Согласно новому отчету экспертов Advanced Intelligence , группировки Silent Ransom Group ( Luna Moth ), Quantum и Roy/Zeon, которые ранее входили в синдикат Conti, стали проводить фишинговые атаки BazarCall (BazaCall) в качестве основного метода получения начального доступа к сети жертвы. Это позволяет злоумышленникам проводить целенаправленные атаки, которые труднее обнаружить и остановить из-за использования социальной инженерии.
Переход к социальной инженерии был вызван предсказуемостью обычных атак, что привело к снижению прибыли, поскольку специалисты по кибербезопасности начали применять эффективные меры по смягчению последствий.
«Мы не можем выиграть войну технологий, потому что на этой арене мы конкурируем с компаниями-миллиардерами, но мы можем победить человеческий фактор» – сказали Conti
Первая группа «Silent Ransom Group (SRG)»
с мая атаковала как минимум 94 организации, сосредоточившись только на краже данных и вымогательстве у жертв. Группа уделяла большое внимание организациям в секторе здравоохранения с годовым доходом от $500 тыс. до более $100 млрд., почти 40% из них имеют доход выше $1 млрд.
Вторая группа «Quantum» в середине июня 2022 года начала использовать свою версию BazarCall в кампании «Jörmungandr» (Змей Мидгард). Хакеры наняли людей, специализирующихся на рассылке спама, OSINT, дизайне и операторах колл-центра. Quantum была нацелена на 5 крупных компаний с годовым доходом более $20 млрд., большинство из которых работают в секторе здравоохранения.
Третья группа «Roy/Zeon», хакеры которой участвовали в создании вымогателя Ryuk , используя методы социальной инженерии, атакует компании с высоким годовым доходом или из чувствительных отраслей.
Во всех трех фишинговых кампаниях хакеры выдавали себя за известные кампании, такие как Duolingo, MasterClass, Oracle, CrowdStrike, iWired, Applied Automation Tech, Itarian и другие.
Кроме того, жертвами групп являются крупные компании с высокими доходами, в том числе:
международный производитель оружия;
аэрокосмическая компания;
команда NBA;
крупные поставщики IT-решений;
фармацевтические компании;
организации из сферы здравоохранения;
сервисные центры Porsche, Bentley, Lamborghini, Audi, Mercedes.
Три группы, использующие тактику BazarCall для взлома компаний, показали, что вымогательство или простая кража данных в сочетании с сетевым шифрованием все еще может быть прибыльными способами атак. Упомянутые кампании BazarCall в течение 3 месяцев привели к 20 обращениям жертв и требованиям выкупа на десятки миллионов долларов.
Хотя обнаружение первоначального заражения может быть затруднено, защитники могут отслеживать необычные сигналы связи с C2-сервером и установленные на машинах маяки, которые указывают на заражение. Кроме того, AdvIntel рекомендует контролировать сеть на предмет возможных боковых перемещений, которые могут повлиять на контроллер домена.
Источник: SecurityLab