Kiireloomuline ohuhoiatus: ShinyHuntersi kampaaniad ja domeeninime jäljendamine

September 3, 2026

Ohuteade: ShinyHuntersi visioonikampaaniad ja domeeninimede jäljendamine, mis sihivad aktiivselt ülemaailmset tervishoiusektorit.

ShinyHuntersi visioonikampaaniad ja domeeninimede jäljendamine, mis on aktiivselt suunatud ülemaailmsele tervishoiusektorile

Ohuteated | TLP:WHITE | HÄIRE ID: 24113aee | 28. august 2026 | 03:37 EDT

Küberkuritegevuse jõuk ShinyHunters kujutab endast selget ja otsest ohtu ülemaailmsele tervishoiusektorile, kujutades endast otsest ohtu püsivate ja sihipäraste kõneõngitsuskampaaniate kaudu, mille eesmärk on petta ettevõtte töötajaid paljastama oma volitusi pahatahtlikel meditsiiniteemalistel impersoneerimisdomeenidel.

See rühmitus on aktiivselt suunatud tervishoiusektorile ja on hiljuti mitmel juhul edukalt läbinud mitmefaktorilise autentimise (MFA) möödahiilimise, et minna kiiresti üle ühekordse sisselogimise (SSO) platvormidelt ühendatud SaaS-rakendustele ulatuslikuks andmete väljapressimiseks ja väljapressimiseks. Kuna need kampaaniad kujutavad endast tõsist ohtu volituste rikkumiseks ja volitamata juurdepääsuks ettevõtte infrastruktuurile, soovitame tungivalt kõigil Health-ISAC liikmetel allpool esitatud soovitusi viivitamatult läbi vaadata ja rangelt järgida.

Viimase kahe nädala jooksul on Health-ISAC hoiatanud mitmeid tervishoiuorganisatsioone pärast pidevate ja sihipäraste petukampaaniate jälgimist. Nende kampaaniate eesmärk on petta kasutajaid oma sisselogimisandmeid avaldama pahatahtlikel saitidel, mis matkivad legitiimseid sisselogimislehti, hõlbustades seeläbi volitamata esmast juurdepääsu.

Selle operatsiooni kõige äratuntavam osa on see, et domeenid registreeritakse company-claims[.]com või company[.]claims abil, mis jäljendavad domeenis olevat ettevõtet.

Hiljutised tähelepanekud näitavad, et ründajad – kes on seotud eelkõige ShinyHunteri seksuaalväljapressimisrühmitusega – jõuavad töötajateni otse isiklike mobiilseadmete kaudu kõnede ja kõneposti teel ning saadavad kasutajatele massiliselt e-kirju mitmelt juhuslikult kontolt.

Meditsiiniteemaliste domeenide hiljutine registreerimine viitab laienevale ulatusele, mis on suunatud tervishoiutoimingutele ja spetsialiseeritud äriüksustele, rõhutades kavatsust luua püsiv esialgne juurdepääs erinevates ettevõtlussektorites. [Vaata graafikut PDF-failis]

ShinyHuntersi jaoks on SSO platvorm juhtimistasandiks. Kui identiteet on ohustatud, liiguvad osapooled kiiresti keskse identiteedipakkuja (IdP) armatuurlaualt ühendatud SaaS-platvormidele (nt Microsoft 365, SharePoint ja Salesforce), et välja filtreerida tundlikke andmeid ja sisemist suhtlust. See pilvepõhine andmevargus annab vajaliku tõuke nende edasisteks väljapressimisnõueteks.

Nende infrastruktuuri registreeringute puhul tuvastatud peamine tegevusmuster on äsja registreeritud domeenide kasutamine, mille eesliiteks on sihtfirma nimi, millele järgnevad muutuvad lõpud, mis on kohandatud konkreetsetele andmepüügipeibutustele.

Need kampaaniad kujutavad endast tõsist ohtu mandaatide ohtu sattumisele, mitmefaktorilise autentimise (MFA) möödahiilimisele ja sellele järgnevale volitamata juurdepääsule ettevõtte infrastruktuurile ja pilve-/SaaS-platvormidele.

Health-ISAC saatis mitmele organisatsioonile suunatud hoiatuste partiisid pärast seda, kui luurepartnerid jagasid teadmisi, et sarnasus- ja isikuandmete esitamise domeenid loodi infrastruktuuri abil, mis jäljendab seaduslikku ettevõtet. See viis olukorrani, kus kasutajate volitused olid ohustatud lehtedel, mis meenutasid seaduslike ettevõtete sisselogimisportaale.

