Prejsť k hlavnému obsahu

Naliehavé upozornenie na hrozbu: ShinyHunters využívajú vishingové kampane a vydávanie sa za doménu

Bulletin o hrozbách: Šírenské kampane ShinyHunters a vydávanie sa za doménu aktívne zamerané na globálny sektor zdravotníctva.

ShinyHunters využívajú vishingové kampane a vydávanie sa za doménu aktívne zamerané na globálny sektor zdravotníctva.

Bulletiny o hrozbách | TLP:BIELA ​​| ID upozornenia: 24113aee | 28. augusta 2026 | 03:37 EDT

 

Kyberzločinecký gang ShinyHunters predstavuje jasné a bezprostredné nebezpečenstvo pre globálny sektor zdravotníctva. Reprezentuje bezprostrednú hrozbu prostredníctvom pretrvávajúcich, vysoko cielených hlasových phishingových (vishingových) kampaní, ktorých cieľom je oklamať zamestnancov podnikov a odhaliť prihlasovacie údaje na škodlivých doménach s medicínskou tematikou.

Táto skupina sa aktívne zameriava na sektor zdravotníctva a v niekoľkých nedávnych prípadoch bola úspešná obchádzaním viacfaktorového overovania (MFA), aby rýchlo prešla z platforiem jednotného prihlásenia (SSO) na prepojené aplikácie SaaS pre rozsiahle odcudzovanie a vydieranie údajov. Keďže tieto kampane predstavujú vážne riziko ohrozenia prihlasovacích údajov a neoprávneného prístupu k podnikovej infraštruktúre, dôrazne odporúčame všetkým členom Health-ISAC, aby si okamžite preštudovali a prísne dodržiavali nižšie uvedené odporúčania.

Počas uplynulých dvoch týždňov vydala organizácia Health-ISAC varovania viacerým organizáciám v zdravotníctve po tom, čo zaznamenala pretrvávajúce, vysoko cielené vishingové kampane. Tieto kampane sa snažia oklamať používateľov, aby odhalili svoje prihlasovacie údaje na škodlivých stránkach, ktoré napodobňujú legitímne prihlasovacie stránky, čím uľahčujú neoprávnený počiatočný prístup.

Najidentifikovateľnejšou časťou tejto operácie je, že domény sú registrované pomocou company-claims[.]com alebo company[.]claims, ktoré sa vydávajú za spoločnosť v doméne.

Nedávne pozorovania naznačujú, že aktéri útokov – konkrétne spojení so skupinou ShinyHunter zameranou na sexuálne vydieranie – oslovujú zamestnancov priamo na osobných mobilných zariadeniach prostredníctvom hovorov a hlasových správ, ako aj hromadne posielajú e-maily používateľom z viacerých náhodných účtov.

Nedávna registrácia domén s medicínskou tematikou naznačuje rozširujúci sa rozsah zameraný na zdravotnícke prevádzky a špecializované obchodné jednotky, čo zdôrazňuje zámer zabezpečiť trvalý počiatočný prístup v rôznych podnikových sektoroch. [Pozri graf v PDF]

Pre ShinyHunters je platforma SSO riadiacou rovinou. Po kompromitácii identity sa aktéri rýchlo presunú z centrálneho panela poskytovateľa identít (IdP) na prepojené platformy SaaS (ako napríklad Microsoft 365, SharePoint a Salesforce), aby získali citlivé údaje a internú komunikáciu. Táto krádež údajov v cloudovom meradle poskytuje potrebnú páku pre ich následné vydieranie.

Primárnym operačným vzorcom identifikovaným v týchto registráciách infraštruktúry je používanie novo registrovaných domén s predponou názvu cieľovej spoločnosti, po ktorej nasledujú variabilné koncovky prispôsobené špecifickým phishingovým návnadám.

Tieto kampane predstavujú vážne riziko ohrozenia prihlasovacích údajov, obídenia viacfaktorového overovania (MFA) a následného neoprávneného prístupu k podnikovej infraštruktúre a cloudovým/SaaS platformám.

Spoločnosť Health-ISAC doručila viacerým organizáciám dávky cielených upozornení po tom, čo spravodajskí partneri zdieľali poznatky o tom, že domény s podobným a imitujúcim identitu boli nastavené pomocou infraštruktúry, ktorá sa vydáva za legitímnu spoločnosť. To viedlo k zneužitiu prihlasovacích údajov používateľov na stránkach, ktoré sa podobali na prihlasovacie portály legitímnych spoločností.

 

Analýza

Pozorovaná aktivita hrozieb poukazuje na vysoko organizovaného, ​​adaptívneho aktéra hrozby, ktorý vykonáva rozsiahle kampane sociálneho inžinierstva s cieľom získať platné firemné prihlasovacie údaje a aktívne tokeny MFA.

