Σύμφωνα με την εταιρεία ασφαλείας Group-IB, μια hacking ομάδα, που δραστηριοποιείται από τα μέσα του 2019, παραβίασε λογαριασμούς email που ανήκουν σε υψηλόβαθμα στελέχη από περισσότερες από 150 εταιρείες, στα πλαίσια μιας spear-phishing εκστρατείας.
Η ομάδα, με την ονομασία PerSwaysion, στοχεύει κυρίως τον χρηματοπιστωτικό τομέα (τα μισά περίπου από τα θύματά του) αλλά και εταιρείες σε άλλους κλάδους.
Οι επιχειρήσεις της PerSwaysion δεν είναι ιδιαίτερα εξελιγμένες, αλλά υπήρξαν εξαιρετικά επιτυχημένες. Η Group-IB λέει ότι οι εισβολείς δεν χρησιμοποίησαν ευπάθειες ή κακόβουλο λογισμικό στις επιθέσεις τους, αλλά βασίστηκαν σε μια κλασική spear-phishing τεχνική.
Έστειλαν emails σε υψηλόβαθμα στελέχη σε στοχευμένες εταιρείες με την ελπίδα να τα εξαπατήσουν και να εισαγάγουν credentials του Office 365 σε ψεύτικες σελίδες.
Η Group-IB είπε ότι η spear-phishing επίθεση στα στελέχη αποτελούνταν από τρία βήματα:
- Τα θύματα λαμβάνουν ένα email που περιέχει ένα καθαρό αρχείο PDF ως συνημμένο. Εάν τα θύματα ανοίξουν το αρχείο, θα τους ζητηθεί να κάνουν κλικ σε έναν σύνδεσμο για να δουν το πραγματικό περιεχόμενο.
- Ο σύνδεσμος ανακατευθύνει τους χρήστες σε μια σελίδα Microsoft Sway (υπηρεσία ενημερωτικών δελτίων), όπου ένα παρόμοιο αρχείο ζητά από το θύμα να κάνει κλικ σε έναν άλλο σύνδεσμο.
- Αυτός ο τελευταίος σύνδεσμος ανακατευθύνει το στέλεχος σε μια σελίδα που μιμείται τη σελίδα σύνδεσης του Microsoft Outlook. Εάν τα στελέχη βάλουν τα credentials τους, οι hackers θα τους τα κλέψουν.
Οι hackers της PerSwaysion ενήργησαν γρήγορα μετά την κλοπή των credentials και κατάφεραν να αποκτήσουν πρόσβαση στους παραβιασμένους λογαριασμούς email μέσα σε μια μέρα.
“Μετά την αποστολή των credentials στους command and control servers τους, οι hackers της PerSwaysion συνδέονται στους παραβιασμένους λογαριασμούς email”, δήλωσε η Group-IB.
“Τέλος, δημιουργούν νέα phishing PDF αρχεία με το πλήρες όνομα του θύματος, τη διεύθυνση email, το νόμιμο όνομα της εταιρείας. Αυτά τα αρχεία PDF στέλνονται σε νέα άτομα, εκτός του οργανισμού του θύματος, που κατέχουν σημαντικές θέσεις”.
Η Group-IB είπε, επίσης, ότι από τη στιγμή που οι hackers στέλνουν τα νέα spear-phishing emails από έναν παραβιασμένο λογαριασμό, διαγράφουν τα emails από το φάκελο εξερχόμενων για να αποφύγουν τον εντοπισμό.
Προς το παρόν, η Group-IB δεν ξέρει ακόμα τι ακριβώς κάνουν οι hackers από τη στιγμή που κλέψουν τα emails.
Μπορεί να πωλούν την πρόσβαση σε άλλες εγκληματικές ομάδες και πολλά άλλα.
Η Group-IB είπε ότι η ομάδα PerSwaysion φαίνεται να αποτελείται από μέλη που εδρεύουν στη Νιγηρία και τη Νότια Αφρική και χρησιμοποιούν ένα phishing toolkit, που αναπτύχθηκε από έναν Βιετναμέζο προγραμματιστή. Ο «αρχηγός» της ομάδας έχει μάλλον το όνομα «Sam».
Η εταιρεία ασφαλείας άνοιξε ένα site, όπου τα στελέχη μπορούν να ελέγξουν εάν οι λογαριασμοί email τους έχουν παραβιαστεί από τη hacking ομάδα.
