Sukčiavimas ir AiTM: vien MFA nepakanka 

Daugiausia gegužės įvykių buvo sukčiavimo el. laiškai, vedantys į prisijungimo duomenų rinkimo puslapius, dažniausiai imituojančius „Microsoft 365“ prisijungimą. Kelios kampanijos naudojo AiTM (angl. adversary-in-the-middle) techniką: aukai prisijungus, piktavalis realiu laiku perima komunikaciją ir pavagia sesijos tokeną (token), taip apeidamas net įjungtą MFA.  

Buvo stebimas ir prekės ženklų klastojimas: fiksavome bandymus apsimesti interneto paslaugų teikėju, siekiant pateikti netikras sąskaitas ir taip išvilioti pinigus, taip pat banko prisijungimo puslapių imitaciją per kompromituotą užsienio domeną, taikytą Lietuvos vartotojams. Atakuotojai vis dažniau slepiasi už teisėtų debesų paslaugų (pvz., „Cloudflare Workers“) ir nukreipimo grandinių, todėl tokius laiškus sunkiau atfiltruoti. Tendencija ne lokali: per pastaruosius metus AiTM atakų skaičius pasaulyje išaugo apie 146 %, o kovą Europolas sustabdė didelę „phishing-as-a-service“ platformą „Tycoon 2FA“. Išvada paprasta – MFA būtinas, bet to nepakanka: reikia taikyti atsparų sukčiavimui (angl. phishing-resistant) MFA ir stebėti sesijų panaudojimų anomalijas, indikuojančias galimą jų vagystę. 

ClickFix – „Lumma Stealer“ 

ClickFix atakos, dominavusios ir ankstesniais mėnesiais, gegužę išliko aktyvios. Aukai parodomas netikras CAPTCHA ar „klaidos“ puslapis, raginantis „patvirtinti“ arba „pataisyti“ prieigą – įklijuojant komandą į „Windows Run“ langelį. Taip paleidžiama PowerShell komanda, kuri „Lumma Stealer“ infostealerį įkrauna tiesiai į atmintį, nepaliekant failų pačiame diske. Per gegužę užfiksavome du tokius ClickFix „Lumma“ pavyzdžius. Kadangi kenkėjiškas kodas veikia atmintyje, signatūromis (angl. signature based) grįsta apsauga jį sunkiai aptinka, būtina elgsenos (angl. behavioral) analizė. 

Kryptingos atakos prieš Lietuvos taikinius 

Šalia masinio sukčiavimo matėme ir tikslingų bandymų įsilaužti veiksmų, fiksavome SSL/VPN prisijungimo bandymus naudojant lietuvišką naudotojų vardų sąrašą, kas rodo, kad atakuotojai iš anksto rinko informaciją apie konkrečią organizaciją. Stebėjome ir automatizuotus viešai pasiekiamų sistemų skenavimus bei bandymus išnaudoti pažeidžiamumus (pvz., SSRF), taip pat kenkėjiško kodo platinimą per suklastotus diegimo paketus ir CDN (pvz., „trojanizuotą JDownloader“, „DriverHub“ PUA). Skirtingi metodai, bet bendras vardiklis tas pats – pirminė prieiga per žmogų arba per neapsaugotą viešą paslaugą.