Regole di Threat Hunting: Campagna di Phishing Water Nue

Nelle notizie di oggi, vogliamo avvisarti della campagna in corso da parte di Water Nue che prende di mira gli account aziendali di Office 365 negli Stati Uniti e in Canada. Notoriamente, i truffatori hanno raggiunto con successo un certo numero di dirigenti di alto livello in aziende di tutto il mondo e raccolto oltre 800 set di credenziali. Sebbene il loro set di strumenti di phishing sia limitato, non usano trojan o backdoor e sfruttano i servizi cloud. Senza alcun allegato o payload coinvolto nell’attacco, gli account delle vittime non possono essere protetti con le soluzioni di sicurezza tradizionali.

Nelle loro attività di spear-phishing iniziate a marzo, gli attaccanti Water Nue erano soliti cambiare la loro infrastruttura una volta che era bloccata dall’autenticazione multi-fattore e messa nella lista nera.

Combinando tentativi di password spraying e brute-force, l’attore della minaccia ottiene l’accesso agli account con i protocolli più sicuri. Inoltre, i ricercatori sottolineano che i protocolli di posta elettronica legacy come POP, SMTP, MAPI, IMAP, ecc. non supportano l’MFA che si ritiene fornisca una protezione globale, e gli attaccanti penetrano con successo nell’infrastruttura della vittima passando ad un’applicazione e oscurando le sue informazioni.

Per rimanere protetti dagli attacchi BES come la recente campagna di Water Nue, è fondamentale che i dipendenti siano formati sul lavoro con informazioni sensibili e sull’importanza di esaminare accuratamente le email in arrivo. 

Regola Sigma di Osman Demir aiuta a rilevare la recente campagna di phishing di Water Nue che prende di mira gli account Office 365 del livello C: https://tdm.socprime.com/tdm/info/1MpOfTTpAiW0/M_wR2HMBSh4W_EKGGv47/

La regola ha traduzioni per le seguenti piattaforme:

SIEM: ArcSight, QRadar, Splunk, Graylog, Sumo Logic, ELK Stack, RSA NetWitness, Logpoint, Humio

EDR: Carbon Black, Elastic Endpoint

Tattiche: Accesso Iniziale

Tecniche: Link di Spearphishing (T1192)

Pronto a provare SOC Prime TDM? Registrati gratuitamente.

Or unisciti al Programma Threat Bounty per creare il tuo contenuto e condividerlo con la comunità TDM.