Перейти до основного матеріалу

Термінове сповіщення про загрозу: кампанії вішингу ShinyHunters та імперсонація домену

Бюлетень про загрози: Шахрайські кампанії та імперсонація домену ShinyHunters активно націлені на світовий сектор охорони здоров'я.

Вішингові кампанії ShinyHunters та імперсонація домену, що активно націлені на світовий сектор охорони здоров'я.

Бюлетені загроз | TLP:WHITE | Ідентифікатор сповіщення: 24113aee | 28 серпня 2026 р. | 03:37 EDT

 

Кіберзлочинне угруповання ShinyHunters становить явну та реальну загрозу для світового сектору охорони здоров'я, створюючи безпосередню загрозу через постійні, цілеспрямовані голосові фішингові (вішингові) кампанії, спрямовані на обман персоналу підприємств, щоб він розкрив облікові дані на шкідливих доменах медичної тематики, що видаються за інших.

Ця група активно націлена на сектор охорони здоров'я та досягла успіху в кількох нещодавніх випадках, обходячи багатофакторну автентифікацію (MFA), щоб швидко перейти від платформ єдиного входу (SSO) до підключених SaaS-додатків для масштабного витоку та вимагання даних. Оскільки ці кампанії становлять серйозний ризик компрометації облікових даних та несанкціонованого доступу до корпоративної інфраструктури, ми наполегливо рекомендуємо всім членам Health-ISAC негайно переглянути та суворо дотримуватися наведених нижче рекомендацій.

Протягом останніх двох тижнів Health-ISAC видав попередження кільком організаціям сектору охорони здоров’я після спостереження за постійними, цілеспрямованими вішинговими кампаніями. Ці кампанії намагаються обманом змусити користувачів розкрити свої облікові дані на шкідливих сайтах, що імітують законні сторінки входу, тим самим сприяючи несанкціонованому початковому доступу.

Найбільш помітною частиною цієї операції є те, що домени реєструються за допомогою company-claims[.]com або company[.]claims, які видають себе за компанію в цьому домені.

Нещодавні спостереження свідчать про те, що зловмисники, зокрема пов’язані з групою сексуального шантажу ShinyHunter, зв’язуються зі співробітниками безпосередньо на особисті мобільні пристрої за допомогою дзвінків та голосової пошти, а також масово надсилають електронні листи користувачам з кількох випадкових облікових записів.

Нещодавня реєстрація доменів медичної тематики свідчить про розширення сфери діяльності, спрямованої на медичні операції та спеціалізовані бізнес-підрозділи, що підкреслює намір забезпечити постійний початковий доступ у різних секторах бізнесу. [Див. графік у PDF-файлі]

Для ShinyHunters платформа SSO є площиною керування. Щойно ідентифікаційну особу скомпрометовано, виконавці швидко переходять з центральної панелі інструментів постачальника ідентифікаційних даних (IdP) на підключені SaaS-платформи (такі як Microsoft 365, SharePoint і Salesforce) для вилучення конфіденційних даних та внутрішніх комунікацій. Ця крадіжка даних у хмарному масштабі забезпечує необхідні важелі впливу для їхніх подальших вимог щодо вимагання.

Основною операційною схемою, виявленою в цих реєстраціях інфраструктури, є використання щойно зареєстрованих доменів з префіксом назви цільової компанії, а потім змінних розширень, адаптованих до конкретних фішингових приманок.

Ці кампанії створюють серйозний ризик компрометації облікових даних, обходу багатофакторної автентифікації (MFA) та подальшого несанкціонованого доступу до корпоративної інфраструктури та хмарних/SaaS-платформ.

Health-ISAC надіслав партії цільових сповіщень кільком організаціям після того, як партнери з розвідки поділилися інформацією про те, що схожі та уособлені домени були створені з використанням інфраструктури, яка видає себе за легітимну компанію. Це призвело до компрометації облікових даних користувачів на сторінках, що нагадують легітимні портали входу компанії.

 

Аналіз

Спостережувана загрозлива активність свідчить про високоорганізованого, адаптивного зловмисника, який здійснює широкомасштабні кампанії соціальної інженерії для отримання дійсних корпоративних облікових даних та активних токенів MFA.

