Firma Microsoft badanie kampanii, w której cyberprzestępcy motywowani finansowo wykorzystują funkcję szybkiej pomocy systemu Windows w celu wdrożenia Oprogramowanie ransomware Black Basta w sieciach ofiar. Grupa zagrożeń, zidentyfikowana jako Storm-1811, inicjuje ataki, przytłaczając cele zalewem niechcianych e-maili, co jest taktyką znaną jako bombardowanie e-mailami. Ta kampania jest badana co najmniej od połowy kwietnia 2024 r.
Taktyki bombardowania e-mailami i phishingu głosowego
Napastnicy zaczynają od subskrybowania adresu e-mail ofiary do różnych usług, powodując zasypywanie ich skrzynek odbiorczych spamem. Następnie cyberprzestępcy podszywają się pod pomoc techniczną Microsoft lub personel IT firmy ofiary i kontaktują się telefonicznie z celami, aby zaoferować pomoc w rozwiązaniu problemu ze spamem. Podczas głosowych rozmów phishingowych napastnicy przekonują ofiary, aby przyznały im dostęp do swoich urządzeń z systemem Windows za pośrednictwem narzędzia do zdalnego sterowania i udostępniania ekranu Quick Assist.
Od połowy kwietnia 2024 r. Microsoft Threat Intelligence zaobserwował, że ugrupowanie zagrażające Storm-1811 nadużywa narzędzia do zarządzania klientami Quick Assist w celu atakowania użytkowników w ramach ataków socjotechnicznych prowadzących do oprogramowania ransomware Black Basta. https://t.co/PA5dW6alnQ
— Microsoft Threat Intelligence (@MsftSecIntel) 15 maja 2024 r.
Po przyznaniu dostępu osoby atakujące wykonują skryptowe polecenie cURL w celu pobrania złośliwych plików wsadowych lub ZIP. Według Microsoftu pliki te często prowadzą do instalacji Qakbota, narzędzi do zdalnego monitorowania i zarządzania (RMM), takich jak ScreenConnect i NetSupport Manager, a także zestawu narzędzi do testów penetracyjnych Cobalt Strike. Po rozmowie telefonicznej Storm-1811 przeprowadza wyliczenie domen i ruch poprzeczny w sieci ofiary, ostatecznie wdrażając oprogramowanie ransomware Black Basta za pomocą narzędzia Windows PsExec.
Firma zajmująca się cyberbezpieczeństwem Rapid7 również zaobserwował te ataki, zauważając, że napastnicy używają skryptów wsadowych do zbierania danych uwierzytelniających ofiary za pomocą poleceń programu PowerShell. Te dane uwierzytelniające są gromadzone pod pretekstem konieczności logowania się w celu aktualizacji i natychmiast przesyłane na serwer osoby atakującej przy użyciu protokołu Secure Copy Protocol (SCP). W niektórych przypadkach dane uwierzytelniające są zapisywane w archiwum w celu ręcznego pobrania.
Środki zaradcze i zalecenia
Aby złagodzić ataki socjotechniczne, Microsoft zaleca obrońcom sieci blokuj lub odinstaluj Quick Assist i podobne narzędzia RMM, jeśli nie są używane. Pracownicy powinni zostać przeszkoleni w zakresie rozpoznawania oszustw związanych z pomocą techniczną, a połączenia powinny być dozwolone tylko wtedy, gdy zostały zainicjowane przez użytkownika kontaktującego się z pomocą techniczną lub pomocą techniczną firmy Microsoft. Wszelkie podejrzane sesje Quick Assist należy natychmiast zakończyć.
