Eine groß angelegte Phishing-Kampagne nutzt gefälschte saisonale Party-Einladungen, um Benutzer zur Installation von Remote-Management- und -Überwachungs-Tools (RMM) zu verleiten, so die Forscher von Symantec.
„Ein sehr aktiver Bedrohungsakteur, der sich darauf spezialisiert hat, die ScreenConnect-Software zur Fernverwaltung und -überwachung (RMM) in seinen Angriffen zu verwenden, hat seine Taktik geändert und infiziert seine Opfer nun mit mehreren RMM-Tools, darunter LogMeIn Resolve und Naverisk“, so Symantec.
„In vielen Fällen installieren die Angreifer zusätzliche RMM-Tools auf den infizierten Computern, lange nachdem der erste Angriff erfolgt ist. Die Motivation hinter dieser neuen Taktik bleibt unklar, obwohl es den Anschein hat, dass die Angreifer versuchen, ihre Verweildauer in den Netzwerken zu erhöhen, um ihren Gewinn aus erfolgreichen Angriffen zu maximieren.“
Die Angreifer haben vor kurzem damit begonnen, Köder mit Partythemen zu verwenden, wahrscheinlich um Nutzer während der Weihnachtszeit anzusprechen.
„Die Angriffe folgen einem einheitlichen Muster, beginnend mit Phishing-E-Mails, die eine Vielzahl von Köder-Taktiken einsetzen“, schreiben die Forscher. „Jüngste E-Mails waren als Einladungen zu Weihnachtsfeiern getarnt, z. B. als ‚Party-Einladung‘ oder ‚December Holiday Party‘ Andere E-Mail-Köder gaben sich als Rechnungen, Steuerkorrespondenz, Mahnungen, Einladungen zu Zoom-Meetings oder zu unterzeichnende Dokumente aus
Insbesondere wechseln die Angreifer die auf den infizierten Systemen installierten Fernzugriffstools, möglicherweise um die Entdeckung zu umgehen und die Persistenz zu erhalten.
„In jüngster Zeit, d. h. seit Oktober, scheinen die Angreifer hauptsächlich LogMeIn Resolve (ehemals GoTo Resolve) und ein weiteres RMM-Paket, Naverisk, zusammen mit ScreenConnect zu verwenden. Interessanterweise werden die RMM-Tools normalerweise nicht gleichzeitig installiert. Stattdessen wird eines verwendet, um ein anderes zu installieren, und oft kann zwischen den Installationen ein gewisser Zeitraum vergehen.“
Es ist nicht klar, was das Ziel dieser Angriffe ist, aber Symantec glaubt, dass die Hacker möglicherweise erste Zugangsvermittler sind, die den Zugang an andere Kriminelle, wie z. B. Ransomware-Banden, verkaufen.
KI-unterstütztes Sicherheitstraining befähigt Ihre Mitarbeiter, jeden Tag intelligentere Sicherheitsentscheidungen zu treffen und das menschliche Risiko zu verringern.
Symantec hat die story.