Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
Grupa zagrożeń UNC6783 została powiązana z kampaniami wymierzonymi w dostawców usług BPO oraz zespoły wsparcia technicznego obsługujące duże organizacje. Celem atakujących nie jest wyłącznie przejęcie pojedynczych kont, ale uzyskanie dostępu do zgłoszeń supportowych, danych operacyjnych i poufnych informacji, które mogą zostać wykorzystane do dalszej infiltracji, szantażu lub wymuszeń finansowych.
To istotna zmiana w krajobrazie zagrożeń, ponieważ platformy helpdesk i procesy obsługi klienta stają się pełnoprawnym celem operacji cyberprzestępczych. Atak na partnera zewnętrznego może otworzyć drogę do wielu organizacji jednocześnie, zwłaszcza jeśli outsourcer ma uprzywilejowany dostęp do systemów wsparcia i danych klientów.
W skrócie
- UNC6783 atakuje firmy korzystające z outsourcingu procesów biznesowych, aby dotrzeć do organizacji o wysokiej wartości.
- Napastnicy wykorzystują socjotechnikę, phishing oraz fałszywe strony logowania powiązane z procesami wsparcia.
- W części incydentów stosowano również fałszywe aktualizacje bezpieczeństwa dostarczające malware zdalnego dostępu.
- Po uzyskaniu dostępu aktorzy przechodzą do eksfiltracji danych i prób wymuszenia okupu za nieujawnienie skradzionych informacji.
Kontekst / historia
Model ataku oparty na kompromitacji partnerów zewnętrznych nie jest nowy, jednak w przypadku UNC6783 szczególnie istotny jest wybór celu pośredniego. Dostawcy BPO i zespoły wsparcia mają często dostęp do zgłoszeń klientów, historii incydentów, logów, dokumentacji operacyjnej i wewnętrznych procedur. To sprawia, że są atrakcyjnym punktem wejścia do organizacji, które same mogą być lepiej zabezpieczone niż ich partnerzy.
Według dostępnych informacji kampania była wymierzona w dziesiątki podmiotów korporacyjnych z różnych sektorów. Badacze wskazali również możliwe powiązanie UNC6783 z personą znaną jako Raccoon, wcześniej kojarzoną z atakami na firmy świadczące usługi dla dużych przedsiębiorstw. W tym schemacie atakujący nie ograniczają się do klasycznego phishingu e-mailowego, ale aktywnie wykorzystują kanały komunikacji z personelem wsparcia, w tym czat na żywo i procesy pomocy technicznej.
Analiza techniczna
Techniczny rdzeń kampanii opiera się na połączeniu socjotechniki i kradzieży poświadczeń. Atakujący kontaktują się z pracownikami supportu i kierują ich na spreparowane strony logowania imitujące infrastrukturę organizacji docelowej. Wzorzec wykorzystywanych domen sugeruje podszywanie się pod środowiska wsparcia związane z Zendesk, co zwiększa wiarygodność przynęty i obniża czujność ofiar.
Jednym z istotnych elementów zestawu phishingowego była możliwość przechwytywania zawartości schowka. Taka funkcja może pomóc w obejściu części mechanizmów MFA, szczególnie tam, gdzie użytkownik kopiuje jednorazowe kody, tokeny lub inne dane wykorzystywane w procesie logowania. Jeśli atakujący równolegle pozyska poświadczenia i dane pomocnicze, może zarejestrować własne urządzenie w środowisku ofiary albo ustanowić trwały dostęp.
Badacze odnotowali także przypadki dystrybucji fałszywych aktualizacji bezpieczeństwa, których faktycznym celem było dostarczenie malware typu remote access. Oznacza to, że kampania nie ograniczała się do jednego wektora i mogła łączyć phishing tożsamościowy z infekcją stacji roboczych. Taki model działania daje napastnikom szerokie możliwości, od przejęcia sesji i zbierania danych lokalnych po ruch boczny i dalszą eksfiltrację.
