 0ktapus kampány hihetetlenül sikeres volt, és lehet, hogy egy ideig nem ismerjük a teljes terjedelmét" - mondta.

Amit a 0ktapus hackerek akartak

A feltételezések szerint a 0ktapus támadói távközlési cégeket célozva kezdték kampányukat, abban a reményben, hogy hozzáférést nyernek a potenciális célpontok telefonszámaihoz.

Bár nem biztos abban, hogy a fenyegetés szereplői pontosan hogyan szerezték meg az MFA-hoz kapcsolódó támadásokhoz használt telefonszámok listáját, a kutatók egyik elmélete szerint a 0ktapus támadói kampányukat a távközlési vállalatokat célozták meg.

„A Group-IB által elemzett kompromittált adatok szerint a fenyegető szereplők mobilszolgáltatók és távközlési vállalatok ellen indítottak támadásokat, és összegyűjthették volna a kezdeti támadások számát” – írták a kutatók.

Ezután a támadók szöveges üzenetekben adathalász linkeket küldtek a célpontoknak. Ezek a linkek olyan weboldalakhoz vezettek, amelyek utánozták a cél munkáltatója által használt Okta hitelesítési oldalt. Az áldozatokat ezután arra kérték, hogy a többtényezős hitelesítési (MFA) kódok mellett, amelyeket az alkalmazottak a bejelentkezésük biztosítására használtak, küldjenek be Okta személyazonossági hitelesítő adatait is.

Kísérőben műszaki blog, a Group-IB kutatói kifejtik, hogy a többnyire szoftvert szolgáltató cégek kezdeti kompromisszumai egy többlépcsős támadás első fázisát jelentették. A 0ktapus végső célja az volt, hogy hozzáférjen a vállalati levelezőlistákhoz vagy az ügyfelek felé néző rendszerekhez, annak reményében, hogy elősegíti az ellátási lánc támadásait.

Egy esetleges kapcsolódó incidensben, néhány órán belül a Group IB jelentésének múlt hét végén történő közzététele után a DoorDash cég felfedte, hogy egy olyan támadás célpontja volt, amely a 0ktapus-stílusú támadások összes jellemzőjére jellemző.

Robbanás sugara: MFA támadások

egy blogbejegyzés A DoorDash kiderült; „Az illetéktelen fél az eladó alkalmazottainak ellopott hitelesítő adatait használta fel, hogy hozzáférjen néhány belső eszközünkhöz.” A támadók a bejegyzés szerint személyes adatokat – köztük neveket, telefonszámokat, e-mail- és szállítási címeket – loptak el az ügyfelektől és a kézbesítőktől.

A támadó kampánya során 5,441 MFA kódot kompromittált – jelentette a Group-IB.

„Az olyan biztonsági intézkedések, mint az MFA, biztonságosnak tűnhetnek… de egyértelmű, hogy a támadók viszonylag egyszerű eszközökkel leküzdhetik őket” – írták a kutatók.

„Ez egy újabb adathalász támadás, amely megmutatja, hogy az ellenfelek milyen könnyen megkerülhetik az állítólagos biztonságos többtényezős hitelesítést” – írta e-mailben Roger Grimes, a KnowBe4 adatvezérelt védelmi evangélistája. „Egyszerűen nem tesz jót, ha a felhasználókat a könnyen adathalászható jelszavakról a könnyen adathalászható MFA-ra helyezik át. Rengeteg kemény munka, erőforrás, idő és pénz kell ahhoz, hogy semmiféle haszonra ne jusson.”

A 0ktapus-stílusú kampányok mérséklése érdekében a kutatók jó higiéniát javasoltak az URL-ek és jelszavak körül, és FIDO2- kompatibilis biztonsági kulcsok az MFA-hoz.

„Bármilyen MFA-t is használ valaki – tanácsolta Grimes –, a felhasználót meg kell tanítani az MFA-típusuk ellen elkövetett támadások gyakori típusairól, arról, hogyan lehet felismerni ezeket a támadásokat, és hogyan kell reagálni. Ugyanezt tesszük, amikor azt mondjuk a felhasználóknak, hogy válasszanak jelszavakat, de nem, amikor azt mondjuk nekik, hogy állítólag biztonságosabb MFA-t használjanak.”