Израдили су ISAC за финансијске услуге, ISAC за информационе технологије, ISAC за храну и пољопривреду, ISAC за здравство, ISAC за ваздухопловство, ISAC за аутомобилску индустрију, ISAC за малопродају и угоститељство, ISAC за поморски транспортни систем, ISAC за електричну индустрију и Национални савет ISAC-ова, уз доприносе партнера из приватног сектора из комуникација ISAC-а.
Чланови Националног савета ISAC-а (NCI) са високим степеном поверења процењују да група претњи Scattered Spider представља стварну претњу и да њена способност да искористи људске рањивости путем социјалног инжењеринга чини групу значајним ризиком за организације.
Ова анализа детаљно приказује активност Расутог паука на основу његових уочених трговачких активности у секторима од маја 2025. године, пружајући:
🔹 Позадина о Scattered Spider-у како би фирме могле боље да процене своју површину претњи
🔹 Техничке процедуре и културне праксе за спречавање напада расутог паука
🔹 Анализа обавештајних података чланова Центра за размену и анализу информација (ISAC) и ФБИ-ја и одговарајућих MITRE ATT&CK® ублажавања
Препоручене мере су се показале ефикасним против Scattered Spider-а и сличних претњи, према стручној процени обавештајних података. Ублажавања укључују основне потребе FS-ISAC-а. основе сајбер технологије, усклађено са ТТП-овима (тактикама, техникама и процедурама) Расутог паука на основу познатих претњи.
Међутим, актери претњи попут Scattered Spider-а стално иновирају, тако да организације морају бити марљиве у континуираном праћењу својих процеса и идентитета како би тражиле нове експлоитете.
Ове налазе су заједнички израдили ISAC-ови за финансијске услуге, информационе технологије, храну и пољопривреду, здравство, ваздухопловство, аутомобилску индустрију, малопродају и угоститељство и поморски транспортни систем, као и NCI. NCI се састоји од 28 организација и осмишљен је да максимизира проток информација између критичних инфраструктура приватног сектора и владиних агенција.
Scattered Spider је финансијски – а не идеолошки – мотивисана група младих независних оператера у Великој Британији, САД и Канади. Према истраживачима, Scattered Spider је део веће хакерске заједнице познате као The Community или The Com, која се организује путем онлајн платформи, укључујући групне четове на Discord-у и Telegram-у. Scattered Spider користи високо ефикасне технике социјалног инжењеринга и крађу акредитива како би добио приступ циљаним мрежама, а затим монетизује своје нападе кроз крађу података, изнуду или операције рансомвера против партнера. Група је позната по свом опсежном извиђању које идентификује личности за усвајање или запослене за циљање. Велики део успеха Scattered Spider-а приписује се његовој брзини и прилагодљивом циљању које захтева мало напора.
*****
Претње се често придружују позивима за санацију и реаговање на инциденте и телеконференцијама, вероватно како би идентификовали како их безбедносни тимови траже и проактивно развијају нове путеве упада као одговор на одбрану жртве. То се понекад постиже креирањем нових идентитета у окружењу и често се подржава лажним профилима на друштвеним мрежама како би се спречили новокреирани идентитети. Саветодавно упозорење о сајбер безбедности: Расути паук – заједничко саветодавно мишљење Федералног истражног бироа (ФБИ) и Агенције за сајбер безбедност и безбедност инфраструктуре (ЦИСА)
*****
Активан од почетка 2022. године, Scattered Spider је првобитно примећен како циља телекомуникационе и пословне процесне (BPO) ентитете, вероватно као одскочну даску за операције социјалног инжењеринга ради добијања неовлашћеног приступа другим циљевима и њиховим заинтересованим странама. Од тада, група је повезана са преко 100 напада на више тржишних вертикала, али тежи да циља један сектор истовремено. Scattered Spider је познат по компромитовању Caesars Entertainment и MGM Resorts 2023. године и нападу на Twilio 2022. године, што је резултирало нападом на ланац снабдевања који је утицао на апликацију за размену порука Signal. Циљао је трговце на мало у САД и Великој Британији у априлу и мају 2025. године, а затим је преусмерио фокус на финансијски сектор, посебно осигуравајуће компаније, и сектор авијације.
