FBI и CISA предупреждают о новых атаках Scattered Spider

ФБР и Агентство по кибербезопасности и защите инфраструктуры США (CISA), а также профильные ведомства Канады, Великобритании и Австралии, выпустили совместное предупреждение: группировка Scattered Spider только начинает наращивать количество кибератак, а значит — бизнесу стоит быть начеку.

Эти хакеры, известные ещё как Okto Tempest, совершенствуют методы социальной инженерии. Главная их фишка сейчас — выдавать себя за сотрудников компаний и вводить в заблуждение службы технической поддержки, вынуждая сбрасывать пароли и передавать токены двухфакторной аутентификации (MFA) на устройства под контролем злоумышленников.

Scattered Spider расширили арсенал: теперь в ход идёт вредоносное ПО RattyRAT (для скрытного доступа) и шифровальщик DragonForce (чтобы блокировать системы жертвы и требовать выкуп, особенно ударяя по серверам VMware ESXi — инфраструктуре, часто используемой крупным бизнесом).

Группа приобрела репутацию особо агрессивной и технически подкованной – они используют фишинг, атаки на идентификацию, взлом SIM-карт (SIM swapping), а также выматывают жертв постоянными запросами в стиле «MFA fatigue» (когда пользователя засыпают уведомлениями для подтверждения входа, вынуждая рано или поздно согласиться).

Но главное оружие — подмена личности при обращении в техподдержку компании. Именно этот вектор сегодня вызывает особую настороженность у CISA.

Scattered Spider практикует двойное вымогательство: сначала скачивают конфиденциальные файлы на сторонние сервисы (например, MEGA.nz и Amazon S3), а уже потом шифруют данные на инфраструктуре жертвы. Некоторые атаки сопровождались тысячами запросов в системы Snowflake — это платформа для хранения больших данных — чтобы быстро утащить максимальный объём информации.

Для сокрытия следов эти хакеры создают фейковые личности с настоящими соцсетями, мониторят внутреннюю переписку (Slack, Microsoft Teams) и даже присоединяются к митингам по реагированию на инциденты, чтобы узнать, как обороняется компания.

CISA заявляет: атак Scattered Spider будет становиться только больше, и советует компаниям: внедрять сложную двухфакторную аутентификацию (как FIDO/WebAuthn), ограничивать удалённый доступ, внимательно следить за подозрительными действиями пользователей, делать зашифрованные офлайн бэкапы, сегментировать сеть и вовремя обновлять ПО.