攻击者冒充VPN提供商对员工发起攻击,超130家公司已“中招”

FreeBuf 2024-08-30 11:31:21

近日,GuidePoint Research和Intelligence Team(GRIT)发现了一个针对英语使用者的持续钓鱼活动,该活动已经针对美国超过130家公司和组织。

研究人员指出,自2024年6月26日以来,这个威胁行为者注册了与目标组织使用的VPN提供商相似的域名。威胁行为者通常会打电话给员工个人,假装来自服务台或IT团队,并声称他们正在解决VPN登录问题。如果这种社工攻击尝试成功,威胁行为者会发送一个短信链接给用户,该链接指向假冒公司VPN的假网站。

该威胁行为者还为每个目标组织设置了自定义的VPN登录页面。与此活动相关的域名如下:

ciscoweblink.com

ciscolinkweb.com

ciscolinkacc.com

ciscoacclink.com

linkciscoweb.com

fortivpnlink.com

vpnpaloalto.com

linkwebcisco.com

这些页面与每个组织的合法页面非常相似,包括可用的 VPN 组。但是,在某些情况下,威胁行为者已将TestVPN和RemoteVPN等 VPN 组添加到虚假登录页面的下拉菜单中,这可能是作为社会工程攻击中的一种策略。

通过这些虚假登录页面,威胁行为者能够收集用户的用户名、密码和令牌,即使存在多因素认证(MFA)也是如此。

如果 MFA 使用推送通知,则威胁行为者会指示用户在社交工程调用期间批准推送通知。在最后一步中,用户被重定向到目标组织的合法 VPN 地址,并可能被要求再次登录,从而加强问题已解决的错觉。

一旦威胁行为者获得对网络的VPN访问权限,他们立即开始扫描网络,以识别横向移动、持久性和进一步权限提升的目标。

GRIT写道:这种钓鱼活动中使用的社会工程类型特别难以检测,因为它通常发生在传统安全工具的可见性之外,例如通过直接拨打用户的手机号和使用短信/文本消息。

除非用户报告收到这些类型的电话或消息,否则安全团队甚至可能不知道攻击。威胁行为者还可以通过这种方法针对多个用户,直到他们成功地找到一个容易受到这种攻击的用户。

如果用户可能受到钓鱼攻击的影响,他们被敦促检查过去30天内来自VPN分配IP地址的可疑活动日志。如果发现任何成功的入侵迹象,用户应立即宣布事件,并与安全团队进行彻底调查。

0 阅读:52

FreeBuf

简介:国内头部网络安全媒体。