ФБР предупреждает о хакерах UNC6040 и UNC6395, крадущих данные Salesforce

[admin]

ФБР выпустило предупреждение FLASH о том, что два кластера угроз, отслеживаемые как UNC6040 и UNC6395, атакуют среды Salesforce организаций с целью кражи данных и вымогательства у жертв.


«Федеральное бюро расследований (ФБР) выпускает этот FLASH-информационный бюллетень с целью распространения индикаторов компрометации (IOC), связанных с недавней вредоносной кибердеятельностью киберпреступных групп UNC6040 и UNC6395, ответственных за рост числа краж данных и вторжений с целью вымогательства», — говорится в информационном бюллетене ФБР FLASH .


Недавно было замечено, что обе группы атаковали платформы Salesforce организаций, используя разные механизмы первоначального доступа. ФБР публикует эту информацию для повышения осведомленности и предоставления информации о компрометирующих факторах (IOC), которая может быть использована получателями для исследований и защиты сетей.

UNC6040 был впервые раскрыт компанией Google Threat Intelligence (Mandiant) в июне, которая предупредила, что с конца 2024 года злоумышленники используют социальную инженерию и вишинг-атаки, чтобы обманом заставить сотрудников подключить вредоносные приложения Salesforce Data Loader OAuth к учетным записям Salesforce своей компании.


В некоторых случаях злоумышленники выдавали себя за сотрудников корпоративной ИТ-службы поддержки, которые использовали переименованные версии приложения под названием «My Ticket Portal».

После подключения злоумышленники использовали приложение OAuth для массовой кражи корпоративных данных Salesforce, которые затем использовались для вымогательства группой ShinyHunters.


ShinyHunters рассказали BleepingComputer, что в ходе этих первых атак по краже данных их основной целью были таблицы базы данных « Учетные записи » и « Контакты », которые используются для хранения данных о клиентах компании.


Эти атаки с целью кражи данных были широко распространены и затронули такие крупные и известные компании, как Google , Adidas , Qantas , Allianz Life , Cisco , Kering , Louis Vuitton , Dior и Tiffany & Co.


Более поздние атаки на кражу данных в августе также были направлены на клиентов Salesforce, но на этот раз использовались украденные токены OAuth и обновления Salesloft Drift . для взлома экземпляров Salesforce клиентов


Данная активность отслеживается как UNC6395 и, как полагают, имела место в период с 8 по 18 августа. Злоумышленники использовали токены для атаки на информацию о обращениях в службу поддержки компании, которая хранилась в Salesforce.


Извлеченные данные затем анализировались для извлечения секретных данных, учётных данных и токенов аутентификации, используемых в обращениях в службу поддержки, включая ключи AWS, пароли и токены Snowflake. Эти учётные данные затем могли быть использованы для перенаправления в другие облачные среды для дальнейшей кражи данных.

Salesloft совместно с Salesforce отозвали все токены Drift и потребовали от клиентов повторно пройти аутентификацию на платформе.


Позже выяснилось, что злоумышленники также похитили токены Drift Email, которые использовались для доступа к электронной почте небольшого числа аккаунтов Google Workspace .


Расследование Mandiant показало, что атака началась в марте, когда были скомпрометированы репозитории Salesloft на GitHub , что в конечном итоге позволило злоумышленникам украсть токены Drift OAuth.


Как и предыдущие атаки, эти новые атаки по краже данных Salesloft Drift затронули множество компаний, включая Cloudflare , Zscaler , Tenable , CyberArk , Elastic , BeyondTrust , Proofpoint , JFrog , Nutanix , Qualys , Rubrik , Cato Networks , Palo Alto Networks и многие другие .


Хотя ФБР не назвало названия групп, стоящих за этими кампаниями, представители вымогательской группировки ShinyHunters сообщили BleepingComputer, что они и другие злоумышленники, называющие себя «Scattered Lapsus$ Hunters», стояли за обеими группами активностей.


Эта группа хакеров утверждает, что возникла из групп вымогателей Lapsus$, Scattered Spider и ShinyHunters и пересекается с ними.

В четверг злоумышленники объявили через домен, связанный с BreachForums, что планируют «уйти в тень» и прекратить обсуждение операций в Telegram.

Однако в прощальном сообщении хакеры заявили, что получили доступ к системе проверки биографических данных ФБР E-Check и системе запросов правоохранительных органов Google, опубликовав в качестве доказательства скриншоты.

Если этот доступ законен, он позволит им выдавать себя за представителей правоохранительных органов и получать конфиденциальную информацию о частных лицах.

В ответ на обращение BleepingComputer ФБР отказалось от комментариев, а Google не ответила на наше электронное письмо.