Inläggsämne: Hotinformation

Vägledning för proaktivt försvar

Producerad av Financial Services ISAC, Informationsteknologi ISAC, Livsmedel och jordbruk ISAC, Hälsa ISAC, Flyg ISAC, Fordon ISAC, Detaljhandel och hotell- och restaurangbranschen ISAC, Sjöfartssystemet ISAC, El ISAC och National Council of ISACs, med bidrag från privata partners inom kommunikations-ISAC.

Download

Textversion:

Analys av hot mot spridd spindel

Beskrivning

Medlemmar i National Council of ISACs (NCI) bedömer med hög säkerhet att hotbildsgruppen Scattered Spider utgör ett verkligt hot, och att dess förmåga att utnyttja mänskliga sårbarheter genom social ingenjörskonst gör gruppen till en betydande risk för organisationer.

Denna analys beskriver Scattered Spiders aktivitet baserat på dess observerade handel över sektorer från och med maj 2025, och tillhandahåller:

🔹 Bakgrund om Scattered Spider så att företag bättre kan avgränsa sin hotyta

🔹 Tekniska procedurer och kulturella metoder för att motverka attacker från spridda spindlar

🔹 Analys av medlemmar i Information Sharing and Analysis Center (ISAC) och FBI-underrättelser samt motsvarande MITRE ATT&CK® mitigations

De rekommenderade åtgärderna har visat sig effektiva mot Scattered Spider och liknande hotaktörer, enligt expertbedömning av underrättelsetjänster. Åtgärderna inkluderar de grundläggande behoven hos FS-ISAC:s cybergrunder, anpassad till Scattered Spider TTP:er (taktik, tekniker och procedurer) baserat på kända hot.

Hotaktörer som Scattered Spider är dock ständigt innovativa, så organisationer måste vara noggranna med att kontinuerligt övervaka sina processer och identiteter för att leta efter nya exploateringar.

Dessa resultat har tagits fram i samarbete mellan ISAC:erna inom finanssektorn, informationsteknologi, livsmedel och jordbruk, hälsa, flyg, fordonsindustrin, detaljhandel och hotell- och restaurangbranschen samt sjötransportsystemet, och NCI. NCI omfattar 28 organisationer och är utformad för att maximera informationsflödet mellan kritisk infrastruktur inom den privata sektorn och myndigheter.

Bakgrund och TTP:er

Scattered Spider är en ekonomiskt – snarare än ideologiskt – motiverad grupp unga oberoende aktörer i Storbritannien, USA och Kanada. Enligt forskare är Scattered Spider en del av en större hackergemenskap som kallas The Community eller The Com, som organiseras via onlineplattformar, inklusive Discord- och Telegram-gruppchattar. Scattered Spider använder mycket effektiva sociala ingenjörskonsttekniker och stöld av autentiseringsuppgifter för att få tillgång till målnätverk, och tjänar sedan pengar på sina attacker genom datastöld, utpressning eller affiliate ransomware-operationer. Gruppen är känd för sin omfattande rekognoscering som identifierar personas att anta eller anställda att rikta in sig på. Mycket av Scattered Spiders framgång tillskrivs dess snabbhet och ansträngningsfria, anpassningsbara målgrupp.

*****

Sidebar:

Hotaktörerna deltar ofta i samtal och telefonkonferenser för att åtgärda incidenter och svara på dem, troligen för att identifiera hur säkerhetsteam jagar dem och proaktivt utveckla nya intrångsvägar som svar på offrens försvar. Detta uppnås ibland genom att skapa nya identiteter i miljön och upprätthålls ofta med falska profiler på sociala medier för att backa upp nyskapade identiteter. Cybersäkerhetsmeddelande: Spridd spindel – en gemensam rådgivning från Federal Bureau of Investigation (FBI) och Cybersecurity and Infrastructure Security Agency (CISA)

*****

Scattered Spider, som var aktivt sedan början av 2022, observerades initialt som inriktat på telekommunikations- och outsourcing av affärsprocesser (BPO), troligen som en språngbräda för social ingenjörskonst för att få obehörig åtkomst till andra måltavlor och deras intressenter. Sedan dess har gruppen kopplats till över 100 attacker inom flera marknadsvertikaler, men tenderar att rikta in sig på en sektor i taget. Scattered Spider är ökänt för intrånget 2023 mellan Caesars Entertainment och MGM Resorts och attacken mot Twilio 2022, vilket resulterade i en leveranskedjeattack som påverkade meddelandeappen Signal. Den riktade sig mot amerikanska och brittiska återförsäljare i april och maj 2025, och flyttade sedan sitt fokus till finanssektorn, särskilt försäkringsbolag, och flygsektorn.