Почетни приступ добијен путем:
> Напади социјалног инжењеринга
>Напади умора од мултифункционалних активности
Осваја администраторска права тако што:
3. Упорност добијена:
>Заказани задаци
>Злонамерне услуге
>Креирање локалног корисника
>Механизми перзистентности у облаку
4. Избегавање одбране омогућено:
>Онемогућавање AV/EDR-а
>Измена Windows GPO-а
>Онемогућавање Дефендера, евидентирања или телеметрије
>Уклањање EDR драјвера
5. Бочно кретање путем:
>PsExec
>Удаљено управљање PowerShell-ом
>WMI
>Легитимне VPN или Citrix везе
Типична тактика је убеђивање агената ИТ службе за помоћ да изврше самостално ресетовање лозинки (SSPR) за циљане налоге. Технике Scattered Spider-а укључују употребу поруке услуге кратких порука (СМС) — тј. слање порука — и гласовни фишинг (smishing и vishing) за хватање акредитива за контролне табле за јединствено пријављивање (SSO), Microsoft Office 365/Azure, VPN-ове и edge уређаје.
Група је такође позната по отимању вишефакторске аутентификације (MFA) путем замене SIM картица (модула идентитета претплатника). Затим побеђује MFA путем замора од обавештења или убеђује агенте службе за помоћ да ресетују MFA метод циљаних налога.
Након успешног компромитовања корисничког налога, оперативци Scattered Spider-а региструју друге уређаје под тим налогом. Када могу да добију администраторске привилегије, креирају налоге које контролише нападач унутар окружења жртве. Затим, актер претње успоставља перзистентност за неовлашћени приступ окружењу жртве и гради редундантност како би спречио покушаје уклањања злонамерног софтвера или приступа.
Накнадне извиђачке активности укључују покушај откривања корпоративних платформи – укључујући Windows, Linux, Google Workspace, Microsoft Entra ID (раније Azure Active Directory), Microsoft 365, AWS и друге алате хостоване унутар cloud инфраструктуре – и латерално кретање, преузимање одговарајућих алата за извлачење осетљивих података.
*****
Health-ISAC је добио обавештајне податке који повезују ботнет Amadey са нападима Scattered Spider. Ботнет Amadey су користили актери ransomware-а као што су BlackSuit, BlackBasta и Akira за убацивање програма за учитавање злонамерног софтвера у мреже жртава. Ботнет је избегао мере спровођења закона против платформи за злонамерни софтвер као услугу (MaaS), што му је омогућило да се развија од 2018. године.
*****
Ово дубоко разумевање изворне инфраструктуре жртве омогућава групи Scattered Spider да извршава злонамерне накнадне активности. Управо кроз ово дубоко разумевање – нпр. способност да извршава технике преживљавања од земље – група може да избегне стандардне методе откривања. Група претњи такође може да примени малвер који испушта злонамерне потписане драјвере дизајниране да прекину процесе повезане са безбедносним софтвером и избришу датотеке.
Scattered Spider користи недавно регистрована и веома убедљива имена фишинг домена која имитирају легитимне портале за пријаву, посебно Okta странице за аутентификацију. Ови домени имају кратак век трајања или време непрекидног рада, што отежава откривање.
Од 2023. године, примећено је да Scattered Spider користи пет различитих фишинг комплета, јер су се стратегије распоређивања групе развијале тако да укључују провајдере динамичког DNS-а. Поред тога, група је укључила тројанца за удаљени приступ (RAT) Spectre у свој ланац напада за распоређивање злонамерног софтвера на компромитованим системима како би добила трајни приступ. Овај злонамерни софтвер укључује механизме за даљинско деинсталирање и посредовање у везама са додатним серверима за команду и контролу (C2), што сугерише да група можда користи C2 инфраструктуру за спровођење акција након експлоатације на мрежама жртава.
