Google: новата хакерска група UNC6783 краде корпоративни Zendesk тикети за поддршка

Заканувачки актер познат како UNC6783 компромитира компании за аутсорсинг на деловни процеси (BPO) со цел да добие пристап до високо-вредни компании од повеќе сектори.

Според Google Threat Intelligence Group, десетици компании биле таргетирани преку овој метод за да се извлечат чувствителни податоци кои потоа се користат за уцена.

Остин Ларсен, главен аналитичар за закани во GTIG, вели дека UNC6783 најчесто користи социјален инженеринг и phishing кампањи за компромитирање на BPO компании кои работат со таргетираните организации. Сепак, во некои случаи, напаѓачите директно контактирале и со вработени во поддршка и helpdesk тимови, со цел да добијат директен пристап.

Истражувачите сметаат дека UNC6783 може да е поврзан со „Raccoon“ – онлајн идентитет познат по напади врз BPO компании кои опслужуваат големи корпорации.

Во напади преку live chat, напаѓачите ги насочуваат вработените кон лажни Okta страници за најава, хостирани на домени што имитираат вистински домени на компаниите и следат шаблон како: <org>[.]zendesk-support<##>[.]com.

Ларсен објаснува дека phishing алатката што се користи може да ги краде податоците од clipboard (copy/paste), со што се заобиколува multi-factor authentication (MFA) и му се овозможува на напаѓачот да регистрира свој уред во системот.

Google исто така забележал напади каде UNC6783 дистрибуира лажни безбедносни ажурирања за да испорача малициозен софтвер за далечински пристап.

По кражбата на податоците, напаѓачите ги уценуваат жртвите, контактирајќи ги преку ProtonMail адреси со барања за плаќање.

Иако GTIG не даде повеќе детали за „Raccoon“, профилот International Cyber Digest неодамна објави дека лице под псевдонимот „Mr. Raccoon“ тврдело дека пробило системи на Adobe – нешто што компанијата сè уште не го потврдила.

Напаѓачот тврди дека пристапот до податоците на Adobe го добил преку компромитирање на BPO компанија во Индија која работела за Adobe. Потоа инсталирал RAT (remote access trojan) на компјутер на вработен и преку phishing напад го таргетирал неговиот менаџер.

„Mr. Raccoon“ изјавил дека украл 13 милиони тикети за поддршка кои содржат лични податоци, податоци за вработени, HackerOne пријави и интерни документи.

Во разговор со BleepingComputer, напаѓачот поврзан со пробивот на CrunchyRoll потврдил дека стои и зад нападот на Adobe, но не доставил докази.

Google Mandiant препорачува неколку мерки за заштита од UNC6783, вклучувајќи употреба на FIDO2 безбедносни клучеви за MFA, следење на злоупотреба на live chat, блокирање на лажни домени што имитираат Zendesk, и редовна проверка на регистрирани MFA уреди.

Извори:

• Bleeping Computer – Google: New UNC6783 hackers steal corporate Zendesk support tickets Bleeping Computer