1. Ursprunglig åtkomst erhållen via:

   >Social engineering-attacker

   >MFA-utmattningsattacker

2. Samlar in administratörsbehörigheter genom att:

   • Autentiseringsdumpning
   • Lagrade inloggningsuppgifter och hemligheter

3. Persistens erhållen genom:

>Schemalagda uppgifter

>Skadliga tjänster

>Skapande av lokal användare

>Mekanismer för molnpersistens

4. Försvarsundvikande möjliggjort av:

>Avaktivera AV/EDR

>Ändra Windows GPO:er

>Inaktivera Defender, loggning eller telemetri

>Ta bort EDR-drivrutiner

5. Sidoförflyttning via:

>PsExec

>PowerShell-fjärrstyrning

>WMI

>Legitima VPN- eller Citrix-anslutningar

En typisk taktik är att övertala IT-helpdesk-agenter att utföra självbetjäningsåterställningar av lösenord (SSPR) för utvalda konton. Scattered Spiders tekniker inkluderar användning av SMS-meddelanden (short message service) — dvs. sms:ande — och röstnätfiske (smishing och vishing) för att samla in autentiseringsuppgifter för instrumentpaneler för enkel inloggning (SSO), Microsoft Office 365/Azure, VPN och edge-enheter.

Gruppen är också känd för att kapa multifaktorautentisering (MFA) via SIM-kortsbyte (Subscriber Identity Module). Sedan omintetgör den MFA genom att bli aviseringstrött eller övertyga helpdesk-agenter att återställa MFA-metoden för utvalda konton.

Efter att ha komprometterat ett användares konto registrerar Scattered Spider-agenter andra enheter under kontot. När den kan få administratörsbehörighet skapar den angriparkontrollerade konton i offrets miljö. Sedan etablerar hotaktören persistens för obehörig åtkomst till offrets miljö och bygger in redundans för att förhindra försök att ta bort skadlig kod eller åtkomst.

Efterföljande rekognoseringsaktiviteter inkluderar försök att upptäcka företagsplattformar – inklusive Windows, Linux, Google Workspace, Microsoft Entra ID (tidigare Azure Active Directory), Microsoft 365, AWS och andra verktyg som finns i molninfrastrukturen – och att i sidled ladda ner lämpliga verktyg för att extrahera känslig data.

*****

Sidebar:

Health-ISAC har mottagit underrättelser som kopplar Amadey-botnätet till Scattered Spider-attacker. Amadey-botnätet har använts av ransomware-aktörer som BlackSuit, BlackBasta och Akira för att ladda ner skadlig kod i offrens nätverk. Botnätet har kringgått brottsbekämpande åtgärder mot malware-as-a-service (MaaS)-plattformar, vilket har gjort det möjligt för det att utvecklas sedan 2018.

*****

Denna djupa förståelse av offrets inbyggda infrastruktur gör det möjligt för Scattered Spider att utföra oönskade efterföljande aktiviteter. Det är genom denna djupa förståelse – t.ex. dess förmåga att utföra levnadstekniker – som gruppen kan kringgå standarddetekteringsmetoder. Hotgruppen kan också distribuera skadlig kod som släpper skadliga signerade drivrutiner som är utformade för att avsluta processer associerade med säkerhetsprogram och radera filer.

Scattered Spider använder nyligen registrerade och mycket övertygande phishing-domännamn som imiterar legitima inloggningsportaler, särskilt Okta-autentiseringssidor. Dessa domäner har en kort livslängd eller drifttid, vilket gör upptäckt svår.

Sedan 2023 har Scattered Spider observerats med hjälp av fem olika nätfiskepaket, i takt med att gruppens distributionsstrategier har utvecklats till att inkludera dynamiska DNS-leverantörer. Dessutom har gruppen inkluderat fjärråtkomsttrojanen Spectre (RAT) i sin attackkedja för att distribuera skadlig kod på komprometterade system för att få permanent åtkomst. Denna skadliga kod inkluderar mekanismer för fjärravinstallation och förmedling av anslutningar till ytterligare kommando- och kontrollservrar (C2), vilket tyder på att gruppen kan använda C2-infrastruktur för att utföra åtgärder efter utnyttjandet på offrets nätverk.

