Кампания KnockKnock атакует корпоративные email-аккаунты Office 365

Кампания KnockKnock атакует корпоративные email-аккаунты Office 365

Кампания KnockKnock атакует корпоративные email-аккаунты Office 365

Исследователи рассказали об атаке на почтовые учетные записи Office 365 Exchange Online, получившей имя KnockKnock. Целью злоумышленников являются организации в области производства, финансовых услуг, здравоохранения, потребительских товаров и государственный сектор США. В основном пострадали корпоративные email-аккаунты, которым не хватало настроенных политик безопасности.

Вредоносная кампания, о которой идет речь, основана на уникальной стратегии атаки на административные учетные записи, обычно используемые для интеграции корпоративных почтовых систем с программным обеспечением для автоматизации сбыта и продаж. Уникальность таких учетных записей в том, что они не привязаны к конкретному человеку, и требуют автоматического использования, как следствие, отличаются отсутствием защиты политиками безопасности, такими, например, как многофакторная аутентификация (MFA).

После получения доступа к корпоративной учетной записи Office 365 KnockKnock извлекает любые данные, находящиеся в папке «Входящие», создает новое правило и инициирует фишинг-атаку с целью распространения заражения в рамках одного предприятия.

Основная часть активности кампании KnockKnock пришлась на летние месяцы, примечательно, что вместо большого охвата множества целей киберпреступники сфокусировались на таргетированных, точечных атаках. Каждая атака пыталась получить контроль лишь над пятью адресами электронной почты.

Экспертам из Skyhigh удалось обнаружить эта атаки благодаря поведенческим алгоритмам, проанализированным их системами машинного обучения. В этом анализе была отражена следующая схема атак:

  • Хакеры использовали 63 сети и 83 IP-адреса для проведения своих атак.
  • Примерно 90 процентов попыток входа в систему поступали из Китая. Остальные были зафиксированы из России, Бразилии, США, Аргентины и еще 11 стран.
  • Атаковали отделы, связанные с инфраструктурой и IoT на крупных предприятиях, в таких отраслях, как производство, финансовые услуги, здравоохранение, потребительские товары, а также государственный сектор США.
  • Почти все пострадавшие учетные записи не принадлежали конкретному лицу, а были автоматизированы.

Security Vision 5 прокачала коннекторы, аналитику и работу с данными

Security Vision выпустила обновление платформы SV5. Главными направлениями релиза стали развитие интеграций, углубление аналитики и более гибкое управление настройками. Проще говоря, данные теперь можно собирать, обрабатывать и показывать без лишней борьбы с системой.

WMI-коннектор получил настройку пространства имён для выполнения WQL-запросов по заданному адресу.

В конфигурациях коннекторов появилось сжатие событий при передаче, а обновлённая библиотека librdkafka добавила Kafka-коннектору поддержку аутентификации SASL/SCRAM в версиях Kafka 4.0.0 и выше.

Расширились и возможности преобразования данных. В переменных теперь можно переводить числа между двоичной, восьмеричной и шестнадцатеричной системами счисления.

В преобразовании «Формула» появились функции abs() и sqrt() для вычисления модуля числа и квадратного корня. Мелочь только на первый взгляд: при нормализации данных такие инструменты быстро перестают быть факультативными.

 

Для линейных и столбчатых диаграмм разработчики добавили настройки масштабирования. Формирование отчётов через портал перевели в асинхронный режим — теперь длительная выгрузка не должна заставлять пользователя медитировать перед зависшим интерфейсом.

 

Изменения затронули карточки объектов, редактор типов и справочников, а также настройки модулей. В графах расширили управление иконками, а условие их маппинга превратили в фильтр. Блоки «Граф» и «История» тоже получили обновлённые настройки и отображение.

Для правил корреляции появился отдельный раздел с общим представлением и редактором. В журнале аудита изменения группировки теперь фиксируются отдельно для системных и пользовательских справочников. Заодно платформа запретила запускать отключённые коннекторы через рабочие процессы.

RSS: Новости на портале Anti-Malware.ru