Совет по обеспечению кибербезопасности США (CSRB) представил отчёт об анализе методов, используемых вымогателями группировки Lapsus$, для взлома организаций, применяющих надёжные меры безопасности. Речь идёт об атаках с подменой СИМ-карт и других вторжениях.
Среди известных компаний, затронутых Laspus$: Microsoft, Cisco, Okta, Nvidia, T-Mobile, Samsung, Uber, Vodafone, Ubisoft и Globant. CSRB описывает Laspus$ как подростковую группу, в которой состоят выходцы из Великобритании и Бразилии. Группировка действовала в 2021-2022 годах с целью получения известности, финансовых выгод и развлечений.
Специалисты указывают, что Laspus$ использовала недорогие методы, хорошо известные и доступные другим субъектам угроз, выявляя слабые места в киберинфраструктуре, которые могут быть уязвимы для будущих кибератак.
Группа применяла подмену СИМ-карт, чтобы получить доступ к внутренней сети целевой компании и похитить конфиденциальную информацию, включая исходный код, сведения о запатентованных технологиях или документы, связанные с бизнесом и клиентам.
В ходе атак с подменой СИМ-карт злоумышленники крадут номер телефона жертвы, перенося его на свою СИМ-карту. Для этого преступники прибегают к социальной инженерии и инсайдерской информации, добытой у операторов мобильных сетей пострадавших.
Имея контроль над номером телефона жертвы, злоумышленники имеют возможность получать коды подтверждения по СМС для прохождения двухфакторной аутентификации, чтобы входить в различные корпоративные службы и сети.
В одном случае Lapsus$ использовала несанкционированный доступ к оператору связи, чтобы попытаться скомпрометировать учётные записи мобильных телефонов, связанных с сотрудниками ФБР и Министерства обороны США. Попытка не увенчалась успехом из-за мер дополнительной безопасности этих аккаунтов.
Согласно информации CSRB, группировка платила до $20 тыс. в неделю за доступ к платформе телекоммуникационного провайдера и подмену СИМ-карт. Lapsus$ использовала незакрытые уязвимости в Microsoft Active Directory в 60% своих атак.
Группировка приостановила деятельность с сентября прошлого года, вероятно, из-за расследований, которые привели к аресту нескольких членов Lapsus$. За 2022 год полиция Великобритании арестовала девять человек, связанных с группой. Бразильские правоохранители задержали подозреваемого в причастности к Lapsus$.
