Når en legitim sikkerhedsfunktion bliver en fælde

Angrebene byggede på vedvarende og målrettet social engineering. Gerningspersonerne udgav sig for at være betroede embedsfolk eller kontakter, oprettede troværdige invitationer og samtaler og førte derefter ofrene gennem ægte kontosikkerhedsfunktioner. Det omfattede blandt andet Google OAuth-godkendelse, app-specifikke adgangskoder og WhatsApps funktion til at tilknytte nye enheder.

Metoden kan omgå den beskyttelse, mange forbinder med multifaktorgodkendelse. Offeret behøver ikke at udlevere en adgangskode. Det kan være nok at godkende en OAuth-applikation, oprette en app-adgangskode eller tilknytte en ny enhed. I alle tre tilfælde kan brugerens egen handling give angriberen en legitimt udseende vej ind på kontoen.

Hvad de tre grupper ifølge rapporterne gjorde

UNC6293: efterligning, app-adgangskoder og OAuth

UNC6293 udgav sig ifølge GTIG for at være embedsfolk fra det amerikanske udenrigsministerium og andre betroede kontakter. Lokkemidlerne skulle få målene til at oprette og videregive app-specifikke adgangskoder. Sådanne adgangskoder kan give adgang til en konto uden den sædvanlige anmodning om endnu en godkendelsesfaktor. GTIG beskrev også såkaldt OAuth-consent-phishing, hvor angriberen forsøger at få godkendte adgangstokens i stedet for at stjæle selve adgangskoden.

GTIG vurderede med moderat sikkerhed, at UNC6293 var en undergruppe med fokus på indledende adgang under ICE RELIC – Googles betegnelse for den aktør, der tidligere blev kendt som APT29.

UNC7005, også kendt som STORM-2945: WhatsApp og flertrinslokkemidler

UNC7005 anvendte en bredere og skiftende samling metoder, blandt andet:

• Svindel med WhatsApps enhedslinking: Ofre blev lokket til at tilknytte en angriberstyret enhed til deres WhatsApp-konto.
• Falske taleopkald og invitationer til krypterede chats: Kontakten skulle opbygge tillid, før et skadeligt link eller en kode blev sendt.
• Forfalsket organisationskommunikation: Lokkemidler med henvisning til Finnish Operations Center blev brugt sammen med falske Microsoft-loginportaler.
• OAuth og malware: Google OAuth-forløb blev brugt til at få tokens eller kontoadgang, mens der også blev leveret malware som VIDAR- og ATOMIC-infostealere, der kan stjæle oplysninger.

Gruppens teknikker og infrastruktur adskilte sig fra UNC6293's. Derfor sporer GTIG dem separat, selv om de har overlappende mål og begge læner sig op ad legitime loginfunktioner.

UNC5976: OAuth-phishing mod forsvarsrelaterede mål

UNC5976 rettede sig ifølge rapporterne mod militært, luft- og rumfartsrelateret samt forsvarsrelateret personale og organisationer, herunder mål med forbindelse til Ukraine og Armenien. Gruppens phishingforsøg søgte at få ofrene til at godkende OAuth-adgang til konti eller data.

Hvad siger Google om forbindelsen til Rusland?

GTIG vurderede med høj sikkerhed, at den samlede aktivitet havde en russisk forbindelse. Det er en vurdering af aktørernes tilknytning – ikke en påstand om, at alle operationelle detaljer eller relationer mellem grupperne er dokumenteret med samme sikkerhed.

De tilgængelige rapporter beskriver også mulige forbindelser mellem dele af aktiviteten og ICE RELIC/APT29. GTIG vurderede med moderat sikkerhed, at UNC6293 var knyttet til ICE RELIC, mens grupperne fortsat spores hver for sig, fordi deres metoder og infrastruktur ikke er identiske.

