俄羅斯首個(gè)BEC商業(yè)電子郵件詐騙犯罪網(wǎng)絡(luò)浮出水面
近日，Agari的安全研究人員發(fā)現(xiàn)了有史以來第一個(gè)報(bào)告的俄羅斯商業(yè)電子郵件泄露(BEC)網(wǎng)絡(luò)犯罪網(wǎng)絡(luò)，該犯罪網(wǎng)絡(luò)也是Nigerian Scammer的幕后黑手，最近正在將目光投向基于電子郵件的攻擊媒介。
這個(gè)俄羅斯BEC團(tuán)伙被代號(hào)Cosmic Lynx，自去年7月以來，已經(jīng)針對(duì)46個(gè)國家/地區(qū)的200多個(gè)高級(jí)管理人員發(fā)動(dòng)BEC郵件詐騙攻擊。與其他常規(guī)的BEC騙局不同，Cosmic Lynx的電子郵件內(nèi)容非常逼真，以沒有部署DMARC郵件安全策略的受害者為目標(biāo)，并利用偽造的“合并并購”方案來竊取更大額資金。
據(jù)Agari的研究人員說：
| 這是向全球電子郵件威脅態(tài)勢的歷史性轉(zhuǎn)變，預(yù)示著全球CISO必須立即應(yīng)對(duì)的新型復(fù)雜的社交網(wǎng)絡(luò)釣魚攻擊。 |
研究人員說，大多數(shù)BEC詐騙團(tuán)伙團(tuán)體都沒有特定的攻擊目標(biāo)，但Cosmic Lynx則具有明確的針對(duì)性，它專門尋找具有重要全球影響力的大型跨國組織，其中包括許多財(cái)富500強(qiáng)或全球2,000強(qiáng)公司。Agari表示，Cosmic Lynx的目標(biāo)員工通常是高級(jí)管理人員，其中75%擔(dān)任副總裁、總經(jīng)理或常務(wù)董事的頭銜。
幾乎所有攻擊事件的說辭都是受害者的公司正準(zhǔn)備與一家亞洲公司達(dá)成收購協(xié)議。Cosmic Lynx聲稱自己是這家亞洲公司的首席執(zhí)行官，并要求目標(biāo)員工與“外部法律顧問”合作，以協(xié)調(diào)完成收購所需的付款。由于其敏感的性質(zhì)，要求目標(biāo)員工對(duì)交易的細(xì)節(jié)保密，直到交易完成為止，這使欺詐行為更容易被發(fā)現(xiàn)而不被發(fā)現(xiàn)。
研究人員說，Cosmic Lynx電子郵件的內(nèi)容非常“規(guī)范和專業(yè)”，與通常使用較差語法的其他BEC攻擊迥然不同。
研究人員說：
| 與大多數(shù)BEC電子郵件中拼寫錯(cuò)誤的單詞和語法錯(cuò)誤不同，Cosmic Lynx電子郵件通常非常詳細(xì)，并且?guī)缀跤猛昝赖挠⒄Z書寫。在某些情況下，Cosmic Lynx使用大多數(shù)人的詞匯表中可能沒有的專業(yè)書面單詞，并在適當(dāng)?shù)纳舷挛闹惺褂谩?/td> |
圖片：Agari
Cosmic Lynx往往會(huì)假借律師的身份來取得信任。例如，Cosmic Lynx劫持了英國某知名律師事務(wù)所中真正律師的身份，從而為其攻擊增加了另一層合法性。
Cosmic Lynx首先注冊一個(gè)與律師事務(wù)所的實(shí)際域名非常相似的域名，然后創(chuàng)建詳細(xì)的電子郵件簽名，其中包含模擬律師的照片、指向合法律師事務(wù)所網(wǎng)站的鏈接，甚至是保密免責(zé)聲明。
最后，作為“收購”的一部分，要求目標(biāo)員工將一筆或多筆付款發(fā)送到該組控制的子賬戶。然后，它將被盜資金通過香港的子賬戶轉(zhuǎn)移。研究人員說，其他洗錢賬戶位于匈牙利、葡萄牙和羅馬尼亞。他們說，該組織積極避免使用美國的洗錢賬戶。
圖片：Agari
Cosmic Lynx攻擊得手后索要的金額也明顯高于平均值，在大多數(shù)高管模仿BEC攻擊中，平均索要的金額為55,000美元，但研究人員表示，Cosmic Lynx電子郵件索要金額高達(dá)數(shù)十萬美元，有時(shí)甚至數(shù)百萬美元。
Cosmic Lynx還會(huì)嗅探尚未部署DMARC策略的組織。創(chuàng)建DMARC的目的是防止惡意行為者在發(fā)送電子郵件時(shí)直接欺騙組織的域。如果目標(biāo)沒有DMARC策略，則威脅組將直接假冒CEO的電子郵件地址，并將Reply-To電子郵件設(shè)置為他們實(shí)際用于與受害者通信的操作電子郵件賬戶。
研究人員說：
| 假冒CEO的電子郵件地址可以增強(qiáng)其電子郵件的真實(shí)性?；谖覀儗?duì)Cosmic Lynx歷史攻擊的分析，很明顯，該小組知道哪些目標(biāo)組織實(shí)施了有效的DMARC政策，哪些組織沒有實(shí)施。 |
2020年，網(wǎng)絡(luò)釣魚詐騙繼續(xù)給公司造成嚴(yán)重?fù)p失。FBI在2月份發(fā)布的IC3年度網(wǎng)絡(luò)犯罪報(bào)告中表示，企業(yè)電子郵件泄露(BEC)攻擊在2019年給受害者造成了17億美元的損失。在2019年，這些類型的“成功”攻擊案例包括媒體集團(tuán)Nikkei(2,900萬美元)、德克薩斯州學(xué)區(qū)(230萬美元)，甚至還有一個(gè)社區(qū)非營利組織(120萬美元)。詐騙的對(duì)象不限于企業(yè)，甚至包括市政府和教堂。例如佛羅里達(dá)州的奧卡拉市政府(City of Ocala)，被詐騙了742,000美元，而俄亥俄州布倫瑞克(Brunswick)的一座教堂，去年8月被詐騙了175萬美元。
研究人員警告說，Cosmic Lynx代表了新型的更復(fù)雜、更難檢測的BEC攻擊。
與傳統(tǒng)的BEC團(tuán)體不同，Cosmic Lynx展示了開發(fā)更復(fù)雜和更具創(chuàng)造性的攻擊的能力，這使它們與我們每天看到的更通用的BEC攻擊有顯著區(qū)別。
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】
