GONE PHISHING: SĂN LÙNG CÁC EMAIL ĐỘC HẠI THEO CHỦ ĐỀ CÔNG NGHIỆP ĐỂ NGĂN CHẶN SỰ XÂM PHẠM CÔNG NGHỆ

Lừa đảo là một trong những kỹ thuật phổ biến nhất được sử dụng để phát tán phần mềm độc hại và giành quyền truy cập vào các mạng mục tiêu. Mặc dù có các công cụ hỗ trợ phát hiện kẻ tấn công và nhận thức về bảo mật của con người ngày càng được nâng cao, tuy nhiên các chuyên gia an ninh mạng vẫn cần cẩn trọng để tránh các thỏa hiệp lừa đảo.

Chuyên gia của Mandiant cho biết họ thường xuyên quan sát thấy kẻ tấn công phát tán email lừa đảo có chứa các thuật ngữ và khái niệm dành riêng cho lĩnh vực công nghiệp, chẳng hạn như năng lượng, sản xuất, nước và các tiện ích khác. Việc lấy email lừa đảo và các chủ đề công nghiệp cho thấy rằng có thể các tác nhân độc hại đang điều chỉnh các cuộc tấn công của họ với mục tiêu nhắm vào các tổ chức công nghiệp. Tuy ảnh hưởng của các tác nhân đe dọa ít gây rủi ro đến hệ thống công nghệ vận hành (OT), nhưng bản chất về tốc độ và tính chuyên nghiệp của các kỹ thuật của chúng có nghĩa nghĩa lớn lao đối với các chuyên gia an ninh mạng OT.

Email lừa đảo có thể tạo điều kiện thuận lợi cho nhiều mục tiêu của tác nhân đe dọa

Đối với chủ sở hữu tài sản OT, lừa đảo thường chỉ được coi là mối đe dọa nếu nó xuất phát từ các chiến dịch gián điệp mạng nhắm mục tiêu đến các nhà điều hành, kỹ sư và chuyên gia về chủ đề công nghiệp.Mặc dù sự chú ý đó là quan trọng, nhưng quan điểm siêu tập trung này có thể chuyển sự chú ý khỏi các hoạt động lừa đảo đơn giản hơn nhưng được phân phối ồ ạt và có khả năng tác động.

• Các chiến dịch lừa đảo khác nhau về mức độ phức tạp của mồi nhử, công cụ, khối lượng và mục tiêu. Tuy nhiên, điểm chung của hầu hết các chiến dịch lừa đảo là chúng tiết lộ rất ít bối cảnh về mục tiêu cuối cùng của kẻ tấn công vì chúng đại diện cho các giai đoạn đầu tiên của một nhiệm vụ. Hành vi lừa đảo dường như đơn giản, không nhất thiết nhắm mục tiêu đến các nạn nhân cụ thể có thể phân nhánh thành hoạt động sau khi thỏa hiệp, chẳng hạn như Thỏa hiệp email doanh nghiệp (BEC), triển khai mã độc tống tiền, hoạt động gián điệp, rò rỉ dữ liệu hoặc tấn công vật lý trên mạng.
• Email lừa đảo theo chủ đề công nghiệp đặc biệt rủi ro vì chúng sử dụng ngôn ngữ chuyên biệt phổ biến đối với nhân viên làm việc OT. Ví dụ: một email có chủ đề “vận đơn” có thể thu hút nhân viên xử lý các lô hàng, trong khi một email có chủ đề “hóa đơn nguyên vật liệu (BOM)” có thể thu hút người quản lý dự án kỹ thuật.
• Kẻ tấn công thường chia sẻ, bán hoặc phân phối quyền truy cập cho kẻ tấn công khác khác sử dụng. Trong trường hợp có ransomware, Mandiant cho biết họ thường quan sát thấy các mô hình liên kết chính thức , trong đó các tác nhân khác nhau chịu trách nhiệm cho các phần khác nhau của một hoạt động.
• Mặc dù việc triển khai các biện pháp giảm thiểu lừa đảo thường nằm ngoài phạm vi của nhân viên bảo mật OT, nhưng việc nhận ra những thỏa hiệp nào có khả năng leo thang có thể giúp những người bảo vệ ngăn chặn các tác nhân tiếp cận các mục tiêu có giá trị cao như hệ thống hoặc tài sản OT.