Нещодавні кампанії показали, що ShinyHunters поводиться не так як традиційна група розповсюджувачів програм-вимагачів, а радше як операція з вимагання особистих даних та доступу до SaaS.

Передопераційна розвідка та вішинг

На початкових етапах актори, ймовірно, значною мірою покладаються на передопераційну розвідку, проводячи ретельні дослідження щодо цільових співробітників та конкретних внутрішніх відділів (таких як служби ІТ-довідки або юридичні відділи), які вони вирішили видавати за себе.

Підробляючи відомі номери телефонів організації, абоненти встановлюють негайну довіру та використовують природну схильність персоналу допомагати внутрішнім службам підтримки.

Крім того, було помічено, що учасники ShinyHunters поводилися агресивно, часто використовуючи подальші голосові повідомлення, щоб змусити цільові групи дотримуватися правил, та вказуючи користувачам обходити корпоративні засоби контролю безпеки, переходячи за шкідливими посиланнями на особистих пристроях.

Щойно користувач надсилає свої облікові дані на фішинговому сайті, зловмисник використовує фішингові комплекти зворотного проксі-проксі, щоб надсилати їх на легітимний корпоративний портал входу в режимі реального часу. Потім жертві телефоном пропонується надати свій активний токен MFA або прийняти push-сповіщення, що надає зловмиснику активний веб-сеанс.

Рекомендації

Health-ISAC надає цю інформацію для підвищення ситуаційної обізнаності та заохочення організацій запобігати успішному використанню та порушенню роботи їхнього апарату безпеки.

Блокуйте домени верхнього рівня .claim та .claims у вашій організації, якщо вони не є легітимною інфраструктурою.

  • Навчання та обізнаність співробітниківВпроваджуйте цільові тренінги з питань безпеки, які навчають персонал сучасним тактикам соціальної інженерії, таким як агресивні дзвінки через вішинг та голосові пересилання, забезпечуючи розуміння ними того, як ідентифікувати схожі домени та безпечно перевіряти внутрішні ІТ-комунікації.
  • Застосувати перевірку контексту пристроюОбмежте SaaS-додатки, внутрішні портали та API корпоративними пристроями, що перевіряються за допомогою клієнтських сертифікатів, перевірок справності EDR або профілів MDM. Самої лише перевірки особи недостатньо без глибоко захищеної архітектури.
  • Перехід на багатофакторну автентифікацію, стійку до фішингуНадавати перевагу ключам безпеки або паролям FIDO2/WebAuthn для всіх адміністраторів та груп високого ризику, а також вимкнути або суворо обмежити SMS/голосову багатофакторну автентифікацію та слабкі резервні методи.
  • Робочі процеси скидання служби підтримки та багатофакторної автентифікації HardenВимагати суворої перевірки особи для скидання багатофакторних аварій (MFA) та забезпечити навчання співробітників щодо того, що ІТ-відділ «не скидатиме MFA під час вхідних дзвінків».
  • Моніторинг подібної інфраструктуриВідстежуйте реєстрації схожих доменів, нещодавно виявлених доменів (NOD) та брендованих субдоменів, орієнтованих на корпоративні служби єдиного входу.
  • Управління сесієюВстановіть тайм-аути сеансів, які ефективно підтримують робочі процеси користувачів, забезпечуючи при цьому безпеку, обмежте видимість постачальників ідентифікаційних даних для невідповідних

Health-ISAC надає цю інформацію, щоб запобігти успішному використанню та збою вашого засобу безпеки. Для отримання додаткової інформації див. розділ «Практики кібербезпеки в галузі охорони здоров’я (HICP): управління загрозами та захист пацієнтів».

Посилання

Практики кібербезпеки в галузі охорони здоров'я (HICP): управління загрозами та захист пацієнтів

TLP WHITE: Соціальна інженерія та таргетування ідентичності, пов'язані з ShinyHunters

Вплив Shiny Hunters на сектор охорони здоров'я та рекомендовані стратегії пом'якшення наслідків

Відстеження розширення крадіжки даних SaaS під брендом ShinyHunters

 

TLP:WHITE: Відповідно до стандартних правил авторського права, інформація TLP:WHITE може розповсюджуватися без обмежень.

Health-ISAC на Health Stealth Radio: міжгалузева співпраця
Коли кожен зможе знайти ваші помилки: безпека медичних пристроїв після штучного інтелекту