*****

Sidebar:

Spridd spindel Rådgivning om cybersäkerhet framtagen gemensamt av FBI, CISA, Royal Canadian Mounted Police, Australian Signals Directorate's Australian Cyber Security Centre, Australian Federal Police, Canadian Centre for Cyber Security och Storbritanniens National Cyber Security Centre

*****

Rekommendationer

Följande rekommendationer har visat sig effektiva för ISAC-medlemmar. Många är hämtade från FS-ISAC:s cybergrunder, en riskbaserad, djupförsvarsbaserad strategi för grundläggande cybersäkerhetsbehov som är tillämpliga för organisationer på alla nivåer av cybermognad.

Använd en flerkanalig verifieringsprocess — Ingen organisation bör förlita sig på en enda kommunikationskanal för anställdas lösenordsändringar eller återställning av MFA. Vissa företag kan dra nytta av att använda en förutbestämd lista med frågor som bara den anställde kan besvara för att initiera återställningar av lösenord och MFA. Och IT-anställda bör alltid känna sig befogade att bestrida andra anställdas verifieringsförfrågningar.

Åtgärdssteg:

• IT-avdelningen bör använda flerkanalig verifiering, inklusive:
• Verifiering av förfrågningar gjorda via e-post, sms eller telefon med återuppringning på ett förregistrerat och känt fungerande telefonnummer
• Statiska PIN-koder på en fysisk bricka
• Visuell validering
• Använd ett röstlösenord som bara är känt för anställda, eller en uppsättning svar på frågor som inte är lätta att gissa, t.ex. "Vad är din mors flicknamn? Vilket var ditt anställningsdatum? Vad är inventariebeteckningen på din arbetsdator?"

Kräv att två anställda godkänner vissa typer av förfrågningar – till exempel stora finansiella överföringar – eller förfrågningar från anställda med höga privilegier.

• Kontakta medarbetarens chef när medarbetaren begär en återställning av både inloggningsuppgifter och MFA.
• Främja en kultur där IT-personal förväntas och har befogenhet att ifrågasätta alla ovanliga eller mycket känsliga förfrågningar, även från chefer, utan rädsla för konsekvenser.

Fokus på social ingenjörskonst — Scattered Spider förlitar sig på social ingenjörskonst och är mycket kreativ i sin användning av nätfiske, vishing och smishing. Hotgruppen ingjuter ofta en känsla av brådska i sina lockbete och utnyttjar offrens rädsla, empati och respekt för auktoritet. Inkludera dessa TTP:er i simuleringar och testa anställdas reaktioner på dem.

Åtgärdssteg:

• Implementera kontinuerlig, obligatorisk utbildning i säkerhetsmedvetenhet och nätfiskesimuleringar med vanliga och aktuella lockbete.
• Anpassa utbildningen till rollen – IT-helpdesk, kundtjänstrepresentanter, HR-personal och chefer på ledningsnivå kan behöva mer detaljerad och specifik utbildning om hotaktörers taktik och aktuella kampanjer.
• Utbilda kundtjänstrepresentanter i helpdeskprocedurer. Till exempel, förstärk att deras helpdesk aldrig kommer att be en anställd att installera programvara för fjärrhjälp eller kringgå någon säkerhetskontroll.
• Använd lägsta möjliga behörighet så att anställda, särskilt kundtjänstrepresentanter, kräver ytterligare verifiering från slutanvändaren innan de ger större åtkomst.

Granska administratörers profiler på sociala medier, särskilt molnadministratörers Administratörers profiler och inlägg på sociala medier kan oavsiktligt visa arbetsrelaterad information – t.ex. ansvarsområden, arbetshistorik, kollegor, dagliga rutin – som hotaktörer använder för att skräddarsy attacker (t.ex. utnyttja resplaner för att etablera trovärdighet eller brådska i en "vishing"-kampanj). Molnadministratörer är särskilda måltavlor. Att erhålla deras åtkomstbehörigheter skulle ge hotaktörer tillgång till och kontroll över värdefulla molnresurser och möjligheten att orsaka omfattande skada. Företag bör införa policyer för sociala medier som beskriver den information som hotaktörer utnyttjar och förbjuder sådan information i inlägg på sociala medier. Granska regelbundet administratörers sociala medier – särskilt molnadministratörers inlägg – för att se om de är i linje med policyn för sociala medier.

