Le Threat Intelligence Group de Google LLC a déclaré aujourd'hui que l'équipe d'extorsion derrière la marque à la retraite BlackFile avait passé les mois de juin et juillet à travailler auprès de sociétés de capital-investissement, de cabinets d'avocats et de sociétés de services financiers.
Reuters rapporte que les domaines de phishing enregistrés pour la campagne nomment leurs victimes prévues. Blackstone Inc., KKR & Co. Inc., Apollo Global Management Inc. et CME Group Inc. figurent tous sur le plateau, aux côtés des cabinets d'avocats Paul Hastings LLP et Greenberg Traurig LLP. Aucune des sociétés n'a confirmé une violation, et Greenberg Traurig a déclaré à Reuters qu'aucune violation ne s'était produite.
Le groupe est suivi comme UNC6671. Plus tôt dans l’année, ses opérateurs s’en sont pris massivement aux fabricants, aux sociétés immobilières, aux hôpitaux et aux assureurs. Les analystes de Google considèrent la nouvelle liste de cibles comme un jeu d'effet de levier, puisqu'une entreprise assise sur des documents de fusion ou des dossiers de litige en cours a plus de raisons de payer tranquillement.
Selon le rapport, quatre marques publiques d'extorsion se trouvent désormais au sommet de ce seul cluster d'intrusion. Redact, Pink, Helix et Falcon partagent une infrastructure de phishing et, dans plusieurs cas, des modèles de phishing identiques ont été mis en ligne le même jour sur des domaines revendiqués par différentes marques. BlackFile a annoncé sa retraite le 11 mai. Les paiements Bitcoin sur ses portefeuilles arrivaient toujours le lendemain. Redact a fait surface le 27 juin avec une déclaration affirmant que le nom BlackFile avait été « compromis et détourné par un affilié en exil ».
Les employés reçoivent un appel de phishing vocal sur leur téléphone mobile personnel. Le numéro est usurpé pour correspondre au service d'assistance informatique de l'entreprise, et l'appelant indique qu'une inscription par clé d'accès FIDO2 ou une mise à jour multifactorielle doit être effectuée ce jour-là. Le lien mène à un sous-domaine conçu pour ressembler à celui de l'employeur, par exemple (company).createssopasskey(.)com. Derrière lui se trouve un proxy adversaire au milieu qui récupère ensemble le mot de passe et le jeton de session en direct.
Une fois à l’intérieur, l’équipage nettoie après lui. Les confirmations de réinitialisation du mot de passe sont supprimées. Il en va de même pour les alertes qui autrement indiqueraient à vos collègues que quelqu'un a modifié une configuration MFA. Les données quittent ensuite les locataires Microsoft 365 et Okta via des scripts automatisés, extrayant des fichiers dans des volumes qu'aucune session de navigation humaine ne produirait. Les agents utilisateurs laissés dans les journaux incluent les requêtes Python et Windows PowerShell.
Google a lié 18 portefeuilles à BlackFile et a suivi environ 10,7 millions de dollars qui y étaient entrés entre le 7 janvier et le 12 mai. Les demandes commençaient généralement entre 1 et 3 millions de dollars. Environ la moitié des négociations suivies par Google se sont soldées par un montant proche de 750 000 $.
L'enregistrement de domaine s'est accéléré. Google a dénombré 28 domaines de phishing en avril et mai, soit environ un tous les 2,2 jours. En juin et juillet, le rythme est passé à un tous les 1,6 jours.
Les tentatives contre les hedge funds ont fait surface le 5 août, lorsque Bloomberg a signalé des tentatives d'intrusion chez Point72 Asset Management LP, Citadel LLC, Millennium Management LLC et Two Sigma Investments LP. Point72 a déclaré aux investisseurs qu'il n'avait vu aucun signe précoce indiquant que les informations des clients avaient été récupérées. Two Sigma a déclaré que son équipe de sécurité « a répondu rapidement à une tentative de campagne de vishing ciblant Two Sigma et d'autres gestionnaires d'investissement », sans impact sur ses systèmes ou ses données. L’Autorité de régulation du secteur financier a depuis contacté les sociétés membres.
Jeremiah Fowler, chercheur chez Black Hills Information Security Inc., a déclaré que les facteurs économiques expliquent la liste des cibles. « Lorsque l'objectif des cybercriminels est le gain financier, il est tout à fait logique que les sociétés d'investissement qui gèrent des informations financières sensibles soient des cibles attractives », a-t-il déclaré dans des commentaires distribués aux journalistes. Les profils de victimes qui prenaient autrefois des semaines à un opérateur qualifié peuvent désormais être rassemblés à partir de données de violation et de sources publiques en quelques minutes, a-t-il ajouté.
Phil Wylie, consultant senior et évangéliste chez le fournisseur de solutions de sécurité Suzu Labs, a déclaré que le correctif était procédural. Les étapes de vérification qui ne nécessitent pas qu'un employé reconnaisse une voix familière sont ce qui stoppe l'appel, a-t-il déclaré, et la rapidité avec laquelle ces tentatives ont été repérées montre ce que les entreprises retirent du partage de renseignements entre elles.
Les conseils de durcissement de Google s'appuient sur le matériel. Les clés FIDO2 itinérantes et les authentificateurs de plate-forme tels qu'Okta FastPass lient une authentification à son origine, ce qui brise l'astuce du proxy. Le reste de la liste couvre les sessions plus courtes, la réauthentification quotidienne et le blocage des connexions à partir d'appareils personnels non gérés. Google souhaite également que les événements « FileAccessed » en masse provenant d'agents utilisateurs de script soient traités avec la même suspicion qu'un téléchargement pur et simple.
