Hacker giả mạo IT Helpdesk tấn công các quỹ Wall Street lớn

Chiến dịch vishing nhắm vào Wall Street

Các công ty private equity đã trở thành mục tiêu mới nhất của một nhóm tin tặc chuyên tống tiền, sử dụng kỹ thuật lừa đảo qua điện thoại (vishing) để đánh lừa nhân viên doanh nghiệp, theo báo cáo mới từ Google. Báo cáo không công khai tên các công ty bị nhắm đến, nhưng Reuters đã xác định được danh tính bằng cách đưa 72 địa chỉ web do Google công bố vào các công cụ như DomainTools và urlscan để tìm ra các subdomain liên quan đến từng công ty.

Bên trong chiến dịch lừa đảo

Trong báo cáo mới nhất, Google Threat Intelligence Group (GTIG) cho biết vẫn đang theo dõi một nhóm có tên UNC6671. Nhóm này dựa vào hình thức lừa đảo qua điện thoại, giả danh nhân viên bộ phận hỗ trợ IT (IT helpdesk) và viện lý do cập nhật bảo mật khẩn cấp. Chúng thường liên hệ trực tiếp với nhân viên qua điện thoại cá nhân.

Các cuộc gọi hướng dẫn nạn nhân truy cập vào các cổng đăng nhập giả mạo. Tại đó, hệ thống adversary-in-the-middle (AiTM) sẽ chặn thu thập thông tin đăng nhập và mã xác thực đa yếu tố (MFA). Sau khi chiếm được quyền truy cập, tin tặc chạy các script tự động để lấy dữ liệu từ các dịch vụ đám mây như Microsoft 365 và Okta.

Báo cáo của GTIG nêu rõ các hoạt động này đều sử dụng chiêu thức lừa đảo IT helpdesk có chủ đích, các trang thu thập thông tin đăng nhập kiểu AiTM, và hành vi đánh cắp dữ liệu từ các ứng dụng SaaS.

Dịch chuyển sang các mục tiêu giá trị cao

Danh mục nạn nhân của nhóm này đã thay đổi trong mùa hè. Đến hết tháng 6, nhóm chủ yếu nhắm vào các công ty công nghệ, vận tải và khách sạn, nhằm đánh cắp bí mật kinh doanh, mã nguồn và dữ liệu khách hàng. Sang tháng 7, mục tiêu chuyển hướng sang lĩnh vực tài chính và pháp lý. Google ghi nhận hạ tầng của nhóm này đã nhắm vào các công ty private equity, hãng luật và các tổ chức xếp hạng tín nhiệm tài chính.

Theo Reuters, tin tặc đã tạo các trang web giả để đánh cắp mật khẩu của nhân viên tại nhiều công ty. Danh sách được Reuters đưa ra bao gồm Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital và Moody's, cùng một số tên khác.

Google cho biết một số công ty đã trả tiền cho tin tặc, nhưng không nêu danh tính cụ thể. Reuters cũng không thể xác nhận chính xác những mục tiêu nào đã thực sự bị xâm nhập thành công.

Kỹ thuật cũ vẫn hiệu quả trước hệ thống bảo mật hiện đại

Chiến dịch này cho thấy các kỹ thuật lừa đảo truyền thống vẫn có thể vượt qua các lớp phòng thủ công nghệ hiện đại. Nhiều doanh nghiệp đầu tư mạnh vào phần mềm bảo mật, nhưng chỉ một cuộc gọi điện thoại cũng có thể vượt qua toàn bộ hệ thống đó.