Tentakels van de '0ktapus'-bedreigingsgroep maken het slachtoffer van 130 bedrijven

Gerichte aanvallen op Twilio- en Cloudflare-medewerkers zijn gekoppeld aan een enorme phishing-campagne die ertoe heeft geleid dat 9,931 accounts bij meer dan 130 organisaties zijn gehackt. De campagnes zijn gekoppeld aan gericht misbruik van identiteit en toegangsbeheerbedrijf Okta, dat de dreigingsactoren de bijnaam 0ktapus heeft gekregen, door onderzoekers.

"Het primaire doel van de dreigingsactoren was om Okta-identiteitsreferenties en multi-factor authenticatie (MFA) codes te verkrijgen van gebruikers van de beoogde organisaties", schreven Group-IB-onderzoekers. in een recent rapport. "Deze gebruikers ontvingen sms-berichten met links naar phishing-sites die de Okta-authenticatiepagina van hun organisatie nabootsten."

Getroffen waren 114 in de VS gevestigde bedrijven, met extra slachtoffers van besprenkeling in 68 extra landen.

Roberto Martinez, senior threat intelligence analist bij Group-IB, zei dat de omvang van de aanvallen nog onbekend is. "De 0ktapus-campagne is ongelooflijk succesvol geweest en de volledige omvang ervan is misschien al een tijdje niet bekend", zei hij.

Wat de 0ktapus-hackers wilden

Aangenomen wordt dat de 0ktapus-aanvallers hun campagne zijn begonnen door zich op telecommunicatiebedrijven te richten in de hoop toegang te krijgen tot de telefoonnummers van potentiële doelwitten.

Hoewel ze niet precies weten hoe dreigingsactoren aan een lijst met telefoonnummers kwamen die werden gebruikt bij MFA-gerelateerde aanvallen, stellen onderzoekers dat de 0ktapus-aanvallers hun campagne begonnen om telecommunicatiebedrijven te targeten.

"Volgens de gecompromitteerde gegevens die door Group-IB zijn geanalyseerd, begonnen de bedreigingsactoren hun aanvallen door zich te richten op mobiele operators en telecommunicatiebedrijven en hadden ze de cijfers van die eerste aanvallen kunnen verzamelen", schreven onderzoekers.

Vervolgens stuurden aanvallers phishing-links naar doelen via sms-berichten. Die links leidden naar webpagina's die de Okta-authenticatiepagina nabootsten die door de werkgever van het doelwit werd gebruikt. Slachtoffers werd vervolgens gevraagd om Okta-identiteitsgegevens in te dienen naast een multi-factor authenticatie (MFA) -codes die werknemers gebruikten om hun logins te beveiligen.

In een begeleidende technische blog, leggen onderzoekers van Group-IB uit dat de aanvankelijke compromissen van voornamelijk software-as-a-service-bedrijven een fase één waren in een meervoudige aanval. Het uiteindelijke doel van 0ktapus was om toegang te krijgen tot bedrijfsmailinglijsten of klantgerichte systemen in de hoop aanvallen op de toeleveringsketen te vergemakkelijken.

In een mogelijk gerelateerd incident, binnen enkele uren nadat Group-IB haar rapport eind vorige week publiceerde, onthulde de firma DoorDash dat het het doelwit was van een aanval met alle kenmerken van een 0ktapus-achtige aanval.

Ontploffingsstraal: MFA-aanvallen

In een blogpost DoorDash onthuld; "ongeautoriseerde partij heeft de gestolen inloggegevens van leveranciersmedewerkers gebruikt om toegang te krijgen tot enkele van onze interne tools." De aanvallers, volgens de post, gingen verder met het stelen van persoonlijke informatie - inclusief namen, telefoonnummers, e-mailadressen en afleveradressen - van klanten en bezorgers.

In de loop van zijn campagne heeft de aanvaller 5,441 MFA-codes gecompromitteerd, meldde Group-IB.

"Beveiligingsmaatregelen zoals MFA kunnen veilig lijken... maar het is duidelijk dat aanvallers ze kunnen overwinnen met relatief eenvoudige tools", schreven onderzoekers.

"Dit is weer een phishing-aanval die laat zien hoe gemakkelijk het is voor kwaadwillenden om zogenaamd veilige multifactor-authenticatie te omzeilen", schreef Roger Grimes, datagedreven verdedigingsevangelist bij KnowBe4, in een verklaring via e-mail. “Het heeft gewoon geen zin om gebruikers te verplaatsen van wachtwoorden die gemakkelijk phish kunnen worden naar MFA die gemakkelijk phishing kunnen uitvoeren. Het is veel hard werken, middelen, tijd en geld om geen voordeel te krijgen.”

Om 0ktapus-achtige campagnes te verminderen, adviseerden de onderzoekers goede hygiëne rond URL's en wachtwoorden, en het gebruik van FIDO2-compatibele beveiligingssleutels voor MFA.

"Welke MFA iemand ook gebruikt," adviseerde Grimes, "de gebruiker moet worden onderwezen over de veelvoorkomende soorten aanvallen die worden gepleegd tegen hun vorm van MFA, hoe deze aanvallen te herkennen en hoe te reageren. We doen hetzelfde als we gebruikers vertellen wachtwoorden te kiezen, maar niet als we ze vertellen dat ze zogenaamd veiliger MFA moeten gebruiken.”