Smernice za proaktivno obrambo
Pripravili so ISAC za finančne storitve, ISAC za informacijsko tehnologijo, ISAC za prehrano in kmetijstvo, ISAC za zdravje, ISAC za letalstvo, ISAC za avtomobilsko industrijo, ISAC za trgovino in gostinstvo, ISAC za pomorski prometni sistem, ISAC za elektroenergetiko in Nacionalni svet ISAC, s prispevki partnerjev iz zasebnega sektorja ISAC za komunikacije.
Prenos
Besedilna različica:
Analiza grožnje razpršenih pajkov
Uvod
Člani Nacionalnega sveta ISAC (NCI) z veliko gotovostjo ocenjujejo, da skupina akterjev grožnje Scattered Spider predstavlja resnično grožnjo in da zaradi svoje sposobnosti izkoriščanja človeških ranljivosti s socialnim inženiringom predstavlja veliko tveganje za organizacije.
Ta analiza podrobno opisuje aktivnost pajka Scattered Spider na podlagi opaženih trgovskih dejavnosti v različnih sektorjih od maja 2025 in zagotavlja:
🔹 Ozadje o Scattered Spiderju, da lahko podjetja bolje ocenijo svojo površino groženj
🔹 Tehnični postopki in kulturne prakse za preprečevanje napadov razpršenih pajkov
🔹 Analiza obveščevalnih podatkov članov Centra za izmenjavo in analizo informacij (ISAC) in FBI ter ustreznih podatkov MITRE ATT&CK® olajšave
Priporočeni ukrepi so se po strokovni oceni obveščevalnih podatkov izkazali za učinkovite proti pajku Scattered Spider in podobnim akterjem. Blažilni ukrepi vključujejo osnovne zahteve FS-ISAC. osnove kibernetike, usklajeno s taktikami, tehnikami in postopki Scattered Spider, ki temeljijo na znanih grožnjah.
Vendar pa akterji grožnje, kot je Scattered Spider, nenehno uvajajo inovacije, zato morajo organizacije skrbno spremljati svoje procese in identitete, da bi odkrile nove izkoriščanja.
Te ugotovitve so skupaj pripravili odbori ISAC za finančne storitve, informacijsko tehnologijo, prehrano in kmetijstvo, zdravstvo, letalstvo, avtomobilsko industrijo, trgovino na drobno in gostinstvo ter pomorski prometni sistem in NCI. NCI sestavlja 28 organizacij in je zasnovan za maksimiranje pretoka informacij med kritično infrastrukturo zasebnega sektorja in vladnimi agencijami.
Ozadje in TTP-ji
Scattered Spider je finančno – in ne ideološko – motivirana skupina mladih neodvisnih operaterjev v Združenem kraljestvu, ZDA in Kanadi. Po mnenju raziskovalcev je Scattered Spider del večje hekerske skupnosti, znane kot The Community ali The Com, ki se organizira prek spletnih platform, vključno s skupinskimi klepeti Discord in Telegram. Scattered Spider uporablja zelo učinkovite tehnike socialnega inženiringa in krajo poverilnic za dostop do ciljnih omrežij, nato pa svoje napade monetizira s krajo podatkov, izsiljevanjem ali izsiljevalsko programsko opremo za pridružene člane. Skupina je znana po obsežnem izvidovanju, ki identificira osebe za posvojitev ali zaposlene za tarčo. Velik del uspeha Scattered Spiderja je mogoče pripisati njegovi hitrosti in prilagodljivemu ciljanju z nizkim naporom.
