افشای کلاهبرداری ایمیلی در شرکت اسرائیلی سیگنیا

به گزارش کارگروه بین‌الملل سایبربان؛ شرکت خدمات سایبری رژیم صهیونیستی سیگنیا (Sygnia) به تازگی یک حمله جدید تجاری (BEC) را فاش کرده است.

این شرکت اعلام کرد که تیم آی‌آر (IR) آن اوایل سال جاری درگیر حمله ایمیل تجاری (BEC) علیه یکی از مشتریانش بود. پس از یک تلاش موفق فیشینگ، عامل تهدید به حساب‌های یکی از کارمندان قربانی دسترسی اولیه پیدا کرد و برای دور زدن احراز هویت «Office365» و دسترسی دائمی به آن حساب، یک حمله دشمن در میانه (Adversary in The Middle) را اجرا کرد.

سپس عامل تهدید داده‌ها را از حساب در معرض خطر استخراج و از دسترسی خود برای گسترش حملات فیشینگ به سایر کارکنان قربانیان و چندین سازمان هدف خارجی استفاده کرد.

سیگنیا با استفاده از انواع تکنیک‌های غنی‌سازی اطلاعات تهدید سایبری (CTI) توانست تشخیص دهد که این حمله ایمیل تجاری تنها بخشی از یک کمپین بسیار گسترده‌تر است که به طور بالقوه بر ده‌ها سازمان در سراسر جهان تأثیر می‌گذارد. به دنبال نتایج به‌دست‌آمده از استفاده از این تکنیک‌ها، سیگنیا یک جعبه ابزار غنی‌سازی اطلاعات تهدید سایبری را برای کمک به متخصصان امنیتی برای تجزیه و تحلیل شاخص‌های مشکوک و مخربی که در طی مراحل نظارت و تشخیص روزانه با آن‌ها مواجه می‌شوند، ایجاد کرده است.

به گفته امیر سادون (Amir Sadon)، مدیر تحقیقات تیم آی‌آر در سیگنیا، یک ایمیل فیشینگ به یکی از کارمندان مشتری ارسال شد که از صندوق پستی قانونی یک شرکت خارجی که قبلاً فرض می‌شد به خطر افتاده بود، ارسال شد.

ایمیل فیشینگ شامل پیوندی بود که به صفحه درخواست اشتراک‌گذاری فایل، میزبانی شده در دامنه‌ای مخاطره‌آمیز و با یک مسیر URL مرتبط با شرکت فرستنده ایمیل هدایت می‌شد. با کلیک روی پیوند، قربانی به چک «من یک ربات نیستم»،میزبانی شده به‌وسیله «Cloudflare»، ارجاع داده شد که به عنوان یک روش ضد ردیابی عمل می‌کند.

پس از بررسی، قربانی به یک صفحه احراز هویت تقلبی Office365 که به‌وسیله یک کیت فیشینگ ایجاد شده بود، ارجاع داده شد. پس از اینکه قربانی اطلاعات کاربری خود را وارد کرد، کیت فیشینگ یک حمله دشمن در میانه (AiTM) را آغاز کرد و احراز هویت مشتری و چالش MFA را به یک سرویس احراز هویت قانونی مایکروسافت ارسال کرد، در حالیکه رمز جلسه به دست آمده و همچنین اعتبارنامه‌ها را برای فعال کردن دسترسی به حساب به سرقت می‌برد.

عامل تهدید سپس با استفاده از توکن دزدیده شده وارد حساب قربانی شد و یک دستگاه MFA جدید برای دسترسی دائمی به آن اضافه کرد. هنگامی که دسترسی دائمی به دست آمد، عامل تهدید یک سایت درخواست اشتراک فایل جدید مربوط به شرکت قربانی جدید و حساب در معرض خطر ایجاد کرد. علاوه بر استخراج داده‌های حساس از حساب در معرض خطر، عامل تهدید از این دسترسی برای ارسال ایمیل‌های فیشینگ جدید حاوی پیوند مخرب جدید به ده‌ها کارمند مشتری و همچنین سازمان‌های دیگر هدف استفاده کرد.

براساس گزارش مربوط به کنگره‌ در سال 2022 در اف‌بی‌آی (FBI) در مورد حمله ایمیل تجاری و کلاهبرداری در املاک و مستغلات، حمله ایمیل تجاری یکی از سریع‌ترین جنایات در حال رشد و از نظر مالی آسیب‌زاترین جنایات اینترنتی است. در چند سال گذشته، تیم‌های آی‌آر سیگنیا در حوادث متعددی شرکت داشته‌اند که در آن سازمان‌های جهانی هدف حملات ایمیل تجاری قرار گرفته‌اند.

در حالیکه برخی از این حملات کانونی و متمرکز بودند، برخی به طور گسترده گسترش یافتند و تعداد زیادی از قربانیان بین بخشی را تحت تأثیر قرار دادند. سیگنیا مدعی شد که توانسته با استفاده از مجموعه‌ای از تکنیک‌های غنی‌سازی، یک کمپین عظیم و پرتأثیر حمله ایمیل تجاری را شکست دهد و آشکار کند.