Når en ekte sikkerhetsfunksjon blir en felle

Operasjonene brukte vedvarende og målrettet sosial manipulering. Angriperne utga seg for å være betrodde tjenestepersoner eller kontakter, sendte plausible invitasjoner og bygget opp samtaler før de ledet ofrene gjennom vanlige sikkerhetsfunksjoner. Blant metodene var Google OAuth-godkjenning, app-spesifikke passord og kobling av nye WhatsApp-enheter.

Dette kan omgå den tryggheten mange forbinder med multifaktorautentisering. Ofret trenger ikke å oppgi passordet sitt. Det kan i stedet bli lurt til å godkjenne en OAuth-applikasjon, opprette et app-passord eller koble en ny enhet. Handlingen ser legitim ut fordi den skjer gjennom en ekte tjeneste, men kan likevel gi angriperen en vei inn i kontoen.

Dette skal de tre gruppene ha gjort

UNC6293: utga seg for å være amerikanske myndighetspersoner

UNC6293 skal ha utgitt seg for å være tjenestepersoner i det amerikanske utenriksdepartementet og andre betrodde kontakter. Målet var blant annet å få ofrene til å opprette og dele app-spesifikke passord. Slike passord kan gi tilgang til en konto utenfor den vanlige tofaktorprosessen. GTIG beskrev også OAuth-phishing, der angriperne forsøker å få autoriserte tilgangstokener i stedet for å stjele passordet direkte.

GTIG vurderte med moderat sikkerhet at UNC6293 var en gruppe for førstegangstilgang under ICE RELIC, Googles betegnelse på aktøren som tidligere er kjent som APT29.

UNC7005, også kjent som STORM-2945: WhatsApp, falske samtaler og flere trinn

UNC7005 skal ha brukt en bredere og skiftende samling metoder, blant annet:

• Svindel med WhatsApp-kobling: Ofre ble lurt til å koble en enhet kontrollert av angriperne til WhatsApp-kontoen sin.
• Falske taleanrop og invitasjoner til krypterte chatter: Samtalene skulle bygge tillit før en skadelig lenke eller kode ble sendt.
• Forfalsket kommunikasjon fra organisasjoner: Meldinger som viste til Finnish Operations Center, ble brukt sammen med falske Microsoft-innloggingssider.
• OAuth og skadevare: Google OAuth-flyter ble brukt til å hente tilgangstokener eller kontotilgang, samtidig som skadevare som VIDAR og ATOMIC infostealere ble tatt i bruk.

Teknikkene og infrastrukturen til UNC7005 skilte seg fra UNC6293s. Derfor sporer GTIG dem som separate grupper, selv om målutvalget overlapper og begge misbruker legitime innloggingsfunksjoner.

UNC5976: OAuth-phishing mot forsvarsrelaterte mål

UNC5976 skal ha rettet seg mot militært personell, romfarts- og forsvarssektoren og tilknyttede organisasjoner, blant annet mål med forbindelse til Ukraina og Armenia. Phishingkampanjen forsøkte å få ofrene til å godkjenne OAuth-tilgang til kontoer eller data.

Hva Google sier om forbindelsen til Russland

GTIG vurderte med høy sikkerhet at aktiviteten hadde en russisk tilknytning. Det er en attribusjonsvurdering, ikke en påstand om at alle operative detaljer eller forbindelser mellom gruppene er dokumentert med samme grad av sikkerhet.

Rapporteringen beskriver også mulige koblinger mellom deler av aktiviteten og ICE RELIC/APT29. Forbindelsen mellom UNC6293 og ICE RELIC ble vurdert med moderat sikkerhet. Gruppene spores fortsatt separat fordi metodene og infrastrukturen deres ikke er identiske.

Multifaktorautentisering er ikke en garanti alene

Multifaktorautentisering kan fortsatt omgås dersom en angriper manipulerer brukeren til å godkjenne feil handling. En uventet OAuth-forespørsel, et spørsmål om å opprette et app-passord eller en kode for å koble WhatsApp til en ny enhet kan være tegn på at noen forsøker å overta kontoen – selv om ingen passord blir stjålet.

Lærdommen er å behandle sikkerhetsforespørsler som handlinger som krever kontroll, ikke som automatisk trygge steg bare fordi de vises i en kjent tjeneste.

Slik kan du beskytte deg

GTIGs råd handler først og fremst om å bremse prosessen angriperne forsøker å få brukeren til å gjennomføre:

• Kontroller hele nettadressen i nettleseren før du logger inn eller godkjenner OAuth-tilgang.
• Bekreft invitasjoner og forespørsler gjennom en annen kanal. Bruk en kjent kontaktmetode for konferanseinvitasjoner, taleanrop, forespørsler om kryptert chat og meldinger som hevder å komme fra myndigheter eller organisasjoner.
• Del aldri app-passord, engangskoder, QR-koder eller koder for enhetskobling. Ikke godkjenn en uventet innlogging eller OAuth-forespørsel.
• Gå jevnlig gjennom tilkoblede meldingsenheter. Fjern ukjente enheter fra WhatsApp og andre meldingsapper.
• Bruk phishing-resistent multifaktorautentisering. Organisasjoner bør prioritere sikkerhetsnøkler eller passnøkler og, der det er mulig, begrense risikable OAuth-applikasjoner og app-spesifikke passord.

For personer som arbeider i sensitive sektorer, er hovedregelen enkel: Et kjent merkenavn, en ekte innloggingsside eller en legitim sikkerhetsfunksjon beviser ikke at forespørselen er trygg. Også selve forespørselen – og personen eller organisasjonen som står bak den – må bekreftes.