*****
Stranska vrstica:
Akterji grožnje se pogosto udeležujejo klicev za sanacijo in odzivanje na incidente ter telekonferenc, kjer verjetno ugotavljajo, kako jih varnostne ekipe lovijo, in proaktivno razvijajo nove poti vdora kot odgovor na obrambo žrtve. To se včasih doseže z ustvarjanjem novih identitet v okolju in pogosto podpira z lažnimi profili na družbenih omrežjih, da se prepreči nastanek novih identitet. Opozorilo o kibernetski varnosti: Razpršeni pajek – skupno svetovanje Zveznega preiskovalnega urada (FBI) in Agencije za kibernetsko varnost in varnost infrastrukture (CISA)
*****
Skupina Scattered Spider, ki je aktivna od začetka leta 2022, je bila sprva opažena pri napadih na telekomunikacijske subjekte in subjekte za zunanje izvajanje poslovnih procesov (BPO), verjetno kot odskočna deska za operacije socialnega inženiringa za pridobitev nepooblaščenega dostopa do drugih tarč in njihovih deležnikov. Od takrat je bila skupina povezana z več kot 100 napadi na več tržnih vertikalah, vendar se običajno osredotoča na en sektor naenkrat. Scattered Spider je znan po vdoru v Caesars Entertainment in MGM Resorts leta 2023 ter napadu na Twilio leta 2022, ki je povzročil napad na dobavno verigo, ki je vplival na aplikacijo za sporočanje Signal. Aprila in maja 2025 je ciljala na ameriške in britanske trgovce na drobno, nato pa se je osredotočila na finančni sektor, zlasti zavarovalnice, in letalski sektor.
-
Začetni dostop pridobljen prek:
>Napadi socialnega inženiringa
>Napadi utrujenosti pri MFA
-
Zajema skrbniške pravice z:
- Odlaganje poverilnic
- Shranjene poverilnice in skrivnosti
3. Obstojnost dosežena z:
>Načrtovane naloge
>Zlonamerne storitve
>Ustvarjanje lokalnega uporabnika
>Mehanizmi vztrajnosti v oblaku
4. Izogibanje obrambi, omogočeno z:
>Onemogočanje AV/EDR
Spreminjanje skupinskih pravilnikov v sistemu Windows
>Onemogočanje programa Defender, beleženja ali telemetrije
>Odstranjevanje gonilnikov EDR
5. Bočno gibanje prek:
>PsExec
>Oddaljeno delo PowerShell
>WMI
>Zakonite povezave VPN ali Citrix
Tipična taktika je prepričati agente IT-službe za pomoč uporabnikom, da za ciljne račune izvedejo samostojno ponastavitev gesel (SSPR). Tehnike Scattered Spider vključujejo uporabo sporočila storitve kratkih sporočil (SMS) – tj. pošiljanje kratkih sporočil – in glasovno lažno predstavljanje (smishing in vishing) za zajemanje poverilnic za nadzorne plošče z enotno prijavo (SSO), Microsoft Office 365/Azure, VPN-je in robne naprave.
Skupina je znana tudi po ugrabitvi večfaktorske avtentikacije (MFA) z zamenjavo modula za identiteto naročnika (SIM). Nato premaga MFA z izčrpanostjo od obvestil ali prepriča agente službe za pomoč uporabnikom, da ponastavijo metodo MFA ciljnih računov.
Po uspešnem vdoru v uporabniški račun operativci Scattered Spider registrirajo druge naprave pod tem računom. Ko lahko pridobijo skrbniške pravice, v okolju žrtve ustvarijo račune, ki jih nadzoruje napadalec. Nato akter grožnje vzpostavi vztrajnost za nepooblaščen dostop do okolja žrtve in zgradi redundanco, da prepreči poskuse odstranitve zlonamerne programske opreme ali dostopa.
Nadaljnje izvidniške dejavnosti vključujejo poskuse odkrivanja korporativnih platform – vključno z Windows, Linux, Google Workspace, Microsoft Entra ID (prej Azure Active Directory), Microsoft 365, AWS in drugimi orodji, ki gostujejo v oblačni infrastrukturi – ter prenos ustreznih orodij za izkoriščanje občutljivih podatkov.
*****
Stranska vrstica:
Health-ISAC je prejel obveščevalne podatke, ki povezujejo botnet Amadey z napadi Scattered Spider. Botnet Amadey so uporabljali akterji izsiljevalske programske opreme, kot so BlackSuit, BlackBasta in Akira, za spuščanje nalagalcev zlonamerne programske opreme v omrežja žrtev. Botnet se je izognil ukrepom organov pregona proti platformam zlonamerne programske opreme kot storitve (MaaS), kar mu je omogočilo razvoj od leta 2018.
