Ο Οκτώβριος του 2025 σημείωσε σημαντική αύξηση στις κυβερνοαπειλές, με καμπάνιες phishing και παραλλαγές ransomware να εκμεταλλεύονται αξιόπιστες υπηρεσίες cloud για να στοχεύσουν εταιρικά διαπιστευτήρια και κρίσιμες υποδομές.
Οι επιτιθέμενοι εκμεταλλεύτηκαν ολοένα και περισσότερο πλατφόρμες όπως το Google, το Figma και το ClickUp για κλοπή διαπιστευτηρίων, ενώ η τελευταία έκδοση του LockBit επέκτεινε την εμβέλειά της σε εικονικά περιβάλλοντα. Αυτά τα περιστατικά, που αναλύθηκαν από εταιρείες κυβερνοασφάλειας όπως η ANY.RUN, υπογραμμίζουν την ανάγκη για ανίχνευση συμπεριφοράς πέρα από στατικούς δείκτες.
Οκτώβριος 2025: Αύξηση phishing επιθέσεων
Οι επιθέσεις phishing τον Οκτώβριο βασίστηκαν σε μεγάλο βαθμό σε νόμιμες υπηρεσίες για να αποφύγουν τα παραδοσιακά φίλτρα, ξεκινώντας με μια καμπάνια που μιμούνταν προσφορές εργασίας στο Google Careers. Τα emails παρέσυραν τα θύματα με ψεύτικες σελίδες αιτήσεων, κατευθύνοντάς τα, μέσω ανακατευθύνσεων Salesforce και CAPTCHA του Cloudflare Turnstile, πριν συλλέξουν διαπιστευτήρια μέσω domains όπως το satoshicommands.com. Αυτή η πολυεπίπεδη αλυσίδα επιθέσεων στόχευσε κυρίως τους τομείς της τεχνολογίας και της συμβουλευτικής, εκμεταλλευόμενη την εμπιστοσύνη των brands για να επιτρέψει την κατάληψη λογαριασμών και την εξαγωγή δεδομένων.
Δείτε επίσης: FIN7: Χρήση Windows SSH Backdoor για απομακρυσμένη πρόσβαση
Παρομοίως, τα δημόσια πρωτότυπα του Figma έγιναν φορέας για phishing με θέμα τη Microsoft, όπου οι προσκλήσεις για κοινή χρήση “εγγράφων” οδηγούσαν σε ψεύτικες σελίδες σύνδεσης. Ομάδες όπως η Storm-1747 ήταν υπεύθυνες για σχεδόν το ήμισυ αυτών των επιθέσεων, χρησιμοποιώντας το αξιόπιστο domain του Figma για να ενσωματώσουν διαδραστικά δολώματα που παρέκαμπταν την ασφάλεια των emails. Τα θύματα αντιμετώπισαν CAPTCHA και ανακατευθύνσεις σε ιστότοπους κλοπής διαπιστευτηρίων, συχνά συνδεδεμένους με χειριστές όπως η Mamba.
Το ClickUp χρησιμοποιήθηκε, επίσης, από κυβερνοεγκληματίες ως redirector, με phishing emails να κατευθύνουν τους χρήστες στο doc.clickup.com, και στη συνέχεια να πηδούν σε microdomains της Microsoft και στο Azure Blob Storage για την τελική παράδοση payload. Αυτή η αλυσίδα μιμήθηκε το collaboration traffic, καθιστώντας δύσκολη την αναγνώριση από τα whitelists, και είχε ως αποτέλεσμα εκτεταμένες παραβιάσεις διαπιστευτηρίων.
Μια εξέχουσα εξέλιξη ήταν και το TyKit, ένα επαναχρησιμοποιήσιμο phishing κιτ που εντοπίστηκε για πρώτη φορά τον Μάιο του 2025 αλλά κορυφώθηκε τον Οκτώβριο. Έκρυβε κρυπτογραφημένο JavaScript σε αρχεία SVG, χρησιμοποιώντας συναρτήσεις eval και κωδικοποίηση Base64 για να ανακατευθύνει τους χρήστες σε σελίδες-απομιμήσεις του Microsoft 365. Επηρέασε τη χρηματοοικονομική, την κυβερνητική και την τηλεπικοινωνιακή βιομηχανία σε πολλές περιοχές, χρησιμοποιώντας τεχνικές AitM για την κλοπή εκατοντάδων λογαριασμών.
Δείτε επίσης: Καρτέλ DragonForce: Νέες μέθοδοι επίθεσης
Οκτώβριος 2025: Σε αύξηση και οι ransomware επιθέσεις
Το LockBit 5.0 αναδείχθηκε ως μια απειλή πολλαπλών πλατφορμών στο μέτωπο του ransomware, γιορτάζοντας την έκτη επέτειο της ομάδας και στοχεύοντας, πέρα από τα Windows, και Linux και VMware ESXi. Η ανάλυση της παραλλαγής περιλάμβανε ενισχυμένη κρυπτογράφηση, DLL reflection και ρουτίνες κατά της ανάλυσης, επιτρέποντας την ταχεία κρυπτογράφηση εικονικών μηχανών και αποθηκευτικών χώρων δεδομένων.
Αυτό επέτρεψε στους επιτιθέμενους να διαταράξουν ολόκληρα κέντρα δεδομένων, με τυχαίες επεκτάσεις και εκκαθάριση αρχείων καταγραφής να περιπλέκουν τις προσπάθειες απόκρισης. Το ESXi build ήταν ιδιαίτερα ανησυχητικό, στοχεύοντας hypervisors για την κρυπτογράφηση πολλαπλών εικονικών μηχανών ταυτόχρονα, ενώ οι εκδόσεις Linux και Windows περιλάμβαναν περιορισμούς βάσει περιοχής και τερματισμούς υπηρεσιών.
Οι επιθέσεις έπληξαν επιχειρήσεις στην Ευρώπη, τη Βόρεια Αμερική και την Ασία, ενισχύοντας τον χρόνο διακοπής και τις οικονομικές απώλειες μέσω τακτικών κοινής υποδομής.
Δείτε επίσης: Λεπτομέρειες για τις τεχνικές επίθεσης του Tycoon 2FA Phishing Kit
Προστασία
Οι ομάδες ασφαλείας πρέπει να δώσουν προτεραιότητα στην ανάλυση sandbox για αρχεία SVG και ανακατευθύνσεις, καθώς τα στατικά εργαλεία χάνουν αυτές τις συμπεριφορές. Η εφαρμογή MFA ανθεκτικού στο phishing, η παρακολούθηση ύποπτων domains και η ενσωμάτωση ροών πληροφοριών απειλών μπορούν να μετριάσουν τους κινδύνους. Τακτικά αντίγραφα ασφαλείας, πρόσβαση μέσω VPN και παρακολούθηση συμπεριφοράς σε sandboxes μπορούν να μειώσουν τον μέσο χρόνο απόκρισης, μετατρέποντας μεμονωμένους δείκτες σε προληπτικούς κανόνες. Καθώς οι επιτιθέμενοι βελτιώνουν την κατάχρηση του cloud, οι οργανισμοί πρέπει να είναι έτοιμοι για την επόμενη επίθεση.
