Venäläisiksi epäillyt kybervakoilijat käänsivät Google- ja WhatsApp-kirjautumiset ansoiksi

Taktiikka voi kiertää sen turvallisuuden tunteen, jonka monivaiheinen tunnistautuminen yleensä antaa. Uhri ei välttämättä luovuta salasanaansa lainkaan. Hän saattaa sen sijaan hyväksyä OAuth-sovelluksen, luoda sovellussalasanan tai yhdistää uuden laitteen. Jokainen näistä toimista voi antaa hyökkääjälle aidolta näyttävän reitin tilille.

Kolmen klusterin toimintatavat

UNC6293: viranomaisesiintymistä sovellussalasanoihin ja OAuthiin

UNC6293 esiintyi tiettävästi Yhdysvaltain ulkoministeriön virkamiehinä ja muina luotettuina kontakteina. Viestien tavoitteena oli saada kohteet luomaan ja paljastamaan sovelluskohtaisia salasanoja, jotka voivat mahdollistaa tilin käytön ilman tavanomaista toisen tekijän vahvistusta. GTIG kuvasi myös OAuth-hyväksyntään perustuvaa kalastelua, jossa hyökkääjät tavoittelevat valtuutettuja käyttöoikeustunnisteita suoran salasanavarkauden sijaan.

GTIG arvioi kohtalaisella varmuudella, että UNC6293 on ICE RELIC -toimijaan liittyvä alkuvaiheen pääsyyn keskittyvä aliklusteri. Google käyttää ICE RELIC -nimeä aiemmin APT29-nimellä tunnetusta toimijasta.

UNC7005 eli STORM-2945: WhatsApp-laitelinkityksiä ja monivaiheisia huijauksia

UNC7005:n toiminta perustui useisiin muuttuviin houkutuksiin:

• WhatsApp-laitelinkityshuijaukset: uhri saatiin yhdistämään hyökkääjän hallitsema laite omaan WhatsApp-tiliinsä.
• Väärennetyt äänipuhelut ja salattujen viestipalvelujen kutsut: vuorovaikutuksella rakennettiin luottamusta ennen haitallisen linkin tai koodin toimittamista.
• Organisaatioiden nimissä lähetetyt viestit: houkutuksissa viitattiin muun muassa Finnish Operations Centeriin, ja niiden yhteydessä käytettiin väärennettyjä Microsoft-kirjautumissivuja.
• OAuth ja haittaohjelmat: Google OAuth -prosesseilla tavoiteltiin käyttöoikeustunnisteita tai tilipääsyä. Lisäksi uhreille toimitettiin muun muassa VIDAR- ja ATOMIC-tietovarastajia, jotka varastavat tietoja laitteilta.

Klusterin tekniikat ja infrastruktuuri erosivat UNC6293:n menetelmistä. Siksi GTIG seuraa niitä erillisinä kokonaisuuksina, vaikka kohteet ja aitojen tunnistautumisprosessien hyödyntäminen ovat osin samoja.

UNC5976: OAuth-kalastelua puolustusalan kohteisiin

UNC5976 kohdisti toimintaansa tiettävästi sotilas-, ilmailu- ja puolustusalan henkilöstöön ja organisaatioihin, myös Ukrainaan ja Armeniaan liittyviin kohteisiin. Ryhmä pyrki OAuth-kalastelulla saamaan luvan uhrien tilien tai tietojen käyttöön.

Mitä venäjäkytkennästä tiedetään?

GTIG arvioi suurella varmuudella, että kokonaisuuteen liittyy Venäjä. Kyse on tiedusteluarviosta: se ei tarkoita, että jokainen yksityiskohta tai klustereiden välinen yhteys olisi varmistettu samalla varmuudella.

UNC6293:n yhteyden ICE RELIC -toimijaan GTIG arvioi kohtalaisella varmuudella. Klusterit pidetään erillään seurannassa, koska niiden toimintatavat ja infrastruktuurit eivät ole identtisiä.

Monivaiheinen tunnistautuminen ei yksin riitä

Monivaiheinen tunnistautuminen voi pettää, jos hyökkääjä saa käyttäjän hyväksymään väärän toiminnon. Odottamaton OAuth-hyväksyntäikkuna, sovellussalasanan luontipyyntö tai WhatsAppin laitelinkityskoodi voi merkitä tilin kaappaamista, vaikka salasanaa ei olisi varastettu.

Käytännön opetus on yksinkertainen: tunnistautumispyyntöihin on suhtauduttava varmistamista vaativina tapahtumina, ei automaattisesti turvallisina vaiheina vain siksi, että ne näkyvät tutun palvelun sisällä.

Näin riskiä voi pienentää

GTIG:n ohjeissa korostuu hidastaminen juuri siinä kohdassa, jossa hyökkääjä yrittää kiirehtiä käyttäjää:

• Tarkista selaimen koko osoite ennen kirjautumista tai OAuth-käyttöoikeuden hyväksymistä.
• Varmista kutsut ja pyynnöt toista kautta. Soita konferenssikutsun, äänipuhelun, salatun viestipalvelun kutsun tai viranomaisen nimissä lähetetyn viestin lähettäjälle ennestään tunnetulla yhteystiedolla.
• Älä koskaan jaa sovellussalasanoja, kertakäyttöisiä vahvistuskoodeja, QR-koodeja tai laitelinkitykseen tarkoitettuja koodeja. Älä myöskään hyväksy odottamatonta kirjautumis- tai OAuth-pyyntöä.
• Tarkista viestisovelluksiin yhdistetyt laitteet säännöllisesti. Poista WhatsAppista ja muista viestisovelluksista kaikki tuntemattomat laitteet.
• Ota käyttöön kalastelunkestävä monivaiheinen tunnistautuminen. Organisaatioiden kannattaa suosia turva-avaimia tai pääsyavaimia ja rajoittaa mahdollisuuksien mukaan riskialttiita OAuth-sovelluksia ja sovellussalasanoja.

Arkaluonteisilla aloilla työskenteleville tärkein nyrkkisääntö on tämä: tuttu brändi, aito kirjautumissivu tai oikea tunnistautumisominaisuus ei yksin todista pyyntöä lailliseksi. Myös pyynnön sisältö sekä sen lähettänyt henkilö tai organisaatio on varmistettava.