*****
To poglobljeno razumevanje izvorne infrastrukture žrtve omogoča skupini Scattered Spider izvajanje zlonamernih nadaljnjih dejavnosti. Prav s tem poglobljenim razumevanjem – npr. s sposobnostjo izvajanja tehnik preživetja od zemlje – se lahko skupina izogne standardnim metodam odkrivanja. Skupina grožnje lahko namesti tudi zlonamerno programsko opremo, ki spusti zlonamerne podpisane gonilnike, namenjene prekinitvi procesov, povezanih z varnostno programsko opremo, in brisanju datotek.
Scattered Spider uporablja nedavno registrirana in zelo prepričljiva imena lažnih domen, ki posnemajo legitimne prijavne portale, zlasti strani za preverjanje pristnosti Okta. Te domene imajo kratko življenjsko dobo ali čas delovanja, zaradi česar je odkrivanje težko.
Od leta 2023 je skupina Scattered Spider opazila uporabo petih različnih kompletov za lažno predstavljanje, saj so se strategije uvajanja skupine razvile in vključujejo ponudnike dinamičnega DNS-a. Poleg tega je skupina v svojo napadalno verigo vključila trojanca za oddaljeni dostop (RAT) Spectre za uvajanje zlonamerne programske opreme v ogrožene sisteme, da bi pridobila trajen dostop. Ta zlonamerna programska oprema vključuje mehanizme za oddaljeno odstranitev in posredovanje povezav z dodatnimi strežniki za upravljanje in nadzor (C2), kar kaže na to, da skupina morda uporablja infrastrukturo C2 za izvajanje ukrepov po izkoriščanju v omrežjih žrtev.
*****
Stranska vrstica:
|
Znana domenska imena, ki jih uporablja Scattered Spider
|
- targetsname-servicedesk[.]com
|
|
|
|
|
- targetsname-helpdesk[.]com
|
- oktalogin-targetcompany[.]com
|
Razpršeni pajek Svetovanje o kibernetski varnosti skupaj so ga pripravili FBI, CISA, kraljeva kanadska konjeniška policija, avstralski center za kibernetsko varnost pri avstralskem direktoratu za signale, avstralska zvezna policija, kanadski center za kibernetsko varnost in nacionalni center za kibernetsko varnost Združenega kraljestva
*****
Priporočila
Naslednja priporočila so se izkazala za učinkovita za člane ISAC. Številna so povzeta po priporočilih FS-ISAC. osnove kibernetike, pristop, ki temelji na tveganju in zagotavlja globinsko obrambo ter je uporaben za organizacije na kateri koli stopnji kibernetske zrelosti.
Uporabite postopek večkanalnega preverjanja — Nobena organizacija se ne bi smela zanašati na en sam komunikacijski kanal za spremembe gesel zaposlenih ali zahteve za ponastavitev večfaktorskih potrdil (MFA). Nekatera podjetja lahko izkoristijo vnaprej določen seznam vprašanj, na katera lahko odgovori le zaposleni, da sprožijo ponastavitev gesel in MFA. Zaposleni v IT bi se morali vedno počutiti pooblaščene, da izpodbijajo zahtevo za preverjanje katerega koli drugega zaposlenega.
Akcijski koraki:
- Oddelek za IT bi moral uporabljati večkanalno preverjanje, vključno z:
- Preverjanje zahtev, oddanih po e-pošti, SMS-u ali telefonu, s povratnim klicem na vnaprej registrirano in znano telefonsko številko
- Statične PIN-e na fizični znački
- Vizualna validacija
- Uporabite glasovno geslo, ki ga poznajo le zaposleni, ali niz odgovorov na vprašanja, ki jih ni enostavno uganiti, npr. »Kakšen je dekliški priimek vaše matere? Kdaj ste začeli delati? Kakšna je oznaka sredstva vašega službenega prenosnika?«
Zahtevajte, da dva zaposlena odobrita določene vrste zahtev – na primer velike finančne nakazila – ali zahteve zaposlenih z visoko stopnjo privilegijev.
- Obrnite se na vodjo zaposlenega, ko zaposleni zahteva ponastavitev poverilnic in večfaktorske autentifikacije..
