Wprowadzenie do problemu / definicja
Grupa wymuszeń danych Luna Moth ponownie koncentruje działania na kancelariach prawnych, wykorzystując socjotechnikę zamiast klasycznego malware. W najnowszej kampanii napastnicy podszywają się pod wsparcie techniczne i nakłaniają ofiary do samodzielnego ujawnienia tokenów dostępowych Microsoft, co pozwala im uzyskać dostęp do danych organizacji bez przełamywania zabezpieczeń w tradycyjnym rozumieniu.
To podejście wpisuje się w rosnący trend ataków wymierzonych w warstwę tożsamości, sesji i zaufanych procesów użytkownika. Z perspektywy obronnej oznacza to, że samo zabezpieczenie stacji roboczych i regularne łatanie systemów nie wystarczą, jeśli organizacja nie chroni również tokenów oraz przepływów uwierzytelniania.
W skrócie
- Luna Moth wraca do kancelarii prawnych, w tym prawdopodobnie do wcześniej atakowanych podmiotów.
- Atak rozpoczyna się od wiadomości e-mail z uszkodzonym plikiem PDF lub odnośnikiem do dokumentu.
- Następnie dochodzi do kontaktu telefonicznego lub wideorozmowy z fałszywym pracownikiem IT.
- Ofiara jest instruowana, jak skopiować token dostępu z legalnej sesji Microsoft.
- Przestępcy wykorzystują przejęty token do dostępu do danych i ich eksfiltracji przez Microsoft Graph API.
Kontekst / historia
Luna Moth jest znana z kampanii ukierunkowanych na organizacje przetwarzające dane o wysokiej wartości biznesowej, prawnej i reputacyjnej. W poprzednich operacjach grupa stosowała podszywanie się pod pomoc techniczną oraz narzędzia zdalnego wsparcia, aby uzyskać dostęp do urządzeń ofiar i ręcznie pobierać pliki.
Obecna kampania pokazuje jednak wyraźną zmianę taktyki. Zamiast opierać się na zdalnym dostępie, który może zostać wykryty przez systemy EDR lub monitoring endpointów, napastnicy stawiają na przejęcie ważnych tokenów uwierzytelniających. Dzięki temu wykorzystują legalną sesję użytkownika i poruszają się w środowisku ofiary z użyciem autoryzowanych mechanizmów dostępu.
Wybór kancelarii prawnych jako celu jest logiczny. Takie organizacje przechowują dokumenty procesowe, informacje transakcyjne, dane klientów i materiały objęte tajemnicą zawodową. To czyni je wyjątkowo podatnymi na presję związaną z ujawnieniem danych, wymuszeniami oraz stratami reputacyjnymi.
Analiza techniczna
Schemat ataku zaczyna się od wiadomości e-mail wysłanej zwykle z darmowego konta pocztowego. Tytuł wiadomości może być pusty, a sam dokument PDF wygląda jak raport lub plik biznesowy, ale nie otwiera się prawidłowo. Taki pozornie błahy problem ma skłonić ofiarę do kontaktu lub przygotować ją na kontakt ze strony rzekomego działu wsparcia.
W kolejnym etapie użytkownik odbiera telefon albo zaproszenie do wideorozmowy od osoby podającej się za pracownika IT. Atakujący twierdzi, że reaguje na alert bezpieczeństwa lub pomaga rozwiązać problem z dokumentem. Podczas rozmowy prosi ofiarę o współdzielenie ekranu, co pozwala mu dokładnie kierować kolejnymi działaniami.
Najważniejsza część ataku polega na nakłonieniu ofiary do otwarcia Microsoft Copilot w przeglądarce na służbowym urządzeniu, uruchomienia narzędzi deweloperskich oraz odnalezienia żądania wysyłanego do Microsoft Graph. Następnie użytkownik zostaje poproszony o skopiowanie tokenu dostępu i wklejenie go do zewnętrznego serwisu współdzielenia tekstu. Po przejęciu tokenu napastnicy mogą korzystać z uprawnień legalnej sesji i uzyskać dostęp do danych przez API.
Z technicznego punktu widzenia ten model jest szczególnie groźny, ponieważ nie wymaga zainstalowania złośliwego oprogramowania ani wykorzystania luki bezpieczeństwa. Użytkownik sam przechodzi prawidłowy proces logowania, a token jest wydawany dla legalnej sesji i zgodnego urządzenia. Jeśli środowisko nie ogranicza skutecznie możliwości użycia tokenu poza pierwotnym kontekstem, może on zostać wykorzystany do pobierania danych aż do momentu wygaśnięcia.
