Ερευνητές κυβερνοασφάλειας έχουν ρίξει φως σε μια ομάδα κυβερνοεγκληματιών που ονομάζεται Jingle Thief, η οποία έχει παρατηρηθεί να στοχεύει περιβάλλοντα cloud που σχετίζονται με οργανισμούς στους τομείς του λιανικού εμπορίου και των καταναλωτικών υπηρεσιών για απάτη με δωροκάρτες.
Δείτε επίσης: Azure: Πώς οι χάκερ μιμήθηκαν Microsoft apps και ξεγέλασαν χρήστες
“Οι επιτιθέμενοι Jingle Thief χρησιμοποιούν phishing και smishing για να κλέψουν διαπιστευτήρια, ώστε να παραβιάσουν οργανισμούς που εκδίδουν δωροκάρτες“, ανέφεραν οι ερευνητές της Palo Alto Networks Unit 42, σε ανάλυση την Τετάρτη. “Μόλις αποκτήσουν πρόσβαση σε έναν οργανισμό, επιδιώκουν τον τύπο και το επίπεδο πρόσβασης που χρειάζονται για να εκδώσουν μη εξουσιοδοτημένες δωροκάρτες.“
Ο τελικός στόχος αυτών των προσπαθειών είναι να αξιοποιήσουν τις εκδοθείσες δωροκάρτες για οικονομικό όφελος, πιθανότατα μεταπωλώντας τις σε γκρίζες αγορές. Οι δωροκάρτες είναι μια επικερδής επιλογή καθώς μπορούν να εξαργυρωθούν εύκολα με ελάχιστες προσωπικές πληροφορίες και είναι δύσκολο να εντοπιστούν, καθιστώντας πιο δύσκολη την έρευνα για την απάτη από τους υπερασπιστές.
Το όνομα Jingle Thief είναι μια αναφορά στο μοτίβο του απειλητικού παράγοντα να διαπράττει απάτη με δωροκάρτες που συμπίπτει με τις εορταστικές περιόδους και τις διακοπές. Η εταιρεία κυβερνοασφάλειας παρακολουθεί τη δραστηριότητα υπό το ψευδώνυμο CL-CRI-1032, όπου το “CL” σημαίνει σύμπλεγμα και το “CRI” αναφέρεται σε εγκληματικό κίνητρο.
Το σύμπλεγμα απειλής έχει αποδοθεί με μέτρια εμπιστοσύνη σε εγκληματικές ομάδες που παρακολουθούνται ως Atlas Lion και Storm-0539, με τη Microsoft να τις περιγράφει ως ομάδα με οικονομικά κίνητρα που προέρχεται από το Μαρόκο. Πιστεύεται ότι είναι ενεργή τουλάχιστον από τα τέλη του 2021.
Η ικανότητα της Jingle Thief να διατηρεί ερείσματα εντός παραβιασμένων οργανισμών για παρατεταμένες περιόδους, σε ορισμένες περιπτώσεις για πάνω από ένα έτος, την καθιστά μια επικίνδυνη ομάδα. Κατά τη διάρκεια του χρόνου που περνάει εντός των περιβαλλόντων, ο απειλητικός παράγοντας διεξάγει εκτεταμένη αναγνώριση για να χαρτογραφήσει το περιβάλλον cloud, κινείται πλευρικά μέσω του cloud και λαμβάνει μέτρα για να αποφύγει την ανίχνευση.
Δείτε ακόμα: Οι Scattered Lapsus$ Hunters ισχυρίζονται ότι έκλεψαν περισσότερα από 1 δισεκ. αρχεία Salesforce
Η Unit 42 παρατήρησε την ομάδα χάκερ να ξεκινά ένα κύμα συντονισμένων επιθέσεων που στοχεύουν διάφορες παγκόσμιες επιχειρήσεις τον Απρίλιο και τον Μάιο του 2025, χρησιμοποιώντας επιθέσεις phishing για να αποκτήσουν τα διαπιστευτήρια που είναι απαραίτητα για να παραβιάσουν την υποδομή cloud των θυμάτων. Σε μια καμπάνια, οι επιτιθέμενοι διατήρησαν πρόσβαση για περίπου 10 μήνες και παραβίασαν 60 λογαριασμούς χρηστών εντός ενός μόνο οργανισμού.
Οι επιθέσεις συχνά περιλαμβάνουν προσπάθειες πρόσβασης σε εφαρμογές έκδοσης δωροκαρτών για να εκδώσουν κάρτες υψηλής αξίας σε διάφορα προγράμματα, ενώ ταυτόχρονα διασφαλίζουν ότι αυτές οι ενέργειες αφήνουν ελάχιστα αρχεία καταγραφής και ίχνη.
Είναι επίσης ιδιαίτερα στοχευμένες και προσαρμοσμένες σε κάθε θύμα, με τους απειλητικούς παράγοντες να διεξάγουν αναγνώριση πριν στείλουν πειστικές σελίδες σύνδεσης phishing μέσω email ή SMS που μπορούν να ξεγελάσουν τα θύματα να εισάγουν τα διαπιστευτήρια τους στο Microsoft 365.
Μόλις συλλεχθούν τα διαπιστευτήρια, οι επιτιθέμενοι συνδέονται άμεσα στο περιβάλλον και διεξάγουν έναν δεύτερο γύρο αναγνώρισης, αυτή τη φορά στοχεύοντας το SharePoint και το OneDrive του θύματος για πληροφορίες που σχετίζονται με επιχειρηματικές λειτουργίες, οικονομικές διαδικασίες και IT ροές εργασίας.
Στην επόμενη φάση, οι απειλητικοί παράγοντες αξιοποιούν τον παραβιασμένο λογαριασμό για να στείλουν phishing emails εσωτερικά εντός του οργανισμού για να διευρύνουν το έρεισμά τους. Αυτά τα μηνύματα συχνά μιμούνται ειδοποιήσεις υπηρεσιών IT ή ενημερώσεις εισιτηρίων χρησιμοποιώντας πληροφορίες που αντλήθηκαν από εσωτερική τεκμηρίωση ή προηγούμενες επικοινωνίες.
Δείτε επίσης: Microsoft Azure: Παγκόσμια διακοπή υπηρεσιών
Επιπλέον, η Jingle Thief είναι γνωστό ότι δημιουργεί κανόνες εισερχομένων για να προωθεί αυτόματα emails από παραβιασμένους λογαριασμούς σε διευθύνσεις υπό τον έλεγχό τους και στη συνέχεια καλύπτει τα ίχνη των δραστηριοτήτων τους.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