Når en ekte sikkerhetsfunksjon blir en felle

Operasjonene brukte vedvarende og målrettet sosial manipulering. Angriperne utga seg for å være betrodde tjenestepersoner eller kontakter, sendte plausible invitasjoner og bygget opp samtaler før de ledet ofrene gjennom vanlige sikkerhetsfunksjoner. Blant metodene var Google OAuth-godkjenning, app-spesifikke passord og kobling av nye WhatsApp-enheter.

Dette kan omgå den tryggheten mange forbinder med multifaktorautentisering. Ofret trenger ikke å oppgi passordet sitt. Det kan i stedet bli lurt til å godkjenne en OAuth-applikasjon, opprette et app-passord eller koble en ny enhet. Handlingen ser legitim ut fordi den skjer gjennom en ekte tjeneste, men kan likevel gi angriperen en vei inn i kontoen.

Dette skal de tre gruppene ha gjort

UNC6293: utga seg for å være amerikanske myndighetspersoner

UNC6293 skal ha utgitt seg for å være tjenestepersoner i det amerikanske utenriksdepartementet og andre betrodde kontakter. Målet var blant annet å få ofrene til å opprette og dele app-spesifikke passord. Slike passord kan gi tilgang til en konto utenfor den vanlige tofaktorprosessen. GTIG beskrev også OAuth-phishing, der angriperne forsøker å få autoriserte tilgangstokener i stedet for å stjele passordet direkte.

GTIG vurderte med moderat sikkerhet at UNC6293 var en gruppe for førstegangstilgang under ICE RELIC, Googles betegnelse på aktøren som tidligere er kjent som APT29.

UNC7005, også kjent som STORM-2945: WhatsApp, falske samtaler og flere trinn

UNC7005 skal ha brukt en bredere og skiftende samling metoder, blant annet:

• Svindel med WhatsApp-kobling: Ofre ble lurt til å koble en enhet kontrollert av angriperne til WhatsApp-kontoen sin.
• Falske taleanrop og invitasjoner til krypterte chatter: Samtalene skulle bygge tillit før en skadelig lenke eller kode ble sendt.
• Forfalsket kommunikasjon fra organisasjoner: Meldinger som viste til Finnish Operations Center, ble brukt sammen med falske Microsoft-innloggingssider.
• OAuth og skadevare: Google OAuth-flyter ble brukt til å hente tilgangstokener eller kontotilgang, samtidig som skadevare som VIDAR og ATOMIC infostealere ble tatt i bruk.

Teknikkene og infrastrukturen til UNC7005 skilte seg fra UNC6293s. Derfor sporer GTIG dem som separate grupper, selv om målutvalget overlapper og begge misbruker legitime innloggingsfunksjoner.

UNC5976: OAuth-phishing mot forsvarsrelaterte mål

UNC5976 skal ha rettet seg mot militært personell, romfarts- og forsvarssektoren og tilknyttede organisasjoner, blant annet mål med forbindelse til Ukraina og Armenia. Phishingkampanjen forsøkte å få ofrene til å godkjenne OAuth-tilgang til kontoer eller data.

Hva Google sier om forbindelsen til Russland

GTIG vurderte med høy sikkerhet at aktiviteten hadde en russisk tilknytning. Det er en attribusjonsvurdering, ikke en påstand om at alle operative detaljer eller forbindelser mellom gruppene er dokumentert med samme grad av sikkerhet.

Rapporteringen beskriver også mulige koblinger mellom deler av aktiviteten og ICE RELIC/APT29. Forbindelsen mellom UNC6293 og ICE RELIC ble vurdert med moderat sikkerhet. Gruppene spores fortsatt separat fordi metodene og infrastrukturen deres ikke er identiske.

Multifaktorautentisering er ikke en garanti alene

Multifaktorautentisering kan fortsatt omgås dersom en angriper manipulerer brukeren til å godkjenne feil handling. En uventet OAuth-forespørsel, et spørsmål om å opprette et app-passord eller en kode for å koble WhatsApp til en ny enhet kan være tegn på at noen forsøker å overta kontoen – selv om ingen passord blir stjålet.

Lærdommen er å behandle sikkerhetsforespørsler som handlinger som krever kontroll, ikke som automatisk trygge steg bare fordi de vises i en kjent tjeneste.

Slik kan du beskytte deg

GTIGs råd handler først og fremst om å bremse prosessen angriperne forsøker å få brukeren til å gjennomføre:

• Kontroller hele nettadressen i nettleseren før du logger inn eller godkjenner OAuth-tilgang.
• Bekreft invitasjoner og forespørsler gjennom en annen kanal. Bruk en kjent kontaktmetode for konferanseinvitasjoner, taleanrop, forespørsler om kryptert chat og meldinger som hevder å komme fra myndigheter eller organisasjoner.
• Del aldri app-passord, engangskoder, QR-koder eller koder for enhetskobling. Ikke godkjenn en uventet innlogging eller OAuth-forespørsel.
• Gå jevnlig gjennom tilkoblede meldingsenheter. Fjern ukjente enheter fra WhatsApp og andre meldingsapper.
• Bruk phishing-resistent multifaktorautentisering. Organisasjoner bør prioritere sikkerhetsnøkler eller passnøkler og, der det er mulig, begrense risikable OAuth-applikasjoner og app-spesifikke passord.

For personer som arbeider i sensitive sektorer, er hovedregelen enkel: Et kjent merkenavn, en ekte innloggingsside eller en legitim sikkerhetsfunksjon beviser ikke at forespørselen er trygg. Også selve forespørselen – og personen eller organisasjonen som står bak den – må bekreftes.