Skubus grėsmės įspėjimas: „ShinyHunters“ kampanijos ir domenų imitavimas

Rugsėjis 3, 2026

Grėsmių biuletenis: „ShinyHunters“ vykdomos kampanijos ir domenų apsimetinėjimas, aktyviai nukreiptas į pasaulinį sveikatos apsaugos sektorių.

„ShinyHunters“ vizijavimo kampanijos ir domenų apsimetinėjimas, aktyviai nukreiptas į pasaulinį sveikatos sektorių

Grėsmių biuleteniai | TLP:WHITE | ĮSPĖJIMO ID: 24113aee | 2026 m. rugpjūčio 28 d. | 03:37 EDT

Kibernetinių nusikaltimų gauja „ShinyHunters“ kelia aiškų ir tiesioginį pavojų pasauliniam sveikatos apsaugos sektoriui, vykdydama nuolatines, itin tikslines balso sukčiavimo kampanijas, kuriomis siekiama apgauti įmonių darbuotojus, kad šie atskleistų savo prisijungimo duomenis kenkėjiškose, medicininės tematikos apsimetinėjimo domenuose.

Ši grupė aktyviai taikosi į sveikatos apsaugos sektorių ir keliais neseniai sėkmingai vykusiais atvejais apeina daugiafaktorinį autentifikavimą (MFA), kad greitai pereitų nuo vienkartinio prisijungimo (SSO) platformų prie prijungtų SaaS programų, skirtų didelio masto duomenų nutekėjimui ir išpirkos prievartavimui. Kadangi šios kampanijos kelia didelę riziką, kad bus pažeisti prisijungimo duomenys ir neteisėta prieiga prie įmonės infrastruktūros, primygtinai raginame visus „Health-ISAC“ narius nedelsiant peržiūrėti ir griežtai laikytis toliau pateiktų rekomendacijų.

Per pastarąsias dvi savaites „Health-ISAC“ išsiuntė įspėjimus kelioms sveikatos sektoriaus organizacijoms, pastebėjusi nuolatines, itin tikslines apgaulingas kampanijas. Šiomis kampanijomis bandoma apgauti vartotojus, kad šie atskleistų savo prisijungimo duomenis kenkėjiškose svetainėse, kurios imituoja teisėtus prisijungimo puslapius, taip palengvindamos neteisėtą pradinę prieigą.

Labiausiai atpažįstama operacijos dalis yra ta, kad domenai yra registruojami naudojant company-claims[.]com arba company[.]claims, apsimetant domeno įmone.

Naujausi stebėjimai rodo, kad grėsmės veikėjai, konkrečiai susiję su „ShinyHunter“ seksualinio prievartavimo grupe, pasiekia darbuotojus tiesiogiai asmeniniuose mobiliuosiuose įrenginiuose skambučiais ir balso pašto pranešimais, taip pat masiškai siunčia el. laiškus vartotojams iš kelių atsitiktinių paskyrų.

Neseniai užregistruoti medicinos tematikos domenai rodo plečiamą taikymo sritį, skirtą sveikatos priežiūros operacijoms ir specializuotiems verslo padaliniams, o tai pabrėžia ketinimą užtikrinti nuolatinę pradinę prieigą įvairiuose verslo sektoriuose. [Žr. grafiką PDF faile]

„ShinyHunters“ atveju vienkartinio prisijungimo (SSO) platforma yra valdymo plokštuma. Kai tapatybė pažeidžiama, veikėjai greitai pereina iš centrinio tapatybės teikėjo (IdP) valdymo skydo į prijungtas SaaS platformas (pvz., „Microsoft 365“, „SharePoint“ ir „Salesforce“), kad išfiltruotų jautrius duomenis ir vidinę komunikaciją. Ši duomenų vagystė debesijos mastu suteikia reikiamą svertą vėlesniems turto prievartavimo reikalavimams.

Pagrindinis šių infrastruktūros registracijų veiklos modelis yra naujai užregistruotų domenų, kurių prefiksas yra tikslinės įmonės pavadinimas, naudojimas, o po jo – kintamos galūnės, pritaikytos konkretiems sukčiavimo atvejams.

Šios kampanijos kelia didelę riziką, kad bus pažeisti prisijungimo duomenys, apeinamas daugiafaktorinis autentifikavimas (MFA) ir vėlesnė neteisėta prieiga prie įmonės infrastruktūros ir debesijos / SaaS platformų.

„Health-ISAC“ kelioms organizacijoms išsiuntė tikslinių įspėjimų paketus po to, kai žvalgybos partneriai pasidalijo įžvalgomis, kad naudojant infrastruktūrą, kuri apsimeta teisėta įmone, buvo sukurti panašumo ir apsimetinėjimo domenai. Dėl to vartotojų prisijungimo duomenys buvo pažeisti puslapiuose, kurie primena teisėtus įmonių prisijungimo portalus.

