Znotraj naraščajočega tveganja za goljufije z darilnimi boni

Zgodovinsko gledano Storm-0539 običajno poveča svojo dejavnost napadov pred večjimi prazniki. Med marcem in majem 2024, pred sezono poletnih počitnic, je Microsoft opazil 30-odstotno povečanje dejavnosti vdorov Storm-0539. Med septembrom in decembrom 2023 smo opazili 60-odstotno povečanje dejavnosti napadov, kar sovpada z jesenskimi in zimskimi prazniki.

Darilni boni so privlačna tarča za goljufije, saj v nasprotju s kreditnimi ali debetnimi karticami z njimi niso povezana imena strank ali bančni računi. Microsoft opaža povečano dejavnost Storm-0539, ki se osredotoča na to panogo v sezonskih prazničnih obdobjih. Dan spomina, praznik dela in zahvalni dan v ZDA ter črni petek in zimski prazniki po svetu so ponavadi povezani z večjo dejavnostjo skupine.

Organizacije običajno določijo omejitev denarne vrednosti, ki jo je mogoče izdati za posamezni darilni bon. Če je na primer omejitev 100.000 USD, bo akter grožnje izdal bon za 99.000 USD, nato pa si bo poslal kodo darilnega bona in ga unovčil. Njihova glavna motivacija je kraja darilnih bonov in dobiček s spletno prodajo po znižani ceni. Videli smo nekaj primerov, ko je akter grožnje v nekaterih podjetjih ukradel do 100.000 USD na dan.

Da bi se zaščitili pred takšnimi napadi in tej skupini preprečili nepooblaščen dostop do oddelkov za darilne bone, bi morala podjetja, ki izdajajo darilne bone, svoje portale za darilne bone obravnavati kot tarče visoke vrednosti. Treba bi jih bilo pozorno spremljati in kontinuirano preverjati za kakršne koli nenavadne dejavnosti.

Za vsako organizacijo, ki ustvarja ali izdaja darilne bone, je lahko v pomoč uvedba zavor in ravnovesij za preprečevanje hitrega dostopa do portalov darilnih bonov in drugih ciljev visoke vrednosti, tudi če je račun ogrožen. Neprekinjeno spremljajte dnevnike, da prepoznate sumljive prijave in druge pogoste začetne vektorje dostopa, ki so odvisni od ogrozitve identitete v oblaku, ter uvedite pravilnike pogojnega dostopa, ki omejujejo vpise in označujejo tvegane vpise.

Organizacije bi morale razmisliti tudi o dopolnitvi večkratnega preverjanja pristnosti (MFA) s pravilniki pogojnega dostopa, pri katerih se zahteve za preverjanje pristnosti ocenijo na podlagi dodatnih signalov, ki temeljijo na identiteti, kot so med drugim podatki o lokaciji naslova IP ali stanju naprave.

Druga taktika, ki bi lahko pomagala omejiti te napade, je postopek preverjanja strank ob nakupu domen. Predpisi in pravilniki dobaviteljev morda ne preprečujejo dosledno zlonamernega typosquattinga po vsem svetu, kar pomeni, da so ta zavajajoča spletna mesta lahko še naprej priljubljena za širjenje kibernetskih napadov. Postopki preverjanja pri ustvarjanju domen bi lahko pomagali omejiti ustvaritev večih spletnih mest izključno z namenom zavajanja žrtev.

Microsoft je opazil tudi, da Storm-0539 poleg zavajajočih imen domen potem, ko si pridobi položaj v podjetju ter razume njegove distribucijske sezname in druge modele poslovanja, uporablja legitimne notranje poštne sezname podjetja za razširjanje sporočil za lažno predstavljanje.

Ne le, da lažno predstavljanje prek veljavnega distribucijskega seznama zlonamerni vsebini doda še eno plast pristnosti, pomaga tudi pri izpopolnjevanju ciljanja vsebine na več posameznikov z dostopom do poverilnic, odnosov in informacij, na katere se Storm-0539 zanaša, da pridobi vzdržljivost in doseg.

Ko uporabniki kliknejo povezave, vsebovane v e-poštnih sporočilih ali besedilih z lažnim predstavljanjem, so preusmerjeni na stran z lažnim predstavljanjem AiTM za krajo poverilnic in zajem sekundarnega žetona za preverjanje pristnosti. Maloprodajne trgovce spodbujamo, da poučijo osebje, kako delujejo sporočila SMS z lažnim predstavljanjem/lažno predstavljanje, ter kako jih prepoznati in prijaviti.

Pomembno je poudariti, da se za razliko od hrupnih akterjev groženj z izsiljevalsko programsko opremo, ki šifrirajo in kradejo podatke, nato pa vas nadlegujejo za plačilo, Storm-0539 giblje v okolju oblaka in tiho zbira izsledke ter zlorablja infrastrukturo oblaka in identitete za doseganje svojih končnih ciljev.

Operacije Storm-0539 so prepričljive zaradi akterjeve uporabe legitimnih ogroženih e-poštnih sporočil in posnemanja legitimnih platform, ki jih uporablja ciljno podjetje. Za nekatera podjetja so izgube darilnih bonov nadomestljive. To zahteva temeljito raziskavo, da se ugotovi, katere darilne bone je izdal akter grožnje.

Obveščanje o grožnjah Microsoft je izdal obvestila za organizacije, ki jih je prizadel Storm-0539. Deloma zaradi te skupne rabe informacij in sodelovanja smo v zadnjih mesecih opazili povečanje sposobnosti večjih maloprodajnih trgovcev, da učinkovito preprečijo dejavnosti Storm-0539.

Več informacij o Storm-0539 in strokovnjakih Obveščanja o grožnjah Microsoft , ki se ukvarjajo s sledenjem kibernetskemu kriminalu in najnovejšim grožnjam.