- Lang andauernde Aktion zum Sammeln von Zugangsdaten durch MCTO3022, die sich gegen Organisationen richtet, wobei sich die Angreifer als Mitarbeiter der Personalabteilung ausgeben
- Im Rahmen von Kampagnen werden die Compliance-Anforderungen des Mitarbeiterhandbuchs sowie Anträge auf Gehaltsfreigabe berücksichtigt
- Zu den jüngsten Entwicklungen der Kampagne gehört eine Adobe PDF Sign-Identitätsfälschung, bei der PDQConnect-RMM-Tools anstelle der herkömmlichen Erfassung von Anmeldedaten eingesetzt werden
- Die Betrugsmaschen zeugen von ausgefeilten Social-Engineering-Methoden, bei denen gefälschte Stellenangebote mit unter dem Deckmantel der Compliance gestellten Lockangeboten in verschiedenen Branchen kombiniert werden.
Threat intelligence
HR-Kampagne verlagert den Schwerpunkt von Qualifikationsnachweisen auf RMM-Tools
Wichtige Punkte
Kampagnenübersicht
Das Mimecast Threat Research-Team beobachtet weiterhin die von MCTO3022 durchgeführte Kampagne zum Sammeln von Anmeldedaten, bei der Organisationen systematisch durch Täuschungsmanöver im Namen der Personalabteilung ins Visier genommen werden. Diese kontinuierliche Maßnahme verbindet traditionelle Anreize zur Einhaltung der Vorgaben des Mitarbeiterhandbuchs mit weiterentwickelten Systemen zur Gehaltsfreigabe und zeugt von einer hohen betrieblichen Reife sowie taktischer Anpassungsfähigkeit über längere Kampagnenzeiträume hinweg. Maßnahmen im Personalbereich konzentrieren sich in der Regel auf die Aktualisierung des Mitarbeiterhandbuchs und die Einhaltung von Compliance-Anforderungen, wobei auf Unternehmensrichtlinien zurückgegriffen wird, die die Einbindung der Mitarbeiter in die Kommunikation des Personalwesens vorschreiben.
Diese Kampagnen nutzen den routinemäßigen Charakter von Compliance-Prozessen im Personalwesen aus und lassen böswillige Mitteilungen wie normale Geschäftsabläufe erscheinen, deren unverzügliche Erledigung von den Mitarbeitern erwartet wird. MCTO3022 demonstriert seine Umgehungsfähigkeiten durch den strategischen Missbrauch legitimer Dienste, darunter SharePoint-Domänen für das anfängliche Hosting von URLs und Mailchimp-Umfrageplattformen zur Erfassung von Anmeldedaten. Dieser Infrastrukturansatz ermöglicht es dem Angreifer, das Vertrauen und die Zustellbarkeit etablierter Geschäftsplattformen zu nutzen und gleichzeitig durch schnellen Domain-Wechsel und Dienstwechsel operative Flexibilität zu wahren.
Der Umfang der Operation geht über das herkömmliche Sammeln von Zugangsdaten hinaus und umfasst auch rekrutierungsbasierte Erkundungsmaßnahmen, bei denen gefälschte Stellen als regionale Vertreter ausgeschrieben werden, um detaillierte Informationen über die Bewerber zu sammeln. Dieser zweigleisige Ansatz deutet auf ausgefeilte Fähigkeiten zur Informationsbeschaffung hin, die sowohl den unmittelbaren Diebstahl von Zugangsdaten als auch längerfristige Erkundungsaktivitäten innerhalb der Organisation unterstützen sollen.
Aktuelle Entwicklungen der Kampagne: Einführung von PDQConnect RMM
Jüngste Kampagnenaktivitäten zeigen, dass sich MCTO3022 über das herkömmliche Sammeln von Anmeldedaten hinaus weiterentwickelt hat und nun Tools zur Fernüberwachung und -verwaltung (RMM), insbesondere PDQConnect, über die bereits etablierten Köder in Form von Adobe-PDF-Sign-Dateien zur Gehaltsabrechnung einsetzt. Diese taktische Neuausrichtung stellt eine erhebliche Ausweitung der Fähigkeiten des Angreifers dar, der nun vom Diebstahl von Zugangsdaten zur Einrichtung eines dauerhaften Fernzugriffs übergeht.
