När en legitim säkerhetsfunktion blir ett angrepp

Angreppen bygger på uthållig och noggrant riktad social manipulation. Angriparna utger sig för att vara betrodda myndighetspersoner eller kontakter, skapar trovärdiga inbjudningar och samtal och leder sedan offren genom riktiga säkerhetsfunktioner i deras konton. Bland metoderna finns Google OAuth, applösenord och WhatsApps funktion för att koppla nya enheter.

Det gör att angreppen kan ta sig förbi den trygghet som många förknippar med multifaktorautentisering. Offret behöver inte lämna ut sitt vanliga lösenord. I stället kanske personen godkänner en OAuth-applikation, skapar ett applösenord eller kopplar en ny enhet. Var och en av dessa handlingar kan ge angriparen en legitimt utseende väg in i kontot.

Vad de tre klustren uppges ha gjort

UNC6293: myndighetsimitation, applösenord och OAuth

UNC6293 uppges ha utgett sig för att vara tjänstemän vid USA:s utrikesdepartement och andra betrodda kontakter. Lockbetena var utformade för att få måltavlor att skapa och lämna ut applösenord, som kan ge åtkomst till ett konto utan den vanliga frågan om en andra faktor. GTIG beskriver också så kallat OAuth-samtyckesnätfiske, där angriparna försöker få auktoriserade åtkomsttoken i stället för att stjäla lösenordet direkt.

GTIG bedömer med måttlig säkerhet att UNC6293 är ett kluster för initial åtkomst inom ICE RELIC, Googles benämning på den aktör som tidigare kallades APT29.

UNC7005, även kallat STORM-2945: WhatsApp och flerledade lockbeten

UNC7005 använde flera metoder som förändrades över tid, bland annat:

• Bedrägerier med WhatsApps enhetskoppling: Offren lurades att koppla en angriparkontrollerad enhet till sitt WhatsApp-konto.
• Falska röstsamtal och inbjudningar till krypterade chattar: Kontakterna skulle bygga förtroende innan en skadlig länk eller kod skickades.
• Förfalskad organisationskommunikation: Meddelanden med hänvisningar till Finnish Operations Center användes tillsammans med falska Microsoft-inloggningssidor.
• OAuth och skadeprogram: Google OAuth-flöden användes för att försöka få tag på token eller kontoåtkomst. Samtidigt distribuerades bland annat infostjälarna VIDAR och ATOMIC.

Klustrets metoder och tekniska infrastruktur skiljde sig från UNC6293:s. Därför spårar GTIG dem separat, trots att måltavlorna överlappar och att båda kampanjerna förlitar sig på legitima inloggningsflöden.

UNC5976: OAuth-nätfiske mot försvarsrelaterade mål

UNC5976 uppges ha fokuserat på militär personal samt personer och organisationer inom flyg-, rymd- och försvarssektorn, däribland mål med koppling till Ukraina och Armenien. Klustrets nätfiske försökte få offren att auktorisera OAuth-åtkomst till konton eller data.

Vad Google säger om kopplingen till Ryssland

GTIG bedömer med hög säkerhet att den samlade aktiviteten har en rysk koppling. Det är en bedömning av aktörernas anknytning – inte ett påstående om att varje operativ detalj eller relation mellan klustren är bevisad med samma säkerhetsnivå.

Rapporteringen beskriver också möjliga samband mellan delar av aktiviteten och ICE RELIC/APT29. GTIG:s koppling mellan UNC6293 och ICE RELIC har bedömts med måttlig säkerhet. Klustren spåras fortfarande separat eftersom deras metoder och infrastruktur inte är identiska.

Därför räcker multifaktorautentisering inte alltid

Multifaktorautentisering kan kringgås om angriparen manipulerar användaren till att godkänna fel åtgärd. En oväntad OAuth-skärm, en begäran om att skapa ett applösenord eller en kod för WhatsApps enhetskoppling kan vara tecken på ett kontokapningsförsök – även om inget lösenord har stulits.

Den praktiska lärdomen är att betrakta säkerhetsfrågor som transaktioner som måste verifieras. De är inte automatiskt säkra bara för att de visas i en välkänd tjänst.

Så minskar du risken

GTIG:s råd går i korthet ut på att sakta ner de processer som angriparna försöker stressa fram:

• Kontrollera hela webbadressen innan du loggar in eller godkänner OAuth-åtkomst.
• Verifiera inbjudningar och förfrågningar via en annan kanal. Använd en känd kontaktväg för konferensinbjudningar, röstsamtal, förfrågningar om krypterade chattar och meddelanden som påstås komma från myndigheter eller organisationer.
• Dela aldrig applösenord, engångskoder, QR-koder eller koder för enhetskoppling. Godkänn inte oväntade inloggningar eller OAuth-förfrågningar.
• Granska kopplade meddelandeenheter regelbundet. Ta bort okända enheter från WhatsApp och andra meddelandeappar.
• Använd nätfiskeresistent multifaktorautentisering. Organisationer bör prioritera säkerhetsnycklar eller passkeys och, när det är möjligt, begränsa riskfyllda OAuth-applikationer och applösenord.

För personer som arbetar i känsliga sektorer är grundregeln enkel: ett välkänt varumärke, en riktig inloggningssida eller en genuin säkerhetsfunktion bevisar inte att förfrågan är legitim. Även själva begäran – och personen eller organisationen som skickade den – måste verifieras.

