- Operazione di raccolta di credenziali di lunga durata condotta da MCTO3022, rivolta a organizzazioni in cui si simulava l’identità del dipartimento delle risorse umane
- Le campagne si avvalgono dei requisiti di conformità previsti dal manuale del personale e delle richieste di autorizzazione relative alle buste paga
- Le ultime evoluzioni della campagna includono un attacco di impersonazione tramite Adobe PDF Sign che installa gli strumenti RMM di PDQConnect anziché procedere alla tradizionale raccolta di credenziali
- Tali operazioni mettono in atto tecniche avanzate di ingegneria sociale che combinano false opportunità di lavoro con esche incentrate sulla conformità normativa in diversi settori
Threat intelligence
La campagna dedicata alle risorse umane sposta l’attenzione dalle credenziali agli strumenti RMM
Punti principali
Panoramica della campagna
Il team Mimecast Threat Research continua a monitorare la campagna di raccolta delle credenziali condotta da MCTO3022, che prende sistematicamente di mira le organizzazioni ricorrendo a tattiche di usurpazione dell’identità del dipartimento delle risorse umane. Questa operazione di lunga durata combina le tradizionali strategie volte a indurre il rispetto del regolamento aziendale con sistemi evoluti di autorizzazione delle buste paga, dimostrando una notevole maturità operativa e capacità di adattamento tattico nel corso di campagne di lunga durata. Le attività relative alle risorse umane si concentrano in genere sugli aggiornamenti del manuale del personale e sui requisiti di conformità, avvalendosi delle politiche aziendali che impongono il coinvolgimento dei dipendenti nelle comunicazioni in materia di risorse umane.
Queste campagne sfruttano la natura routinaria dei processi di conformità in ambito risorse umane, facendo apparire le comunicazioni malevole come normali operazioni aziendali che i dipendenti sono tenuti a portare a termine tempestivamente. MCTO3022 dimostra capacità di elusione attraverso l’uso improprio strategico di servizi legittimi, tra cui domini SharePoint per l’hosting iniziale degli URL e piattaforme di sondaggi Mailchimp per la raccolta delle credenziali. Questo approccio basato sull’infrastruttura consente all’autore della minaccia di sfruttare la fiducia e l’affidabilità associate alle piattaforme aziendali consolidate, mantenendo al contempo la flessibilità operativa grazie al rapido ricambio dei domini e al cambio di servizi.
L’ambito dell’operazione va oltre la tradizionale raccolta di credenziali e comprende attività di ricognizione finalizzate al reclutamento, nell’ambito delle quali vengono pubblicati annunci di lavoro per posizioni fittizie di rappresentanti regionali al fine di raccogliere informazioni dettagliate sui candidati. Questo approccio a duplice scopo fa supporre l'esistenza di sofisticate capacità di raccolta di informazioni, concepite per supportare sia il furto immediato di credenziali sia attività di ricognizione organizzativa a più lungo termine.
Ultimi sviluppi della campagna: implementazione di PDQConnect RMM
Le recenti attività della campagna dimostrano che MCTO3022 si è evoluto oltre la tradizionale raccolta di credenziali, arrivando a implementare strumenti di monitoraggio e gestione remota (RMM), in particolare PDQConnect, attraverso le proprie esche consolidate basate sull’autorizzazione delle buste paga tramite Adobe PDF Sign. Questo cambiamento tattico rappresenta un significativo aumento delle capacità dell'autore della minaccia, che è passato dal furto di credenziali all'implementazione di un accesso remoto persistente.
