Cyber-Intrusionsalarm per SMS: Angreifer zeigen auf hochwertige Konten und Exfilter Recovery Keys

Die ukrainischen und US-Agenturen haben eine hartnäckige Cyber-Intrusionskampagne gegen Botenkonten von Beamten, Militärs, Politikern und Aktivisten in der Ukraine, Europa und den Vereinigten Staaten durchgeführt. Nach Angaben des ukrainischen Sicherheitsdienstes (SSU) und des FBI haben die Angreifer, die in anderen Untersuchungen an Clustern, die auf russische Nachrichtendienste zurückzuführen sind, SMS-Nachrichten verwendet, die als "Unterstützungsbot" der Messaging-App posieren, um das Opfer zu überzeugen, Anmeldeinformationen, Überprüfungscodes oder Recovery-Tasten zu liefern.

Die Technik ist in ihrem Konzept nicht neu, aber sie ist neu in ihrer Verfeinerung und in ihrem Ziel: Ziel hochwertige persönliche und professionelle Konten militärische, politische und wirtschaftliche Informationen zu extrahieren oder die Vertrauenskette sensibler Kommunikation zu gefährden. Neuere Angriffe haben das Phishing per SMS mit dem Missbrauch von aktiven Sitzungen (durch Code-Austausch oder QR-Code-Scannen) und die Verwendung von zuvor engagierten Konten zur Verteilung von Informationsdiebstahl-Malware wie die sogenannten OYSTERBLUES, die den mit Belarus ausgerichteten Akteuren zugeschrieben wurden, kombiniert.

Die Implikationen sind klar und ernst: Wenn ein Gegner Zugang zu einem Nachrichtenkonto eines politischen oder militärischen Offiziers erhält, kann er Gespräche, supplant Identität überwachen, um Gesprächspartner zu bestellen oder zu disinformieren, und Anhänge oder Koordinaten zu extrahieren, die Operationen kompromittieren. Darüber hinaus ermöglicht die Exfiltration von Recovery-Tasten oder Backups persistente Zugriffe, die nicht mit einer einfachen Passwortänderung deaktiviert werden, die diese Vorfälle in dauerhafte Lücken verwandelt.

Aus defensiver Sicht ist es wichtig, auf bestimmte Verhaltensweisen zu achten: keine Bestätigungscodes, PINS oder Recovery-Tasten teilen, vermeiden Sie das Scannen von QR gesendet von unbekannten und regelmäßig überprüfen aktive Sitzungen in jeder Anwendung, um unbekannte Verbindungen zu schließen. Es wird auch empfohlen, Cloud-Backup für Konten zu begrenzen oder zu deaktivieren, die sensible Informationen behandeln, da solche Kopien ein weiterer Exfiltrationsvektor sein können.

Für Sicherheitsorganisationen und Beamte müssen die Maßnahmen sowohl technische als auch organisatorische Angelegenheiten umfassen. Technisch gesehen, aktivieren Sie eine starke Authentifizierung mit physikalischen Schlüsseln (FIDO2 / WebAuthn), wenn die Anwendung erlaubt, aktuelle Geräte und Anwendungen zu halten, mobile Geräteverwaltung (MDM) verwenden, um Sitzungen und Zugriffsrichtlinien zu steuern und anormale Verhaltenserkennung im Fokus auf Login- und Kontokonfigurationsänderungen zu implementieren. Auf organisatorischer Ebene sind Account-Segmentation (Trennen von persönlichen und professionellen Messaging), Weiterbildung auf Phishing und klare Prozeduren zur Überprüfung von Support-Anfragen durch offizielle Kanäle entscheidend.

Wenn Sie vermuten, dass ein Konto kompromittiert wurde, sollten sofortige Aktionen beinhalten, alle Sitzungen aus den App-Einstellungen zu schließen, Passwörter und Wiederherstellungsschlüssel von einem sicheren Gerät zu ändern, Geräte für Malware zu überprüfen und die offizielle Service-Unterstützung und die relevante Notfall-Antwortbehörde zu kontaktieren. Bei Vorfällen, die kritische Infrastruktur oder sensible Informationen betreffen, sollte der Fall auf die Antworteinheiten in Ihrem Land, wie das Computer Emergency Response National Team, erhoben werden; im Falle der Ukraine gibt es einen offiziellen Punkt an https: / / cert.gov.ua.

Persönliche Verteidigung hat auch praktische Empfehlungen: Verwenden Sie Passwort-Manager, um einzigartige Schlüssel zu generieren und zu speichern, bevorzugen physische Schlüssel-Authentifizierung über SMS, und stellen Sicherheits- und Verifizierungshinweise für neue Geräte ein. Ressourcen von nationalen Agenturen und Sicherheitsexperten liefern Leitlinien für die Umsetzung dieser Praktiken und die Bewertung des Risikos kritischer Konten; zum Beispiel veröffentlicht das UK National Cyber Security Centre relevante Leitlinien für http://www.ncsc.gov.uk.

Schließlich ist es wichtig zu verstehen, dass solche Kampagnen strategische Ziele verfolgen und in umfassendere Intelligenz- und Desinformationsoperationen integriert sind. Die Verbesserung der individuellen digitalen Hygiene ist notwendig, aber allein nicht ausreichend: es erfordert Unternehmenspolitik, Investitionen in die operative Sicherheit und Zusammenarbeit zwischen Technologieunternehmen, Zivilorganisationen und Sicherheitsbehörden, um diese Bedrohungen auf koordinierte Weise zu identifizieren, zuzuordnen und zu mindern.