*****
|
Позната имена домена које користи Scattered Spider
|
|
|
|
|
|
Сцаттеред Спидер Савети за сајбер безбедност заједнички су израдили ФБИ, ЦИСА, Краљевска канадска коњичка полиција, Аустралијски центар за сајбер безбедност Аустралијске дирекције за сигнале, Аустралијска федерална полиција, Канадски центар за сајбер безбедност и Национални центар за сајбер безбедност Уједињеног Краљевства
*****
Следеће препоруке су се показале ефикасним за чланове ISAC-а. Многе су преузете из FS-ISAC-ових основе сајбер технологије, приступ заснован на ризику, одбрани у дубину, основним потребама сајбер безбедности, применљив на организације на било ком нивоу сајбер зрелости.
Користите процес верификације преко више канала — Ниједна организација не би требало да се ослања на један канал комуникације за промене лозинки запослених или захтеве за ресетовање вишеструких личних аутентификација (MFA). Неким фирмама може бити корисно коришћење унапред одређене листе питања на која само запослени може да одговори како би покренули ресетовање лозинки и MFA. ИТ запослени би увек требало да се осећају овлашћено да оспоре захтев за верификацију било ког другог запосленог.
Захтевајте да два запослена одобре одређене врсте захтева - као што су велики финансијски трансфери - или захтеве запослених са високим нивоом привилегија.
Фокус на тактике социјалног инжењеринга — Scattered Spider се ослања на експлоатације социјалног инжењеринга и веома је креативан у коришћењу фишинга, вишинга и смишинга. Група претњи често усађује осећај хитности у своје мамце и користи страхове, емпатију и поштовање према ауторитету жртава. Укључите те ТТП-ове у симулације и тестирајте реакције запослених на њих.
Прегледајте профиле администратора на друштвеним мрежама, посебно администратора облака Профили и објаве администратора на друштвеним мрежама могу ненамерно приказивати информације везане за посао – тј. одговорности, радну историју, колеге, дневну рутину – које актери претњи користе за прилагођавање напада (нпр. коришћење путних планова за успостављање кредибилитета или хитности у кампањи претњи). Администратори облака су посебне мете. Добијање њихових привилегија приступа би актерима претњи омогућило приступ и контролу над вредним ресурсима облака и могућност да изазову штету велике разлике. Фирме би требало да уведу политике друштвених медија које описују информације које актери претњи користе и забрањују такве информације у објавама на друштвеним мрежама. Редовно прегледајте друштвене медије администратора – посебно објаве администратора облака – ради усклађености са политиком друштвених медија.
Процена права приступа служби за помоћ - Права службе за помоћ могу се временом мењати, понекад дајући привилегије свим администраторским конзолама, као што су проток поште, безбедносне контроле итд. Ревизија права приступа служби за помоћ осигурава усклађеност са оперативним потребама, истовремено спречавајући неовлашћени приступ који би могли да искористе претње попут Scattered Spider-а. Аутоматизовани системи управљања побољшавају надзор.
Праћење виртуелних машина у облачним окружењима – Имплементирајте алате за праћење како бисте пружали упозорења о неовлашћеним активностима виртуелних машина (ВМ), као што су сумњиве услуге, абнормално коришћење ресурса и покушаји ескалације привилегија, са протоколима за брзо изоловање и искључивање сумњивих ВМ. Ова могућност брзог реаговања је кључна за идентификовање сумњивих активности, спречавање потенцијалних пропуста и ублажавање претњи.
Преглед безбедносних контрола инфраструктуре виртуелних десктопа - Осигурајте да су окружења инфраструктуре виртуелних десктопа (VDI) безбедна помоћу MFA и континуирано пратите активности корисника.
Идентификујте приступне тачке и блокирајте приступ високог ризика – Многе организације морају да дозволе запосленима, регулаторним агенцијама, добављачима трећих страна и другима приступ својој дигиталној инфраструктури. Заштитите све улазне тачке – посебно оне високог ризика – контролама или блокадама и претпоставите да су сви добављачи управљаних услуга угрожени.
Дозволе за ревизију дате одељењу за људске ресурсе - Строго усклађивање дозвола за људске ресурсе са оперативним потребама штити осетљиве податке о запосленима и финансије.
Услужни програми за истраживање преноса података у SaaS апликацијама - Праћење и надгледање кретања података унутар SaaS (софтвер као услуга) система (нпр. Salesforce или ServiceNow) је кључно јер SaaS апликације често имају (треће стране) услужне програме за кретање података доступне за различите сврхе и могу садржати осетљиве информације.
