Сервисы для хакеров: как Muddled Libra использует облака для незаметной кражи данных

Palo Alto Networks Unit 42 сообщает, что киберпреступная группировка Muddled Libra активно атакует облачные приложения и поставщиков облачных сервисов, стремясь похитить конфиденциальные данные.

Согласно отчету, злоумышленники нацелены на извлечение данных из приложений SaaS (Software-as-a-Service) и услуг CSP (Cloud Service Provider), используя их для дальнейших атак и вымогательства. Примечательно, что для начального проникновения в сети целей группировка использует сложные методы социальной инженерии.

Как известно, Muddled Libra умело избегает обнаружения, используя техники, которые позволяют действовать незаметно и модифицируют свои методы и техники управления для адаптации под разные сети жертв. Сюда входит вымогательство и кража данных.

Очередность действий хакеров

Одной из особенностей тактики Muddled Libra является разведка, цель которой – идентификация административных пользователей для дальнейшего получения их паролей под видом технической поддержки. Также группировка проводит глубокий анализ используемых организациями приложений и облачных сервисов.

В прошлом году в период с конца июля по начало августа 2023 года Muddled Libra успешно обошла ограничения IAM (Identity and Access Management), эксплуатируя службу Okta для доступа к SaaS-приложениям и облачной инфраструктуре различных организаций.

Кроме того, если интеграция SSO (single sign-on) не поддерживается облачной платформой жертвы, хакеры проводят обширный поиск для выявления учетных данных CSP, часто хранящихся в незащищенных местах.

Целью действий по сбору данных является, в частности, получение доступа к услугам Amazon Web Services и Microsoft Azure, таким как AWS IAM, Amazon Simple Storage Service (S3), AWS Secrets Manager, а также ключам доступа к хранилищам Azure.

Эксплуатация сервисов и функций CSP, включая инструменты AWS DataSync и AWS Transfer, а также технику создания снимков дисков (снэпшоты) для перемещения данных из среды Azure, позволяет Muddled Libra эффективно собирать данные.

По словам Palo Alto Networks, организациям внедрить дополнительную аутентификацию, включая использование аппаратных токенов или биометрии.