Оди до главна содржина

Итно предупредување за закана: Vishing кампањи на ShinyHunters и лажно претставување на домен

Билтен за закани: Кампањи за Vishing на ShinyHunters и лажно претставување на домен активно го таргетираат глобалниот здравствен сектор.

Кампањите за Vishing на ShinyHunters и имитирањето на домени активно го таргетираат глобалниот здравствен сектор

Билтени за закани | TLP:WHITE | ID на аларм: 24113aee | 28 август 2026 | 03:37 EDT

 

Бандата за сајбер криминал ShinyHunters претставува јасна и присутна опасност за глобалниот здравствен сектор, претставувајќи непосредна закана преку постојани, високо насочени кампањи за гласовен фишинг (вишинг) кои имаат за цел да го измамат персоналот на претпријатијата да ги открие акредитивите на злонамерни домени за лажно претставување со медицинска тематика.

Оваа група активно го таргетира здравствениот сектор и во неколку неодамнешни случаи беше успешна со заобиколување на повеќефакторската автентикација (MFA) за брзо префрлување од платформи за еднократно најавување (SSO) на поврзани SaaS апликации за ексфилтрација на податоци во голем обем и изнудување. Бидејќи овие кампањи претставуваат сериозен ризик од компромитирани акредитиви и неовластен пристап до корпоративната инфраструктура, ги охрабруваме сите членови на Health-ISAC веднаш да ги разгледаат и строго да ги следат препораките дадени подолу.

Во текот на изминатите две недели, Health-ISAC издаде предупредувања до неколку организации од здравствениот сектор откако забележа постојани, високо насочени кампањи за пребарување. Овие кампањи се обидуваат да ги измамат корисниците да ги откријат своите акредитиви на злонамерни страници што имитираат легитимни страници за најавување, со што се олеснува неовластен почетен пристап.

Најпрепознатливиот дел од операцијата е тоа што домените се претставуваат со company-claims[.]com или company[.]claims кои се претставуваат како компанија во доменот.

Неодамнешните набљудувања покажуваат дека заканувачките актери - конкретно поврзани со групата за сексторција ShinyHunter - стигнуваат до вработените директно преку лични мобилни уреди преку повици и гласовни пораки, како и масовно испраќаат е-пошта до корисниците од повеќе случајни сметки.

Неодамнешната регистрација на домени со медицинска тематика укажува на проширување на опсегот насочен кон здравствените операции и специјализираните деловни единици, нагласувајќи ја намерата за воспоставување постојан почетен пристап низ различните сектори на претпријатијата. [Видете го графиконот во PDF]

За ShinyHunters, SSO платформата е контролната рамнина. Откако идентитетот ќе биде компромитиран, актерите брзо се префрлаат од централната контролна табла на давателот на идентитет (IdP) на поврзани SaaS платформи (како што се Microsoft 365, SharePoint и Salesforce) за да извлечат чувствителни податоци и внатрешни комуникации. Оваа кражба на податоци на облак ниво обезбедува потребната моќ за нивните последователни барања за изнудување.

Примарниот оперативен модел идентификуван низ овие регистрации на инфраструктура е употребата на новорегистрираните домени со префиксот на името на целната компанија, проследено со варијабилни завршетоци прилагодени на специфични мамки за фишинг.

Овие кампањи претставуваат сериозен ризик од компромитирани акредитиви, заобиколување на повеќефакторска автентикација (MFA) и последователен неовластен пристап до корпоративната инфраструктура и облак/SaaS платформите.

Health-ISAC достави серии од целни предупредувања до неколку организации откако разузнавачките партнери споделија сознанија дека слични домени и домени за имитирање биле поставени со користење на инфраструктура што ја имитира легитимната компанија. Ова доведе до компромитирање на нивните акредитиви на корисниците на страници што личат на легитимни портали за најавување на компанијата.

 

Анализа

Набљудуваната активност на закана истакнува високо организиран, адаптивен актер на закана кој спроведува широки кампањи за социјален инженеринг за да стекне валидни корпоративни акредитиви и активни MFA токени.

Неодамнешните кампањи покажаа дека ShinyHunters се однесува помалку како традиционална група за рансомвер, а повеќе како операција за изнудување на идентитет и SaaS пристап.

