Энергетический сектор под прицелом: сложная фишинговая кампания через SharePoint

Киберпреступники эксплуатируют SharePoint в целевых атаках на энергетический сектор

Эксперты по кибербезопасности выявили новую фишинговую кампанию, в рамках которой злоумышленники используют Microsoft SharePoint для проведения атак типа adversary-in-the-middle (AitM) и компрометации корпоративной почты (BEC) против организаций энергетического сектора. Кампания демонстрирует эволюцию тактик кражи учётных данных и доставки вредоносных payload-ов.

Технические детали атаки

Киберпреступники злоупотребляют легитимными возможностями SharePoint по обмену файлами для распространения вредоносных payload-ов. Встраивая фишинговые ссылки в поддельные уведомления SharePoint, атакующие обходят традиционные фильтры безопасности электронной почты. После взаимодействия жертвы со ссылкой она перенаправляется на поддельную страницу входа, предназначенную для кражи учётных данных в реальном времени.

Основные характеристики кампании:

• AitM-фишинг: Злоумышленники перехватывают сеансы аутентификации для кражи учётных данных и токенов сессий.
• Тактики BEC: Скомпрометированные аккаунты используются для проведения мошеннических финансовых операций или дальнейшего внутреннего фишинга.
• Злоупотребление легитимными сервисами: Доверие к SharePoint снижает подозрительность, повышая вероятность успешной эксплуатации.

Последствия для энергетического сектора

Энергетический сектор остаётся приоритетной целью из-за его роли в критической инфраструктуре. Успешные атаки могут привести к:

• Несанкционированному доступу к чувствительным операционным системам.
• Финансовому мошенничеству через схемы BEC.
• Нарушению цепочек поставок энергоресурсов в результате компрометации учётных данных.

Рекомендации по защите

Командам по кибербезопасности в энергетическом секторе и других отраслях повышенного риска следует:

1. Внедрить многофакторную аутентификацию (MFA): Обязательное использование MFA для всех аккаунтов SharePoint и электронной почты для снижения риска кражи учётных данных.
2. Мониторить аномальную активность: Применять поведенческую аналитику для выявления необычных шаблонов входа или поведения при обмене файлами.
3. Обучать сотрудников: Проводить тренинги по осведомлённости о фишинге, чтобы распознавать подозрительные уведомления SharePoint.
4. Усилить безопасность электронной почты: Использовать расширенную защиту от угроз для блокировки попыток AitM-фишинга до их попадания к конечным пользователям.
5. Ограничить обмен через SharePoint: Сократить права на внешний обмен файлами для снижения риска утечек.

Исследователи продолжают отслеживать эту кампанию, и в ходе расследований могут появиться новые детали. Организациям рекомендуется сохранять бдительность в отношении эволюционирующих фишинговых тактик, нацеленных на доверенные платформы, такие как SharePoint.