Microsoft zaleca następujące najlepsze praktyki w celu ochrony użytkowników i organizacji przed atakami i zagrożeniami, które niewłaściwie korzystają z Quick Assist:
„Rozważ zablokowanie lub odinstalowanie Quick Assist i inne narzędzia do zdalnego monitorowania i zarządzania, jeśli narzędzia te nie są używane w Twoim środowisku. Jeśli Twoja organizacja korzysta z innego narzędzia pomocy zdalnej, takiego jak Pomoc zdalna, jako najlepszą praktykę zablokuj lub usuń opcję Quick Assist. Pomoc zdalna jest częścią pakietu Microsoft Intune i zapewnia kontrolę uwierzytelniania i zabezpieczeń dla połączeń z centrum pomocy. Edukuj użytkowników w zakresie ochrony przed oszustwami związanymi z pomocą techniczną. Oszustwa związane z pomocą techniczną to problem występujący w całej branży, w którym oszuści stosują przerażające taktyki, aby nakłonić użytkowników do korzystania z niepotrzebnych usług pomocy technicznej. Zezwól pomocnikowi na połączenie się z Twoim urządzeniem za pomocą funkcji Szybka pomoc tylko wtedy, gdy interakcja została zainicjowana poprzez bezpośredni kontakt z pomocą techniczną firmy Microsoft lub personelem pomocy technicznej IT. Nie udostępniaj dostępu nikomu, kto twierdzi, że pilnie potrzebuje dostępu do Twojego urządzenia. Jeśli podejrzewasz, że osoba łącząca się z Twoim urządzeniem prowadzi złośliwą działalność, natychmiast rozłącz się z sesją i zgłoś to władzom lokalnym i/lub odpowiednim pracownikom IT w Twojej organizacji. Użytkownicy dotknięci oszustwem związanym z pomocą techniczną mogą również skorzystać z formularza oszustwa związanego z pomocą techniczną firmy Microsoft, aby to zgłosić.”
Grupa oprogramowania ransomware Black Basta pojawiła się jako operacja Ransomware-as-a-Service (RaaS) w kwietniu 2022 r., po rozwiązaniu grupy cyberprzestępczej Conti. Od tego czasu podmioty stowarzyszone Black Basta obrały za cel wiele znanych organizacji.
Quick Assist i jego luki
Quick Assist to aplikacja, która umożliwia użytkownikowi udostępnij swoje urządzenie z systemem Windows lub macOS innej osobie za pośrednictwem połączenia zdalnego. Umożliwia to użytkownikowi łączącemu zdalne połączenie się z urządzeniem użytkownika odbierającego i przeglądanie jego wyświetlacza, tworzenie adnotacji lub przejmowanie pełnej kontroli, zazwyczaj w celu rozwiązywania problemów.
Oprócz ochrony klientów przed zaobserwowaną złośliwą aktywnością Microsoft bada wykorzystania Quick Assist w tych atakach oraz pracuje nad poprawą przejrzystości i zaufania pomiędzy pomocnikami i udostępniającymi, a także włączeniem do Quick Assist komunikatów ostrzegawczych, aby ostrzegać użytkowników o możliwych oszustwach związanych z pomocą techniczną.
Microsoft Defender Rola
Microsoft Defender for Endpoint wykrywa składniki aktywności pochodzącej z sesji szybkiej pomocy, a także działania następcze, a program antywirusowy Microsoft Defender wykrywa składniki złośliwego oprogramowania powiązane z tym działaniem. Quick Assist jest domyślnie instalowany na urządzeniach z systemem Windows 11. Ponadto oszustwa związane z pomocą techniczną to problem występujący w całej branży, w przypadku którego oszuści stosują taktykę zastraszania, aby nakłonić użytkowników do korzystania z niepotrzebnych usług pomocy technicznej.
Qakbot i RMM Narzędzia
Qakbot był przez lata używany jako narzędzie zdalnego dostępu do dostarczania dodatkowych szkodliwych funkcji, które doprowadziły do wdrożenia oprogramowania ransomware. W ramach tej niedawnej aktywności Qakbot został wykorzystany do dostarczenia sygnalizatora Cobalt Strike Beacon przypisywanego Storm-1811. ScreenConnect wykorzystano do ustalenia trwałości i przeprowadzenia ruchu bocznego w zagrożonym środowisku. NetSupport Manager to narzędzie zdalnego dostępu wykorzystywane przez wiele podmiotów zagrażających w celu utrzymania kontroli nad zaatakowanymi urządzeniami. Osoba atakująca może użyć tego narzędzia do zdalnego uzyskania dostępu do urządzenia, pobrania i zainstalowania dodatkowego złośliwego oprogramowania oraz uruchomienia dowolnych poleceń.
