Black Basta附属机构在最近的攻击中使用了Microsoft Teams

阅读量28347

发布时间 : 2024-10-30 16:17:57

x
译文声明

本文是翻译文章,文章原作者 Pierluigi Paganini,文章来源:securityaffairs

原文地址:https://securityaffairs.com/170311/cyber-crime/black-basta-ransomware-microsoft-teams.html

译文仅供参考,具体内容表达以及含义原文为准。

ReliaQuest研究人员观察到Black Basta的分支机构依赖微软团队获得目标网络的初始访问权限。

ReliaQuest研究人员警告,Black Basta勒索软件的分支机构已转向使用微软团队,假装IT支持人员,诱使员工授权访问。

BlackBasta勒索软件的操作者被发现在员工面前伪装成企业帮助台,联系员工帮助他们缓解正在进行的垃圾邮件攻击。

威胁行为者用电子邮件充斥员工的收件箱,然后在微软团队上伪装成IT支持人员,提供关于垃圾邮件问题的“帮助”。

ReliaQuest发布的报告指出:“他们之前的做法包括用电子邮件垃圾邮件淹没用户,促使他们创建一个合法的帮助台工单来解决问题。然后攻击者会联系终端用户,假装是帮助台,回应工单。在最近的事件中,攻击者通过使用微软团队聊天消息与目标用户沟通,并引入恶意二维码来促进初始访问。”

威胁行为者试图诱使用户下载远程监控和管理(RMM)工具,如AnyDesk,一旦获得目标环境的初始访问权限,就部署勒索软件。

研究人员指出,发送给潜在受害者的信息量非常大;在一个实例中,他们观察到在短短50分钟内向一个用户发送了大约1000封电子邮件。

攻击者将目标用户添加到与外部用户的微软团队聊天中。这些外部用户使用他们创建的Entra ID租户进行操作,采用命名规则伪装成支持、管理员或帮助台人员。

以下是攻击者使用的一些租户:

  • cybersecurityadmin.onmicrosoft[.]com
  • securityadminhelper.onmicrosoft[.]com
  • supportserviceadmin.onmicrosoft[.]com
  • supportadministrator.onmicrosoft[.]com

“这些外部用户将他们的个人资料设置为‘DisplayName’,旨在让目标用户认为他们是在与帮助台账户沟通。”报告继续说道。“在我们观察到的几乎所有实例中,显示名称都包含了字符串‘Help Desk’,通常周围有空格字符,这可能是为了让名称在聊天中居中。我们还观察到,通常情况下,目标用户被添加到了‘一对一’聊天中。”

威胁行为者还在聊天中发送二维码,作为Quishing尝试的一部分。

专家根据域名创建和Cobalt Strike配置的共同点,高度自信地将攻击归因于Black Basta。

专家观察到,外部用户的操作通常起源于俄罗斯,位于莫斯科时区。

获得访问权限后,攻击者部署恶意文件,包括代理恶意软件和Cobalt Strike,以加深网络渗透。专家建议限制外部微软团队通信,并记录可疑聊天活动以提高安全性。

报告总结说:“这场活动仍在发展,Black Basta展现了他们快速适应TTP(战术、技术和程序)的能力,这可能是为了挫败防御者,为自己在网络上争取更多时间以进一步发动攻击。虽然他们的初始访问方法已经改变,但他们的后利用活动可能与之前观察到的模式保持一致,这些模式已被现有的安全工具和检测规则所覆盖。”

本文翻译自securityaffairs 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

内容需知
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全客 All Rights Reserved 京ICP备08010314号-66