När en legitim säkerhetsfunktion blir ett angrepp

Angreppen bygger på uthållig och noggrant riktad social manipulation. Angriparna utger sig för att vara betrodda myndighetspersoner eller kontakter, skapar trovärdiga inbjudningar och samtal och leder sedan offren genom riktiga säkerhetsfunktioner i deras konton. Bland metoderna finns Google OAuth, applösenord och WhatsApps funktion för att koppla nya enheter.

Det gör att angreppen kan ta sig förbi den trygghet som många förknippar med multifaktorautentisering. Offret behöver inte lämna ut sitt vanliga lösenord. I stället kanske personen godkänner en OAuth-applikation, skapar ett applösenord eller kopplar en ny enhet. Var och en av dessa handlingar kan ge angriparen en legitimt utseende väg in i kontot.

Vad de tre klustren uppges ha gjort

UNC6293: myndighetsimitation, applösenord och OAuth

UNC6293 uppges ha utgett sig för att vara tjänstemän vid USA:s utrikesdepartement och andra betrodda kontakter. Lockbetena var utformade för att få måltavlor att skapa och lämna ut applösenord, som kan ge åtkomst till ett konto utan den vanliga frågan om en andra faktor. GTIG beskriver också så kallat OAuth-samtyckesnätfiske, där angriparna försöker få auktoriserade åtkomsttoken i stället för att stjäla lösenordet direkt.

GTIG bedömer med måttlig säkerhet att UNC6293 är ett kluster för initial åtkomst inom ICE RELIC, Googles benämning på den aktör som tidigare kallades APT29.

UNC7005, även kallat STORM-2945: WhatsApp och flerledade lockbeten

UNC7005 använde flera metoder som förändrades över tid, bland annat:

• Bedrägerier med WhatsApps enhetskoppling: Offren lurades att koppla en angriparkontrollerad enhet till sitt WhatsApp-konto.
• Falska röstsamtal och inbjudningar till krypterade chattar: Kontakterna skulle bygga förtroende innan en skadlig länk eller kod skickades.
• Förfalskad organisationskommunikation: Meddelanden med hänvisningar till Finnish Operations Center användes tillsammans med falska Microsoft-inloggningssidor.
• OAuth och skadeprogram: Google OAuth-flöden användes för att försöka få tag på token eller kontoåtkomst. Samtidigt distribuerades bland annat infostjälarna VIDAR och ATOMIC.

Klustrets metoder och tekniska infrastruktur skiljde sig från UNC6293:s. Därför spårar GTIG dem separat, trots att måltavlorna överlappar och att båda kampanjerna förlitar sig på legitima inloggningsflöden.

UNC5976: OAuth-nätfiske mot försvarsrelaterade mål

UNC5976 uppges ha fokuserat på militär personal samt personer och organisationer inom flyg-, rymd- och försvarssektorn, däribland mål med koppling till Ukraina och Armenien. Klustrets nätfiske försökte få offren att auktorisera OAuth-åtkomst till konton eller data.

Vad Google säger om kopplingen till Ryssland

GTIG bedömer med hög säkerhet att den samlade aktiviteten har en rysk koppling. Det är en bedömning av aktörernas anknytning – inte ett påstående om att varje operativ detalj eller relation mellan klustren är bevisad med samma säkerhetsnivå.

Rapporteringen beskriver också möjliga samband mellan delar av aktiviteten och ICE RELIC/APT29. GTIG:s koppling mellan UNC6293 och ICE RELIC har bedömts med måttlig säkerhet. Klustren spåras fortfarande separat eftersom deras metoder och infrastruktur inte är identiska.

Därför räcker multifaktorautentisering inte alltid

Multifaktorautentisering kan kringgås om angriparen manipulerar användaren till att godkänna fel åtgärd. En oväntad OAuth-skärm, en begäran om att skapa ett applösenord eller en kod för WhatsApps enhetskoppling kan vara tecken på ett kontokapningsförsök – även om inget lösenord har stulits.

Den praktiska lärdomen är att betrakta säkerhetsfrågor som transaktioner som måste verifieras. De är inte automatiskt säkra bara för att de visas i en välkänd tjänst.

Så minskar du risken

GTIG:s råd går i korthet ut på att sakta ner de processer som angriparna försöker stressa fram:

• Kontrollera hela webbadressen innan du loggar in eller godkänner OAuth-åtkomst.
• Verifiera inbjudningar och förfrågningar via en annan kanal. Använd en känd kontaktväg för konferensinbjudningar, röstsamtal, förfrågningar om krypterade chattar och meddelanden som påstås komma från myndigheter eller organisationer.
• Dela aldrig applösenord, engångskoder, QR-koder eller koder för enhetskoppling. Godkänn inte oväntade inloggningar eller OAuth-förfrågningar.
• Granska kopplade meddelandeenheter regelbundet. Ta bort okända enheter från WhatsApp och andra meddelandeappar.
• Använd nätfiskeresistent multifaktorautentisering. Organisationer bör prioritera säkerhetsnycklar eller passkeys och, när det är möjligt, begränsa riskfyllda OAuth-applikationer och applösenord.

För personer som arbetar i känsliga sektorer är grundregeln enkel: ett välkänt varumärke, en riktig inloggningssida eller en genuin säkerhetsfunktion bevisar inte att förfrågan är legitim. Även själva begäran – och personen eller organisationen som skickade den – måste verifieras.