Tentaculele grupului de amenințare „0ktapus” victimizează 130 de firme

Atacurile direcționate asupra angajaților Twilio și Cloudflare sunt legate de o campanie masivă de phishing care a dus la compromiterea a 9,931 de conturi la peste 130 de organizații. Campaniile sunt legate de abuzul concentrat al companiei de gestionare a identității și a accesului Okta, care a câștigat actorii amenințărilor porecla 0ktapus, de către cercetători.

„Scopul principal al actorilor amenințărilor a fost să obțină acreditări de identitate Okta și coduri de autentificare multifactor (MFA) de la utilizatorii organizațiilor vizate”, au scris cercetătorii Grupului-IB. într-un raport recent. „Acești utilizatori au primit mesaje text care conțineau link-uri către site-uri de phishing care imitau pagina de autentificare Okta a organizației lor.”

Au fost afectate 114 firme din SUA, cu victime suplimentare răspândite în 68 de țări suplimentare.

Roberto Martinez, analist senior de informații despre amenințări la Group-IB, a declarat că amploarea atacurilor este încă o necunoscută. „Campania 0ktapus a avut un succes incredibil și s-ar putea să nu fie cunoscută întreaga amploare de ceva vreme”, a spus el.

Ce și-au dorit hackerii 0ktapus

Se crede că atacatorii 0ktapus și-au început campania țintind companiile de telecomunicații în speranța de a câștiga acces la numerele de telefon ale potențialelor ținte.

Deși nu sunt siguri cum au obținut actorii amenințărilor o listă de numere de telefon utilizate în atacurile legate de MFA, o teorie a cercetătorilor este că atacatorii 0ktapus și-au început campania vizând companiile de telecomunicații.

„În conformitate cu datele compromise analizate de Group-IB, actorii amenințărilor și-au început atacurile țintind operatorii de telefonie mobilă și companiile de telecomunicații și ar fi putut colecta numerele din acele atacuri inițiale”, au scris cercetătorii.

Apoi, atacatorii au trimis linkuri de phishing către ținte prin mesaje text. Aceste link-uri au condus la pagini web care imită pagina de autentificare Okta utilizată de angajatorul țintei. Victimelor li s-a cerut apoi să trimită acreditările de identitate Okta, pe lângă codurile de autentificare cu mai mulți factori (MFA) folosite de angajați pentru a-și securiza autentificarea.

Într-un însoțitor blog tehnic, cercetătorii de la Group-IB explică că compromisurile inițiale ale firmelor de software ca serviciu au fost prima fază într-un atac pe mai multe direcții. Scopul final al 0ktapus a fost să acceseze listele de corespondență ale companiei sau sistemele orientate către clienți în speranța de a facilita atacurile lanțului de aprovizionare.

Într-un posibil incident asociat, la câteva ore după ce Group-IB și-a publicat raportul la sfârșitul săptămânii trecute, firma DoorDash a dezvăluit că a fost vizată de un atac cu toate semnele distinctive ale unui atac în stil 0ktapus.

Blast Radius: atacuri MFA

Într-o blog DoorDash a dezvăluit; „partea neautorizată a folosit acreditările furate ale angajaților furnizorilor pentru a avea acces la unele dintre instrumentele noastre interne.” Atacatorii, potrivit postării, au continuat să fure informații personale – inclusiv nume, numere de telefon, e-mail și adrese de livrare – de la clienți și de la livratorii.

În timpul campaniei sale, atacatorul a compromis 5,441 de coduri MFA, a raportat Group-IB.

„Măsurile de securitate precum MFA pot părea sigure… dar este clar că atacatorii le pot depăși cu instrumente relativ simple”, au scris cercetătorii.

„Acesta este încă un alt atac de tip phishing care arată cât de ușor este pentru adversari să ocolească presupusa autentificare multifactorială sigură”, a scris Roger Grimes, evanghelist al apărării bazat pe date la KnowBe4, într-o declarație prin e-mail. „Pur și simplu nu face niciun folos să muți utilizatorii de la parolele ușor de phishing la MFA ușor de phishing. Este multă muncă grea, resurse, timp și bani, pentru a nu obține niciun beneficiu.”

Pentru a atenua campaniile în stil 0ktapus, cercetătorii au recomandat o bună igienă în jurul adreselor URL și parolelor și să folosească FIDO2-chei de securitate compatibile pentru MFA.

„Orice MFA folosește cineva”, a sfătuit Grimes, „utilizatorul ar trebui să fie învățat despre tipurile comune de atacuri care sunt comise împotriva formei lor de MFA, cum să recunoască aceste atacuri și cum să răspundă. Facem același lucru atunci când le spunem utilizatorilor să aleagă parole, dar nu o facem atunci când le spunem să folosească MFA presupus mai sigur.”