Dağınık örümcek çetesi, hizmet olarak yazılım (SaaS) uygulamalarından veri çalmaya ve yeni sanal makineler oluşturarak kalıcılık oluşturmaya başladı.
Ayrıca A.K.A. Octo Tempest, 0ktapus, Scatter Swine ve UNC3944 olarak izlenen çete, genellikle şirket içi erişim için SMS kimlik avı, SIM değiştirme ve hesap kaçırma kullanan sosyal mühendislik saldırılarına katılmaktadır.
Dağınık örümcek, aynı telgraf kanallarını, hack forumlarını ve anlaşmazlık sunucularını sık sık sıklayan bir siber suçlu topluluğunu göstermek için verilen addır.
Dağınık örümcek belirli üyelerle organize bir çete olduğu hakkında raporlar olsa da, grup aslında ihlalleri yapmak, verileri çalmak ve zorlamak için birlikte çalışan bireylerin İngilizce konuşan (mutlaka İngilizce konuşan ülkelerden değil) gevşek bir örgü kolektifidir. hedefleri.
Bazıları daha sık işbirliği yapar, ancak belirli bir görev için uygun becerilere sahip üyeler arasında geçiş yapmaları nadir değildir.
Bugünkü bir raporda, Google’ın siber güvenlik firması Mantiant, Spider'ın taktiklerini, tekniklerini ve prosedürlerini (TTP'ler), sistemleri şifrelemeden koruma için verileri çalmak için bulut altyapısına ve SaaS uygulamalarına genişlettiğini belirtiyor.
“[...] UNC3944, fidye yazılımı kullanılmadan öncelikle veri hırsızlığı gaspına geçti. Hedeflerdeki bu değişiklik, maniant soruşturmalarla kanıtlandığı gibi hedeflenen endüstrilerin ve kuruluşların genişlemesini hızlandırdı ”diyor araştırmacılar.
Dağınık Örümcek, ayrıcalıklı bir hesaba ilk erişim elde etmek amacıyla genellikle kurumsal yardım masası temsilcilerini hedefleyen sosyal mühendislik tekniklerine dayanır. Tehdit oyuncusu, doğrulama süreçlerini atlamak için kişisel bilgiler, iş başlıkları ve yönetici adları ile iyi hazırlanmıştır.
Tehdit oyuncusu, yeni bir cihaz kurmak için çok faktörlü kimlik doğrulama (MFA) sıfırlama konusunda yardım gerektiren meşru bir kullanıcı gibi davranıyor.
Bir kurbanın ortamına eriştikten sonra, dağınık örümceğin kurban şirketinin bulutuna ve SaaS uygulamalarına ulaşmak için tehlikeye atılan hesapla ilişkili OKTA izinlerini kullandığı gözlemlenmiştir.
"Bu ayrıcalık artışıyla, tehdit oyuncusu sadece OKTA'yı tek oturum açma (SSO) için kullanan uygulamaları kötüye kullanamadı, aynı zamanda bu rol ödevlerinden sonra hangi uygulama karolarının kullanılabilir olduğunu görsel olarak gözlemleyerek OKTA Web portalı kullanılarak iç keşif yapabildi. , " - maniant
Kalıcılık için dağınık örümcek, yönetici ayrıcalıklarını kullanarak ve bu VM'leri güvenlik korumalarını devre dışı bırakmak için yapılandırarak vSphere ve Azure'da yeni sanal makineler oluşturur.
Daha sonra, Mimikatz ve Impacket Framework gibi yanal hareket için araçlar kullanmalarına izin veren Microsoft Defender'ı ve diğer telemetri özelliklerini, VPN ihtiyaç duymadan erişime izin veren tünelleme yardımcı programları (NGROK, RSOCX ve Localtonet) ile devre dışı bırakırlar. veya MFA doğrulaması.
Tehdit oyuncusu, kurban verilerini Google Cloud Platform (GCP) ve Amazon Web Hizmetleri (AWS) gibi saygın hizmetlerde bulut depolamalarına taşımak için Airbyte ve Fivetran gibi meşru bulut senkronizasyon araçlarını kullanıyor.
Mantian, keşif ve veri maddesi için çeşitli müşteri SaaS uygulamalarına dönen dağınık örümcek gözlemledi, ör. VCenter, Cyberark, Salesforce, Azure, Crowdstrike, AWS, Workday ve GCP.
Örneğin, tehdit oyuncusu aktif projeleri, ilgi tartışmalarını ve gizli bilgileri tanımlamak için Microsoft Office 365 için Microsoft Office Delve Arama ve Keşif aracını kullandı.
Ek olarak, dağınık örümcek, çevreye erişimlerini test etmek için uç nokta tespiti ve yanıt (EDR) çözümlerini kullandı. Saldırgan, CrowdStrike'ın harici konsolunda API anahtarları oluşturdu ve Whoami ve Quser komutlarını yürüttüğü, kullanıcının sistemdeki ayrıcalıklarını ve bir uzak masaüstü oturum ana bilgisayar sunucusundaki oturumları öğrenmek için yürüttü.
Mantiant ayrıca sertifikaları çıkarmak için Active Directory Federated Hizmetleri (ADFS) hedefleyen dağınık örümcek gözlemledi. Altın bir SAML saldırısı ile birleştiğinde, aktör bulut tabanlı uygulamalara sürekli erişim sağlayabilir.
Şirket içi güvenlik araçları, bulut tabanlı uygulamalardan veri açığa çıkması söz konusu olduğunda çoğunlukla güçsüz olduğundan, şirketler potansiyel bir uzlaşmayı tanımlamak için birden fazla algılama noktası uygulamalıdır.
Mantiant, önemli hizmetlerden günlüklerin merkezileştirilmesini, MFA yeniden kayıtlarını ve sanal makine altyapısını içeren SaaS uygulamalarının daha iyi izlenmesine odaklanmayı önerir, özellikle de çalışma süresine ve yeni cihazların oluşturulmasına dikkat eder.
Ana bilgisayar tabanlı sertifikaları VPN erişimi için çok faktörlü kimlik doğrulama ile birleştirmek ve bir bulut kiracısı içinde neyin görülebildiğini kontrol etmek için daha katı erişim politikaları oluşturmak, potansiyel bir davetsiz misafiri ve bir uzlaşmanın etkisini sınırlayabilecek eylemlerdir.
Siber Güvenlik Danışmanı, firma zorladığı iddia edildikten sonra tutuklandı
Panera Bread muhtemelen Mart fidye yazılımı saldırısında fidye ödedi
İspanya'da tutuklanan dağınık örümcek sim-swapper iddia edildi
Keytronic fidye yazılımı çetesi çalınan dosyaları sızdırdıktan sonra veri ihlalini onaylar
Life360, hacker'ın kiremit veri ihlalinden sonra onları zorlamaya çalıştığını söylüyor
Kaynak: Bleeping Computer