- Operazione di spear phishing su piccola scala che invia fino a 1.000 e-mail per ogni campagna condotta
- Accesso iniziale finalizzato alla potenziale diffusione di un ransomware
- Professionisti senior del settore IT e amministratori con privilegi di superamministratore
- Phishing di tipo “Adversary-in-the-middle” (AITM) tramite il framework EvilGinx
Threat intelligence
Acquisizione delle credenziali di superamministratore di ScreenConnect
Punti principali
Panoramica della campagna
Samantha Clarke e il team di ricerca sulle minacce di Mimecast hanno individuato una campagna in corso volta al furto di credenziali (denominata MCTO3030) che prende di mira specificatamente gli amministratori del servizio cloud ScreenConnect. Questa sofisticata organizzazione ha mantenuto tattiche, tecniche e procedure costanti sin dal 2022, dimostrando una notevole sicurezza operativa grazie a una distribuzione su piccola scala che le ha consentito di operare in gran parte senza essere individuata.
La campagna si avvale di e-mail di spear phishing inviate tramite account Amazon Simple Email Service (SES) e prende di mira professionisti senior del settore IT, tra cui direttori, responsabili e addetti alla sicurezza con privilegi elevati negli ambienti ScreenConnect. Gli autori degli attacchi cercano in particolare le credenziali di superamministratore, che consentono un controllo completo sull’infrastruttura di accesso remoto a livello dell’intera organizzazione.
Non appena l'utente fa clic sul pulsante "Verifica sicurezza", viene reindirizzato a una delle due tipologie di pagine di phishing:
Esempio numero 1
Esempio numero 2
Ciò che rende questa campagna particolarmente preoccupante è il suo evidente collegamento con operazioni di ransomware. Una ricerca condotta da Sophos evidenzia un attacco simile a ScreenConnect da parte di affiliati del ransomware Qilin, il che suggerisce che tali attività di raccolta delle credenziali fungano da vettori di accesso iniziali per la successiva diffusione del ransomware
Le credenziali di superamministratore ottenute consentono agli autori degli attacchi di distribuire contemporaneamente client o istanze dannose di ScreenConnect su più endpoint, facilitando così un rapido spostamento laterale e la diffusione del ransomware.