Multifaktorgodkendelse er ikke en garanti alene

Multifaktorgodkendelse kan stadig omgås, hvis en angriber manipulerer brugeren til at godkende den forkerte handling. En uventet OAuth-godkendelse, en anmodning om at oprette en app-adgangskode eller en kode til at tilknytte en WhatsApp-enhed kan være tegn på et kontoovertagelsesforsøg – også selv om ingen adgangskode bliver stjålet.

Den praktiske lære er derfor at behandle login- og godkendelsesanmodninger som handlinger, der skal kontrolleres, ikke som automatisk sikre trin, blot fordi de vises i en velkendt tjeneste.

Sådan kan angrebene begrænses

GTIG anbefaler i praksis at sænke tempoet i den arbejdsgang, som angriberne forsøger at presse ofrene igennem:

• Kontrollér hele webadressen i browseren, før du logger ind eller godkender OAuth-adgang.
• Verificér invitationer og anmodninger ad en uafhængig kanal. Brug en kendt kontaktmetode til at kontrollere konferenceinvitationer, taleopkald, forespørgsler om krypterede chats og beskeder, der hævder at komme fra myndigheder eller organisationer.
• Del aldrig app-adgangskoder, engangskoder, QR-koder eller koder til enhedstilslutning. Godkend heller ikke en uventet login- eller OAuth-anmodning.
• Gennemgå regelmæssigt tilknyttede beskedenheder. Fjern ukendte enheder fra WhatsApp og andre beskedapplikationer.
• Brug phishing-resistent multifaktorgodkendelse. Organisationer bør prioritere sikkerhedsnøgler eller passkeys og, hvor det er muligt, begrænse risikable OAuth-applikationer og app-specifikke adgangskoder.

For personer, der arbejder i følsomme sektorer, er den vigtigste vane enkel: Et kendt varemærke, en ægte login-side eller en legitim sikkerhedsfunktion beviser ikke i sig selv, at anmodningen er sikker. Både selve anmodningen og den person eller organisation, der står bag, skal verificeres.

Når en legitim sikkerhedsfunktion bliver en fælde

Angrebene byggede på vedvarende og målrettet social engineering. Gerningspersonerne udgav sig for at være betroede embedsfolk eller kontakter, oprettede troværdige invitationer og samtaler og førte derefter ofrene gennem ægte kontosikkerhedsfunktioner. Det omfattede blandt andet Google OAuth-godkendelse, app-specifikke adgangskoder og WhatsApps funktion til at tilknytte nye enheder.

Metoden kan omgå den beskyttelse, mange forbinder med multifaktorgodkendelse. Offeret behøver ikke at udlevere en adgangskode. Det kan være nok at godkende en OAuth-applikation, oprette en app-adgangskode eller tilknytte en ny enhed. I alle tre tilfælde kan brugerens egen handling give angriberen en legitimt udseende vej ind på kontoen.

Hvad de tre grupper ifølge rapporterne gjorde

UNC6293: efterligning, app-adgangskoder og OAuth

UNC6293 udgav sig ifølge GTIG for at være embedsfolk fra det amerikanske udenrigsministerium og andre betroede kontakter. Lokkemidlerne skulle få målene til at oprette og videregive app-specifikke adgangskoder. Sådanne adgangskoder kan give adgang til en konto uden den sædvanlige anmodning om endnu en godkendelsesfaktor. GTIG beskrev også såkaldt OAuth-consent-phishing, hvor angriberen forsøger at få godkendte adgangstokens i stedet for at stjæle selve adgangskoden.

GTIG vurderede med moderat sikkerhed, at UNC6293 var en undergruppe med fokus på indledende adgang under ICE RELIC – Googles betegnelse for den aktør, der tidligere blev kendt som APT29.

