"Lopende campagne beïnvloedt Azure cloudomgevingen" - Proofpoint
Onderzoekers van cybersecuritybedrijf Proofpoint zien een aanhoudende cloudaccount overnamecampagne. De campagne beïnvloedt tientallen Microsoft Azure-omgevingen en honderden gebruikersaccounts. Ook brengt de campagne accounts van senior executives in gevaar.
De campagne
Onderzoekers van Proofpoint ontdekten eind november 2023 een nieuwe, kwaadaardige campagne die credential phishing en Account Take Over (ATO) technieken uit de cloud integreert. Dreigingsactoren van deze, nog steeds actieve, campagne, richten zich op gebruikers met individuele phishing-lokmiddelen via gedeelde documenten. Bijvoorbeeld via ingesloten koppelingen naar ‘document weergeven’. Zodra de gebruiker op de link klikt, gaat hij naar een schadelijke phishing-webpagina.
De campagne richt zich op veel personen met verschillende titels binnen verschillende organisaties. Hierdoor treffen de dreigingsactoren honderden gebruikers, zoals Sales Directors, Account Managers en Finance Managers, wereldwijd. De campagne treft ook individuele executives, zoals Vice President Operations, Chief Financial Officers & Treasurer en President & CEO’s. De diverse selectie van doelwitten duidt op een praktische strategie die zich focust op het in gevaar brengen van accounts met verschillende toegangsniveaus tot waardevolle bronnen en verantwoordelijkheden in verschillende organisatorische functies.
Dreigingsanalisten identificeren specifieke Indicators of Compromise (IOC’s) die linken naar de campagne. Zo gebruiken de dreigingsactoren een specifieke Linux user-agent tijdens de toegangsfase van de aanvalsketen. Zo krijgen ze toegang tot de aanmeldingsapplicatie ‘OfficeHome’ en ongeautoriseerde toegang tot aanvullende native Microsoft 365-applicaties, zoals:
|
|
Succesvolle initiële toegang leidt vaak tot een reeks ongeoorloofde activiteiten na het compromitteren, waaronder MFA-manipulatie, data-exfiltratie, interne en externe phishing en financiële fraude. Ook mailboxregels, waarbij aanvallers speciale verduisteringsregels voor het uitwissen van hun sporen en het verwijderen van kwaadaardige activiteiten uit de mailbox van de slachtoffers maken, behoort in deze reeks. De operationele infrastructuur De forensische analyse wijst uit dat de aanval verschillende proxy’s, datahostingdiensten en gekaapte domeinen aan het licht brengt. Deze vormen de operationele infrastructuur van de aanvallers. Door het gebruik van proxyservices, die de ogenschijnlijke geografische herkomst van ongeautoriseerde activiteiten afstemmen op die van de beoogde slachtoffers, omzeilen ze het geo-fencingbeleid. Bovendien stelt het gebruik van vaak wisselende proxyservices dreigingsactoren in staat om hun ware locatie te verhullen. Dit vormt een extra uitdaging voor verdedigers die deze activiteiten blokkeren. Daarnaast gebruiken de dreigingsactoren bepaalde lokale vaste ISP’s. Dit belemmert het weergeven van hun geografische locatie. Wat opvalt onder deze non-proxy bronnen zijn het in Rusland gevestigde ‘Selena Telecom LLC’ en de Nigeriaanse providers 'Airtel Networks Limited' en 'MTN Nigeria Communication Limited'. De campagne is nog niet toegeschreven aan een bekende dreigingsactor. Toch bestaat de mogelijkheid dat er Russische en Nigeriaanse aanvallers bij betrokken zijn. Dit trekt parallellen met eerdere cloudaanvallen. Versterk de verdediging van organisaties De volgende vijf maatregelen dragen bij aan het versterken van de verdediging van een organisatie: |
|
|
Het Cloud Security Response Team van Proofpoint volgt deze dreiging op de voet. En op basis van latere ontdekkingen, kunnen aanvullende IOC’s worden toegevoegd.
Lees voor meer informatie het volledige, Engelstalige bericht. |
Meer over
Lees ook
FBI looft 3 miljoen dollar uit voor Russische hacker
De FBI heeft zijn opsporingslijst voor cybercriminelen een update gegeven. In totaal wordt 4,3 miljoen dolar uit geloofd voor de arrestatie van verschillende cybercriminelen. Wie een tip kan geven die leidt tot de arrestatie van nummer één, de Russische hacker Evgeny Mikhailovich Bogachev, is maar liefst 3 miljoen dollar rijker. In totaal zijn zes1
A10 Networks biedt klanten real-time inzicht in mogelijke cyberaanvallen
A10 Networks lanceert de A10 Threat Intelligence Service, een dienst die samen met cyber security ontwikkelaar ThreatSTOP is gebouwd. Via het monitoring- en beschermingsplatform van ThreatSTOP biedt A10 Networks klanten klanten real-time inzicht in mogelijke cyberaanvallen. Het platform helpt hiermee datadiefstal te voorkomen, de netwerkbelasting1
Cyberaanval legt vliegverkeer Poolse luchtvaartmaatschappij plat
Hackers hebben het computersysteem op het vliegveld van Warschau van het grondpersoneel van de Poolse luchtvaartmaatschappij LOT gekraakt. 1.400 passagiers konden hierdoor niet vertrekken en zaten zondag vast op het vliegveld. De BBC meldt dat het nog onduidelijk is wie er achter de hack zit. De aanval had een grote impact op het vliegverkeer naar1