Google викрив тактики трьох російських хакерських угруповань, які атакують особисті акаунти урядовців, дипломатів, науковців та працівників оборонної сфери в США та Європі. Групи під ідентифікаторами UNC6293, UNC7005 та UNC5976 обходять захист через соціальну інженерію та аб'юз легітимних функцій автентифікації.
Як працюють нові схеми
Атаки розбиті на кілька етапів із використанням різних додатків. Замість класичних фішингових сторінок хакери маніпулюють реальними процесами авторизації, тому їх важче задетектувати.
➡️ ШІ та зашифровані повідомлення. Угруповання б'є по урядовому та оборонному секторах, академічних колах і аналітичних центрах. Основний вектор — фішинг через код пристрою Microsoft та перехоплення сесій WhatsApp із подальшим завантаженням малварі. Жертву змушують підключити WhatsApp до пристрою зловмисників, а через фейкові дзвінки таємно пишуть аудіо та відео. За даними Google, UNC7005 використовує малварь-як-сервіс (MaaS) та великі мовні моделі (LLM) для генерації інструментів під конкретні таргети.
➡️ Крадіжка OAuth-токенів через фейкові сторінки. Цільова аудиторія — працівники аерокосмічної, оборонної та урядової сфер у Європі та США. Група краде OAuth-токени через фейкові сторінки файлообмінників та шкідливі проєкти в Google Cloud. Жертва проходить легітимний логін через Google OAuth, після чого скрипти перехоплюють токени автентифікації. Google вже заблокував щонайменше 12 доменів цього угруповання, змусивши їх переносити інфраструктуру на інші платформи.
➡️ Підроблені дипломати та зловживання автентифікацією. Фокус групи — дипломати, науковці та некомерційні організації в Україні, Західній Європі та США. Хакери видають себе за співробітників Держдепартаменту США і змушують жертв генерувати паролі додатків для обходу двофакторної автентифікації (2FA). З недавнього часу вони просять жертву пройти легітимний логін і передати їм коди верифікації OAuth для повного доступу до акаунта.
Як розпізнати та захиститися
Google рекомендує працівникам цих секторів ігнорувати несподівані повідомлення, навіть якщо відправник виглядає як знайома людина чи офіційна організація.
Перевіряйте запрошення. Отримали інвайт на подію — зв'яжіться з організаторами напряму, а не за контактами з самого запрошення.
Уникайте паролів додатків. Google радить не використовувати їх для підтвердження особи.
Відкликайте застарілі паролі. Регулярно видаляйте паролі додатків, які прив'язані до втрачених або старих пристроїв.
Використовуйте 2FA для месенджерів. Включіть двофакторну автентифікацію та блокування реєстрації. Перевіряйте список активних сесій і верифікуйте контакти через коди безпеки в іншому каналі зв'язку.
Угруповання постійно змінюють підходи, купують комерційну малварь і автоматизують процеси через ШІ. Це дозволяє їм масштабувати атаки та ховатися від систем моніторингу. Підозрювані російські хакери зловживають Google OAuth та зв'язуванням WhatsApp для викрадення облікових записів.
🖋 UAFF — будь в курсі арбітражних інсайтів