Предоперативно извидување и набљудување

Во почетните фази, актерите веројатно се потпираат во голема мера на предоперативно извидување, спроведувајќи обемно истражување на целните вработени и специфичните внатрешни оддели (како што се ИТ-сервиси или правни операции) што избираат да се претстават лажно.

Со лажирање на познати организациски телефонски броеви, повикувачите воспоставуваат непосредна доверба и ја искористуваат природната склоност на персоналот да им помагаат на внатрешните функции за поддршка.

Понатаму, забележано е дека актерите на ShinyHunters се однесуваат агресивно, често користејќи гласовни пораки за да извршат притисок врз целите да се усогласат и да им даваат инструкции на корисниците да ги заобиколат безбедносните контроли на корпорациите со навигација до малициозни линкови на лични уреди.

Откако корисникот ќе ги достави своите податоци на фишинг-страницата, заканувачкиот актер користи комплети за фишинг со обратен прокси за да ги достави до легитимниот корпоративен портал за најавување во реално време. Потоа, жртвата е замолена преку телефон да го обезбеди својот активен MFA токен или да прифати push известување, со што напаѓачот добива активна веб-сесија.

Препораки

Health-ISAC ги обезбедува овие информации за да ја зголеми свеста за ситуацијата и да ги охрабри организациите да спречат успешна експлоатација и нарушување на нивниот безбедносен апарат.

Блокирајте ги домените од највисоко ниво .claim и .claims во вашата организација, освен ако тие не се легитимна инфраструктура.

  • Обука и свесност на вработенитеСпроведување на целна обука за подигање на свеста за безбедноста што ќе ги едуцира вработените за современи тактики на социјален инженеринг, како што се агресивни повици за виширање и мамки за гласовна пошта, осигурувајќи се дека тие разбираат како да идентификуваат слични домени и безбедно да ги потврдат внатрешните ИТ комуникации.
  • Спроведување на верификација на контекстот на уредотОграничете ги SaaS апликациите, внатрешните портали и API-јата на уреди управувани од корпорацијата потврдени преку клиентски сертификати, EDR проверки на здравјето или MDM профили. Само верификацијата на идентитетот е недоволна без архитектура со длабинска одбрана.
  • Транзиција кон MFA отпорен на фишингПретпочитајте безбедносни клучеви или лозинка FIDO2/WebAuthn за сите администратори и групи со висок ризик и оневозможете или строго ограничете ги SMS/гласовните MFA и слабите резервни методи.
  • Работни процеси за ресетирање на службата за помош на Харден и MFAПотребна е строга проверка на идентитетот за ресетирање на MFA и осигурување дека вработените се обучени дека ИТ-институцијата „нема да го ресетира MFA при дојдовни повици“.
  • Мониторинг на инфраструктура слична на онааСледете ги регистрациите на слични домени, новонабљудуваните домени (NOD) и брендираните поддомени насочени кон корпоративни услуги за единствено најавување.
  • Менаџмент на сесијаПоставете истекување на сесиите што ефикасно ги поддржуваат работните процеси на корисниците, а воедно обезбедуваат безбедност, ограничуваат ја видливоста на IdP за неусогласени

Health-ISAC ги обезбедува овие информации за да спречи успешно искористување и нарушување на вашиот безбедносен апарат. За повеќе информации, видете Практики за сајбер безбедност во здравствената индустрија (HICP): Управување со закани и заштита на пациентите.

Референци

Практики за сајбер безбедност во здравствената индустрија (HICP): Управување со закани и заштита на пациентите

TLP WHITE: Социјален инженеринг поврзан со ShinyHunters и таргетирање на идентитет

Влијание на „Сјајни ловци“ врз здравствениот сектор и препорачани стратегии за ублажување

Следење на експанзијата на кражбата на SaaS податоци со брендот ShinyHunters

 

TLP:WHITE: Во согласност со стандардните правила за авторски права, информациите од TLP:WHITE може да се дистрибуираат без ограничување.

Health-ISAC на Health Stealth Radio: Меѓуиндустриска соработка
Кога секој може да ги пронајде вашите грешки: Безбедност на медицинските уреди по вештачката интелигенција