To podejście przypomina nowoczesne kampanie oparte na device code phishingu oraz oszustwach typu fake IT support. Wspólnym elementem jest wykorzystanie prawidłowych mechanizmów uwierzytelniania i przeniesienie ciężaru ataku z exploita lub malware na manipulację użytkownikiem.
Konsekwencje / ryzyko
Największym zagrożeniem jest cicha eksfiltracja danych przy minimalnym śladzie technicznym. Ruch realizowany z użyciem ważnego tokenu bearer może wyglądać jak aktywność legalnej aplikacji lub samego użytkownika, co utrudnia wykrycie incydentu przez SOC, zwłaszcza jeśli organizacja nie monitoruje dokładnie wywołań API oraz zdarzeń związanych z tożsamością.
Dla kancelarii prawnych skutki mogą być wyjątkowo dotkliwe. Naruszenie poufności może objąć dokumenty procesowe, materiały transakcyjne, informacje klientów, dane wrażliwe oraz treści objęte tajemnicą zawodową. Następstwa mogą obejmować wymuszenia finansowe, spory kontraktowe, obowiązki notyfikacyjne, utratę zaufania klientów i długotrwałe szkody reputacyjne.
Z perspektywy bezpieczeństwa operacyjnego istotne jest również to, że nawet organizacje o wysokiej dojrzałości w obszarze patch management i ochrony endpointów pozostają narażone. Jeśli nie wdrożono odpowiednich zabezpieczeń warstwy tożsamości, kontroli sesji oraz jasnych procedur helpdeskowych, klasyczne narzędzia obronne mogą okazać się niewystarczające.
Rekomendacje
Organizacje powinny traktować ten scenariusz jako problem bezpieczeństwa tożsamości, a nie wyłącznie zwykły phishing. Konieczne jest ograniczanie możliwości nadużycia tokenów, skracanie okna ich użyteczności tam, gdzie jest to praktyczne, oraz wdrażanie mechanizmów utrudniających wykorzystanie sesji poza przewidzianym kontekstem.
- Wdrożyć silniejsze kontrole dostępu oparte na kontekście urządzenia, lokalizacji i ryzyka sesji.
- Monitorować wywołania Microsoft Graph API pod kątem nietypowego pobierania plików, anomalii geograficznych i aktywności niezgodnej z profilem użytkownika.
- Ograniczyć możliwość używania narzędzi deweloperskich przeglądarki na stacjach roboczych zarządzanych, jeśli wymaga tego profil ryzyka organizacji.
- Uregulować zasady korzystania z narzędzi zdalnego wsparcia i współdzielenia ekranu.
- Wprowadzić twardą zasadę, że dział IT nigdy nie prosi o kopiowanie tokenów, danych sesyjnych ani informacji z narzędzi deweloperskich.
- Weryfikować niestandardowe prośby helpdesku przez oficjalny system zgłoszeń lub oddzwonienie na znany numer wewnętrzny.
- Zaktualizować szkolenia pracowników o scenariusze oparte na legalnym logowaniu i kradzieży tokenów.
Podsumowanie
Najnowsza kampania Luna Moth pokazuje, że współczesne wymuszenia danych coraz częściej odchodzą od klasycznych technik opartych na malware i exploitach. Zamiast tego napastnicy wykorzystują legalne procesy chmurowe, psychologię użytkownika oraz przejęcie zaufanej sesji.
Dla kancelarii prawnych i innych organizacji przetwarzających dane o wysokiej wrażliwości to wyraźny sygnał, że ochrona tożsamości, widoczność działań w API oraz dojrzałe procedury operacyjne helpdesku stają się równie ważne jak bezpieczeństwo endpointów. Obrona przed podobnymi kampaniami wymaga dziś nie tylko technologii, ale także dyscypliny procesowej i świadomych użytkowników.
Źródła
- https://www.darkreading.com/data-privacy/extortion-luna-moth-law-firms-second-time
- https://reliaquest.com/blog/
- https://learn.microsoft.com/graph/
- https://learn.microsoft.com/entra/identity-platform/access-tokens
- https://learn.microsoft.com/entra/identity/conditional-access/concept-continuous-access-evaluation