Wprowadzenie do problemu / definicja
Nowe kampanie cyberszpiegowskie pokazują, że przejęcie konta nie wymaga dziś klasycznego złośliwego oprogramowania ani wykorzystania podatności w systemie. Coraz częściej atakujący sięgają po legalne mechanizmy uwierzytelniania i autoryzacji, takie jak Google OAuth, hasła aplikacyjne, kody weryfikacyjne oraz funkcję łączenia urządzeń w WhatsApp.
To szczególnie niebezpieczny model ataku, ponieważ wiele jego etapów wygląda dla ofiary jak standardowy i poprawny proces logowania. W praktyce użytkownik może sam przekazać przeciwnikowi dostęp do konta lub komunikatora, nie zdając sobie sprawy z rzeczywistego celu operacji.
W skrócie
Google powiązał najnowsze kampanie z trzema klastrami aktywności oznaczonymi jako UNC6293, UNC7005 i UNC5976. Działania były wymierzone między innymi w sektor akademicki, administrację publiczną, branżę obronną i lotniczą oraz think tanki w Europie i Stanach Zjednoczonych.
- Atakujący wykorzystywali phishing OAuth i legalne ekrany logowania Google.
- Celem było przejęcie tokenów, sesji i dostępu do usług chmurowych.
- W części kampanii nadużywano funkcji łączenia urządzeń w WhatsApp.
- Operacje mogły prowadzić do przejęcia komunikacji, dokumentów i danych organizacyjnych.
Kontekst / historia
Opisane działania wpisują się w szerszy trend przesuwania operacji APT z warstwy technicznej stacji roboczej na warstwę tożsamości. Zamiast skupiać się wyłącznie na infekcji urządzeń końcowych, napastnicy coraz częściej manipulują użytkownikiem w obrębie legalnych procesów logowania, autoryzacji i federacji dostępu.
Według ujawnionych informacji UNC6293 był już wcześniej łączony z kampaniami wykorzystującymi hasła aplikacyjne i techniki przypisywane rosyjskiemu ekosystemowi wywiadowczemu. Z czasem taktyki miały ewoluować w kierunku bardziej selektywnego spear-phishingu, przejmowania tokenów OAuth oraz nadużywania legalnych funkcji platform komunikacyjnych.
Szczególną uwagę zwraca UNC7005, który miał prowadzić wieloetapowe kampanie podszywające się pod zaufane organizacje, zaproszenia dyplomatyczne i scenariusze współdzielenia dokumentów. Tego typu działania zwiększają wiarygodność przynęty i utrudniają użytkownikowi rozpoznanie zagrożenia.
Analiza techniczna
Kluczowym elementem tych kampanii jest fakt, że atak nie musi obejmować kradzieży hasła w klasycznym znaczeniu. W przypadku phishingu OAuth ofiara trafia na stronę przynęty, która następnie kieruje ją do prawdziwego procesu logowania Google. Po poprawnym uwierzytelnieniu użytkownik może nieświadomie przekazać atakującemu kod autoryzacyjny, token lub zgodę dla niezweryfikowanej aplikacji chmurowej kontrolowanej przez przeciwnika.
UNC5976 miał wykorzystywać domeny sugerujące usługi wymiany plików. Ofiara widziała fałszywy ekran udostępniania dokumentu, a następnie przycisk prowadzący do legalnego procesu „Continue with Google”. Po zakończeniu autoryzacji złośliwe skrypty przechwytywały token z parametrów przekierowania i przygotowywały go do dalszego użycia.
W kampaniach UNC7005 stosowano bardziej rozbudowane scenariusze. Jednym z nich było nakłanianie ofiary do powiązania konta WhatsApp z dodatkowym urządzeniem pod pretekstem dołączenia do bezpiecznej rozmowy lub wymiany dokumentów. Technicznie wykorzystywano legalny mechanizm linkowania urządzeń, ale cały kontekst operacji był spreparowany przez napastnika.
Po zatwierdzeniu kodu lub kodu QR atakujący mógł uzyskać dostęp do komunikacji ofiary. Dodatkowo obserwowano próby dalszej kompromitacji, obejmujące skrypty uruchamiane po wybraniu określonych opcji interakcji oraz wykorzystanie infostealerów i złośliwego oprogramowania przeciwko systemom Windows i macOS.
W niektórych przypadkach celem było również nakłonienie użytkownika do przejścia przez prawidłowy ekran logowania Google, a następnie przekazania autoryzacji dla złośliwego projektu lub ujawnienia tokenu, który umożliwiał dostęp do usług bez ponownego logowania.
Konsekwencje / ryzyko
Największe zagrożenie wynika z tego, że operacja opiera się na legalnych funkcjach i poprawnych przepływach uwierzytelniania. Z perspektywy użytkownika oraz części systemów detekcji nie musi wyglądać jak klasyczny atak, co utrudnia szybkie wykrycie incydentu.
- trwały dostęp do poczty, dokumentów i zasobów chmurowych,
- przejęcie rozmów oraz metadanych komunikacyjnych,
- wykorzystanie zaufanego konta ofiary do dalszego phishingu,
- eskalacja incydentu do poziomu całej organizacji,
- kradzież sesji i tokenów bez potrzeby znajomości hasła.
Dla organizacji publicznych, badawczych, dyplomatycznych i obronnych oznacza to wysokie ryzyko szpiegostwa, wycieku dokumentów roboczych oraz długotrwałej obecności przeciwnika w kanałach komunikacji.
Rekomendacje
Obrona przed tego typu zagrożeniami wymaga rozszerzenia monitoringu o warstwę tożsamości, sesji i tokenów. Organizacje powinny analizować przepływy OAuth, zgody aplikacyjne, nietypowe połączenia urządzeń oraz logi związane z autoryzacją i aktywnymi sesjami.
- ograniczyć możliwość udzielania zgód aplikacjom OAuth wyłącznie do zatwierdzonych integracji,
- regularnie audytować aktywne tokeny, sesje i podłączone urządzenia,
- zablokować lub silnie ograniczyć użycie haseł aplikacyjnych,
- wdrożyć polityki warunkowego dostępu dla logowań wysokiego ryzyka,
- szkolić użytkowników, że prawdziwy ekran logowania nie zawsze oznacza bezpieczną operację,
- traktować kody QR, kody linkowania urządzeń i kody autoryzacyjne jako dane wrażliwe,
- monitorować komunikatory pod kątem nowych, nieautoryzowanych urządzeń,
- prowadzić threat hunting pod kątem podejrzanych domen i nietypowych projektów chmurowych.
Jeśli incydent zostanie wykryty, konieczne jest unieważnienie aktywnych sesji, cofnięcie tokenów OAuth, usunięcie nieautoryzowanych aplikacji i odłączonych urządzeń oraz przeprowadzenie pełnej analizy aktywności w poczcie, chmurze i komunikatorach.
Podsumowanie
Opisana kampania potwierdza, że współczesne operacje APT coraz częściej wykorzystują legalne mechanizmy tożsamości zamiast tradycyjnych exploitów. Nadużycia Google OAuth, wyłudzanie kodów i manipulowanie procesem łączenia urządzeń w WhatsApp pozwalają przejmować konta w sposób trudny do zauważenia przez użytkownika i część narzędzi bezpieczeństwa.
Dla zespołów SOC, IAM i IR to wyraźny sygnał, że ochrona tożsamości, tokenów, sesji i kontekstu autoryzacji staje się równie ważna jak obrona przed malware. W praktyce właśnie te obszary będą coraz częściej decydować o skuteczności wykrywania nowoczesnych kampanii szpiegowskich.