Wiessel Haaptberäich

Dréngend Bedrohungsalarm: ShinyHunters Vishing-Kampagnen an Domain-Imitatioun

Bedrohungsbulletin: ShinyHunters Vishing-Kampagnen an Domain-Imitatioun viséieren aktiv de globale Gesondheetssecteur.

ShinyHunters Vishing-Kampagnen an Domain-Imitatioun viséieren aktiv de globale Gesondheetssecteur

Bedrohungsbulletinen | TLP:WHITE | Alarm-ID: 24113aee | 28. August 2026 | 03:37 Auer EDT

 

D'Cyberkriminalitéitsband ShinyHunters stellt eng kloer a präsent Gefor fir de globale Gesondheetssecteur duer. Si stellt eng direkt Bedrohung duerch persistent, héich gezielt Voice-Phishing-Kampagnen (Vishing) duer, déi drop aus sinn, Firmenpersonal dozou ze bréngen, Umeldungsinformatiounen op béiswëllegen, medezinesch-themateschen Imitatiounsdomänen ze weisen.

Dës Grupp zielt aktiv op de Gesondheetssecteur a war a verschiddene rezente Fäll erfollegräich, andeems se d'Multifaktor-Authentifikatioun (MFA) ëmgaange konnten, fir séier vu Single-Sign-On (SSO) Plattformen op verbonne SaaS Applikatiounen fir grouss Datenexfiltratioun an Erpressung ëmzestellen. Well dës Kampagnen e grousst Risiko vu kompromittéierten Umeldungsinformatiounen an onerlaabten Zougang zu der Firmeninfrastruktur duerstellen, encouragéiere mir all Health-ISAC Memberen dréngend, d'Empfehlungen hei ënnendrënner direkt ze liesen an strikt ze verfollegen.

An de leschten zwou Wochen huet Health-ISAC Warnungen un e puer Organisatiounen am Gesondheetssecteur erausginn, nodeems se persistent, héich gezielt Vishing-Kampagnen observéiert hunn. Dës Kampagnen versichen, d'Benotzer dozou ze bréngen, hir Umeldungsinformatiounen op béiswëllege Säiten ze weisen, déi legitim Login-Säiten imitéieren, an doduerch den onerlaabten éischten Zougang ze erliichteren.

Dee markantsten Deel vun der Operatioun ass, datt Domainen mat company-claims[.]com oder company[.]claims opgestallt ginn, déi sech als Firma an der Domain ausginn.

Rezent Observatioune weisen drop hin, datt Bedrohungsakteuren – speziell mat der Sextortiounsgrupp ShinyHunter verbonnen – d'Mataarbechter direkt op perséinleche mobilen Apparater iwwer Uriff a Voicemails erreechen, souwéi d'Benotzer massenhaft vun e puer zoufälleg Konten aus E-Maile schécken.

Déi rezent Aschreiwung vun Domänen mat engem medizineschen Thema weist op en ëmmer méi groussen Ëmfang hin, deen op Gesondheetsoperatiounen a spezialiséiert Geschäftsunitéiten abzielt, wat d'Intentioun ënnersträicht, e persistenten initialen Zougang iwwer verschidde Betribssecteuren ze etabléieren. [Kuckt d'Grafik am PDF]

Fir ShinyHunters ass d'SSO-Plattform d'Kontrollfläch. Soubal eng Identitéit kompromittéiert ass, wiesselen d'Akteuren séier vum zentralen Identitéitsprovider (IdP) Dashboard op verbonne SaaS-Plattformen (wéi Microsoft 365, SharePoint a Salesforce), fir sensibel Daten an intern Kommunikatioun ze klauen. Dësen Dateklau op Cloud-Skala bitt de néidege Leverage fir hir spéider Erpressungsufuerderungen.

Dat primär operationellt Muster, dat bei dësen Infrastrukturregistréierungen identifizéiert gouf, ass d'Benotzung vun den nei registréierten Domainen, déi mam Numm vun der Zilfirma virgeschriwwe sinn, gefollegt vu variablen Endungen, déi op spezifesch Phishing-Locker zougeschnidden sinn.

Dës Kampagnen stellen e schwéiere Risiko vu kompromittéierte Login-Umeldungsinformatiounen, Multi-Faktor-Authentifikatioun (MFA)-Ëmgoen an uschléissend onerlaabten Zougang zu der Firmeninfrastruktur a Cloud-/SaaS-Plattformen duer.

Health-ISAC huet verschidde Organisatiounen eng Rei vu gezielten Alerts geliwwert, nodeems Geheimdéngschtpartner Erkenntnesser gedeelt hunn, datt Look-Alike- an Imitatiounsdomänen mat Hëllef vun enger Infrastruktur ageriicht goufen, déi sech als legitim Firma imitéiert. Dëst hat dozou gefouert, datt d'Umeldungsinformatioune vun de Benotzer op Säiten, déi legitim Firmen-Loginportaler gläichen, kompromittéiert goufen.

 

Analyse

Déi observéiert Bedrohungsaktivitéit weist en héich organiséierten, adaptiven Bedrohungsakteur op, deen breet Social Engineering-Kampagnen duerchféiert, fir gëlteg Firmenautorisatiounen an aktiv MFA-Tokens ze kréien.