Прегледајте поуздане IP адресе изузете од MFA - Организације могу смањити ригорозност вишеструке офсетне провере (MFA) у вези са захтевима из поуздане мреже, као што је VPN, канцеларијска мрежа итд. Минимизирање ових изузетака MFA јача контроле приступа мрежи, што је витални корак у обезбеђивању финансијских и осетљивих података.
Препознајте инсајдерску претњу коју представљају представници корисничке службе — Scattered Spider често добија почетни приступ пословним системима преваром представника корисничке службе – али их и регрутује. Редовно скенирајте у потрази за потенцијално злонамерним активностима.
Тактике и ублажавања расутих паука
Следећа табела приказује анализу обавештајних података које су поделиле хиљаде организација чланица коју су спровели стручњаци за сајбер безбедност ISAC-а. Многе тактике је открио ФБИ током истрага о пројекту „Распршени паук“, а које су наведене у заједничком извештају. Саветодавно упозорење CISA и FBI о сајбер безбедности „Scattered Spider“Мере за ублажавање последица MITRE ATT&CK су изведене из њихове анализе ТТП-ова, на основу запажања организације из стварног света.
Хеалтх-ИСАЦ 2025. Пејзаж сајбер претњи здравственог сектора наглашава континуирану ескалацију сајбер напада. Кључни налази укључују пораст напада рансомвера, са све софистициранијим техникама које користе актери претњи.
Извештај такође наглашава растућу претњу актера националних држава и сајбер шпијунаже, циљајући осетљиве податке о пацијентима и интелектуалну својину. Штавише, пораст уређаја Интернет оф Медицал Тхингс (ИоМТ) увео је нове рањивости, док еволуирајући пејзаж претњи захтева континуирано прилагођавање безбедносних мера за организације здравственог сектора на глобалном нивоу.
анорама де Амеацас Цибернетицас ОП до Сетор де Сауде до Хеалтх-ИСАЦ 2025 дестаца ума есцалада цонтинуа де атакуес цибернетицос. Ас принципаис цонцлусоес инцлуем ум аументо нос атакуес де рансомваре, цом тецницас цада вез маис софистицадас емпрегадас пор агентес де амеацас.
О релаторио тамбем енфатиза а цресценте амеаца де агентес естатаис-нацао е да цибереспионагем, висандо е да цибереспионагем, висандо дадос сенсивеис де пацијентес е проприедаде интеллецтуал. Алем диссо, о сургименто де диспоситивос де Интернет дас Цоисас Медицас (ИоМТ) интродузиу новас вулнерабилидадес, енкуанто о ценарио де амеацас ем еволуцао екиге а адаптацао цонтинуа де медидас де сегуранца да сегуранца до сегуранца до сегуранца за организацију.
Инцлуи о сегуинте, алем де инсигхтс импортантес ектраидос дос дадос да пескуиса:
Брза реакција је посебно критична када се ради о кршењима која укључују неподржану технологију. Недавно предложено ХИПАА правило захтева од здравствених организација да обнове системе у року од 72 сата. Еррол Веисс, главни службеник за безбедност у здравље-ИСАЦ, рекао је да су ове три области у наставку кључне.
|
|---|
|
|---|
Након трагичне пуцњаве на извршног директора УнитедХеалтхцаре-а у Њујорку 4. децембра, Хеалтх-ИСАЦ је 9. децембра издао упозорење члановима у којем је идентификовано једанаест мера предострожности које организације здравственог сектора треба да предузму.
Хеалтх-ИСАЦ је примио извештаје о вишеструким објавама на мрежи које прете руководиоцима у здравственом сектору. Форуми су идентификовани као извор претњи усмерених на извршне директоре у здравственој индустрији, посебно на водеће компаније за здравствено осигурање и фармацеутске компаније. Хеалтх-ИСАЦ је издао билтен о претњама како би информисао глобални здравствени сектор о томе чега треба да буде свестан и препоручио кораке за ублажавање које би организације требало да предузму одмах. Молимо прочитајте и поделите у оквиру здравственог сектора.
