Tentáculos do grupo de ameaças '0ktapus' vitimizam 130 empresas

Os ataques direcionados aos funcionários da Twilio e da Cloudflare estão vinculados a uma campanha massiva de phishing que resultou no comprometimento de 9,931 contas em mais de 130 organizações. As campanhas estão ligadas ao abuso direcionado da empresa de gerenciamento de identidade e acesso Okta, que deu aos atores da ameaça o apelido de 0ktapus, pelos pesquisadores.

“O objetivo principal dos atores da ameaça era obter credenciais de identidade Okta e códigos de autenticação multifator (MFA) dos usuários das organizações visadas”, escreveram os pesquisadores do Group-IB. em um relatório recente. “Esses usuários receberam mensagens de texto contendo links para sites de phishing que imitavam a página de autenticação Okta de sua organização.”

Foram afetadas 114 empresas sediadas nos EUA, com vítimas adicionais espalhadas por 68 países adicionais.

Roberto Martinez, analista sênior de inteligência de ameaças do Group-IB, disse que o escopo dos ataques ainda é desconhecido. “A campanha 0ktapus tem sido incrivelmente bem-sucedida e sua escala total pode não ser conhecida por algum tempo”, disse ele.

O que os hackers do 0ktapus queriam

Acredita-se que os atacantes do 0ktapus tenham começado a sua campanha visando empresas de telecomunicações na esperança de obter acesso aos números de telefone de potenciais alvos.

Embora não tenham certeza de como exatamente os atores da ameaça obtiveram uma lista de números de telefone usados ​​em ataques relacionados ao MFA, uma teoria postulada pelos pesquisadores é que os invasores do 0ktapus começaram sua campanha visando empresas de telecomunicações.

“De acordo com os dados comprometidos analisados ​​pelo Grupo-IB, os agentes da ameaça iniciaram os seus ataques visando operadoras móveis e empresas de telecomunicações e poderiam ter recolhido os números desses ataques iniciais”, escreveram os investigadores.

Em seguida, os invasores enviaram links de phishing aos alvos por meio de mensagens de texto. Esses links levavam a páginas que imitavam a página de autenticação Okta usada pelo empregador do alvo. As vítimas foram então solicitadas a enviar credenciais de identidade Okta, além de códigos de autenticação multifator (MFA) que os funcionários usaram para proteger seus logins.

Num acompanhamento blog técnico, pesquisadores do Group-IB explicam que os compromissos iniciais, principalmente de empresas de software como serviço, foram a primeira fase de um ataque multifacetado. O objetivo final do 0ktapus era acessar listas de e-mail de empresas ou sistemas voltados para clientes na esperança de facilitar ataques à cadeia de suprimentos.

Em um possível incidente relacionado, poucas horas após o Grupo-IB publicar seu relatório no final da semana passada, a empresa DoorDash revelou que foi alvo de um ataque com todas as características de um ataque do tipo 0ktapus.

Raio de explosão: ataques MFA

Em um artigo do no blog DoorDash revelado; “Parte não autorizada usou credenciais roubadas de funcionários do fornecedor para obter acesso a algumas de nossas ferramentas internas.” Os invasores, segundo a postagem, roubaram informações pessoais – incluindo nomes, números de telefone, e-mail e endereços de entrega – de clientes e entregadores.

No decorrer de sua campanha, o invasor comprometeu 5,441 códigos MFA, informou o Grupo-IB.

“Medidas de segurança como MFA podem parecer seguras… mas está claro que os invasores podem superá-las com ferramentas relativamente simples”, escreveram os pesquisadores.

“Este é mais um ataque de phishing que mostra como é fácil para os adversários contornar a autenticação multifatorial supostamente segura”, escreveu Roger Grimes, evangelista de defesa baseado em dados da KnowBe4, em comunicado por e-mail. “Simplesmente não adianta mover os usuários de senhas facilmente detectáveis ​​para phishing para MFA facilmente detectáveis. É muito trabalho duro, recursos, tempo e dinheiro, para não obter nenhum benefício.”

Para mitigar campanhas estilo 0ktapus, os pesquisadores recomendaram uma boa higiene em torno de URLs e senhas, e usar FIDO2chaves de segurança compatíveis com MFA.

“Qualquer que seja o MFA que alguém use”, aconselhou Grimes, “o usuário deve ser ensinado sobre os tipos comuns de ataques cometidos contra sua forma de MFA, como reconhecer esses ataques e como responder. Fazemos o mesmo quando dizemos aos usuários para escolherem senhas, mas não o fazemos quando lhes dizemos para usar MFA supostamente mais seguro.”