Екипи от експерти по киберсигурност свързват нова серия от атаки срещу финансови институции с прочутата хакерска група Scattered Spider, въпреки нейните твърдения, че е прекратила дейността си.
Според анализ на компанията за разузнавателни киберзаплахи ReliaQuest, престъпната група очевидно е пренасочила усилията си към финансовия сектор. Данните включват увеличен брой „lookalike“ домейни, насочени към индустрията, както и потвърдено проникване в неназована банка в САЩ.
„Scattered Spider успя да получи първоначален достъп чрез социално инженерство, като компрометира акаунт на висш мениджър и нулира паролата му чрез Azure Active Directory Self-Service Password Management,“ обясняват от компанията.
След това атакуващите са се сдобили с чувствителни IT документи, проникнали са в Citrix и VPN средата, а също така са компрометирали VMware ESXi инфраструктурата, за да извлекат идентификационни данни и да продължат проникването. За повишаване на привилегиите са нулирали паролата на акаунт на Veeam услуга, дали са си права на Azure Global Administrator и са преместили виртуални машини, за да избегнат засичане. Има и признаци, че групата е опитала да изнесе данни от Snowflake, Amazon Web Services (AWS) и други хранилища.
Лъжа или стратегическо оттегляне?
Тази активност поставя под съмнение твърденията на Scattered Spider, че прекратява операциите си, заедно с още 14 престъпни групи, сред които и LAPSUS$. Известно е, че „паяците“ са част от по-широка общност (The Com) и имат силни връзки със ShinyHunters и LAPSUS$, като трите клъстера са известни под общото име scattered LAPSUS$ hunters.
ShinyHunters например са известни с изнудване на жертви след кражба на данни от Salesforce акаунти. В някои случаи компрометирани организации са били атакувани месеци по-късно от различна, но свързана група, проследена от Mandiant като UNC6040.
Според ReliaQuest и други експерти случаят ясно показва, че „пенсиониране“ в киберпрестъпния свят рядко съществува. По-вероятно е да става дума за пауза, преструктуриране и евентуално завръщане под ново име.
Карл Сиглър, мениджър в SpiderLabs Threat Intelligence към Trustwave, посочва:
„Трябва да приемем със сериозни резерви твърденията, че Scattered Spider се разпуска. Това е по-скоро стратегически ход за избягване на нарастващия натиск от органите на реда. В действителност те вероятно ще продължат да развиват техниките си и да усложняват процеса по приписване на атаки.“
Той допълва, че подобни „прощални писма“ често са знак за вътрешни проблеми – пробив в инфраструктурата, изтичане на комуникационни канали или арест на по-низши членове. Исторически погледнато, такива групи „изчезват“ само временно, за да се появят отново с нова идентичност.
