Wprowadzenie do problemu / definicja
Badacze bezpieczeństwa opisali kampanię wymuszeń prowadzoną przez aktorów łączonych wcześniej z ekosystemem BlackFile. Głównym celem są fundusze private equity, agencje ratingowe oraz kancelarie prawne zaangażowane w obsługę transakcji finansowych. W centrum tej aktywności znajduje się vishing, czyli socjotechnika telefoniczna wykorzystywana do uzyskania dostępu do środowisk korporacyjnych.
To istotna zmiana z perspektywy obrony, ponieważ atak nie zaczyna się od złośliwego pliku czy exploita, ale od rozmowy telefonicznej, która ma skłonić pracownika do wykonania działań zgodnych z planem napastników.
W skrócie
Ataki przypisywane klastrowi UNC6671 są wymierzone w organizacje obsługujące transakcje i dane o wysokiej wartości biznesowej. Sprawcy podszywają się pod pracowników wsparcia IT, kontaktują się z ofiarami telefonicznie i kierują je do infrastruktury typu adversary-in-the-middle w celu przechwycenia poświadczeń oraz tokenów uwierzytelniania wieloskładnikowego.
Po przejęciu dostępu operatorzy automatyzują rozpoznanie środowiska i eksfiltrację danych, a następnie przechodzą do etapu szantażu. Według analityków część afiliantów miała kontynuować działalność po wycofaniu marki BlackFile, działając pod nowymi nazwami.
- celem są podmioty finansowe i doradcze,
- wejście następuje przez vishing i phishing infrastrukturalny,
- MFA oparte na podatnych metodach może zostać ominięte,
- największą wartość dla sprawców mają dokumenty transakcyjne i prawne.
Kontekst / historia
Opisane działania wpisują się w znany trend rebrandingu grup ransomware i extortion-as-a-service. Gdy dana marka staje się zbyt rozpoznawalna, obciążona presją organów ścigania albo traci wiarygodność w przestępczym ekosystemie, operatorzy i afilianci często nie znikają, lecz przechodzą do nowych struktur i kontynuują działalność pod innymi nazwami.
W tym przypadku badacze wskazują, że po domniemanym zakończeniu działalności BlackFile część osób związanych z wcześniejszymi operacjami mogła działać dalej pod markami takimi jak Helix, Redact, Pink czy Falcon. Wcześniejsze kampanie tego środowiska obejmowały wiele branż, ale obecne ukierunkowanie na private equity oraz podmioty wspierające transakcje sugeruje świadomą selekcję ofiar, u których wyciek danych może wywołać silną presję biznesową i reputacyjną.
Analiza techniczna
Kluczowym wektorem wejścia jest vishing wspierany ukierunkowaną socjotechniką. Napastnicy dzwonią do pracowników, najczęściej na urządzenia mobilne, i przedstawiają się jako personel help desku IT. W trakcie rozmowy próbują skłonić ofiarę do wykonania określonych czynności związanych z logowaniem, resetem dostępu albo potwierdzeniem rzekomych działań administracyjnych.
Istotnym elementem operacji jest wykorzystanie infrastruktury adversary-in-the-middle. Taki model pozwala przechwytywać poświadczenia i dane sesyjne w czasie rzeczywistym, a także omijać część mechanizmów MFA, zwłaszcza jeśli opierają się one na metodach podatnych na phishing. W praktyce oznacza to, że sama obecność MFA nie zawsze gwarantuje skuteczną ochronę, jeśli organizacja nie stosuje rozwiązań odpornych na przechwycenie sesji.
Po uzyskaniu dostępu operatorzy wykorzystują skrypty do automatyzacji rekonesansu i masowej eksfiltracji danych. Taki sposób działania wskazuje na dojrzały model operacyjny: szybkie zdobycie dostępu, ograniczenie czasu obecności przed wykryciem, priorytetyzacja informacji o najwyższej wartości oraz natychmiastowe przejście do etapu wymuszenia.
Najbardziej narażone są m.in.:
- dokumenty due diligence,
- wyceny i materiały transakcyjne,
- dane inwestorów i partnerów,
- informacje prawne oraz negocjacyjne,
- repozytoria współdzielone używane przez zespoły projektowe.
Konsekwencje / ryzyko
Dla funduszy private equity skutki incydentu mogą wykraczać daleko poza klasyczne naruszenie poufności. Ujawnienie dokumentacji transakcyjnej może wpływać na harmonogramy zamknięcia transakcji, wyceny aktywów, relacje z inwestorami oraz obowiązki regulacyjne. Wrażliwość tych danych zwiększa skuteczność szantażu, ponieważ każda zwłoka lub publiczny wyciek może generować wymierne straty biznesowe.
W przypadku kancelarii prawnych i agencji ratingowych dochodzi również ryzyko naruszenia tajemnicy zawodowej, utraty zaufania klientów i szkód reputacyjnych. Szczególnie niebezpieczne jest połączenie skutecznej socjotechniki z technikami omijania MFA, ponieważ organizacje polegające wyłącznie na hasłach, kodach SMS lub aplikacjach TOTP mogą nie wykryć przejęcia dostępu odpowiednio wcześnie.
Rekomendacje
Organizacje z sektora finansowego oraz podmioty wspierające transakcje powinny traktować vishing jako pełnoprawny wektor początkowego dostępu. Niezbędne jest wdrożenie jasnych zasad operacyjnych, zgodnie z którymi help desk nie inicjuje telefonicznie działań wymagających podania haseł, akceptowania nietypowych logowań ani przechodzenia na wskazane strony uwierzytelniania bez niezależnej weryfikacji.
W obszarze technicznym priorytetem powinno być MFA odporne na phishing, w szczególności rozwiązania zgodne z FIDO2 i WebAuthn. Równolegle warto wzmacniać detekcję kradzieży tokenów, monitorować nietypowe sesje i ograniczać możliwość ponownego użycia przejętych danych uwierzytelniających.
- wdrożenie callback verification dla zgłoszeń do help desku,
- ochrona kont uprzywilejowanych i separacja uprawnień,
- segmentacja dostępu do repozytoriów dokumentów transakcyjnych,
- monitoring masowej eksfiltracji i mechanizmy DLP,
- szkolenia z rozpoznawania vishingu i fałszywych procesów wsparcia,
- playbooki IR dla scenariuszy przejęcia sesji i kradzieży tokenów,
- przegląd retencji oraz klasyfikacji danych szczególnie wrażliwych.
Podsumowanie
Kampania przypisywana byłym afiliantom BlackFile pokazuje, że nowoczesne operacje wymuszeń coraz częściej opierają się na precyzyjnej socjotechnice, przechwytywaniu sesji i szybkim wykorzystaniu dostępu zamiast wyłącznie na klasycznym malware. Ukierunkowanie na private equity, kancelarie i agencje ratingowe nie jest przypadkowe: chodzi o organizacje posiadające dane, których ujawnienie może natychmiast przełożyć się na silną presję finansową i reputacyjną.
Dla obrońców to wyraźny sygnał, że bezpieczeństwo tożsamości, procedury help desku i kontrola przepływu danych muszą być traktowane jako jeden wspólny obszar ochrony, a nie odrębne silosy.
Źródła
- Cybersecurity Dive — Former BlackFile affiliates linked to extortion campaign targeting private equity — https://www.cybersecuritydive.com/news/former-blackfile-extortion-campaign-private-equity/827574/
- Google Threat Intelligence Group report referenced in coverage — https://cloud.google.com/
- Reuters coverage referenced in reporting — https://www.reuters.com/