- Spodbujajte kulturo, v kateri se od IT-oseb pričakuje in je pooblaščeno, da podvomijo v kakršne koli nenavadne ali zelo občutljive zahteve, tudi od vodilnih delavcev, brez strahu pred posledicami.
Osredotočite se na taktike socialnega inženiringa — Scattered Spider se zanaša na izkoriščanje socialnega inženiringa in je zelo ustvarjalen pri uporabi lažnega predstavljanja, vishinga in smishinga. Skupina groženj pogosto v svoje vabe vzbuja občutek nujnosti in izkorišča strahove, empatijo in spoštovanje avtoritete žrtev. Vključite te TTP-je v simulacije in preizkusite odzive zaposlenih nanje.
Akcijski koraki:
- Izvajajte stalna, obvezna usposabljanja za ozaveščanje o varnosti in simulacije lažnega predstavljanja z običajnimi in trenutnimi vabami.
- Prilagodite usposabljanje delovnemu mestu – služba za pomoč uporabnikom IT, predstavniki službe za stranke, kadrovska služba in vodstvo lahko potrebujejo podrobnejše in specifično usposabljanje o taktikah akterjev groženj in trenutnih kampanjah.
- Predstavnike službe za stranke usposobite za postopke službe za pomoč uporabnikom. Na primer, poudarite, da njihova služba za pomoč uporabnikom nikoli ne bo zahtevala, da zaposlenega namesti programsko opremo za oddaljeno pomoč ali zaobide kateri koli varnostni nadzor.
- Uporabite najmanjše privilegije, da bodo zaposleni, zlasti predstavniki službe za stranke, od končnega uporabnika zahtevali dodatno preverjanje, preden jim omogočijo večji dostop.
Preglejte profile skrbnikov na družbenih omrežjih, zlasti skrbnikov oblaka Profili in objave skrbnikov na družbenih omrežjih lahko nenamerno prikazujejo informacije, povezane z delom – npr. odgovornosti, delovno zgodovino, sodelavce, dnevno rutino –, ki jih akterji grožnje uporabljajo za prilagajanje napadov (npr. izkoriščanje potovalnih načrtov za vzpostavitev verodostojnosti ali nujnosti v napadalni kampanji). Skrbniki oblaka so posebne tarče. Pridobitev njihovih pravic dostopa bi akterjem grožnje omogočila dostop do dragocenih virov v oblaku in nadzor nad njimi ter možnost povzročitve obsežne škode. Podjetja bi morala uvesti politike družbenih omrežij, ki opisujejo informacije, ki jih akterji grožnje izkoriščajo, in prepovedati takšne informacije v objavah na družbenih omrežjih. Redno pregledujte družbena omrežja skrbnikov – zlasti objave skrbnikov oblaka – glede skladnosti s politiko družbenih omrežij.
Akcijski koraki:
- Razviti in uveljaviti podrobne, dostopno specifične politike družbenih medijev, ki pojasnjujejo vrste informacij, ki jih je dovoljeno objavljati in katerih ne.
- Izvedite revizije za zagotovitev skladnosti.
- Zagotovite usposabljanje o tveganjih deljenja občutljivih poklicnih podatkov.
Ocena pravic dostopa do službe za pomoč uporabnikom - Pravice službe za pomoč uporabnikom se lahko sčasoma spreminjajo in včasih dajejo privilegije vsem skrbniškim konzolam, kot so pretok pošte, varnostni nadzor itd. Revizija pravic dostopa do službe za pomoč uporabnikom zagotavlja usklajenost z operativnimi potrebami, hkrati pa preprečuje nepooblaščen dostop, ki bi ga lahko izkoristili akterji grožnje, kot je Scattered Spider. Avtomatizirani sistemi upravljanja izboljšujejo nadzor.
Akcijski koraki:
- Uvedite avtomatizirane sisteme za stalno spremljanje in prilagajanje pravic dostopa.
- Načrtujte redne preglede dostopa, da zagotovite skladnost z delovnimi nalogami.
