'Uno de los grupos criminales financieros más peligrosos' responsable del ciberataque a MGM
Scattered Spider, también conocido como Octo Tempest, 0ktapus y UNC3944, responsable del ataque de septiembre por $100 millones a MGM Resorts.
Scattered Spider, la banda de amenazas responsable de los recientes ataques contra MGM International y Caesars Entertainment, entre otros, ha sido descrita por Microsoft como "uno de los grupos criminales financieros más peligrosos".
En una publicación del 25 de octubre, el equipo de inteligencia de amenazas de Microsoft detalló lo que describe como el "extenso rango" de tácticas, técnicas y procedimientos (TTPs) de Scattered Spider, diciendo que la banda "cruza límites para facilitar la extorsión, el cifrado y la destrucción".
Las capacidades destructivas de Scattered Spider estuvieron a la vista en Las Vegas en septiembre cuando paralizó múltiples sistemas de TI en varias propiedades de MGM en un ataque que expuso datos de clientes y costó a la empresa alrededor de $100 millones.
Rastreado por Microsoft como Octo Tempest, también conocido como 0ktapus y UNC3944, la banda comenzó a desplegar ransomware ALPHV/BlackCat a mediados de este año y ha enfocado sus ataques en servidores VMware ESXi.
Además de tener un extenso arsenal de TTPs que le permiten atacar con éxito entornos híbridos complejos, la destreza de Scattered Spider se ve potenciada por su capacidad para llevar a cabo lo que Microsoft llama "ingeniería social con un giro".
"El actor de amenazas investiga la organización e identifica objetivos para impersonar eficazmente a las víctimas, imitando el estilo lingüístico en llamadas telefónicas y comprendiendo información identificativa personal para engañar a los administradores técnicos para realizar restablecimientos de contraseñas y métodos de autenticación multifactor (MFA)", dijo el equipo de inteligencia de amenazas.
"Estos actores utilizan información personal, como direcciones domiciliarias y nombres de familia, junto con amenazas físicas para coaccionar a las víctimas a compartir credenciales para el acceso corporativo".
Hablantes nativos de inglés de Scattered Spider efectivos en lanzar campañas de ingeniería social
La publicación de Microsoft incluyó capturas de pantalla de mensajes de texto enviados a una víctima del grupo, amenazando con enviar a un tirador a su casa si no proporcionaba sus credenciales de inicio de sesión.
El evangelista de ciberseguridad Tony Goulding dijo que las organizaciones deberían estar muy preocupadas por la combinación del grupo de técnicas sofisticadas, el amplio alcance de las industrias que atacó y su enfoque agresivo.
"Siendo hablantes nativos de inglés, pueden lanzar campañas de ingeniería social de amplio alcance de manera más efectiva en comparación con BlackCat", dijo.
"Hemos trabajado en 17 compromisos en los últimos tres meses que involucraron a este actor de amenazas, y el elemento más peligroso es su experiencia en casi todas las soluciones tecnológicas conocidas en el planeta", dijo Heath Renfrow, cofundador de Fenix24.
"Aprovechan esta experiencia para entrar en entornos y luego comprometer virtualmente todo, mucho más rápido de lo que se ve tradicionalmente".
Esperen ser rastreados, provocados y amenazados
Microsoft advirtió a los defensores de la red que el uso de ingeniería social y técnicas de "living-off-the-land" por parte de Scattered Spider, junto con sus sólidas capacidades en una amplia gama de conjuntos de herramientas, podría requerir un enfoque "ligeramente poco ortodoxo" para rastrear al grupo.
La publicación esbozó una metodología de caza detallada, incluyendo la centralización de la visibilidad de cualquier cambio administrativo en el entorno y la escrutinización de los cambios en grupos de administradores, roles y privilegios.
Los investigadores dijeron que se debería exigir MFA resistente al phishing para todas las cuentas de administrador.
También advirtieron que se había observado que el grupo se unía, grababa y transcribía llamadas, y enviaba mensajes, en las plataformas de comunicación corporativa de sus víctimas. Esta actividad se utilizaba para provocar y amenazar al personal, y para obtener información sobre operaciones y planificación de respuesta a incidentes.
"Se recomienda encarecidamente el uso de canales de comunicación fuera de banda al tratar con este actor de amenazas", dijo Microsoft.
Callie Guenther, gerente senior de investigación de amenazas cibernéticas de Critical Start, dijo que la capacitación regular en ciberseguridad para empleados, centrada en tácticas de ingeniería social en evolución, debería ser parte de la estrategia de defensa integral de una organización.
"Adherirse al principio de privilegio mínimo garantiza acceso restringido, y las comunicaciones cifradas pueden resguardar intercambios sensibles. Sobre todo, un plan de respuesta a incidentes bien definido y ensayado es crucial para contrarrestar brechas inesperadas", dijo Guenther.
Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.
Comentarios
Publicar un comentario