Z perspektywy obrony szczególnie niebezpieczne jest to, że systemy helpdesk zawierają dane o wysokiej wartości operacyjnej. Zgłoszenia supportowe mogą obejmować informacje o incydentach bezpieczeństwa, dane osobowe, szczegóły architektury środowiska, korespondencję wewnętrzną oraz załączniki techniczne. W praktyce przejęcie dostępu do platformy wsparcia może być jednocześnie źródłem danych do wyłudzeń i punktem wyjścia do bardziej precyzyjnych ataków na użytkowników, administratorów i partnerów biznesowych.
Konsekwencje / ryzyko
Ryzyko związane z tą kampanią wykracza poza klasyczną kradzież konta. Kompromitacja dostawcy BPO może umożliwić atakującemu dostęp do wielu klientów jednocześnie, znacząco zwiększając skalę incydentu. Dodatkowo dane z systemów helpdesk często pozwalają zidentyfikować procesy wewnętrzne, krytyczne systemy, używane narzędzia IAM, procedury eskalacyjne i wyjątki bezpieczeństwa.
Kradzież takich informacji tworzy również dogodne warunki do szantażu. Organizacje mogą zostać zmuszone do reakcji nie tylko z powodu ryzyka naruszenia poufności, ale także w obawie przed ujawnieniem dokumentów wewnętrznych, danych klientów czy szczegółów zgłoszeń bezpieczeństwa. Przejęcie kanałów wsparcia może prowadzić również do wtórnych incydentów, takich jak reset haseł, przejmowanie kont uprzywilejowanych lub manipulowanie procesem obsługi zgłoszeń.
W modelu łańcucha dostaw zagrożenie jest szczególnie trudne do wykrycia, ponieważ część aktywności odbywa się poza głównym środowiskiem ofiary. Jeśli partner zewnętrzny nie posiada dojrzałego monitoringu i odpowiednich procedur reagowania, atakujący może przez dłuższy czas pozostawać niezauważony, stopniowo zwiększając zakres dostępu i kompletując dane potrzebne do późniejszego wymuszenia.
Rekomendacje
Organizacje współpracujące z dostawcami BPO i korzystające z platform helpdesk powinny traktować ten typ kampanii jako zagrożenie dla łańcucha dostaw. Ochrona musi obejmować zarówno własne środowisko, jak i partnerów obsługujących procesy wsparcia.
- Ograniczyć dostęp partnerów zewnętrznych zgodnie z zasadą najmniejszych uprawnień.
- Segmentować dostęp do zgłoszeń, danych klientów i paneli administracyjnych.
- Wdrożyć silne metody MFA odporne na phishing, w szczególności klucze bezpieczeństwa FIDO2.
- Monitorować rejestrację nowych urządzeń, zmiany metod uwierzytelniania i nietypowe logowania do systemów wsparcia.
- Wykrywać masowy dostęp do zgłoszeń, eksport danych oraz niestandardowe działania kont agentów i administratorów.
- Aktywnie identyfikować i blokować domeny podszywające się pod markę, procesy logowania i helpdesk.
- Szkolić personel wsparcia nie tylko z zakresu phishingu e-mailowego, ale także zagrożeń w czacie, połączeniach głosowych i zgłoszeniach serwisowych.
- Weryfikować partnerów zewnętrznych pod kątem logowania, retencji logów, ochrony endpointów, procedur raportowania incydentów i testów odporności na socjotechnikę.
Podsumowanie
Kampania UNC6783 pokazuje, że nowoczesne operacje cyberprzestępcze coraz częściej omijają bezpośrednio chronione środowiska i koncentrują się na partnerach obsługujących procesy wsparcia. Atak na dostawcę BPO lub platformę helpdesk może zapewnić dostęp do cennych danych, ułatwić dalszą kompromitację oraz stworzyć podstawę do skutecznego wymuszenia.
Dla zespołów bezpieczeństwa oznacza to konieczność rozszerzenia modelu obrony o procesy supportowe, relacje z outsourcerami oraz odporność na phishing wymierzony w personel operacyjny. W praktyce bezpieczeństwo organizacji jest dziś tak silne, jak najsłabsze ogniwo w jej ekosystemie partnerów.