رفتن به محتوای اصلی

هشدار فوری تهدید: پویش‌های ویشینگ و جعل هویت دامنه ShinyHunters

بولتن تهدید: پویش‌های ویشینگ ShinyHunters و جعل هویت دامنه، بخش بهداشت جهانی را به طور فعال هدف قرار می‌دهند.

کمپین‌های ویشینگ و جعل هویت دامنه ShinyHunters به ​​طور فعال بخش بهداشت جهانی را هدف قرار می‌دهند.

بولتن‌های تهدید | TLP:WHITE | شناسه هشدار : 24113aee | 28 آگوست 2026 | 03:37 بعد از ظهر به وقت شرق آمریکا

 

باند جرایم سایبری ShinyHunters خطری آشکار و فوری برای بخش بهداشت جهانی محسوب می‌شود و از طریق کمپین‌های فیشینگ صوتی (ویشینگ) مداوم و بسیار هدفمند، که هدفشان فریب پرسنل سازمانی برای افشای اطلاعات کاربری در دامنه‌های جعلی مخرب با مضمون پزشکی است، تهدیدی فوری محسوب می‌شود.

این گروه به طور فعال بخش بهداشت و درمان را هدف قرار می‌دهد و در چندین مورد اخیر با دور زدن احراز هویت چند عاملی (MFA) و تغییر سریع از پلتفرم‌های ورود یکپارچه (SSO) به برنامه‌های SaaS متصل برای استخراج داده‌ها و اخاذی در مقیاس بزرگ، موفق بوده است. از آنجا که این کمپین‌ها خطر جدی سرقت اطلاعات و دسترسی غیرمجاز به زیرساخت‌های شرکتی را ایجاد می‌کنند، ما اکیداً به همه اعضای Health-ISAC توصیه می‌کنیم که فوراً توصیه‌های ارائه شده در زیر را بررسی و به طور دقیق دنبال کنند.

طی دو هفته گذشته، Health-ISAC پس از مشاهده کمپین‌های ویشینگ مداوم و بسیار هدفمند، به چندین سازمان بخش بهداشت هشدار داده است. این کمپین‌ها تلاش می‌کنند کاربران را فریب دهند تا اطلاعات ورود خود را در سایت‌های مخربی که صفحات ورود قانونی را تقلید می‌کنند، افشا کنند و از این طریق دسترسی اولیه غیرمجاز را تسهیل کنند.

قابل شناسایی‌ترین بخش این عملیات این است که دامنه‌ها با عبارت company-claims[.]com یا company[.]claims که هویت شرکت را در دامنه جعل می‌کند، نمایش داده می‌شوند.

مشاهدات اخیر نشان می‌دهد که عوامل تهدید - به طور خاص مرتبط با گروه اخاذی جنسی ShinyHunter - از طریق تماس‌ها و پیام‌های صوتی، و همچنین ارسال ایمیل‌های انبوه به کاربران از چندین حساب کاربری تصادفی، مستقیماً از طریق دستگاه‌های تلفن همراه شخصی به کارمندان دسترسی پیدا می‌کنند.

ثبت اخیر دامنه‌های با موضوع پزشکی، نشان‌دهنده‌ی گسترش دامنه‌ی هدف قرار دادن عملیات بهداشتی و واحدهای تجاری تخصصی است و بر قصد ایجاد دسترسی اولیه‌ی پایدار در بخش‌های مختلف سازمانی تأکید دارد. [نمودار را در PDF ببینید]

برای ShinyHunters، پلتفرم SSO صفحه کنترل است. به محض اینکه هویتی به خطر بیفتد، مهاجمان به سرعت از داشبورد ارائه‌دهنده هویت مرکزی (IdP) به پلتفرم‌های SaaS متصل (مانند Microsoft 365، SharePoint و Salesforce) تغییر مسیر می‌دهند تا داده‌های حساس و ارتباطات داخلی را استخراج کنند. این سرقت داده‌ها در مقیاس ابری، اهرم لازم را برای درخواست‌های اخاذی بعدی آنها فراهم می‌کند.

الگوی عملیاتی اصلی شناسایی‌شده در سراسر این ثبت‌های زیرساختی، استفاده از دامنه‌های تازه ثبت‌شده با پیشوند نام شرکت هدف است که با پسوندهای متغیر متناسب با فریب‌های فیشینگ خاص دنبال می‌شود.

این کمپین‌ها خطر جدی لو رفتن اطلاعات احراز هویت، دور زدن احراز هویت چند عاملی (MFA) و متعاقباً دسترسی غیرمجاز به زیرساخت‌های سازمانی و پلتفرم‌های ابری/SaaS را ایجاد می‌کنند.

پس از آنکه شرکای اطلاعاتی اطلاعاتی مبنی بر راه‌اندازی دامنه‌های مشابه و جعل هویت با استفاده از زیرساخت‌هایی که هویت شرکت قانونی را جعل می‌کنند، به اشتراک گذاشتند، Health-ISAC دسته‌هایی از هشدارهای هدفمند را به چندین سازمان ارائه داد. این امر منجر به به خطر افتادن اعتبارنامه‌های کاربران در صفحاتی شده بود که شبیه پورتال‌های ورود به سیستم شرکت‌های قانونی بودند.

 

تحلیل و بررسی

فعالیت تهدید مشاهده‌شده، یک عامل تهدید بسیار سازمان‌یافته و تطبیق‌پذیر را نشان می‌دهد که در حال اجرای کمپین‌های مهندسی اجتماعی گسترده برای به دست آوردن اعتبارنامه‌های معتبر شرکتی و توکن‌های فعال MFA است.

کمپین‌های اخیر نشان داده‌اند که ShinyHunters کمتر شبیه یک گروه باج‌افزار سنتی و بیشتر شبیه یک عملیات اخاذی با دسترسی به هویت و SaaS عمل می‌کند.