Spremljanje virtualnih strojev v oblačnih okoljih – Implementirajte orodja za spremljanje, ki bodo opozarjala na nepooblaščene dejavnosti virtualnih strojev (VM), kot so sumljive storitve, nenormalna uporaba virov in poskusi eskalacije privilegijev, s protokoli za hitro izolacijo in zaustavitev sumljivih VM. Ta zmogljivost hitrega odzivanja je ključnega pomena za prepoznavanje sumljivih dejavnosti, preprečevanje morebitnih kršitev in zmanjševanje groženj.
Akcijski koraki:
- Pripravite seznam dovoljenih dejavnosti.
- Uvedite sisteme za spremljanje in opozarjanje ter poiščite vrzeli v njih.
- Vzpostavite protokole za hiter odziv na nepooblaščene dejavnosti.
- Odpravite nepotrebna orodja RMM in vključite žetone honeytoken okoli uporabe orodij RMM za zgodnje odkrivanje in opredelitev prstnih odtisov.
- Konfigurirajte brskalnike in opravila tako, da redno brišejo trajne piškotke.
- Zmanjšajte čas delovanja spletnih piškotkov – Scattered Spider jih uporablja za vzpostavitev trajnega dostopa in izbruh podatkov.
Pregled varnostnih kontrolnikov infrastrukture virtualnih namiznih računalnikov - Zagotovite, da so okolja infrastrukture virtualnih namiznih računalnikov (VDI) zavarovana z MFA in nenehno spremljajte dejavnosti uporabnikov.
Akcijski koraki:
- Preglejte seznam uporabnikov VDI, da se prepričate, da je posodobljen.
- Uveljavite večstransko pomoč.
- Ne dovolite osebnim napravam neposrednega dostopa do storitev Office 365, Enterprise Google Workspace, poslovnih VPN-jev itd.
- Zahtevajte večfaktorsko preverjanje pristnosti (MFA), odporno proti lažnemu predstavljanju, kot so YubiKeys, Windows Hello for Business itd. Ne zaupajte uporabnikom, da bodo odobrili zahteve MFA ali dali kode.
- Če ima organizacija VDI, ki omogoča dostop tretjih oseb, zagotovite, da ti VDI-ji ne morejo dostopati do varnih lupin (SSH) ali protokolov oddaljene mize (RDP) ali do spletnih mest, ki jih uporabnik ne potrebuje za opravljanje svojega dela.
- Redno izvajajte revizije in spremljanje vseh uporabniških sej v realnem času.
- Potrdite, da v nobeni aplikaciji, vključno z aplikacijami dobaviteljev, ni večfaktorskih sporočil prek SMS-a. Večfunkcijska asistenca prek SMS-ov lahko predstavlja znatno tveganje, ker:
-
- SMS sporočila je mogoče prestreči, ker niso šifrirana
- Napadalci lahko zaobidejo MFA s socialnim inženiringom
- Grožnje lahko pridobijo nadzor nad telefonsko številko, prestrežejo SMS sporočila in pridobijo nepooblaščen dostop z zamenjavo SIM kartice.
- Izpadi lahko uporabnikom preprečijo prejemanje kod za preverjanje pristnosti
Prepoznavanje dostopnih točk in blokiranje dostopa z visokim tveganjem – Številne organizacije morajo zaposlenim, regulativnim agencijam, zunanjim ponudnikom in drugim omogočiti dostop do svoje digitalne infrastrukture. Vse vstopne točke – zlasti tiste z visokim tveganjem – zaščitite s kontrolniki ali blokadami in predpostavite, da so vsi ponudniki upravljanih storitev ogroženi.
Akcijski koraki:
- Ne dajajte tretjim osebam neomejenega dostopa do poslovnega omrežja.
- Zamenjajte VPN-je med lokacijami z virtualnimi deljenimi viri (VDI) z uporabo večfaktorske autentifikacije (MFA), odporne proti lažnemu predstavljanju, in ničelnega zaupanja, kjer koli je to mogoče.
- Prepoznajte in blokirajte novo ustvarjene domene, ki so videti kot potencialna spletna mesta za lažno predstavljanje (npr. domenska imena, ki uporabljajo tipografske napake).
- Blokirajte izvajanje vseh izvedljivih datotek RAT na upravljanih napravah.
- Blokirajte spletna mesta vseh znanih komercialnih orodij za oddaljeno pomoč.
- Kjer je to izvedljivo, uvedite geografsko blokiranje.
