Групата използва гласов фишинг, фалшиви медицински домейни и атаки срещу MFA, за да превърне компрометираната самоличност в ключ към Microsoft 365, SharePoint и Salesforce

Здравният сектор отново е под прицел, но този път атаката започва не със зловреден софтуер, а с телефонно обаждане. Health-ISAC предупреждава за активни и силно таргетирани кампании на киберпрестъпната група ShinyHunters, при които служители са атакувани чрез телефонни разговори, гласови съобщения и масови имейли.

Целта е проста – кражба на корпоративни идентификационни данни и активни MFA сесии, след което нападателите се придвижват през облачната инфраструктура на организацията.

Това е важна промяна в модела на атаките. ShinyHunters все по-малко прилича на традиционна ransomware група и все повече на операция за кражба на идентичности и достъп до SaaS услуги, последвана от изнудване.

Телефонът се превръща в новия фишинг браузър

Според Health-ISAC нападателите първо извършват предварително проучване на организацията и нейните служители.

След това се представят за хора от IT поддръжката, правния отдел или други вътрешни структури, като могат да използват телефонни номера, които изглеждат познати и легитимни.

Това е особено ефективна техника, защото телефонният разговор създава усещане за спешност и доверие, което често липсва при стандартния фишинг имейл.

В някои случаи атакуващите продължават с гласови съобщения, които притискат служителя да предприеме действие и го насочват към злонамерена връзка – включително през личния му телефон.

Така нападателите заобикалят част от традиционните корпоративни защити.

Служителят може да бъде извън корпоративната мрежа, но неговата самоличност все още е вход към корпоративните системи.

Фалшивият домейн изглежда като истинския

ShinyHunters използва новорегистрирани домейни, в които се включва името на конкретната атакувана компания, комбинирано с различни окончания, предназначени за конкретни фишинг сценарии.

Health-ISAC посочва и използването на домейните .claim и .claims като част от наблюдаваната инфраструктура.

Това е важен индикатор за екипите по сигурността. Домейнът може да бъде регистриран непосредствено преди кампанията и да изглежда достатъчно близък до реалната инфраструктура, за да заблуди служителя.

Затова организацията препоръчва мониторинг на новорегистрирани домейни, новонаблюдавани домейни и брандирани поддомейни, които имитират корпоративни SSO страници.

Най-опасният момент идва след въвеждането на паролата

Фишинг страницата е само началото.

След като жертвата въведе своите данни, нападателите могат да използват reverse-proxy фишинг. Този подход препраща данните в реално време към истинския корпоративен портал за вход.

За жертвата процесът може да изглежда напълно нормален.

Следващата стъпка е MFA.

Нападателят може да поиска от служителя да предостави активния MFA код или да го убеди да одобри push известие. Така вместо просто да открадне потребителско име и парола, атакуващият се стреми да получи валидна активна уеб сесия.

Именно това прави традиционната MFA защита недостатъчна срещу определени социално-инженерни атаки.

MFA не е проблемът. Проблемът е MFA, която може да бъде убедена да каже „Да“ на нападателя.

SSO вече е контролният център на атаката

След компрометиране на самоличността нападателите не е необходимо да пробиват всяка отделна система.

Една идентичност може да отвори достъп до множество свързани SaaS платформи.

Health-ISAC посочва Microsoft 365, SharePoint и Salesforce като примери за услуги, към които атакуващите могат да се придвижат след компрометиране на централния доставчик на идентичности.

Това превръща SSO платформата в своеобразен контролен център на атаката.

Оттам могат да бъдат достъпени документи, електронна поща, вътрешни комуникации и други бизнес данни.

За здравния сектор последствията са особено сериозни. Една компрометирана корпоративна идентичност потенциално може да се превърне в път към чувствителна медицинска, административна и финансова информация.

Защо здравният сектор е особено привлекателна цел

Здравните организации работят с огромен обем данни, но едновременно с това имат сложна екосистема от служители, външни доставчици, медицински партньори, SaaS приложения и специализирани информационни системи.

Това увеличава броя на идентичностите и точките, през които може да бъде атакувана организацията.

Допълнителен проблем е оперативният натиск.

Когато телефонно обаждане твърди, че има проблем с акаунта на лекар, администратор или IT служител, желанието за бързо решаване на проблема може да надделее над процедурите за сигурност.

Точно това се опитват да експлоатират атакуващите.

Какво трябва да направят организациите

Health-ISAC препоръчва комбинация от технически и организационни мерки.

На първо място трябва да се въведе фишинг-устойчива MFA, базирана на FIDO2/WebAuthn ключове или passkeys, особено за администратори и високорискови потребители.

SMS и гласовата MFA трябва да бъдат ограничени или премахнати, когато е възможно.

Helpdesk процедурите също трябва да бъдат преразгледани. Входящо телефонно обаждане не трябва да бъде достатъчно основание за нулиране на MFA или промяна на идентификационни данни.

Втората важна защита е проверката на устройството.

Достъпът до SaaS приложения, вътрешни портали и API трябва, когато е възможно, да бъде ограничен до управлявани корпоративни устройства, проверени чрез клиентски сертификати, EDR или MDM.

Това добавя още един фактор към удостоверяването:

не само „кой си ти?“, а и „от какво устройство се опитваш да влезеш?“.

Киберсигурността вече трябва да следи идентичността

Кампанията на ShinyHunters показва накъде се движи съвременната киберпрестъпност.

Нападателите не винаги се нуждаят от ransomware, експлойт или сложен зловреден код. Понякога е достатъчно да убедят един служител да влезе в правилната фалшива страница и да одобри едно известие на телефона си.

След това облачната инфраструктура може сама да предостави необходимите пътища към корпоративните данни.

Затова защитата на идентичността вече не може да бъде второстепенен компонент на киберсигурността.

Паролата е само началото. MFA е само следващият слой. Истинската задача е да се контролира целият жизнен цикъл на идентичността, устройството, сесията и достъпа до SaaS услугите.

А за здравния сектор това не е просто въпрос на защита на IT инфраструктурата. Това е защита на информацията, от която зависят пациенти, медицински екипи и функционирането на цели организации.