Barracuda Networksin uusimman Email Threat Radar -raportin mukaan hyökkääjät käyttävät oikeita Microsoft-kirjautumistunnuksia, piilottavat tietojenkalastelulinkkejä PDF-liitteisiin ja käyttävät erilaisia menetelmiä sähköpostiympäristöjen turvakontrollien ohittamiseen. Raportissa kerrotaan useista viimeaikaisista organisaatioihin ja niiden työntekijöihin kohdistuneista hyökkäyksistä.
Yhdessä kuvatuista hyökkäyksistä hyökkääjät käyttävät Tycoon 2FA:ta, tietojenkalastelupalvelua, ja laillista Microsoftin kirjautumissivua väärennetyn sijaan. Tavoitteena on saada käyttäjä kirjautumaan sisään ja siten kaapata istuntotunnisteita ja tunnistetietoja, jotka voivat antaa pääsyn sähköpostiin, tiedostoihin ja Microsoft 365 -palveluihin.
Hyökkäys alkaa sähköpostiviestillä, joka varoittaa postilaatikon täyttymisestä. Viestissä on kalenterikutsu väitettyyn kokoukseen Microsoftin tietoturvatiimin kanssa ja painike pidätettyjen sähköpostien vapauttamiseksi.
Painike johtaa aitoon Microsoft-kirjautumiseen, johon päästään hyökkääjän oman rekisteröidyn sovelluksen kautta Tycoon 2FA -alustalla. Kun käyttäjä kirjautuu sisään, istuntotunnus tallennetaan. Seuraavassa vaiheessa käyttäjää pyydetään antamaan tunnistetietonsa väärennetyllä sivulla, jonka kautta hyökkääjät pääsevät myös käsiksi salasanaan.
Linkit on piilotettu PDF-liitteissä
Raportissa kuvataan myös hyökkäyksiä, joissa epäilyttävät linkit on siirretty sähköpostin tekstistä PDF-liitteeseen.
Analysoidussa kampanjassa pyydetään vastaanottajaa avaamaan esimerkiksi määräystenmukaisuuteen tai maksuihin liittyvä liite. Dokumentissa oleva linkki johtaa todennusprosessiin, joka muistuttaa laillista kirjautumista ja kerää käyttäjän tunnistetiedot ja sähköpostiosoitteen.
Näissä tapauksissa laitekoodit luodaan paikallisesti selaimessa oikeiden Microsoft-rajapintojen sijaan. Tämä jäljittelee prosessia, jota käytetään laitteiden yhdistämiseen Microsoft-tileihin. Huijaus käyttää myös CAPTCHA-varmenteita ja tietojenkalastelusivuja, jotka vanhenevat tietyn ajan kuluttua.
Painike, jossa on kaksi eri tulosta samassa sähköpostissa
Toinen hyökkäys käyttää niin sanottua ”jaetun klikkauksen” tekniikkaa, jossa samalla painikkeella on eri toimintoja riippuen siitä, mihin käyttäjä napsauttaa.
Havaitussa tapauksessa painikkeen yläosan napsauttaminen johtaa lailliselle Microsoftin sivulle, kun taas alaosan napsauttaminen johtaa tietojenkalastelusivulle selaimessa luodun niin sanotun blob-URL-osoitteen kautta.
Myös tietojenkalastelua käytetään haittaohjelmien levittämiseen
Raportin mukaan tietojenkalastelua käytetään joissakin tapauksissa myös haitallisen koodin toimittamiseen kirjautumistietojen keräämisen lisäksi.
Esimerkkeinä mainitaan muun muassa:
- tiedostot, jotka näyttävät vaarattomilta PDF-dokumenteilta, mutta sisältävät todellisuudessa JavaScriptiä, jossa skripti piilottaa haitallisen koodinsa väärennettyyn dokumenttiin steganografian ja koodin hämärtämistekniikoiden avulla
- Kampanjat, joissa hyökkääjät esiintyvät valtion virastona ja levittävät komentosarjoja, jotka lataavat lisäkoodia ja suorittavat sen muistissa Windowsin komponenttien avulla
- Monivaiheiset hyökkäykset, joissa käyttäjä ohjataan useiden sivujen läpi, esimerkiksi HTML-tiedostosta väärennettyyn OneDriveen ja sitten kirjautumissivulle
Barracudan suositukset
Raportissa korostetaan Barrakuda seuraavat toimenpiteet:
- suojaa identiteettejä ja istuntotunnuksia, ei vain salasanoja
- laajentaa uhkien tunnistusominaisuuksia kattamaan kalenterikutsut, liitteet ja kirjautumisvirrat
- käytä käyttäytymiseen perustuvaa tunnistusta
- investoida liitteiden ja asiakkaiden suojaamiseen
- mahdollistaa nopean reagoinnin tapahtumiin
- päivittää koulutuskursseja vastaamaan nykyisiä tietojenkalastelumenetelmiä
Raportti perustuu analyyseihin, jotka on tehty mm. Barrakuda Tutkimus.
Swedish
Danish
Norwegian
Finnish
English
German
Dutch