Yang menjadikan kempen ini berbahaya ialah penyerang tidak semestinya perlu mencuri kata laluan atau mengeksploitasi kelemahan perisian. Sebaliknya, mereka memanipulasi mangsa supaya meluluskan akses melalui ciri keselamatan dan pengesahan yang sah—termasuk kebenaran Google OAuth, kata laluan khusus aplikasi dan pemautan peranti WhatsApp.

Bagaimana ciri log masuk biasa dijadikan perangkap

Penyerang menggunakan kejuruteraan sosial yang berterusan dan disasarkan. Mereka menyamar sebagai pegawai atau kenalan yang dipercayai, mencipta jemputan serta perbualan yang kelihatan munasabah, kemudian membimbing mangsa melalui proses keselamatan akaun yang sebenar.

Dalam keadaan ini, mangsa mungkin tidak menyerahkan kata laluan langsung. Mereka mungkin hanya meluluskan aplikasi OAuth, mencipta kata laluan aplikasi atau menghubungkan peranti baharu. Namun, satu tindakan itu boleh memberi penyerang laluan yang kelihatan sah untuk memasuki akaun.

Taktik yang dikaitkan dengan setiap kluster

UNC6293: penyamaran, kata laluan aplikasi dan OAuth

UNC6293 dilaporkan menyamar sebagai pegawai Jabatan Negara Amerika Syarikat serta kenalan dipercayai yang lain. Helah mereka direka untuk memujuk sasaran mencipta dan mendedahkan kata laluan khusus aplikasi, yang boleh memberi akses kepada akaun di luar gesaan pengesahan faktor kedua biasa.

GTIG turut menerangkan penggunaan phishing kebenaran OAuth. Dalam kaedah ini, penyerang cuba mendapatkan token yang telah diberi kuasa, bukannya mencuri kata laluan secara terus.

GTIG menilai dengan tahap keyakinan sederhana bahawa UNC6293 ialah subkluster akses awal bagi ICE RELIC—nama Google untuk pelaku yang sebelum ini dikenali sebagai APT29.

UNC7005 atau STORM-2945: WhatsApp, panggilan palsu dan umpan berperingkat

UNC7005 menggunakan beberapa teknik yang berubah-ubah, termasuk:

• Penipuan pemautan peranti WhatsApp: Mangsa dipujuk menghubungkan peranti yang dikawal penyerang kepada akaun WhatsApp mereka.
• Panggilan suara palsu dan jemputan ke sembang disulitkan: Interaksi ini digunakan untuk membina kepercayaan sebelum pautan atau kod berniat jahat dihantar.
• Komunikasi organisasi yang dipalsukan: Umpan yang merujuk kepada Finnish Operations Center digunakan bersama portal log masuk Microsoft yang palsu.
• OAuth dan penghantaran perisian hasad: Aliran Google OAuth digunakan untuk mendapatkan token atau akses akaun, manakala perisian hasad seperti VIDAR dan ATOMIC infostealer turut digunakan.

Teknik dan infrastruktur UNC7005 berbeza daripada UNC6293. Atas sebab itu, GTIG menjejaki kedua-duanya secara berasingan walaupun sasaran dan pergantungan mereka pada aliran pengesahan yang sah mempunyai persamaan.

UNC5976: phishing OAuth terhadap sasaran pertahanan

UNC5976 dilaporkan memberi tumpuan kepada anggota serta organisasi ketenteraan, aeroangkasa dan pertahanan, termasuk sasaran yang berkaitan dengan Ukraine dan Armenia. Kempen phishingnya cuba mendapatkan kebenaran OAuth untuk mengakses akaun atau data mangsa.

Apa yang dikatakan Google tentang kaitan Rusia

GTIG menilai dengan tahap keyakinan tinggi bahawa keseluruhan aktiviti ini mempunyai kaitan dengan Rusia. Penilaian atribusi itu tidak bermakna setiap butiran operasi atau hubungan antara semua kluster telah dibuktikan dengan tahap keyakinan yang sama.

Laporan yang tersedia turut menyebut kemungkinan hubungan antara sebahagian aktiviti ini dengan ICE RELIC atau APT29. Hubungan UNC6293 dengan ICE RELIC dinilai GTIG dengan tahap keyakinan sederhana, manakala setiap kluster terus dijejaki secara berasingan kerana teknik dan infrastrukturnya tidak serupa sepenuhnya.

