Группа Luna Moth снова выходит на юридические фирмы, которые, вероятно, не заплатили после первой атаки. Теперь злоумышленники делают ставку не на шифровальщик и не на громкий эксплойт, а на разговор с сотрудником: цепочка из письма, звонка и демонстрации экрана помогает им получить токены доступа Microsoft и добраться до корпоративных данных. Для российских компаний это полезное напоминание: MFA не спасает, если сотрудника убедили отдать уже авторизованную сессию.
О новой волне атак сообщает Dark Reading со ссылкой на ReliaQuest. Исследователи считают, что преступники возвращаются к прежним целям через недели или месяцы после первого эпизода, выбирая тех, кто не согласился на первоначальные требования. Это именно оценка аналитиков, а не установленный список пострадавших: мотив повторного выбора жертв нельзя считать доказанным для каждого случая.
Письмо не открывается — зато звонок работает
Сценарий устроен так, чтобы техническая защита увидела как можно меньше подозрительного. Сотруднику приходит письмо с пустой темой от бесплатного почтового адреса и PDF-вложением, которое не открывается. Затем звонит человек, представляющийся специалистом внутренней ИТ-поддержки. Он предлагает «исправить» проблему по видеосвязи, просит включить демонстрацию экрана и ведёт жертву через действия, которые позволяют перехватить токен доступа Microsoft.
Такой токен особенно ценен для атакующих: он подтверждает уже пройденную аутентификацию и может дать доступ к облачным сервисам от имени сотрудника. Вместо подбора пароля или обхода второго фактора злоумышленник использует доверие к привычному процессу поддержки. Пользователь сам участвует в компрометации, а в журналах событий часть активности может выглядеть как работа легитимной учётной записи.
Группа Luna Moth, также известная под именами Silent Ransom Group, Chatty Spider и UNC3753, специализируется на вымогательстве после кражи данных. Её модель отличается от классической атаки ransomware: приоритетом становится быстрый доступ к конфиденциальным файлам и давление угрозой публикации или продажи, а не обязательное шифрование инфраструктуры. Юридические фирмы для такой модели удобная цель: у них есть переписка с клиентами, документы по сделкам и спорам, персональные данные и сведения, защищённые адвокатской тайной.
Интерес к сектору не возник вчера. По данным предупреждений ФБР, эта группа последовательно нацеливается на юридические фирмы США как минимум с весны 2023 года. Ранее её схемы включали фишинговые письма и звонки от имени ИТ-поддержки, установку легитимных средств удалённого администрирования, а в отдельных случаях — попытки получить физический доступ к рабочим местам. В актуальной кампании, по оценке ReliaQuest, атакующие отказались от прежнего акцента на инструментах удалённого управления и ручной выгрузке данных в пользу кражи токенов.
Почему это проблема не только для юристов
Для ИТ-директора важен не отраслевой ярлык жертвы, а механика атаки. Аналогичные цепочки работают в консалтинге, финансах, аутсорсинге разработки и любом бизнесе, где поддержка регулярно просит сотрудников открыть Teams, показать экран или подтвердить вход. Чем привычнее дистанционная помощь, тем проще выдать внешний звонок за внутренний. Злоумышленнику не нужно искать неизвестную уязвимость, если он может поставить работника в ситуацию, где тот сам считает нарушение процедуры разумным исключением.
Защита здесь лежит на стыке IAM, процессов и обучения. Нужна короткая, известная всем процедура проверки любого неожиданного обращения от ИТ-службы: сотрудник не продолжает разговор по входящему номеру, а самостоятельно создаёт заявку или перезванивает по номеру из корпоративного справочника. Поддержке стоит запретить запрашивать демонстрацию экрана и действия с учётной записью вне оформленного обращения. Командам безопасности полезно отслеживать нетипичные входы, выпуск и использование сессионных токенов, обращения к облачному хранилищу и быстрые массовые выгрузки данных после контактов со службой поддержки.
Не менее важна готовность к моменту, когда пользователь всё же попался. Отзыв сессий и токенов, принудительная повторная аутентификация, проверка правил пересылки почты, подключённых приложений и действий в облаке должны быть понятной операционной процедурой, а не поиском инструкций во время инцидента. Сценарий полезно отрепетировать отдельно: компрометация токена — не то же самое, что смена пароля после фишинга.
Повторный заход на тех, кто уже отказался платить, показывает неприятную экономику вымогательства: для преступников первая неудача не всегда закрывает сделку, а может лишь оставить в базе перспективную цель. Группа Luna Moth демонстрирует, что следующий виток атак всё чаще будет строиться вокруг доверия к сотрудникам и легитимным облачным сессиям. Значит, измерять устойчивость придётся не только числом закрытых CVE, но и тем, сможет ли организация спокойно остановить убедительного «коллегу из ИТ» по телефону.
