Jetzt zeigt die UNC6692 Kampagne, dass Social Engineering großformatige Anmeldeinformationen stehlen kann

Eine Gruppe von Angreifern identifiziert als UNC6692 hat eine Kampagne der sozialen Engineering und der tiefen Ausbeutung von Netzwerken gestartet, die Aufmerksamkeit für seine Kombination von psychologischer Täuschung und personalisierten Tools verdient, um Zugang zu erhalten und Zugangsdaten in großem Umfang zu extrahieren.

Die Eingangstür dieser Intrusionen ist keine unbekannte technische Verwundbarkeit, sondern menschliche Manipulation: Die Angreifer erzeugen ein Volumen von E-Mails, um ein Gefühl der Dringlichkeit zu schaffen und dann die Opfer über Microsoft Teams als technische Unterstützung zu kontaktieren, eine Taktik, die die Installation von schädlichen Geräten mit dem Auftreten von "Patches" oder administrativen Diensten erleichtert. Für eine technische Analyse und die Indikatoren, die Forscher veröffentlicht haben, ist es wert, Mandiants Bericht auf Googles Blog zu überprüfen: https: / / cloud / google.com / blog / Themen / amenat-intelligence / unc6692-social-engineering-custom-malware.

Die aufgedeckte Suite, mit dem Spitznamen "Snow", kombiniert drei Hauptkomponenten: eine Browser-Erweiterung, die als persistenter Link auf dem infizierten Computer fungiert, einen WebSocket-basierten Tunnel, der Traffic verbirgt und als SOCKS-Proxy arbeitet, und eine Python-Hintertür, die einen lokalen HTTP-Server freigibt, um Remote-Befehle auszuführen. Der initiale Vektor enthält einen Dropper, der AutoHotkey-Skripte ausführt und den Browser im "headless"-Modus startet, so dass der Benutzer keine sichtbare Aktivität wahrnimmt, während klassische Mechanismen wie programmierte Aufgaben und Zugriff im Home-Ordner die Beharrlichkeit gewährleisten.

Das Nachintrusionsverfahren folgt gefährlich effektiven Mustern: interne Erkennung, um exponierte SMB und RDP zu lokalisieren, durch LSASS-Speicher umgedreht, um Anmeldeinformationen zu stehlen und Techniken wie Pass-the-Hash zu verwenden, um seitlich zu Domänencontrollern zu bewegen. In den letzten Schritten gelang es den Angreifern, die Active Directory-Datenbank und sensible Dateien aus dem System zu extrahieren und aus dem Netzwerk über nicht-konventionelle Kanäle zu senden. Diese Schritte ermöglichen dem Gegner eine tiefe Kontrolle und die Fähigkeit, vollständige Domänen zu ergreifen, was die Intrusion zu einem organisatorischen Engagement macht.

Die Auswirkungen sind klar: nicht genug, um den Umfang zu schützen. Ein erster Zugang durch Social Engineering kann schnell zu einem Verlust der Kontrolle des Unternehmensverzeichnisses und massiven Diebstahl von Anmeldeinformationen, die die Vertraulichkeit und Integrität kritischer Systeme beeinträchtigt. Darüber hinaus erschwert die Verwendung von legitimen oder legitim aussehenden Werkzeugen (AutoHotkey, Browsererweiterungen, kopflose Navigation) die Erkennung durch traditionelle Signaturen.

Gleichzeitig sollten technische und operative Maßnahmen ergriffen werden, um solche Angriffe zu mildern. Auf der Benutzer- und Support-Ebene: ständig über die Identitätsprüfung von Helpdesk-Mitarbeitern informieren, vernachlässigen Links, die fragen, "Patches" von unerwarteten Kommunikationen zu installieren und zu vermeiden, dass Fernzugriff ohne vorherige Validierung. Auf technischer Ebene: Multifaktor in Konten mit Privilegien anwenden, die Verwendung von Remote-Hilfe-Tools einschränken und überprüfen, die Ausführung von nicht genehmigten Skripten und binären (einschließlich AutoHotkey) durch Anwendungsrichtlinien blockieren oder steuern, und das Netzwerk segmentieren, um Seitenbewegungen zu begrenzen.

Von der Erkennung sollten die Sicherheitsausrüstungen auf bestimmte Signale achten: kopflose Browser-Prozesse, die von ungewöhnlichen Nutzern initiiert werden, die erneute Erstellung von geplanten Aufgaben oder Login-Zugang, die nicht den genehmigten Änderungen entsprechen, ausgehende WebSocket-Verbindungen zu unbekannten Zielen und jeglichen Traffic, der als Proxy SOCKS fungiert. Diese Ereignisse mit Memory-Dumping-Ansätzen oder anormaler Aktivität in Domänencontrollern zu korrelieren, erhöht die Wahrscheinlichkeit eines Eindringens vor der Massenexfiltration.

Wenn ein Eindringen bestätigt wird, sollte die Reaktion die Isolation des betroffenen Gastgebers, die Erhaltung von Beweisen (Memory-Capture und Disk-Dumping), die Analyse der registrierten und kompromittierten Active Directory-Hives und die Zwangsdrehung privilegierter Anmeldeinformationen beinhalten. Je nach Umfang kann die Abhilfe die Rekonstruktion von Domänencontrollern und die Umsetzung eines Recovery-Plans erfordern, der den Widerruf freier Zertifikate und Anmeldeinformationen beinhaltet; Koordinierung mit Erkennungs- und Antwortanbietern; und die Konsultation mit IoC- und YARA-Regeln, die in technischen Berichten veröffentlicht werden, wird dazu beitragen, die Reinigung zu beschleunigen.

Für Geräte, die die Charakterisierung von Taktiken und Techniken, die von Gegnern wie UNC6692 verwendet werden, vertiefen möchten, bleibt die MITRE ATT & CK-Matrix eine nützliche Referenz für die Kartierungserkennung und -steuerung: https: / / attack.mitre.org /. Die Umsetzung dieser Referenz mit den praktischen Empfehlungen und IoC, die von den Forschern veröffentlicht werden, maximiert die Antwort- und Schließfähigkeit der ausgenutzten Vektoren.

Kurz gesagt, die Snow-Kampagne ist eine Erinnerung daran, dass die Kombination aus Social Engineering, Custom Tools und Missbrauch legitimer Kanäle einen kleinen menschlichen Fehler in eine Unternehmenskatastrophe verwandeln kann. Effektive Verteidigung erfordert laufende Schulungen, strenge technische Kontrollen bei der Umsetzung und des Zugangs, Netzsegmentierung und bewährte Reaktionsverfahren um zu verhindern, dass ein falscher "Patch" der Hauptschlüssel des Angreifers wird.