Mengapa pengesahan berbilang faktor sahaja belum mencukupi

Pengesahan berbilang faktor (MFA) masih boleh dipintas apabila penyerang berjaya memperdaya pengguna supaya meluluskan tindakan yang salah. Gesaan kebenaran OAuth, permintaan mencipta kata laluan aplikasi atau kod pemautan WhatsApp yang muncul secara tidak dijangka boleh menandakan cubaan mengambil alih akaun—walaupun tiada kata laluan dicuri.

Pengajaran pentingnya ialah anggap setiap gesaan pengesahan sebagai satu transaksi yang perlu disemak. Ia tidak semestinya selamat hanya kerana dipaparkan dalam perkhidmatan yang dikenali.

Langkah perlindungan yang disarankan

Panduan GTIG menekankan supaya pengguna memperlahankan proses yang cuba dipercepatkan oleh penyerang:

• Semak alamat URL penuh dalam pelayar sebelum log masuk atau meluluskan akses OAuth.
• Sahkan jemputan dan permintaan melalui saluran lain. Gunakan kaedah menghubungi yang telah diketahui untuk menyemak jemputan persidangan, panggilan suara, permintaan menyertai sembang disulitkan atau mesej yang kononnya daripada kerajaan dan organisasi.
• Jangan sesekali berkongsi kata laluan aplikasi, kod pengesahan sekali guna, kod QR atau kod pemautan peranti. Jangan meluluskan log masuk atau permintaan OAuth yang tidak dijangka.
• Semak peranti pemesejan yang dipautkan secara berkala. Padam peranti yang tidak dikenali daripada WhatsApp dan aplikasi pemesejan lain.
• Gunakan MFA yang tahan phishing. Organisasi wajar mengutamakan kunci keselamatan atau passkey dan, jika boleh, mengehadkan aplikasi OAuth berisiko serta penggunaan kata laluan khusus aplikasi.

Bagi mereka yang bekerja dalam sektor sensitif, prinsipnya mudah: jenama yang dikenali, halaman log masuk yang sebenar atau ciri pengesahan yang sah tidak membuktikan bahawa sesuatu permintaan itu selamat. Permintaan tersebut—termasuk pihak yang memulakannya—masih perlu disahkan.

Yang menjadikan kempen ini berbahaya ialah penyerang tidak semestinya perlu mencuri kata laluan atau mengeksploitasi kelemahan perisian. Sebaliknya, mereka memanipulasi mangsa supaya meluluskan akses melalui ciri keselamatan dan pengesahan yang sah—termasuk kebenaran Google OAuth, kata laluan khusus aplikasi dan pemautan peranti WhatsApp.

Bagaimana ciri log masuk biasa dijadikan perangkap

Penyerang menggunakan kejuruteraan sosial yang berterusan dan disasarkan. Mereka menyamar sebagai pegawai atau kenalan yang dipercayai, mencipta jemputan serta perbualan yang kelihatan munasabah, kemudian membimbing mangsa melalui proses keselamatan akaun yang sebenar.

Dalam keadaan ini, mangsa mungkin tidak menyerahkan kata laluan langsung. Mereka mungkin hanya meluluskan aplikasi OAuth, mencipta kata laluan aplikasi atau menghubungkan peranti baharu. Namun, satu tindakan itu boleh memberi penyerang laluan yang kelihatan sah untuk memasuki akaun.

Taktik yang dikaitkan dengan setiap kluster

UNC6293: penyamaran, kata laluan aplikasi dan OAuth

UNC6293 dilaporkan menyamar sebagai pegawai Jabatan Negara Amerika Syarikat serta kenalan dipercayai yang lain. Helah mereka direka untuk memujuk sasaran mencipta dan mendedahkan kata laluan khusus aplikasi, yang boleh memberi akses kepada akaun di luar gesaan pengesahan faktor kedua biasa.

GTIG turut menerangkan penggunaan phishing kebenaran OAuth. Dalam kaedah ini, penyerang cuba mendapatkan token yang telah diberi kuasa, bukannya mencuri kata laluan secara terus.

GTIG menilai dengan tahap keyakinan sederhana bahawa UNC6293 ialah subkluster akses awal bagi ICE RELIC—nama Google untuk pelaku yang sebelum ini dikenali sebagai APT29.