UNC7005, også kendt som STORM-2945: WhatsApp og flertrinslokkemidler

UNC7005 anvendte en bredere og skiftende samling metoder, blandt andet:

• Svindel med WhatsApps enhedslinking: Ofre blev lokket til at tilknytte en angriberstyret enhed til deres WhatsApp-konto.
• Falske taleopkald og invitationer til krypterede chats: Kontakten skulle opbygge tillid, før et skadeligt link eller en kode blev sendt.
• Forfalsket organisationskommunikation: Lokkemidler med henvisning til Finnish Operations Center blev brugt sammen med falske Microsoft-loginportaler.
• OAuth og malware: Google OAuth-forløb blev brugt til at få tokens eller kontoadgang, mens der også blev leveret malware som VIDAR- og ATOMIC-infostealere, der kan stjæle oplysninger.

Gruppens teknikker og infrastruktur adskilte sig fra UNC6293's. Derfor sporer GTIG dem separat, selv om de har overlappende mål og begge læner sig op ad legitime loginfunktioner.

UNC5976: OAuth-phishing mod forsvarsrelaterede mål

UNC5976 rettede sig ifølge rapporterne mod militært, luft- og rumfartsrelateret samt forsvarsrelateret personale og organisationer, herunder mål med forbindelse til Ukraine og Armenien. Gruppens phishingforsøg søgte at få ofrene til at godkende OAuth-adgang til konti eller data.

Hvad siger Google om forbindelsen til Rusland?

GTIG vurderede med høj sikkerhed, at den samlede aktivitet havde en russisk forbindelse. Det er en vurdering af aktørernes tilknytning – ikke en påstand om, at alle operationelle detaljer eller relationer mellem grupperne er dokumenteret med samme sikkerhed.

De tilgængelige rapporter beskriver også mulige forbindelser mellem dele af aktiviteten og ICE RELIC/APT29. GTIG vurderede med moderat sikkerhed, at UNC6293 var knyttet til ICE RELIC, mens grupperne fortsat spores hver for sig, fordi deres metoder og infrastruktur ikke er identiske.

Multifaktorgodkendelse er ikke en garanti alene

Multifaktorgodkendelse kan stadig omgås, hvis en angriber manipulerer brugeren til at godkende den forkerte handling. En uventet OAuth-godkendelse, en anmodning om at oprette en app-adgangskode eller en kode til at tilknytte en WhatsApp-enhed kan være tegn på et kontoovertagelsesforsøg – også selv om ingen adgangskode bliver stjålet.

Den praktiske lære er derfor at behandle login- og godkendelsesanmodninger som handlinger, der skal kontrolleres, ikke som automatisk sikre trin, blot fordi de vises i en velkendt tjeneste.

Sådan kan angrebene begrænses

GTIG anbefaler i praksis at sænke tempoet i den arbejdsgang, som angriberne forsøger at presse ofrene igennem:

• Kontrollér hele webadressen i browseren, før du logger ind eller godkender OAuth-adgang.
• Verificér invitationer og anmodninger ad en uafhængig kanal. Brug en kendt kontaktmetode til at kontrollere konferenceinvitationer, taleopkald, forespørgsler om krypterede chats og beskeder, der hævder at komme fra myndigheder eller organisationer.
• Del aldrig app-adgangskoder, engangskoder, QR-koder eller koder til enhedstilslutning. Godkend heller ikke en uventet login- eller OAuth-anmodning.
• Gennemgå regelmæssigt tilknyttede beskedenheder. Fjern ukendte enheder fra WhatsApp og andre beskedapplikationer.
• Brug phishing-resistent multifaktorgodkendelse. Organisationer bør prioritere sikkerhedsnøgler eller passkeys og, hvor det er muligt, begrænse risikable OAuth-applikationer og app-specifikke adgangskoder.

For personer, der arbejder i følsomme sektorer, er den vigtigste vane enkel: Et kendt varemærke, en ægte login-side eller en legitim sikkerhedsfunktion beviser ikke i sig selv, at anmodningen er sikker. Både selve anmodningen og den person eller organisation, der står bag, skal verificeres.