Một năm của các email lừa đảo theo chủ đề công nghiệp

Một phương pháp để tìm kiếm hoạt động lừa đảo gây rủi ro cao hơn đối với OT là tự điều tra nội dung của các mồi nhử và email để xác định biệt ngữ được sử dụng trong các ngành và lĩnh vực cụ thể. Bằng cách sử dụng một danh sách các từ khóa theo chủ đề công nghiệp phù hợp, Mandiant lọc dữ liệu để tìm các email lừa đảo theo chủ đề công nghiệp và báo cáo những phát hiện trong OT Phishing Roundup hàng tuần. Danh sách từ khóa chứa các thuật ngữ khác nhau bao gồm thuật ngữ quy trình OT, nhà sản xuất thiết bị gốc (OEM), thiết bị kỹ thuật và các thuật ngữ kinh doanh công nghiệp khác.

Tại bài viết này, Mandiant thảo luận về bộ sưu tập 1.733 email lừa đảo duy nhất từ ​​năm 2022 có được bằng cách tìm kiếm trên kho lưu trữ phân tích phần mềm độc hại phổ biến (Xem Hình 1). Từ các mẫu của mình, các chuyên gia của Mandiant đã khôi phục 1.017 tải trọng khác nhau và bất cứ khi nào khả thi, họ sẽ xác định phần mềm độc hại được liên kết với từng mẫu. Mandiant lưu ý rằng bộ sưu tập của họ chỉ phản ánh những phát hiện từ một nguồn lớn duy nhất và do đó, không nhất thiết phải đại diện cho toàn bộ khối lượng phân phối lừa đảo. Kích thước của bộ sưu tập bị giới hạn đối với các phiên bản đã được gửi tới kho lưu trữ phần mềm độc hại . Ngoài ra, mỗi mẫu mà họ phân tích có thể đã được sử dụng để chống lại một hoặc nhiều nạn nhân trong một hoặc nhiều tổ chức.

Số lượng email được xác định trong năm dường như không cho thấy một mô hình rõ ràng. Mặc dù các chuyên gia của mandin đã xác định được sự gia tăng đáng kể trong hoạt động trong tháng Ba, nhưng có thể những kết quả này từ các yếu tố không liên quan như số lượng email được gửi. Chúng tôi đã không thực hiện phân tích theo thời gian để xác định khả năng tính thời vụ.

Hình 1: Các email lừa đảo theo chủ đề công nghiệp được quan sát vào năm 2022

Theo Mandiant, có tổng cộng 34 họ phần mềm độc hại khác nhau, nhiều phần mềm độc hại trong số đó được triển khai và sử dụng rộng rãi trong nhiều loại thỏa hiệp. Các tác nhân thuộc mọi động cơ thường xuyên sử dụng các công cụ chẳng hạn như AGENTTESLA, FORMBOOK hoặc REMCOS do tính hiệu quả và dễ dàng có được với chi phí thấp hoặc miễn phí của chúng.

Mặc dù các chuyên gia có thể muốn bỏ qua một số họ phần mềm độc hại có sẵn, nhưng các chuyên gia của Mandiant đã xác định được do tính đơn giản hoặc thiếu tính mới của chúng, phần mềm độc hại thường đi kèm với các kỹ thuật để tránh bị phát hiện và cho phép các tác nhân giành được chỗ đứng và di chuyển qua các mạng mục tiêu. Điều này có thể cung cấp cho các tác nhân tinh vi hơn quyền truy cập và các công cụ cần thiết để tiến gần hơn đến các mục tiêu OT đồng thời cản trở các nỗ lực phân bổ do bản chất chung của phần mềm độc hại.

Biểu đồ sau đây cho thấy phần mềm độc hại phổ biến nhất mà các chuyên gia Mandiant quan sát thấy được triển khai cùng với các mồi nhử lừa đảo theo chủ đề công nghiệp (xem Phụ lục 1 để biết thêm chi tiết về phần mềm độc hại được quan sát thấy).

