Zusammenfassung

Sicherheitsforscher haben eine breit angelegte, unter dem Namen PREY-0058 verfolgte Kampagne offengelegt, die Direktoren, Vizepräsidenten und andere Führungskräfte über gefälschte IT-Helpdesk-Anrufe sowie gestohlene Authentifizierungs-Tokens angreift. Tags: #Cyber Crime | #IT-Support | #Microsoft 365

Im Detail

Sicherheitsforscher haben eine breit angelegte, unter dem Namen PREY-0058 verfolgte Kampagne offengelegt, die Direktoren, Vizepräsidenten und andere Führungskräfte über gefälschte IT-Helpdesk-Anrufe sowie gestohlene Authentifizierungs-Tokens angreift.

Das Sicherheitsunternehmen Arctic Wolf, das die Kampagne unter der Bezeichnung PREY-0058 verfolgt, stellte dabei erhebliche Überschneidungen im technischen Vorgehen zu der von Google-Tochter Mandiant als UNC6671 bezeichneten Datenerpressungsgruppe fest.

Zudem stelle die als Cinder bekannte Erpressergruppe vermutlich ein weiteres Rebranding oder eine Fortführung der zuvor als Pink bekannten Operationen dar, erkennbar an Überschneidungen zwischen den auf der Cinder-Leak-Seite gelisteten und den zuvor Pink zugeordneten Organisationen.

Die sich ständig wandelnden Bezeichnungen entsprächen dabei jedoch keiner einzelnen, eindeutig identifizierten Angreifergruppe, sondern eher einem lose verbundenen Netzwerk aus Partnern und Splittergruppen, die dieselbe zugrunde liegende Phishing-Infrastruktur nutzten.

Die eigentliche Angriffskette beginnt damit, dass sich die Angreifer in Telefonanrufen als interne IT- oder Helpdesk-Mitarbeitende ausgeben und potenzielle Ziele zu einer auf Authentifizierung ausgerichteten Website mit einem Adressmuster nach dem Schema Zielorganisation.Ködderdomain lenken.

Zu den von Arctic Wolf identifizierten Köderdomains zählen unter anderem assignpasskey.com, mfaregister.com, nowsso.com sowie passkey-mfa.com.

Die Angriffe führen dabei zu einem vom Angreifer kontrollierten, dem eigentlichen Microsoft-365-Anmeldevorgang nachempfundenen Adversary-in-the-Middle-Ablauf, der sowohl Zugangsdaten als auch Mehr-Faktor-Bestätigungen abgreift, um Zugriff auf authentifizierte Sitzungs-Tokens zu erlangen.

Die erbeuteten Tokens setzen die Angreifer anschließend für sogenannte Session-Replay-Angriffe ein, ausgehend von Proxy-Infrastruktur wie NodeMaven sowie von IP-Adressen, die geografisch und netzwerktechnisch demselben Standort wie das eigentliche Opfer zugeordnet sind.

Erkundung von SharePoint und Entra ID vor eigentlichem Datenabgriff

Nach dem ersten Zugriff über Anwendungen wie My Signins, My Profile oder My Apps führen die Angreifer gezielte Erkundungstechniken gegen SharePoint und Entra ID durch, unter anderem über gezielte Suchabfragen sowie Platzhaltersuchen zur systematischen Durchsuchung vorhandener Inhalte.

Im letzten Schritt sammeln und exfiltrieren die Angreifer in großem Umfang Daten aus SharePoint, OneDrive, Exchange und Box, bevor anschließend die eigentlichen Erpressungsforderungen an die Opfer versendet werden.

Bemerkenswert an PREY-0058 ist dabei das vollständige Fehlen von auf Endgeräten installierter Schadsoftware oder klassischer seitlicher Bewegung im Netzwerk. Eine weitergehende Analyse der genutzten Köderinfrastruktur förderte zudem Hunderte Subdomains zutage, die reale Unternehmen nachahmen.

Betroffen sind vor allem Ziele in den USA, überwiegend aus den Bereichen Bau- und Ingenieurwesen, Gesundheitswesen und Pharmazie, Immobilien- und Objektverwaltung, Finanzwesen sowie Unternehmensdienstleistungen.

Empfohlene Gegenmaßnahmen für Führungskräfte

Arctic Wolf empfiehlt betroffenen Organisationen die Einführung von Conditional-Access-Richtlinien, den Einsatz phishing-resistenter Mehr-Faktor-Authentifizierung, eine Einschränkung des Datenzugriffs einzelner Nutzer in SharePoint sowie gezielte Schulungen von Beschäftigten und Helpdesk-Personal zu den Risiken von sogenanntem Vishing. Das Unternehmen erklärte abschließend:

„Verteidiger können diese Aktivität stören, indem sie ungewöhnliche Token-Wiederverwendung über Residential-Proxys, SharePoint-Erkundung und Massenzugriffe, das Abgreifen von Postfachinhalten sowie neu registrierte, auf Authentifizierung ausgerichtete Köderinfrastruktur erkennen.“

Arctic Wolf

(red)

Tags: #Cyber Crime | #IT-Support | #Microsoft 365