![Scattered Spider reverte mitigações de defesa para persistência de rede 1 Scattered Spider reverte mitigações de defesa para persistência de rede](https://www.13secnews.com/wp-content/uploads/2022/12/invasao-de-rede.webp)
Mergulhando nos detalhes
Os ataques começaram em junho e têm múltiplos vetores de acesso inicial.
- O objetivo final do grupo cibercriminoso é obter acesso a redes de operadoras de celular e realizar a troca de SIM.
- As técnicas dos hackers para troca de SIM incluem engenharia social por meio de mensagens de texto e chamadas para se passar por pessoal de TI.
- A atividade induz as vítimas a um local de coleta de credenciais ou direciona para a execução de ferramentas RMM comerciais.
Quem está por trás do ataque
Essa campanha motivada financeiramente foi vagamente vinculada ao grupo Scattered Spider, que foi observado mantendo a persistência, revertendo a mitigação da defesa, evitando a detecção e movendo-se para outros alvos assim que as operações corporativas são interrompidas.
Por que isso importa
- Depois de obter acesso ao sistema, os atores do Scattered Spider adicionam seus próprios dispositivos à lista de dispositivos MFA confiáveis , aproveitando a conta de usuário comprometida.
- Os agentes de ameaças usam Anydesk, Teamviewer, ScreenConnect e outras ferramentas RMM encontradas geralmente em redes corporativas. Isso garante que a atividade maliciosa não gere alertas no software de segurança.
- Em todos os ataques, o grupo usou vários provedores de ISP e VPN para obter acesso aos ambientes do Google Workspace, infraestrutura local e AzureAD.
Quando a violação é detectada
- O adversário mantém a persistência em uma rede violada e se torna mais ativo na configuração de mecanismos de persistência adicionais após a detecção.
- Eles, em vários casos, reverteram algumas mitigações de defesa ao reativar contas anteriormente desativadas pelas vítimas.
A linha de fundo
A Crowdstrike recomenda a implementação de desafios de MFA para autenticação de contas privilegiadas, detecção de dispositivos e credenciais vulneráveis e comprometidos por meio de regras e consultas personalizadas e aplicação de alertas de inteligência de ameaças em tempo real para identificação de credenciais comprometidas. O agente da ameaça é bastante sofisticado e usa uma infinidade de ferramentas e técnicas para evitar a detecção e manter a persistência.
6 thoughts on “Scattered Spider reverte mitigações de defesa para persistência de rede”
Comments are closed.