Microsoft meldt phishingaanval op tientallen organisaties en "people of interest"
Tientallen organisaties en "people of interest" zijn sinds het begin van dit jaar doelwit geworden van phishingaanvallen uitgevoerd door een vanuit Rusland opererende spionagegroep, zo claimt Microsoft. De groep wordt door het techbedrijf Seaborgium genoemd en zou zich onder andere richten op het stelen van e-mails en bijlagen uit mailboxes van slachtoffers.
Voordat de spionagegroep met een phishingaanval begint vindt er eerst een verkenning van het doelwit plaats, voornamelijk gericht op contacten in het sociale netwerk of de invloedssfeer van het doelwit. Zo maken de aanvallers onder andere gebruik van LinkedIn om door middel van nepprofielen contact te leggen en een vertrouwensband op te bouwen.
Vervolgens sturen de aanvallers berichten met bijlagen of links die naar een phishingsite linken. Zodra slachtoffers op deze website de inloggegevens van hun e-mailaccount invullen proberen de aanvallers e-mails en bijlagen uit de mailbox te stelen. Ook stelen de aanvallers forwarding rules in zodat binnengekomen e-mail automatisch naar een opgegeven e-mailadres wordt doorgestuurd.
Microsoft zegt dat de aanvallers ook toegang tot mailinglistgegevens van "gevoelige groepen" hebben weten te krijgen, waaronder die van voormalige inlichtingenfunctionarissen. Deze data wordt vervolgens voor verdere aanvallen gebruikt. Volgens Microsoft zijn sinds het begin van dit jaar meer dan dertig organisaties en de persoonlijke accounts van een niet nader genoemd aantal "people of interest" doelwit geworden.
Het gaat dan met name om organisaties in de Verenigde Staten en het Verenigd Koninkrijk, alsmede de Baltische staten, Scandinavië en Oost-Europa. Om dergelijke aanvallen tegen te gaan adviseert Microsoft het gebruik van multifactorauthenticatie (MFA) voor alle gebruikers en vanaf alle locaties. Verder wordt aangeraden om veiligere MFA-implementaties te gebruiken, zoals FIDO-tokens of de Microsoft Authenticator, en sms-gebaseerde MFA te vermijden.
MFA is alleen maar een blok aan je been als je, naast jouw user-ID en wachtwoord, een 2FA-code invult op een nepsite die de door jou ingevoerde gegevens meteen invult op de echte site.
Mijn advies (zolang we geen passkeys hebben): check de domeinnaam en dat het slotje op de juiste plaats getoond wordt, en controleer of die domeinnaam van de bedoelde organisatie is.
MFA is alleen maar een blok aan je been als je, naast jouw user-ID en wachtwoord, een 2FA-code invult op een nepsite die de door jou ingevoerde gegevens meteen invult op de echte site.
Mijn advies (zolang we geen passkeys hebben): check de domeinnaam en dat het slotje op de juiste plaats getoond wordt, en controleer of die domeinnaam van de bedoelde organisatie is.
ehh... het gaat hier om een methode waarbij username/wachtwoord wordt gestolen en misbruikt. Dat is perfect te ondervangen met MFA - daarbij vul je niks in, maar je accordeert een actie al dan niet op je telefoon. Het controleren van domainnamen is ook belangrijk, maar in dit geval helpt het niet omdat de mail vanaf het eigen domain wordt verstuurd.
Nu is er iets aan de hand in het oosten van Europa en elke week komt microsoft wel met een persbericht...
Kwist niet dat microsoft inmiddels het officiele it-persbureau van de VS was geworden...
Ik voorspel een enorme toename van MFA fatigue... (je verwacht het niet he...)
Bij een AITM (Attacker in the Middle) proxy-website zullen alle gegevens die jij invult op die AITM-site automatisch en onmiddelijk door die proxy op de echte site worden ingevuld, waarna de eigenaar van die AITM-site als jou op de echte site is ingelogd. Als de aanvaller voor dat inloggen wisselende IP-adressen of VPN-services voor gebruikt, is het voor de echte site knap lastig om te bepalen dat niet jij maar een aanvaller inlogt - met jouw credentials.
Ook MFA met een code via SMS, chat-app, e-mail, telefoon of uit een RSA key-fob of authenticatie-apparaatje zoals sommige banken gebruiken, zijn KANSLOOS als je jouw user-ID, wachtwoord en 2FA-code invoert op zo'n fake website.
Sowieso heb je duidelijk het Microsoft-artikel niet gelezen, daaruit (onderstrepen toegevoegd door mij):
SEABORGIUM also registers new email accounts at various consumer email providers, with the email address or alias configured to match legitimate aliases or names of impersonated individuals. While the creation of new consumer accounts is common, we have also observed SEABORGIUM returning to and reusing historical accounts that match the industry of the ultimate target. In one case, we observed SEABORGIUM returning to an account it had not used in a year, indicating potential tracking and reusing of accounts if relevant to targets’ verticals.
[...]
URL in body of email
In the simplest case, SEABORGIUM directly adds a URL to the body of their phishing email. Occasionally, the actor leverages URL shorteners and open redirects to obfuscate their URL from the target and inline protection platforms. The email varies between fake personal correspondence with a hyperlinked text and fake file sharing emails that imitate a range of platforms.
[...]
PDF file attachment that contains a URL
[...]
OneDrive link to PDF file that contains a URL
[...]
Credential theft
Regardless of the method of delivery, when the target clicks the URL, the target is directed to an actor-controlled server hosting a phishing framework, most often EvilGinx.
[...]
Het enige dat tegen dit soort aanvallen helpt is geen gegevens invullen op andere dan de bedoelde website, ook al is die website een exacte kopie van het origineel. Als je wachtwoorden in je browser opslaat en automatisch laat invullen, vermoed ik dat de browser dat weigert bij een afwijkende domeinnaam (maar ik ben geen fan van wachtwoorden opgeslagen in de browsers). Natuurlijk moet je je dan niet laten verleiden om alsnog jouw wachtwoord op de, als twee druppels water gelijkende - doch fake, website in te voeren.
Van de momenteel beschikbare soorten MFA, checken, bij mijn weten, alleen FIDO hardware keys of je op de juiste website zit (en binnenkort passkeys). In alle andere gevallen zul je zelf de domeinnaam moeten checken - vóórdat je ook maar iets invult.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
