ReliaQuest研究人员观察到Black Basta的分支机构依赖微软团队获得目标网络的初始访问权限。
ReliaQuest研究人员警告，Black Basta勒索软件的分支机构已转向使用微软团队，假装IT支持人员，诱使员工授权访问。
BlackBasta勒索软件的操作者被发现在员工面前伪装成企业帮助台，联系员工帮助他们缓解正在进行的垃圾邮件攻击。
威胁行为者用电子邮件充斥员工的收件箱，然后在微软团队上伪装成IT支持人员，提供关于垃圾邮件问题的“帮助”。
ReliaQuest发布的报告指出：“他们之前的做法包括用电子邮件垃圾邮件淹没用户，促使他们创建一个合法的帮助台工单来解决问题。然后攻击者会联系终端用户，假装是帮助台，回应工单。在最近的事件中，攻击者通过使用微软团队聊天消息与目标用户沟通，并引入恶意二维码来促进初始访问。”
威胁行为者试图诱使用户下载远程监控和管理（RMM）工具，如AnyDesk，一旦获得目标环境的初始访问权限，就部署勒索软件。
研究人员指出，发送给潜在受害者的信息量非常大；在一个实例中，他们观察到在短短50分钟内向一个用户发送了大约1000封电子邮件。
攻击者将目标用户添加到与外部用户的微软团队聊天中。这些外部用户使用他们创建的Entra ID租户进行操作，采用命名规则伪装成支持、管理员或帮助台人员。
以下是攻击者使用的一些租户：
- cybersecurityadmin.onmicrosoft[.]com
- securityadminhelper.onmicrosoft[.]com
- supportserviceadmin.onmicrosoft[.]com
- supportadministrator.onmicrosoft[.]com
“这些外部用户将他们的个人资料设置为‘DisplayName’，旨在让目标用户认为他们是在与帮助台账户沟通。”报告继续说道。“在我们观察到的几乎所有实例中，显示名称都包含了字符串‘Help Desk’，通常周围有空格字符，这可能是为了让名称在聊天中居中。我们还观察到，通常情况下，目标用户被添加到了‘一对一’聊天中。”
威胁行为者还在聊天中发送二维码，作为Quishing尝试的一部分。
专家根据域名创建和Cobalt Strike配置的共同点，高度自信地将攻击归因于Black Basta。
专家观察到，外部用户的操作通常起源于俄罗斯，位于莫斯科时区。
获得访问权限后，攻击者部署恶意文件，包括代理恶意软件和Cobalt Strike，以加深网络渗透。专家建议限制外部微软团队通信，并记录可疑聊天活动以提高安全性。
报告总结说：“这场活动仍在发展，Black Basta展现了他们快速适应TTP（战术、技术和程序）的能力，这可能是为了挫败防御者，为自己在网络上争取更多时间以进一步发动攻击。虽然他们的初始访问方法已经改变，但他们的后利用活动可能与之前观察到的模式保持一致，这些模式已被现有的安全工具和检测规则所覆盖。”
1.本站内容仅供参考，不作为任何法律依据。用户在使用本站内容时，应自行判断其真实性、准确性和完整性，并承担相应风险。
2.本站部分内容来源于互联网，仅用于交流学习研究知识，若侵犯了您的合法权益，请及时邮件或站内私信与本站联系，我们将尽快予以处理。
3.本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权
4.根据《计算机软件保护条例》第十七条规定“为了学习和研究软件内含的设计思想和原理，通过安装、显示、传输或者存储软件等方式使用软件的，可以不经软件著作权人许可，不向其支付报酬。”您需知晓本站所有内容资源均来源于网络，仅供用户交流学习与研究使用，版权归属原版权方所有，版权争议与本站无关，用户本人下载后不能用作商业或非法用途，需在24个小时之内从您的电脑中彻底删除上述内容，否则后果均由用户承担责任；如果您访问和下载此文件，表示您同意只将此文件用于参考、学习而非其他用途，否则一切后果请您自行承担，如果您喜欢该程序，请支持正版软件，购买注册，得到更好的正版服务。
5.本站是非经营性个人站点，所有软件信息均来自网络，所有资源仅供学习参考研究目的，并不贩卖软件，不存在任何商业目的及用途
暂无评论内容