- Blokirajte komercialne VPN-je, ki se povezujejo s poslovnim VPN-jem ali VDI-jem, s storitvijo, kot sta ip2proxy ali Spur.
- Blokirajte vrste naprav v omrežju VPN, če jih predstavniki službe za stranke ne uporabljajo. (Nasprotniki so pogosto uporabljali naprave Android x86.)
Dovoljenja za revizijo, odobrena kadrovski službi - Stroga uskladitev dovoljenj kadrovske službe z operativnimi potrebami ščiti občutljive podatke o zaposlenih in finančne podatke.
Akcijski koraki:
- Izvedite celovito revizijo dovoljenj za dostop do kadrovske službe.
- Preverite pravice dostopa prodajalcev in ponudnikov.
- Izobražujte kadrovsko službo o tveganjih kibernetske varnosti in pravilnem ravnanju s podatki.
Pripomočki za premikanje raziskovalnih podatkov v aplikacijah SaaS - Spremljanje in sledenje premikom podatkov znotraj sistemov SaaS (programska oprema kot storitev) (npr. Salesforce ali ServiceNow) je ključnega pomena, ker imajo aplikacije SaaS pogosto na voljo pripomočke za premik podatkov (tretjih oseb) za različne namene in lahko vsebujejo občutljive podatke.
Akcijski koraki:
- Integrirajte spremljanje premikanja podatkov v podatke dnevnika.
- Nastavite avtomatizirana opozorila in kontrole za nenavadne dejavnosti s podatki.
Pregled zaupanja vrednih IP-naslovov, izvzetih iz MFA - Organizacije lahko znižajo strogost MFA glede zahtev iz zaupanja vrednega omrežja, kot je VPN, pisarniško omrežje itd. Zmanjšanje teh izjem MFA krepi nadzor dostopa do omrežja, kar je ključni korak pri zavarovanju finančnih in občutljivih podatkov.
Akcijski koraki:
- Ponovno ocenite in posodobite seznam zaupanja vrednih naslovov IP v okolju.
- Zamenjajte statični seznam dovoljenih IP-jev z dinamičnimi pravilniki pogojnega dostopa.
Prepoznajte notranjo grožnjo, ki jo predstavljajo predstavniki službe za stranke — Razpršeni pajek pogosto pridobi začetni dostop do poslovnih sistemov tako, da prelisiči predstavnike službe za stranke – vendar jih tudi rekrutira. Redno pregledujte sistem za morebitne zlonamerne dejavnosti.
Akcijski koraki:
- Preverite dejavnosti predstavnikov službe za stranke glede znakov morebitne ogroženosti, kot so:
- Veliko število ponastavitev gesel ali ogledov računa v kratkem času
- Dostop do računov strank brez ujemanja korakov preverjanja (npr. vnos PIN-a stranke, ujemanje z ANI itd.)
- »Žongliranje s poverilnicami«, tj. prijava v VPN s poverilnicami, ki se razlikujejo od tistih, ki se uporabljajo za dostop do orodij za družbene odgovornosti
- V dnevnikih podpore za klepet/e-pošto poiščite poskuse zaposlovanja z uporabo iskanja nizov, ki se nanašajo na pogoste izraze, uporabljene v nagovarjanju k zaposlitvi, kot so »Telegram«, »Wickr« ali »Obogatite se«.
- Uvedite časovno omejen dostop za predstavnike službe za stranke do poverilnic in VPN ter opozorite na vse prijave zunaj običajnega delovnega časa agentov.
Taktike in blažitve razpršenih pajkov
Naslednja tabela vključuje analizo obveščevalnih podatkov, ki so jih delile tisoče organizacij članic, ki so jo izvedli strokovnjaki ISAC za kibernetsko varnost. Številne taktike je FBI odkril med preiskavami Scattered Spider, ki so opisane v skupnem poročilu. Svetovanje CISA in FBI o kibernetski varnosti Scattered SpiderUkrepi za ublažitev MITRE ATT&CK so izpeljani iz analize TTP-jev, ki temelji na opazovanjih organizacije v resničnem svetu.
OGLEJTE SI ZGORAJ V PDF-JU.