Åtgärdssteg:

• Utveckla och tillämpa detaljerade, åtkomstspecifika policyer för sociala medier som förklarar vilka typer av information som är – och inte – tillåtna att publicera.
• Genomför revisioner för att säkerställa efterlevnad.
• Ge utbildning om riskerna med att dela känsliga professionella uppgifter.

Bedöm åtkomsträttigheter för helpdesk - Helpdesk-rättigheter kan ändras med tiden, vilket ibland ger behörighet till alla administratörskonsoler, såsom e-postflöde, säkerhetskontroller etc. Granskning av helpdesk-åtkomsträttigheter säkerställer anpassning till operativa behov, samtidigt som obehörig åtkomst som kan utnyttjas av hotaktörer som Scattered Spider förhindras. Automatiserade hanteringssystem förbättrar tillsynen.

Åtgärdssteg:

• Implementera automatiserade system för kontinuerlig övervakning och justering av åtkomsträttigheter.
• Schemalägg regelbundna åtkomstgranskningar för att säkerställa överensstämmelse med arbetsuppgifterna.

Övervaka virtuella maskiner i molnmiljöer – Implementera övervakningsverktyg för att ge varningar om obehörig aktivitet på virtuella maskiner (VM), såsom misstänkta tjänster, onormal resursanvändning och försök till privilegiumsupptrappning, med protokoll för att snabbt isolera och stänga av misstänkta virtuella maskiner. Denna snabba responskapacitet är avgörande för att identifiera misstänkt aktivitet, förhindra potentiella intrång och mildra hot.

Åtgärdssteg:

• Utveckla en lista över tillåtna aktiviteter.
• Implementera övervaknings- och varningssystem och leta efter luckor i dem.
• Upprätta protokoll för snabba insatser för obehöriga aktiviteter.
• Eliminera onödiga RMM-verktyg och integrera honeytokens runt användningen av RMM-verktyg för tidig upptäckt och fingeravtrycksdefinition.
• Konfigurera webbläsare och uppgifter så att de regelbundet tar bort permanenta cookies.
• Minimera hur länge en webbkaka är giltig — Scattered Spider använder dem för att etablera permanent åtkomst och dataexfiltrering.

Granska säkerhetskontroller för virtuell skrivbordsinfrastruktur - Säkerställ att VDI-miljöer (virtual desktop infrastructure) är säkrade med MFA och övervaka kontinuerligt användaraktiviteter.

Åtgärdssteg:

• Granska listan över VDI-användare för att säkerställa att den är uppdaterad.
• Tillämpa MFA.
• Tillåt inte att personliga enheter har direkt åtkomst till Office 365, Enterprise Google Workspace, företags-VPN:er etc.
• Kräv nätfiskeresistent MFA, såsom YubiKeys, Windows Hello for Business etc. Lita inte på att användare godkänner MFA-förfrågningar eller ger ut koder.
• Om en organisation har VDI för att tillåta åtkomst från tredje part, se till att dessa VDI:er inte kan komma åt Secure Shells (SSH) eller Remote Desk Protocols (RDP), eller nå webbplatser som inte är nödvändiga för att användaren ska kunna utföra sitt jobb.
• Genomför regelbundna granskningar och realtidsövervakning av alla användarsessioner.
• Bekräfta att det inte finns några MFA via SMS i några applikationer, inklusive leverantörsapplikationer. SMS-baserad MFA kan medföra betydande risker eftersom:
  • • SMS-meddelanden kan avlyssnas eftersom de är okrypterade
    • Angripare kan kringgå MFA genom social ingenjörskonst
    • Hotaktörer kan få kontroll över ett telefonnummer, avlyssna SMS-meddelanden och få obehörig åtkomst via SIM-kortsbyte
    • Avbrott kan hindra användare från att ta emot autentiseringskoder

Identifiera åtkomstpunkter och blockera högriskåtkomst – Många organisationer måste ge anställda, tillsynsmyndigheter, tredjepartsleverantörer och andra tillgång till sina digitala infrastrukturer. Skydda alla ingångspunkter – särskilt de med hög risk – med kontroller eller blockeringar, och anta att alla leverantörer av hanterade tjänster är komprometterade.