Dalsze środki zaradcze
Microsoft zaleca następujące rozwiązania środki zaradcze mające na celu zmniejszenie wpływu tego zagrożenia:
„Edukuj użytkowników w zakresie ochrony informacji osobistych i biznesowych w mediach społecznościowych, filtrowania niechcianej komunikacji, identyfikowania linków-wabików w wiadomościach phishingowych oraz zgłaszania prób rozpoznania i innych podejrzanych działań. Edukuj użytkowników w zakresie zapobiegania infekcjom złośliwym oprogramowaniem, na przykład ignorowania lub usuwania niechcianych i nieoczekiwanych wiadomości e-mail lub załączników wysyłanych za pośrednictwem komunikatorów internetowych lub sieci społecznościowych, a także podejrzanych połączeń telefonicznych. Zainwestuj w zaawansowane rozwiązania antyphishingowe, które monitorują przychodzące wiadomości e-mail i odwiedzane strony internetowe. Usługa Microsoft Defender dla Office 365 umożliwia zarządzanie incydentami i alertami w zakresie poczty e-mail, urządzeń i tożsamości, centralizując badania zagrożeń związanych z pocztą e-mail. Włącz ochronę dostarczaną w chmurze w programie antywirusowym Microsoft Defender lub jego odpowiedniku, aby chronić szybko rozwijające się narzędzia i techniki atakujących. Zabezpieczenia oparte na uczeniu maszynowym w chmurze blokują ogromną większość nowych i nieznanych wariantów. Włącz ochronę sieci, aby uniemożliwić aplikacjom lub użytkownikom dostęp do złośliwych domen i innych złośliwych treści w Internecie. Włącz funkcje ochrony przed manipulacją, aby uniemożliwić atakującym zatrzymanie usług bezpieczeństwa. Włącz badanie i korygowanie w trybie w pełni zautomatyzowanym, aby umożliwić usłudze Defender for Endpoint podejmowanie natychmiastowych działań w przypadku alertów w celu usunięcia naruszeń, znacznie zmniejszając liczbę alertów. Ogólne zalecenia dotyczące zabezpieczeń przed atakami oprogramowania ransomware można znaleźć w przeglądzie oprogramowania ransomware obsługiwanego przez człowieka.
Wykrywanie i alerty
Klienci Microsoft Defender XDR mogą włączyć reguły ograniczania powierzchni ataku, aby temu zapobiec. typowe techniki ataków:
Blokuj uruchamianie plików wykonywalnych, chyba że spełniają one kryterium rozpowszechnienia, wieku lub listy zaufanych Blokuj wykonywanie potencjalnie zaciemnionych skryptów Blokuj tworzenie procesów pochodzących z poleceń PSExec i WMI Korzystaj z zaawansowanej ochrony przed oprogramowaniem ransomware
Wykrywanie złośliwego oprogramowania
Program antywirusowy Microsoft Defender wykrywa programy pobierające, implanty i zachowania Qakbot jako następujące złośliwe oprogramowanie:
TrojanDownloader:O97M/Qakbot Trojan:Win32/QBot Trojan:Win32/Qakbot TrojanSpy:Win32/Qakbot Zachowanie:Win32/Qakbot
Komponenty zagrożenia Black Basta są wykrywane w następujący sposób:
Zachowanie:Win32/Basta Okup:Win32/Basta Trojan:Win32/Basta
Program antywirusowy Microsoft Defender wykrywa działające urządzenie Beacon na procesie ofiary w następujący sposób:
Zachowanie:Win32/CobaltStrike Backdoor:Win64/CobaltStrike HackTool:Win64/CobaltStrike
Dodatkowe komponenty Cobalt Strike są wykrywane w następujący sposób:
TrojanDropper:PowerShell/Cobacis Trojan:Win64/TurtleLoader.CS Exploit:Win32/ShellCode
