Группы сосредоточены на атаках крупных компаний с использованием социальной инженерии.
https://www.securitylab.ru/upload/ib...f318f9f481.jpg
Согласно новому отчету экспертов Advanced Intelligence , группировки Silent Ransom Group ( Luna Moth ), Quantum и Roy/Zeon, которые ранее входили в синдикат Conti, стали проводить фишинговые атаки BazarCall (BazaCall) в качестве основного метода получения начального доступа к сети жертвы. Это позволяет злоумышленникам проводить целенаправленные атаки, которые труднее обнаружить и остановить из-за использования социальной инженерии.
Переход к социальной инженерии был вызван предсказуемостью обычных атак, что привело к снижению прибыли, поскольку специалисты по кибербезопасности начали применять эффективные меры по смягчению последствий.
«Мы не можем выиграть войну технологий, потому что на этой арене мы конкурируем с компаниями-миллиардерами, но мы можем победить человеческий фактор» - сказали Conti
Первая группа «Silent Ransom Group (SRG)» с мая атаковала как минимум 94 организации, сосредоточившись только на краже данных и вымогательстве у жертв. Группа уделяла большое внимание организациям в секторе здравоохранения с годовым доходом от $500 тыс. до более $100 млрд., почти 40% из них имеют доход выше $1 млрд.
Вторая группа «Quantum» в середине июня 2022 года начала использовать свою версию BazarCall в кампании «Jörmungandr» (Змей Мидгард). Хакеры наняли людей, специализирующихся на рассылке спама, OSINT, дизайне и операторах колл-центра. Quantum была нацелена на 5 крупных компаний с годовым доходом более $20 млрд., большинство из которых работают в секторе здравоохранения.
Третья группа «Roy/Zeon», хакеры которой участвовали в создании вымогателя Ryuk , используя методы социальной инженерии, атакует компании с высоким годовым доходом или из чувствительных отраслей.
Во всех трех фишинговых кампаниях хакеры выдавали себя за известные кампании, такие как Duolingo, MasterClass, Oracle, CrowdStrike, iWired, Applied Automation Tech, Itarian и другие.
Кроме того, жертвами групп являются крупные компании с высокими доходами, в том числе:<ul><li>международный производитель оружия;</li>
</ul><ul><li>аэрокосмическая компания;</li>
</ul><ul><li>команда NBA;</li>
</ul><ul><li>крупные поставщики IT-решений;</li>
</ul><ul><li>фармацевтические компании;</li>
</ul><ul><li>организации из сферы здравоохранения;</li>
</ul><ul><li>сервисные центры Porsche, Bentley, Lamborghini, Audi, Mercedes.</li>
</ul>Три группы, использующие тактику BazarCall для взлома компаний, показали, что вымогательство или простая кража данных в сочетании с сетевым шифрованием все еще может быть прибыльными способами атак. Упомянутые кампании BazarCall в течение 3 месяцев привели к 20 обращениям жертв и требованиям выкупа на десятки миллионов долларов.
Хотя обнаружение первоначального заражения может быть затруднено, защитники могут отслеживать необычные сигналы связи с C2-сервером и установленные на машинах маяки, которые указывают на заражение. Кроме того, AdvIntel рекомендует контролировать сеть на предмет возможных боковых перемещений, которые могут повлиять на контроллер домена.