מחושים של '0ktapus' קבוצת איומים קורבנות 130 חברות

התקפות ממוקדות על עובדי Twilio ו-Cloudflare קשורות למסע דיוג ענק שהביא לפגיעה ב-9,931 חשבונות בלמעלה מ-130 ארגונים. הקמפיינים קשורים לניצול ממוקד של חברת ניהול זהויות וגישה Okta, אשר זכתה לשחקני האיום את הכינוי 0ktapus, על ידי חוקרים.

"המטרה העיקרית של שחקני האיום הייתה להשיג אישורי זהות Okta וקודים של אימות רב-גורמי (MFA) ממשתמשי הארגונים הממוקדים", כתבו חוקרי Group-IB בדוח שפורסם לאחרונה. "משתמשים אלו קיבלו הודעות טקסט המכילות קישורים לאתרי דיוג שחיקו את דף האימות Okta של הארגון שלהם."

הושפעו 114 חברות בארה"ב, עם קורבנות נוספים של 68 מדינות נוספות.

רוברטו מרטינז, אנליסט בכיר למודיעין איומים ב-Group-IB, אמר כי היקף התקיפות עדיין לא ידוע. "קמפיין 0ktapus היה מוצלח להפליא, וייתכן שההיקף המלא שלו לא יהיה ידוע במשך זמן מה", אמר.

מה רצו האקרים של 0ktapus

על פי ההערכות, תוקפי ה-0ktapus החלו את הקמפיין שלהם על ידי מיקוד לחברות תקשורת בתקווה לזכות בגישה למספרי טלפון של יעדים פוטנציאליים.

למרות שאיננו בטוחים כיצד בדיוק קיבלו גורמי איומים רשימה של מספרי טלפון המשמשים בהתקפות הקשורות ל-MFA, תיאוריה אחת שחוקרים טוענים היא שתוקפי 0ktapus החלו את מסע הפרסום שלהם מכוון לחברות תקשורת.

"לפי הנתונים שנפרצו שניתחו על ידי Group-IB, שחקני האיום התחילו את התקפותיהם על ידי התמקדות במפעילי סלולר וחברות תקשורת ויכלו לאסוף את המספרים מהתקפות ראשוניות אלה", כתבו החוקרים.

לאחר מכן, תוקפים שלחו קישורי פישינג למטרות באמצעות הודעות טקסט. קישורים אלה הובילו לדפי אינטרנט המחקים את דף האימות של Okta המשמש את המעסיק של היעד. לאחר מכן התבקשו הקורבנות להגיש תעודות זהות של Okta בנוסף לקודי אימות רב-גורמי (MFA) שהעובדים השתמשו בהם כדי לאבטח את כניסותיהם.

בליווי בלוג טכני, מסבירים חוקרים ב-Group-IB שההתפשרות הראשונית של חברות תוכנה כשירות, בעיקר, היו שלב ראשון במתקפה רב-שכבתית. המטרה הסופית של 0ktapus הייתה לגשת לרשימות דיוור של החברה או למערכות מול לקוחות בתקווה להקל על התקפות שרשרת האספקה.

בתקרית אפשרית הקשורה, בתוך שעות לאחר פרסום הדו"ח של Group-IB בסוף השבוע שעבר, חברת DoorDash חשפה שהיא הייתה ממוקדת למתקפה עם כל הסממנים של מתקפה בסגנון 0ktapus.

רדיוס הפיצוץ: התקפות MFA

ב בלוג DoorDash חשף; "צד לא מורשה השתמש באישורים הגנובים של עובדי הספק כדי לקבל גישה לחלק מהכלים הפנימיים שלנו." התוקפים, לפי הפוסט, המשיכו לגנוב מידע אישי - כולל שמות, מספרי טלפון, אימייל וכתובות משלוח - מלקוחות ואנשי משלוח.

במהלך הקמפיין שלו, התוקף פרץ 5,441 קודי MFA, כך דיווח Group-IB.

"אמצעי אבטחה כגון MFA יכולים להיראות מאובטחים... אבל ברור שתוקפים יכולים להתגבר עליהם בכלים פשוטים יחסית", כתבו החוקרים.

"זו עוד מתקפת פישינג שמראה כמה קל ליריבים לעקוף אימות מרובה-גורמי מאובטח כביכול", כתב רוג'ר גריימס, אוונגליסט הגנה מונע נתונים ב- KnowBe4, בהצהרה בדוא"ל. "זה פשוט לא מועיל להעביר משתמשים מסיסמאות המאפשרות דיוג בקלות ל-MFA המסוגלות להתחזות בקלות. זה הרבה עבודה קשה, משאבים, זמן וכסף, כדי לא לקבל שום תועלת".

כדי להפחית מסעות פרסום בסגנון 0ktapus, החוקרים המליצו על היגיינה טובה סביב כתובות אתרים וסיסמאות, ושימוש FIDO2-מפתחות אבטחה תואמים עבור MFA.

"בכל MFA שמישהו משתמש בו", ייעץ גרימס, "יש ללמד את המשתמש על סוגי ההתקפות הנפוצים שמבוצעים נגד צורת ה-MFA שלו, כיצד לזהות את ההתקפות הללו וכיצד להגיב. אנחנו עושים את אותו הדבר כשאנחנו אומרים למשתמשים לבחור סיסמאות, אבל לא כשאנחנו אומרים להם להשתמש ב-MFA בטוח יותר כביכול."