Peretas meniru perusahaan keamanan siber terkenal, seperti CrowdStrike, dalam email phishing panggilan balik untuk mendapatkan akses awal ke jaringan perusahaan.
Selama setahun terakhir, pelaku ancaman semakin sering menggunakan kampanye phishing “Callback” yang meniru perusahaan terkenal yang meminta Anda menelepon nomor untuk menyelesaikan masalah, membatalkan perpanjangan langganan, atau mendiskusikan masalah lain.
Ketika target memanggil nomor, pelaku ancaman menggunakan rekayasa sosial untuk meyakinkan pengguna untuk menginstal perangkat lunak akses jarak jauh pada perangkat mereka, menyediakan akses awal ke jaringan perusahaan. Akses ini kemudian digunakan untuk mengkompromikan seluruh domain Windows.
Dalam kampanye phishing callback baru, para peretas meniru CrowdStrike untuk memperingatkan penerima bahwa penyusup jaringan jahat telah menyusup ke stasiun kerja mereka dan bahwa audit keamanan mendalam diperlukan.
Kampanye callback phishing ini berfokus pada manipulasi psikologis, menjelaskan secara rinci mengapa mereka harus diberikan akses ke perangkat penerima.
Pada akhirnya, email phishing meminta karyawan untuk menghubungi mereka melalui nomor telepon terlampir untuk menjadwalkan audit keamanan tempat kerja mereka.
Jika dipanggil, peretas akan memandu karyawan melalui pemasangan alat administrasi jarak jauh (RAT) yang memungkinkan pelaku ancaman untuk mendapatkan kendali penuh atas workstation.
Pelaku ancaman ini sekarang dapat menginstal alat tambahan dari jarak jauh yang memungkinkan mereka menyebar secara lateral melalui jaringan, mencuri data perusahaan, dan berpotensi menyebarkan ransomware untuk mengenkripsi perangkat.
Dalam sebuah laporan oleh CrowdStrike, perusahaan yakin kampanye ini kemungkinan akan mengarah pada serangan ransomware, seperti yang terlihat pada kampanye phishing panggilan balik sebelumnya.
CrowdStrike mencatat bahwa pada Maret 2022, analisnya mengidentifikasi kampanye serupa di mana pelaku ancaman menggunakan AteraRMM untuk menginstal Cobalt Strike dan kemudian bergerak secara lateral di jaringan korban sebelum mereka menyebarkan malware.
Kampanye phishing panggilan balik menjadi umum pada tahun 2021 dengan peluncuran kampanye phishing BazarCall yang digunakan oleh geng ransomware Conti untuk mendapatkan akses awal ke jaringan perusahaan.
Sejak itu, kampanye callback phishing telah menggunakan berbagai umpan, termasuk antivirus dan langganan dukungan serta pembaruan kursus online.
Vitali Kremez dari AdvIntel mengatakan bahwa kampanye yang dilihat oleh CrowdStrike diyakini dilakukan oleh geng ransomware Quantum, yang telah meluncurkan kampanye mirip BazarCall mereka sendiri.
Quantum adalah salah satu operasi ransomware penargetan perusahaan yang paling cepat berkembang saat ini, baru-baru ini dikaitkan dengan serangan terhadap PFC yang berdampak pada lebih dari 650 organisasi layanan kesehatan.
Analis keamanan juga telah mengkonfirmasi bahwa banyak mantan anggota Conti telah melompat ke Quantum setelah operasi sebelumnya ditutup karena peningkatan pengawasan oleh para peneliti dan penegak hukum.
Meskipun akan sulit bagi email phishing untuk menemukan kesuksesan massal di masa lalu, dalam situasi saat ini, dengan banyak karyawan yang bekerja dari jarak jauh dari rumah dan jauh dari tim TI mereka, prospek pelaku ancaman meningkat secara signifikan.
Sumber: Bleeping Computer