Analüüs

Täheldatud ohutegevus toob esile kõrgelt organiseeritud ja kohanemisvõimelise ohutegelase, kes viib läbi laiaulatuslikke sotsiaalse manipuleerimise kampaaniaid kehtivate ettevõtte volituste ja aktiivsete MFA-tokenite hankimiseks.

Hiljutised kampaaniad on näidanud, et ShinyHunters käitub vähem nagu traditsiooniline lunavararühmitus ja pigem nagu identiteedi- ja SaaS-juurdepääsu väljapressimisoperatsioon.

Operatsioonieelne luure ja visualiseerimine

Esialgsetes etappides toetuvad osalised tõenäoliselt suuresti operatsioonieelsele luurele, viies läbi ulatuslikke uuringuid sihtrühma kuuluvate töötajate ja konkreetsete sisemiste osakondade (näiteks IT-abiteenistuste või juriidiliste osakondade) kohta, keda nad otsustavad kehastada.

Teadaolevate organisatsiooni telefoninumbrite võltsimisega loovad helistajad kohe usalduse ja kasutavad ära töötajate loomulikku kalduvust abistada sisemisi tugifunktsioone.

Lisaks on täheldatud ShinyHuntersi liikmeid agressiivselt käitumas, kasutades sageli järelkõnesid, et survestada sihtmärke nõuetele vastavusse viima ja juhendades kasutajaid ettevõtte turvakontrollidest mööda hiilima, navigeerides isiklikes seadmetes pahatahtlikele linkidele.

Kui kasutaja on oma sisselogimisandmed õngitsuslehel esitanud, kasutab ründaja pöördproksi õngitsuskomplekte, et need reaalajas seaduslikule ettevõtte sisselogimisportaalile edastada. Seejärel palutakse ohvril telefoni teel esitada oma aktiivne MFA-token või aktsepteerida tõuketeade, mis annab ründajale aktiivse veebiseansi.

Soovitused

Health-ISAC pakub seda teavet olukorrateadlikkuse suurendamiseks ja organisatsioonide julgustamiseks ennetama oma turvaaparaadi edukat ärakasutamist ja häirimist.

Blokeeri oma organisatsioonis tippdomeenid .claim ja .claims, välja arvatud juhul, kui need on seaduslik infrastruktuur.

Töötajate koolitus ja teadlikkusRakendage sihipärast turvateadlikkuse koolitust, mis õpetab töötajatele kaasaegseid sotsiaalse manipuleerimise taktikaid, nagu agressiivsed visionäärikõned ja kõneposti meelitamine, tagades, et nad mõistavad, kuidas tuvastada sarnaseid domeene ja turvaliselt kontrollida sisemist IT-suhtlust.
Seadme konteksti kontrollimise jõustaminePiirake SaaS-rakendusi, siseportaale ja API-sid ettevõtte hallatavate seadmetega, mis on kinnitatud kliendisertifikaatide, EDR-tervisekontrollide või MDM-profiilide abil. Ainult identiteedi kontrollimisest ei piisa ilma põhjaliku kaitsearhitektuurita.
Üleminek andmepüügikindlale MFA-leEelistage kõigi administraatorite ja kõrge riskiga rühmade jaoks FIDO2/WebAuthni turvavõtmeid või pääsukoode ning keelake või piirake rangelt SMS-i/hääle MFA ja nõrgad varumeetodid.
Hardeni abikeskuse ja MFA lähtestamise töövoogudeNõuda MFA lähtestamiseks ranget identiteedikontrolli ja tagada, et töötajad on koolitatud, et IT-osakond „ei lähtesta MFA-d sissetulevate kõnede puhul”.
Sarnaste objektide jälgimine infrastruktuurisJälgige sarnaste domeenide registreerimisi, äsja registreeritud domeene (NOD) ja kaubamärgiga alamdomeene, mis on suunatud ettevõtete ühekordse sisselogimise teenustele.
Seansside haldamine: Määrake seansi ajalõpud, mis toetavad tõhusalt kasutajate töövooge, tagades samal ajal turvalisuse, piirake IdP nähtavust nõuetele mittevastavate kasutajate puhul.

Health-ISAC pakub seda teavet teie turvaaparaadi eduka ärakasutamise ja häirimise vältimiseks. Lisateabe saamiseks vaadake jaotist „Tervishoiutööstuse küberjulgeoleku tavad (HICP): ohtude haldamine ja patsientide kaitsmine”.