Analizė

Stebimas grėsmių aktyvumas rodo, kad grėsmių veikėjas, vykdantis plataus masto socialinės inžinerijos kampanijas, siekia gauti galiojančius įmonės prisijungimo duomenis ir aktyvius MFA žetonus.

Naujausios kampanijos parodė, kad „ShinyHunters“ elgiasi mažiau kaip tradicinė išpirkos reikalaujančių programų grupė, o labiau kaip tapatybės ir SaaS prieigos prie turto išpirkos operacija.

Priešoperacinė žvalgyba ir apžiūra

Pradiniuose etapuose veikėjai greičiausiai labai remiasi ikioperacine žvalgyba, atlikdami išsamius tyrimus apie tikslinius darbuotojus ir konkrečius vidaus skyrius (pvz., IT pagalbos tarnybas ar teisines operacijas), kuriais jie nusprendžia apsimesti.

Padirbdami žinomus organizacijos telefono numerius, skambinantieji iš karto užmezga pasitikėjimą ir išnaudoja natūralų darbuotojų norą padėti vidaus palaikymo funkcijoms.

Be to, pastebėta, kad „ShinyHunters“ veikėjai elgiasi agresyviai, dažnai naudodamiesi tolesniais balso pranešimais, kad darytų spaudimą taikiniams laikytis taisyklių, ir nurodydami vartotojams apeiti įmonės saugumo kontrolę, naršant kenkėjiškas nuorodas asmeniniuose įrenginiuose.

Kai vartotojas pateikia savo prisijungimo duomenis sukčiavimo svetainėje, grėsmės vykdytojas, naudodamas atvirkštinio tarpinio serverio sukčiavimo rinkinius, realiuoju laiku pateikia juos teisėtam įmonės prisijungimo portalui. Tada auka telefonu raginama pateikti savo aktyvų MFA prieigos raktą arba priimti tiesioginį pranešimą, suteikiant užpuolikui aktyvią interneto sesiją.

Rekomendacijos

„Health-ISAC“ teikia šią informaciją, siekdama padidinti situacijos suvokimą ir paskatinti organizacijas užkirsti kelią sėkmingam savo saugumo aparatų išnaudojimui ir sutrikdymui.

Blokuokite aukščiausio lygio domenus „.claim“ ir „.claims“ savo organizacijoje, nebent jie yra teisėta infrastruktūra.

Darbuotojų mokymas ir informavimasĮgyvendinti tikslinius saugumo suvokimo mokymus, kuriuose darbuotojai būtų supažindinti su šiuolaikinėmis socialinės inžinerijos taktikomis, tokiomis kaip agresyvūs skambučiai su užklausomis ir balso pašto viliojimai, užtikrinant, kad jie suprastų, kaip atpažinti panašius domenus ir saugiai patikrinti vidinius IT ryšius.
Įrenginio konteksto patvirtinimo vykdymo užtikrinimasApriboti SaaS programas, vidinius portalus ir API įmonės valdomuose įrenginiuose, patikrintuose naudojant klientų sertifikatus, EDR sveikatos patikrinimus arba MDM profilius. Vien tapatybės patvirtinimo nepakanka be išsamios gynybos architektūros.
Perėjimas prie sukčiavimui atsparios daugiafaktorinės autentifikacijos (MFA)Visiems administratoriams ir didelės rizikos grupėms pirmenybę teikite FIDO2 / „WebAuthn“ saugos raktams arba prieigos raktams, o SMS / balso MFA ir silpnus atsarginius metodus išjunkite arba griežtai apribokite.
„Harden“ pagalbos tarnybos ir MFA atstatymo darbo eigosReikalauti griežto tapatybės patvirtinimo atliekant MFA nustatymų atkūrimą ir užtikrinti, kad darbuotojai būtų apmokyti, jog IT skyrius „neatkurs MFA įeinančių skambučių atveju“.
Stebėkite panašios infrastruktūros infrastruktūrąStebėkite panašių domenų registracijas, naujai pastebėtus domenus (NOD) ir firminius subdomenus, skirtus įmonių vienkartinio prisijungimo paslaugoms.
Sesijos valdymas: Nustatykite sesijos skirtojo laiko limitus, kurie veiksmingai palaiko naudotojų darbo eigas ir kartu užtikrina saugumą, apribokite IdP matomumą neatitinkantiems reikalavimams.

„Health-ISAC“ teikia šią informaciją, kad būtų išvengta sėkmingo jūsų saugumo aparato išnaudojimo ir sutrikdymo. Daugiau informacijos žr. Sveikatos pramonės kibernetinio saugumo praktika (HICP): grėsmių valdymas ir pacientų apsauga.