Chiến dịch giả mạo hỗ trợ kỹ thuật nhằm đánh cắp thông tin xác thực doanh nghiệp
"A threat cluster tracked as CL-CRI-1147 and potentially linked to UNC6671 is using vishing and fake helpdesk impersonation to steal employee credentials and MFA access, then exfiltrate data from cloud services such as SharePoint, OneDrive, and Teams for extortion. The activity is associated with the Pink data-leak brand, uses phishing domains and specific IPs as indicators of compromise, and has no software patch or CVE because it is a social-engineering campaign rather than a product vulnerability."
Nguy cơ cao do đánh cắp thông tin xác thực, bypass MFA và trích xuất dữ liệu nhạy cảm từ hệ thống đám mây.
Có thể gây rò rỉ dữ liệu doanh nghiệp, gián đoạn vận hành và tổn thất tài chính do tống tiền.
Một nhóm tấn công được theo dõi với mã CL-CRI-1147, có thể liên quan đến UNC6671, đang sử dụng phương thức vishing (lừa đảo qua điện thoại) và giả mạo bộ phận hỗ trợ kỹ thuật để đánh cắp thông tin xác thực nhân viên và truy cập MFA. Sau khi chiếm quyền truy cập, nhóm này tiến hành trích xuất dữ liệu từ các dịch vụ đám mây doanh nghiệp như SharePoint, OneDrive, Teams nhằm mục đích tống tiền. Hoạt động này gắn với thương hiệu rò rỉ dữ liệu "Pink" và sử dụng các tên miền lừa đảo cùng các địa chỉ IP cụ thể làm chỉ báo xâm nhập.
Đây là chiến dịch kỹ thuật xã hội chứ không phải lỗ hổng phần mềm, do đó không có CVE hay bản vá. Các chỉ báo kỹ thuật gồm các tên miền như passkeyadd[.]com, passkeydeploy[.]com, deploypasskey[.]com và các IP liên quan. Ngoài ra, các chuỗi user-agent như Microsoft.Graph.Client/5.62.0 và python-requests/2.28.1 thường xuất hiện trong quá trình trích xuất dữ liệu.
Khuyến nghị kỹ thuật: Tăng cường kiểm tra các cuộc gọi hỗ trợ kỹ thuật bất thường, giám sát truy cập bất thường vào các dịch vụ đám mây, sử dụng các chỉ báo xâm nhập để hunting và nâng cao nhận thức nhân viên về các kỹ thuật lừa đảo qua điện thoại.