شناسایی و ویشینگ پیش از عملیات

در مراحل اولیه، مهاجمان احتمالاً به شدت به شناسایی پیش از عملیات متکی هستند و تحقیقات گسترده‌ای را در مورد کارمندان هدف و بخش‌های داخلی خاص (مانند میزهای کمک فناوری اطلاعات یا عملیات حقوقی) که برای جعل هویت انتخاب می‌کنند، انجام می‌دهند.

با جعل شماره تلفن‌های سازمانی شناخته‌شده، تماس‌گیرندگان بلافاصله اعتماد ایجاد می‌کنند و از تمایل طبیعی کارکنان برای کمک به عملکردهای پشتیبانی داخلی سوءاستفاده می‌کنند.

علاوه بر این، مشاهده شده است که عوامل ShinyHunters به ​​طور تهاجمی عمل می‌کنند و اغلب از پیام‌های صوتی برای تحت فشار قرار دادن اهداف جهت رعایت قوانین استفاده می‌کنند و به کاربران دستور می‌دهند تا با رفتن به لینک‌های مخرب در دستگاه‌های شخصی، کنترل‌های امنیتی شرکت را دور بزنند.

هنگامی که کاربر اطلاعات کاربری خود را در سایت فیشینگ ارسال می‌کند، عامل تهدید با استفاده از کیت‌های فیشینگ پروکسی معکوس، آنها را به صورت آنی به پورتال ورود قانونی شرکت ارسال می‌کند. سپس از طریق تلفن از قربانی خواسته می‌شود تا توکن MFA فعال خود را ارائه دهد یا یک اعلان فشاری را بپذیرد و به مهاجم یک جلسه وب فعال اعطا کند.

توصیه

Health-ISAC این اطلاعات را برای افزایش آگاهی موقعیتی و تشویق سازمان‌ها به جلوگیری از سوءاستفاده و اختلال موفقیت‌آمیز در دستگاه امنیتی خود ارائه می‌دهد.

دامنه‌های سطح بالای ‎.claim و ‎.claims را در سازمان خود مسدود کنید، مگر اینکه زیرساخت‌های قانونی باشند.

  • آموزش و آگاهی کارکنانآموزش‌های هدفمند آگاهی‌بخشی امنیتی را اجرا کنید که کارکنان را در مورد تاکتیک‌های مدرن مهندسی اجتماعی، مانند تماس‌های تهاجمی ویشینگ و فریب‌های پست صوتی، آموزش می‌دهد و اطمینان حاصل می‌کند که آنها می‌دانند چگونه دامنه‌های مشابه را شناسایی کرده و ارتباطات داخلی فناوری اطلاعات را با خیال راحت تأیید کنند.
  • اجرای تأیید صحت دستگاه-زمینهمحدود کردن برنامه‌های SaaS، پورتال‌های داخلی و APIها به دستگاه‌های تحت مدیریت شرکت که از طریق گواهی‌های کلاینت، بررسی‌های سلامت EDR یا پروفایل‌های MDM تأیید شده‌اند. تأیید هویت به تنهایی و بدون یک معماری دفاع در عمق کافی نیست.
  • گذار به MFA مقاوم در برابر فیشینگبرای همه مدیران و گروه‌های پرخطر، کلیدهای امنیتی یا رمزهای عبور FIDO2/WebAuthn را ترجیح دهید و روش‌های احراز هویت چندعاملی پیامکی/صوتی و روش‌های جایگزین ضعیف را غیرفعال یا به‌شدت محدود کنید.
  • گردش‌های کاری میز کمک و MFA هاردن را بازنشانی کنیدالزام به تأیید هویت دقیق برای تنظیم مجدد MFA و اطمینان از آموزش کارکنان در مورد اینکه بخش فناوری اطلاعات «در تماس‌های ورودی MFA را تنظیم مجدد نمی‌کند».
  • نظارت بر زیرساخت‌های مشابهثبت دامنه‌های مشابه، دامنه‌های تازه مشاهده‌شده (NOD) و زیردامنه‌های برندسازی‌شده که سرویس‌های ورود یکپارچه شرکتی را هدف قرار می‌دهند، ردیابی کنید.
  • مدیریت جلسه: تنظیم زمان‌های وقفه در جلسات که به طور مؤثر از گردش کار کاربر پشتیبانی می‌کند و در عین حال امنیت را تضمین می‌کند، و محدود کردن قابلیت مشاهده IdP برای موارد ناسازگار

Health-ISAC این اطلاعات را برای جلوگیری از سوءاستفاده موفقیت‌آمیز و اختلال در دستگاه امنیتی شما ارائه می‌دهد. برای اطلاعات بیشتر، به «شیوه‌های امنیت سایبری صنعت سلامت (HICP): مدیریت تهدیدات و حفاظت از بیماران» مراجعه کنید.

منابع

شیوه‌های امنیت سایبری صنعت سلامت (HICP): مدیریت تهدیدات و محافظت از بیماران

TLP WHITE: مهندسی اجتماعی و هدف قرار دادن هویت مرتبط با ShinyHunters

تأثیر شکارچیان براق بر بخش بهداشت و درمان و راهکارهای پیشنهادی برای کاهش اثرات آن

ردیابی گسترش سرقت داده‌های SaaS با برند ShinyHunters

 

TLP:WHITE: با رعایت قوانین استاندارد حق نشر، اطلاعات TLP:WHITE می‌تواند بدون محدودیت توزیع شود.

Health-ISAC در رادیو مخفی سلامت: همکاری بین صنعتی
وقتی همه می‌توانند اشکالات شما را پیدا کنند: امنیت دستگاه‌های پزشکی پس از هوش مصنوعی