Nedávne kampane ukázali, že ShinyHunters sa správa menej ako tradičná skupina zameraná na ransomvér a skôr ako vydieračská operácia zameraná na získavanie identity a prístupu k SaaS.

Predoperačný prieskum a Vishing

V počiatočných fázach sa aktéri pravdepodobne vo veľkej miere spoliehajú na predoperačný prieskum, pričom vykonávajú rozsiahly výskum cieľových zamestnancov a konkrétnych interných oddelení (ako sú IT helpdesky alebo právne operácie), za ktoré sa rozhodnú vydávať.

Falšovaním známych telefónnych čísel organizácie si volajúci okamžite budujú dôveru a zneužívajú prirodzený sklon zamestnancov pomáhať interným podporným funkciám.

Okrem toho bolo pozorované, že aktéri ShinyHunters sa správajú agresívne, často využívajú následné hlasové správy na nútenie cieľov k dodržiavaniu predpisov a nariaďujú používateľom obchádzať firemné bezpečnostné kontroly prechodom na škodlivé odkazy na osobných zariadeniach.

Keď používateľ odošle svoje prihlasovacie údaje na phishingovej stránke, útočník použije phishingové súpravy s reverznou proxy, aby ich v reálnom čase odoslal na legitímny firemný prihlasovací portál. Obeť je potom telefonicky vyzvaná, aby poskytla svoj aktívny MFA token alebo prijala push notifikáciu, čím útočníkovi poskytne aktívnu webovú reláciu.

Odporúčanie

Health-ISAC poskytuje tieto informácie s cieľom zvýšiť situačné povedomie a povzbudiť organizácie, aby predchádzali úspešnému zneužívaniu a narušeniu ich bezpečnostného aparátu.

Zablokujte domény najvyššej úrovne .claim a .claims vo vašej organizácii, pokiaľ nejde o legitímnu infraštruktúru.

  • Školenie a povedomie zamestnancovImplementovať cielené školenia zamerané na bezpečnostné povedomie, ktoré vzdeláva zamestnancov o moderných taktikách sociálneho inžinierstva, ako sú agresívne vishingové hovory a hlasové návnady, a zabezpečiť, aby rozumeli identifikácii podobných domén a bezpečnému overovaniu internej IT komunikácie.
  • Vynútiť overenie kontextu zariadeniaObmedzte aplikácie SaaS, interné portály a rozhrania API na zariadenia spravované spoločnosťou overené prostredníctvom klientskych certifikátov, kontrol stavu EDR alebo profilov MDM. Samotné overenie identity nestačí bez architektúry ochrany do hĺbky.
  • Prechod na viacfaktorovú autentifikáciu odolnú voči phishinguUprednostňujte bezpečnostné kľúče alebo prístupové kľúče FIDO2/WebAuthn pre všetkých administrátorov a skupiny s vysokým rizikom a zakážte alebo prísne obmedzte SMS/hlasovú MFA a slabé záložné metódy.
  • Pracovné postupy pre obnovenie technickej podpory a MFA od spoločnosti HardenVyžadovať prísne overovanie identity pre resetovanie MFA a zabezpečiť, aby boli zamestnanci vyškolení, že IT oddelenie „nebude resetovať MFA pri prichádzajúcich hovoroch“.
  • Monitorovanie infraštruktúry podobnej platformySledujte registrácie podobných domén, novo pozorované domény (NOD) a značkové subdomény zamerané na firemné služby jednotného prihlásenia.
  • Správa reláciíNastavte časové limity relácií, ktoré efektívne podporujú pracovné postupy používateľov a zároveň zaisťujú bezpečnosť, obmedzte viditeľnosť IdP pre nedodržiavajúce predpisy

Health-ISAC poskytuje tieto informácie, aby sa zabránilo úspešnému zneužitiu a narušeniu vášho bezpečnostného zariadenia. Viac informácií nájdete v dokumente Postupy kybernetickej bezpečnosti v zdravotníctve (HICP): Riadenie hrozieb a ochrana pacientov.

Referencie

Postupy kybernetickej bezpečnosti v zdravotníctve (HICP): Riadenie hrozieb a ochrana pacientov

TLP WHITE: Sociálne inžinierstvo a cielenie identity prepojené so ShinyHunters

Dopad Shiny Hunters na sektor zdravotníctva a odporúčané stratégie na zmiernenie

Sledovanie expanzie krádeže dát SaaS pod značkou ShinyHunters

 

TLP:WHITE: V súlade so štandardnými pravidlami autorských práv môžu byť informácie TLP:WHITE šírené bez obmedzenia.

Health-ISAC v rádiu Health Stealth: Spolupráca medzi odvetviami
Keď každý dokáže nájsť vaše chyby: Zabezpečenie zdravotníckych pomôcok po umelej inteligencii