Ове претње, које се крећу од општег застрашивања до конкретних позива на насиље, појавиле су се након недавног убиства генералног директора УнитедХеалтхцаре-а. Важно је напоменути да починилац овог недавног атентата још није ухапшен, а истрага о могућим мотивима је још у току.
Иако ове претње које циркулишу нису верификоване, Хеалтх-ИСАЦ препоручује повећану свест о безбедности међу здравственим радницима и строже мере безбедности како би се осигурала безбедност.
Позиви на насиље могу се проширити на сајбер домен, наводећи хактивисте да изводе ДДоС и друге ометајуће нападе на здравствени сектор. Хеалтх-ИСАЦ препоручује да чланови остану опрезни у погледу заштите целокупне инфраструктуре и да организације деле све детаље које могу о претњама руководиоцима како бисмо могли да обавештавамо заједницу.
Како се здравствена индустрија све више ослања на међусобно повезане дигиталне системе, важност снажног управљања рањивостима никада није била израженија. Недавно извештај од Хеалтх-ИСАЦ, Мере рањивости и извештавање, баца светло на најбоље праксе и стратегије за јачање сајбер безбедности у здравственим системима.
Прочитајте цео чланак на ХеалтхСистемЦИО.цом Кликните овде
Ова бела књига представља анализу анкете коју је међу члановима Хеалтх-ИСАЦ-а спровела Радна група за развој програма Цибер Тхреат Интеллигенце (ЦТИ). Истраживање је имало за циљ да пружи критичан увид у тренутно стање ЦТИ програма у здравственом сектору, идентификујући предности и могућности за раст.
Намена
Резултати анкете су били од кључног значаја за усмеравање напора Радне групе да дају приоритет високо вредним резултатима и подстичу сарадњу унутар заједнице Хеалтх-ИСАЦ. Ови налази су послужили за развој практичних ресурса дизајнираних да подрже и унапреде ЦТИ иницијативе.
Кључни налази
Рад истражује 9 кључних налаза из анкете, који су директно утицали на креирање ресурса и алата прилагођених потребама чланова Хеалтх-ИСАЦ-а. Ови налази служе као основа за иновативни пакет ресурса под називом ЦТИ у кутији. Овај свеобухватни ресурс организује основне алате, стратегије и најбоље праксе за оснаживање чланова Хеалтх-ИСАЦ-а у јачању својих ЦТИ програма. Чланови могу приступити ЦТИ у кутији кроз Хеалтх-ИСАЦ Портал за обавештавање о претњама (Х-ТИП).
Наменски направљено решење омогућава тимовима за безбедност здравствене заштите са изворима претњи специфичним за здравствену заштиту и могућностима аутоматског реаговања.
Еррол Веисс, главни службеник за безбедност у Хеалтх-ИСАЦ-у и корисник Циваре-а, је изразио критичну потребу за овом иновацијом: „Здравство је један од сектора који су највише циљани од стране сајбер криминалаца. Поседовање платформе за обавештавање претњи која је дизајнирана посебно за нашу индустрију омогућиће здравственим организацијама да брзо приступе релевантним, делотворним увидима који могу да направе опипљиву разлику у одбрани од софистицираних напада.”
Рејчел Џејмс, члан Одбора за обавештавање о претњама за здравље-ИСАЦ, напоменуо је: „У окружењу у којем је време критично, тимовима за безбедност здравствене заштите су потребни алати који им омогућавају да ураде више са мање напора, али са већом прецизношћу. Циваре-ова платформа за обавештавање претњи у здравству је дизајнирана да брзо идентификује и реагује на претње специфичне за здравствену заштиту, оснажујући организације да буду испред напада без да буду преплављене сложеношћу.”
Прочитајте комплетно саопштење за јавност у БусинессВире-у:
У данашњем свету који је увек укључен, управљање рањивостима је темељни процес за све организације. Показатељи и извештавање играју кључну улогу у праћењу услуга које пружамо, имплементацији могућности откривања и напорима за поправку апликација или технолошких тимова. Ефикасно приповедање са метриком и извештавањем може помоћи да се прикажу побољшања или ефикасност нашег особља за технолошку подршку. Тим за управљање рањивостима треба да има систем бодовања који одражава рокове санације организације.