Rezent Kampagnen hunn gewisen, datt ShinyHunters sech manner wéi eng traditionell Ransomware-Grupp a méi wéi eng Erpressungsoperatioun fir Identitéit an SaaS-Zougang verhält.

Pre-operativ Erkundung a Vishing

An den éischte Phasen verloossen sech d'Akteuren wahrscheinlech staark op präoperativ Erkenntnisser, andeems se extensiv Fuerschung iwwer gezielt Mataarbechter an déi spezifesch intern Departementer (wéi IT-Helpdesken oder juristesch Operatiounen), déi se imitéiere wëllen, maachen.

Indem se bekannt Telefonsnummeren vun der Organisatioun imitéieren, bauen d'Uriffler direkt Vertrauen op a profitéieren vun der natierlecher Neigung vun de Mataarbechter, intern Supportfunktiounen ze hëllefen.

Ausserdeem goufen ShinyHunters-Akteuren observéiert, déi sech aggressiv verhalen hunn, andeems se dacks Nofolleg-Voicemails benotzt hunn, fir Ziler ze ënnerdrécken, sech un d'Ufuerderungen ze halen, an d'Benotzer ugewisen hunn, d'Sécherheetskontrollen vun der Firma ze ëmgoen, andeems se op béiswëlleg Linken op perséinlechen Apparater navigéieren.

Soubal de Benotzer seng Umeldungsinformatiounen op der Phishing-Säit aginn huet, benotzt den Akteur vu Bedrohungen Reverse-Proxy Phishing-Kits, fir se a Echtzäit op de legitime Firmen-Login-Portal ze schécken. D'Affer gëtt dann iwwer Telefon opgefuerdert, säin aktiven MFA-Token unzeginn oder eng Push-Notifikatioun ze akzeptéieren, wouduerch dem Ugräifer eng aktiv Websessioun kritt gëtt.

Recommandatiounen

Health-ISAC stellt dës Informatioun zur Verfügung, fir d'Situatiounsbewosstsinn ze erhéijen an Organisatiounen ze encouragéieren, déi erfollegräich Ausbeutung an d'Stéierung vun hirem Sécherheetsapparat ze verhënneren.

Blockéiert d'Top-Level-Domänen .claim an .claims an Ärer Organisatioun, ausser et handelt sech ëm eng legitim Infrastruktur.

  • Employé Training a SensibiliséierungImplementéiert eng gezielt Sécherheetsbewosstsinnstraining, déi d'Mataarbechter iwwer modern Social Engineering-Taktiken, wéi aggressiv Vishing-Uriff a Voicemail-Lucks, informéiert, fir sécherzestellen, datt si verstoen, wéi een ähnlech Domainen identifizéiere kann an intern IT-Kommunikatioun sécher verifizéiert.
  • Verifizéierung vum Apparatkontext erzwingenSaaS-Applikatiounen, intern Portaler an APIen op vun Entreprisen verwaltete Geräter beschränken, déi iwwer Clientzertifikater, EDR-Gesondheetschecks oder MDM-Profiler verifizéiert ginn. D'Identitéitsverifizéierung eleng ass net genuch ouni eng déifgräifend Architektur.
  • Iwwergank op Phishing-resistent MFAFIDO2/WebAuthn Sécherheetsschlësselen oder Passwierder fir all Administrateuren a Gruppen mat héijem Risiko virzéien, an SMS/Stëmm MFA a schwaach Réckfallmethoden deaktivéieren oder strikt limitéieren.
  • Harden Helpdesk & MFA Workflows zrécksetzenEng strikt Identitéitsverifizéierung fir MFA-Reset verlaangen a sécher stellen, datt d'Mataarbechter trainéiert sinn, datt d'IT-Sektioun "MFA bei ukommenden Uriff net zrécksetzt".
  • Iwwerwaachung vun enger Looklike-InfrastrukturVerfollegt Lookalike-Domainregistréierungen, nei observéiert Domainen (NODs) a branded Subdomains, déi op Single-Sign-On-Servicer fir Firmen gezielt sinn.
  • Sessiouns ManagementSetzt Sessiounszäitlimiten, déi d'Benotzerworkflows effektiv ënnerstëtzen an d'Sécherheet garantéieren, limitéiert d'IdP-Visibilitéit fir net-konform

Health-ISAC stellt dës Informatioun zur Verfügung, fir eng erfollegräich Ausbeutung an Ënnerbriechung vun Ärem Sécherheetsapparat ze verhënneren. Fir méi Informatiounen, kuckt w.e.g. Health Industry Cybersecurity Practices (HICP): Managing Threats and Protecting Patients.

Referenze

Cybersécherheetspraktiken am Gesondheetssecteur (HICP): Gefore bewältegen a Patienten schützen

TLP WHITE: ShinyHunters-verbonne Sozial Engineering an Identitéitszielung

Impakt vu Shiny Hunters op de Gesondheetssecteur a recommandéiert Mitigatiounsstrategien

Verfollegung vun der Expansioun vum ShinyHunters-Branded SaaS Datenklau

 

TLP:WHITE: Ënner Vorbehalt vun de Standard-Urheberrechtsregelen däerfen TLP:WHITE-Informatioune ouni Restriktioun verdeelt ginn.

Health-ISAC op Health Stealth Radio: Brancheniwwergräifend Zesummenaarbecht
Wann jidderee seng Feeler fënnt: Sécherheet vu medizineschen Apparater no KI