Åtgärdssteg:

• Ge inte någon tredje part obegränsad åtkomst till ett företagsnätverk.
• Ersätt plats-till-plats-VPN:er med VDI:er med hjälp av nätfiskeresistent MFA och noll förtroende där det är möjligt.
• Identifiera och blockera nyskapade domäner som verkar vara potentiella nätfiskewebbplatser (t.ex. typosquatting-domännamn).
• Blockera alla RAT-körbara filer från att köras på hanterade enheter.
• Blockera webbplatserna för alla kända kommersiella fjärrhjälpsverktyg.
• Implementera geografisk blockering där det är möjligt.
• Blockera kommersiella VPN-tjänster som ansluter till företagets VPN eller VDI med en tjänst som ip2proxy eller Spur.
• Blockera enhetstyper på VPN om de inte används av kundtjänstrepresentanter. (Motståndare har ofta använt Android-enheter x86.)

Revisionstillstånd beviljade till HR - Att strikt anpassa HR-behörigheter till operativa behov skyddar känsliga medarbetar- och ekonomiska uppgifter.

Åtgärdssteg:

• Genomför en omfattande granskning av HR-åtkomstbehörigheter.
• Granska leverantörs- och leverantörsåtkomsträttigheter.
• Utbilda HR-personal om cybersäkerhetsrisker och korrekt datahantering.

Verktyg för förflyttning av forskningsdata i SaaS-applikationer - Att övervaka och spåra dataförflyttningar inom SaaS-system (Software-as-a-Service) (t.ex. Salesforce eller ServiceNow) är avgörande eftersom SaaS-applikationer ofta har (tredjeparts) dataförflyttningsverktyg tillgängliga för olika ändamål och kan innehålla känslig information.

Åtgärdssteg:

• Integrera övervakning av dataförflyttningsverktyg i loggdata.
• Konfigurera automatiska varningar och kontroller för ovanlig dataaktivitet.

Granska betrodda IP-adresser som är undantagna från MFA - Organisationer kan minska kraven på MFA (Multimediate Facilities Area - MFA) gällande förfrågningar från ett betrott nätverk, såsom ett VPN, kontorsnätverk etc. Att minimera dessa MFA-undantag stärker nätverksåtkomstkontrollerna, ett viktigt steg för att säkra finansiella och känsliga uppgifter.

Åtgärdssteg:

• Omvärdera och uppdatera listan över betrodda IP-adresser i miljön.
• Ersätt statisk IP-vitlistning med dynamiska principer för villkorlig åtkomst.

Erkänn det insiderhot som kundtjänstrepresentanter utgör — Scattered Spider får ofta initial åtkomst till affärssystem genom att lura kundtjänstrepresentanter – men rekryterar även dem. Sök regelbundet efter potentiellt skadlig aktivitet.

Åtgärdssteg:

• Kontrollera kundtjänstrepresentanternas aktivitet för tecken på potentiell kompromettering, såsom:
  • Ett stort antal lösenordsåterställningar eller kontovisningar på kort tid
  • Åtkomst till kundkonton utan matchningsverifieringssteg (t.ex. ange kundens PIN-kod, matcha mot ANI etc.)
  • "Jungling med autentiseringsuppgifter", dvs. logga in på VPN med andra autentiseringsuppgifter än de som används för att komma åt CSR-verktyg
• Sök i chatt-/e-postsupportloggar efter rekryteringsförsök med hjälp av strängsökningar som refererar till vanliga termer som används i erbjudanden, till exempel ”Telegram”, ”Wickr” eller ”Bli rik”.
• Implementera tidsbegränsad åtkomst för kundtjänstrepresentanter för inloggningsuppgifter och VPN, och varna för alla inloggningar utanför agenternas normala arbetstid.

Spridda spindeltaktik och begränsningar

Följande tabell innehåller ISAC:s cybersäkerhetsexperters analys av underrättelser som delats av tusentals medlemsorganisationer. Många av taktikerna upptäcktes av FBI under utredningarna av Scattered Spider, vilka beskrivs i den gemensamma CISA och FBI:s cybersäkerhetsrådgivning Scattered SpiderMITRE ATT&CK-reduceringarna är hämtade från dess analys av TTP:er, baserat på organisationens verkliga observationer.

SE I PDF-FILEN OVAN.