חוקרי Arctic Wolf Labs מתארים דפוס חוזר של הנדסה חברתית: תוקפים פונים לעובדים דרך צ'אט חיצוני ב-Microsoft Teams ומתחזים לתמיכה טכנית, כדי לקבל גישה מרחוק לארגון. מדובר במאות מקרים.
הפרטים
ההודעות מגיעות מדיירים (tenants) חדשים של Microsoft 365, שמות התצוגה נשמעים כמו מחלקת IT, ולעיתים כוללים את שם החברה. לפי הדיווח, כ-30%-40% מהמקרים השתמשו בדומיינים מסוג onmicrosoft.com. לעיתים התוקף מציף קודם את תיבת הדואר של הקורבן בהרשמות לניוזלטרים, ורק אחר כך שולח הודעת "תמיכה" דחופה.
את הקורבן מנחים להפעיל כלי שליטה מרחוק לגיטימיים כמו Quick Assist, AnyDesk או ScreenConnect. התוקפים נמנעים מלהדביק קישורים בצ'אט, כדי לא להפעיל סריקת Safe Links, ובמקום זה מנווטים לקובץ בזמן ההתחברות. בהמשך נצפו דלת אחורית בשם GoGRPC, תנועה לרוחב לעבר בקרי דומיין, הוצאת מידע ופריסת כופר; Sophos קישרה חלק מהתקיפות לכופר Chaos.
נקודות לשים לב
- שקול לחסום או להגביל צ'אטים חיצוניים ב-Teams, או לאפשר אותם רק לדומיינים מאושרים.
- הגבל התקנה והפעלה של כלי שליטה מרחוק לרשימה מאושרת, וצור התראה על כלים שאינם בשימוש בארגון.
- הסבר לעובדים ש-IT אמיתי לא יבקש גישה מרחוק בעקבות הודעה שהגיעה מבחוץ, ושהצפת דואר פתאומית היא סימן אזהרה.
- לפי Arctic Wolf, סריקת הודעות לא מספיקה: יש לנטר גם טלמטריית עמדות קצה וזהויות.
מקורות: Arctic Wolf · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
