Microsoft: Атаковавшие SolarWinds хотели добраться до данных в облаке

Microsoft: Атаковавшие SolarWinds хотели добраться до данных в облаке

Microsoft: Атаковавшие SolarWinds хотели добраться до данных в облаке

Представители Microsoft назвали конечную цель киберпреступников, атаковавших корпорацию SolarWinds, — добраться до данных, хранящихся в облаке жертв. Именно ради этого злоумышленники развернули бэкдор Sunburst/Solorigate в локальной сети.

Команда Microsoft 365 Defender, изучившая кибероперацию, пришла к выводу, что для проникновения в сеть жертвы атакующие использовали бэкдор Sunburst. Уже следующим шагом преступники пытались получить доступ к данным в облаке.

«После такой крупной подготовительной фазы, которая помогла злоумышленникам создать внушительную точку опоры, им оставалось лишь выбрать жертву, с которой они хотели "работать" дальше», — пишет Microsoft.

«Исходя из результатов нашего расследования, следующие ступени атаки были направлены на получение доступа к облачным хранилищам атакованных организаций».

В предыдущей статье Microsoft также указывала на попытку киберпреступников сгенерировать SAML-токены, которые позволили бы пройти аутентификацию, необходимую для доступа к данным в облаке.

 

Исследователи из Microsoft 365 Defender расписали алгоритм, который взяли за основу злоумышленники:

  1. Использовать вредоносные DLL SolarWinds для активации бэкдора, который позволял атакующим удалённо контролировать устройство и управлять им.
  2. Использовать открытый бэкдором доступ для кражи учётных данных, повышения привилегий и латерального продвижения по сети.
  3. Использовать созданные собственноручно токены SAML для доступа к облачным ресурсам и извлечь электронные письма жертвы.

МВД предупредило о перехвате СМС-кодов и посоветовало включать биометрию

СМС-код больше не выглядит надежной защитой. МВД России рекомендует пользователям включать двухфакторную аутентификацию с использованием биометрии в банковских приложениях и других сервисах, где такая возможность уже реализована.

Как сообщили ТАСС в пресс-службе ведомства, причина проста: мошенники все чаще находят способы перехватывать СМС-коды, которые используются для подтверждения входа и операций.

Поэтому там, где это возможно, лучше использовать более защищенные механизмы авторизации. Эта рекомендация касается не только банковских приложений, но и портала «Госуслуги».

В МВД напоминают, что получив доступ к учетной записи, злоумышленники фактически получают доступ и к персональным данным пользователя. Именно поэтому в ведомстве призывают никогда не передавать коды подтверждения из сообщений, не хранить учетные данные в непроверенных сервисах и внимательно относиться к тому, где вводятся логин и пароль.

Впрочем, главной проблемой, по мнению МВД, остаются вовсе не технологии. Большинство хищений происходит потому, что пользователи сами сообщают конфиденциальную информацию, поверив мошенникам.

Ведомство также напомнило о классической схеме телефонного мошенничества. Если звонящий представляется сотрудником банка, полиции, ФСБ или другого ведомства, требует срочно перевести деньги на безопасный счет, назвать код из СМС или установить какое-либо приложение, разговор следует немедленно прекратить.

В МВД подчеркивают: настоящие сотрудники банков и государственных органов не запрашивают по телефону ПИН-коды, CVV-коды банковских карт и коды подтверждения из СМС. Если такой разговор начался, почти наверняка на другом конце провода мошенник.

RSS: Новости на портале Anti-Malware.ru