UNC7005 atau STORM-2945: WhatsApp, panggilan palsu dan umpan berperingkat

UNC7005 menggunakan beberapa teknik yang berubah-ubah, termasuk:

• Penipuan pemautan peranti WhatsApp: Mangsa dipujuk menghubungkan peranti yang dikawal penyerang kepada akaun WhatsApp mereka.
• Panggilan suara palsu dan jemputan ke sembang disulitkan: Interaksi ini digunakan untuk membina kepercayaan sebelum pautan atau kod berniat jahat dihantar.
• Komunikasi organisasi yang dipalsukan: Umpan yang merujuk kepada Finnish Operations Center digunakan bersama portal log masuk Microsoft yang palsu.
• OAuth dan penghantaran perisian hasad: Aliran Google OAuth digunakan untuk mendapatkan token atau akses akaun, manakala perisian hasad seperti VIDAR dan ATOMIC infostealer turut digunakan.

Teknik dan infrastruktur UNC7005 berbeza daripada UNC6293. Atas sebab itu, GTIG menjejaki kedua-duanya secara berasingan walaupun sasaran dan pergantungan mereka pada aliran pengesahan yang sah mempunyai persamaan.

UNC5976: phishing OAuth terhadap sasaran pertahanan

UNC5976 dilaporkan memberi tumpuan kepada anggota serta organisasi ketenteraan, aeroangkasa dan pertahanan, termasuk sasaran yang berkaitan dengan Ukraine dan Armenia. Kempen phishingnya cuba mendapatkan kebenaran OAuth untuk mengakses akaun atau data mangsa.

Apa yang dikatakan Google tentang kaitan Rusia

GTIG menilai dengan tahap keyakinan tinggi bahawa keseluruhan aktiviti ini mempunyai kaitan dengan Rusia. Penilaian atribusi itu tidak bermakna setiap butiran operasi atau hubungan antara semua kluster telah dibuktikan dengan tahap keyakinan yang sama.

Laporan yang tersedia turut menyebut kemungkinan hubungan antara sebahagian aktiviti ini dengan ICE RELIC atau APT29. Hubungan UNC6293 dengan ICE RELIC dinilai GTIG dengan tahap keyakinan sederhana, manakala setiap kluster terus dijejaki secara berasingan kerana teknik dan infrastrukturnya tidak serupa sepenuhnya.

Mengapa pengesahan berbilang faktor sahaja belum mencukupi

Pengesahan berbilang faktor (MFA) masih boleh dipintas apabila penyerang berjaya memperdaya pengguna supaya meluluskan tindakan yang salah. Gesaan kebenaran OAuth, permintaan mencipta kata laluan aplikasi atau kod pemautan WhatsApp yang muncul secara tidak dijangka boleh menandakan cubaan mengambil alih akaun—walaupun tiada kata laluan dicuri.

Pengajaran pentingnya ialah anggap setiap gesaan pengesahan sebagai satu transaksi yang perlu disemak. Ia tidak semestinya selamat hanya kerana dipaparkan dalam perkhidmatan yang dikenali.

Langkah perlindungan yang disarankan

Panduan GTIG menekankan supaya pengguna memperlahankan proses yang cuba dipercepatkan oleh penyerang:

• Semak alamat URL penuh dalam pelayar sebelum log masuk atau meluluskan akses OAuth.
• Sahkan jemputan dan permintaan melalui saluran lain. Gunakan kaedah menghubungi yang telah diketahui untuk menyemak jemputan persidangan, panggilan suara, permintaan menyertai sembang disulitkan atau mesej yang kononnya daripada kerajaan dan organisasi.
• Jangan sesekali berkongsi kata laluan aplikasi, kod pengesahan sekali guna, kod QR atau kod pemautan peranti. Jangan meluluskan log masuk atau permintaan OAuth yang tidak dijangka.
• Semak peranti pemesejan yang dipautkan secara berkala. Padam peranti yang tidak dikenali daripada WhatsApp dan aplikasi pemesejan lain.
• Gunakan MFA yang tahan phishing. Organisasi wajar mengutamakan kunci keselamatan atau passkey dan, jika boleh, mengehadkan aplikasi OAuth berisiko serta penggunaan kata laluan khusus aplikasi.

Bagi mereka yang bekerja dalam sektor sensitif, prinsipnya mudah: jenama yang dikenali, halaman log masuk yang sebenar atau ciri pengesahan yang sah tidak membuktikan bahawa sesuatu permintaan itu selamat. Permintaan tersebut—termasuk pihak yang memulakannya—masih perlu disahkan.