Lapsus$ Ransomware Groupin aiheuttama Ciscon tietomurto

Kuukausi sen jälkeen, kun verkkojätti Cisco vahvisti järjestelmiensä rikkomisen, ilmoitti, että hyökkäys oli epäonnistunut kiristysohjelmayritys, joka suoritettiin yrityksen puolesta. Lapsus$ ryhmä.

Kyberrikolliset pääsivät Ciscon järjestelmiin a sosiaalisen manipuloinnin hyökkäysk joka alkoi siitä, että hyökkääjä otti hallintaansa työntekijän henkilökohtaisen Google-tilin, jossa uhrin selaimeen tallennettuja tunnistetietoja synkronoitiin. Sitten sarjassa kehittyneitä äänen tietojenkalasteluhyökkäyksiä jengi sai uhrin hyväksymään multifactor authentication (MFA) -push-ilmoitukset, mikä antoi roistoille mahdollisuuden kirjautua sisään yrityksen VPN:ään ikään kuin he olisivat uhri.

Sieltä hyökkääjät pystyivät murtautumaan Ciscon järjestelmiin, korottamaan oikeuksia, luopumaan etäkäyttötyökaluista, ottamaan käyttöön Cobalt Strikea ja muita loukkaavia haittaohjelmia ja lisäämään omia takaovia järjestelmään.

"Saattujen artefaktien, tunnistettujen taktiikkojen, tekniikoiden ja menettelyjen (TTP:iden), käytetyn infrastruktuurin ja tässä hyökkäyksessä käytetyn takaoven perusteellisen analyysin perusteella arvioimme kohtalaisella tai suurella varmuudella, että tämän hyökkäyksen suoritti vastustaja, joka on aiemmin tunnistettu alkupääsyvälittäjäksi (IAB), jolla on yhteyksiä sekä UNC2447:ään että Lapsus$:han”, Cisco Talosin tiimi selitti 11. syyskuuta päivitys elokuun rikkomisesta. "Vaikka emme havainneet kiristysohjelmien käyttöönottoa tässä hyökkäyksessä, käytetyt TTP:t olivat yhdenmukaisia ​​"kirnistusohjelmia edeltävän toiminnan" kanssa, joka on yleisesti havaittu johti kiristysohjelmien käyttöönottoon uhriympäristöissä."