شرکت ماندیانت (Mandiant)ØŒ زیرمجموعه Ú¯ÙˆÚ¯Ù„ØŒ از شناسایی موج جدیدی از حملات سایبری خبر داده Ú©Ù‡ با استفاده از تکنیک‌های پیشرفته مهندسی اجتماعی، سازمان‌ها را هدف قرار داده است. این حملات Ú©Ù‡ به گروه‌هایی نظیر ShinyHunters (تحت شناسه‌هایی مثل UNC6661 Ùˆ UNC6240) نسبت داده Ù…ÛŒ‌شود، بر سرقت اعتبارنامه‌های ورود Ùˆ دور زدن احراز هویت چندمرحله‌ای (MFA) تمرکز دارد.

مکانیسم حمله و ترفندهای مهندسی اجتماعی

مهاجمان در این کمپین از روش ÙˆÛŒØ´ÛŒÙ†Ú¯ (Voice Phishing) ÛŒØ§ فیشینگ صوتی استفاده Ù…ÛŒ‌کنند:

• جعل هویت: Ù…هاجمان در تماس تلفنی با کارکنان، خود را به عنوان پرسنل واحد فناوری اطلاعات (IT Helpdesk) معرفی Ù…ÛŒ‌کنند.

• فریب برای MFA: Ø¢Ù†‌ها قربانی را متقاعد Ù…ÛŒ‌کنند Ú©Ù‡ برای رفع یک مشکل فنی یا به‌روزرسانی تنظیمات امنیتی، باید روی لینکی Ú©Ù‡ برایشان پیامک یا ایمیل Ù…ÛŒ‌شود کلیک کنند.

• صفحات جعلی مشابه اصل: Ø§ÛŒÙ† لینک‌ها کاربر را به وب‌سایت‌های فیشینگ هدایت Ù…ÛŒ‌کنند Ú©Ù‡ از نظر ظاهری دقیقاً مشابه صفحات ورود رسمی سازمان (مانند Okta) هستند.

• سرقت کد Ùˆ ثبت دستگاه: Ø¨Ù‡ محض وارد کردن اطلاعات Ùˆ کد MFA توسط کاربر، مهاجمان آن را سرقت کرده Ùˆ بلافاصله دستگاه خود را به عنوان یک روش احراز هویت جدید ثبت Ù…ÛŒ‌کنند تا دسترسی دائمی داشته باشند.

اهداف و پیامدهای نفوذ

پس از نفوذ به حساب‌های کاربری، مهاجمان فعالیت‌های زیر را انجام Ù…ÛŒ‌دهند:

• نفوذ به سرویس‌های ابری: Ø¯Ø³ØªØ±Ø³ÛŒ به پلتفرم‌های SaaS مانند Microsoft 365ØŒ SharePoint Ùˆ OneDrive برای استخراج داده‌های حساس.

• گسترش حمله: Ø§Ø³ØªÙØ§Ø¯Ù‡ از ایمیل‌های سازمانی Ù‡Ú© شده برای ارسال پیام‌های فیشینگ جدید به شرکای تجاری Ùˆ شرکت‌های دیگر (به‌ویژه در حوزه رمزارز).

• اخاذی Ùˆ تهدید: Ù‡Ø¯Ù نهایی این نفوذها اغلب اخاذی مالی است. در برخی موارد، گزارش‌هایی از آزار Ùˆ تهدید مستقیم کارکنان توسط مهاجمان نیز ثبت شده است.

• پاک‌سازی ردپا: Ø­Ø°Ù ایمیل‌های ارسالی مخرب برای جلوگیری از شناسایی توسط تیم‌های امنیت شبکه.

توصیه‌های امنیتی Ú¯ÙˆÚ¯Ù„ Ùˆ ماندیانت

کارشناسان تأکید Ù…ÛŒ‌کنند Ú©Ù‡ این حملات ناشی از نقص فنی در نرم‌افزارها نیست، بلکه از ضعف در «Ø¹Ù†ØµØ± انسانی» سوءاستفاده Ù…ÛŒ‌کند. راهکارهای پیشنهادی عبارتند از:

1. استفاده از MFA مقاوم در برابر فیشینگ: Ø¬Ø§ÛŒÚ¯Ø²ÛŒÙ†ÛŒ روش‌های مبتنی بر پیامک Ùˆ تماس تلفنی با کلیدهای امنیتی فیزیکی (FIDO2) یا Passkey.

2. آموزش مستمر کارکنان: Ø¢Ú¯Ø§Ù‡‌سازی پرسنل درباره شیوه‌های جدید فیشینگ صوتی Ùˆ تأکید بر اینکه واحد IT هرگز رمز عبور یا کد MFA را به صورت تلفنی درخواست نمی‌کند.

3. بازبینی فرآیندهای پشتیبانی: ØªØ¹Ø±ÛŒÙ پروتکل‌های دقیق برای احراز هویت کارکنان در تماس‌های تلفنی با واحد پشتیبانی فنی.