Hình 2: Phân tích các dòng phần mềm độc hại được quan sát thấy trong các email lừa đảo có chủ đề công nghiệp vào năm 2022

• Một số họ phần mềm độc hại có đầy đủ khả năng hỗ trợ một loạt các chức năng tiêu chuẩn, trong khi những họ khác chỉ đáp ứng một hoặc một vài chức năng như thu thập thông tin xác thực, tải xuống tài nguyên bổ sung hoặc khai thác dữ liệu. Ví dụ, một số gia đình tập trung vào hành vi trộm cắp thông tin xác thực, trong khi những gia đình khác cho phép các tác nhân tương tác trực tiếp với môi trường mục tiêu.
• Các họ phần mềm độc hại này đôi khi có thể tùy chỉnh và có thể được ghép nối với các trình mã hóa để tránh bị phát hiện từ các công cụ chống vi-rút
• Một số phần mềm độc hại này cũng bao gồm các khả năng như thu thập âm thanh video và micrô đã có sẵn trong trojan truy cập từ xa (RAT) trong một thời gian dài. Sự sẵn có của các công cụ như vậy thách thức các quan niệm lịch sử rằng chỉ những tác nhân đe dọa có nguồn lực tốt mới có quyền truy cập vào các khả năng toàn diện như vậy.

Email lừa đảo theo chủ đề công nghiệp đôi khi tinh vi, đôi khi không

Email lừa đảo có nhiều mức độ tinh vi khác nhau. Một số kẻ tấn công đã phát triển nội dung được xây dựng kỹ lưỡng, đồng hóa các giao tiếp theo chỉ đề OT ngoài đời thực. Trong khi những kẻ tấn công khác phân phối báo cáo có các đặc điểm lừa đảo phổ biến, chẳng hạn như các lỗi chính tả hay lỗi định dạng. Bên cạnh đó, một số kẻ tấn công đã tái sử dụng các chuỗi email bị đánh cắp ( chiếm quyền điều khiển trả lời) bằng cách sử dụng các phương pháp tự động nhằm mở rộng hoạt động.

Phần lớn các mẫu đã chứng minh bằng chứng về sự phân phối cơ hội hàng loạt, trong khi chỉ có một tập hợp con nhỏ phản ánh những nỗ lực phối hợp của các tác nhân sinh sôi nổi, có tổ chức và tương đối tinh vi mà chúng ta gọi là các cụm mối đe dọa phân phối. Có thể xác định từ các tác nhân như APT1 , APT3 , APT10 , APT17 , TEMP.Isotope , Conference Crew (UNC39) , UNC631 và UNC1151 .

Bảng 1: So sánh tác nhân lừa đảo theo chủ đề công nghiệp

Các cụm mối đe dọa phân phối: Lừa đảo tinh vi để triển khai phần mềm độc hại trên diện rộng

Cụm mối đe dọa phân phối là một tập hợp các hoạt động tội phạm mạng bị nghi ngờ được xác định với mục tiêu chính là cung cấp tải trọng phần mềm độc hại cho nhiều nạn nhân. Mặc dù các cụm mối đe dọa phân phối chỉ tạo ra một phần nhỏ các email lừa đảo, nhưng các mẫu này đặc biệt rủi ro đối với các tổ chức khi chúng mở ra cánh cửa cho hoạt động theo dõi trong mạng nạn nhân.

Các chiến dịch từ các cụm mối đe dọa phân phối đã dẫn đến các cuộc xâm nhập dẫn đến việc triển khai phần mềm tống tiền sau thỏa hiệp. Bất chấp bản chất tài chính của nó, hoạt động này có thể làm gián đoạn khả năng của các tổ chức trong việc duy trì dòng sản xuất thường xuyên . Một số cụm mối đe dọa phân phối mà chúng tôi quan sát thấy vào năm 2022 bao gồm:

Các cụm mối đe dọa phân phối đôi khi sử dụng các TTP tinh vi để phân phối tải trọng. Một số TTP phổ biến được sử dụng bởi các cụm mối đe dọa phân phối bao gồm:

• Các chiến dịch thường xuyên và có nhịp độ nhanh sử dụng các chủ đề và chủ đề dường như để trả lời các chuỗi email hợp pháp để phân phối tải trọng.
• Ví dụ: tự động tạo các mồi nhử lừa đảo chất lượng cao bằng cách sử dụng các cụm từ hoặc chủ đề phổ biến, đương thời hoặc giật gân.
• Sử dụng phần mềm độc hại đã được sửa đổi hoặc tùy chỉnh kết hợp với việc che giấu hoặc đóng gói/mã hóa các tệp nhị phân nặng.
• Sử dụng chuỗi lây nhiễm nhiều giai đoạn để phân phối tải trọng.
• Điều chỉnh TTP và cơ sở hạ tầng để cố gắng tránh bị phát hiện và quy kết.

Hình 3: Ví dụ về thu hút và tải trọng email từ Cụm mối đe dọa phân phối (UNC2420)