Хакери використовують хеші автентифікації NTLMU Windows

Хакери групи TA577 скористалися фішинговими електронними листами, щоб викрасти хеші автентифікації NT LAN Manager (NTLM), про що повідомляє Proofpoint. Під час кампаній 26 та 27 лютого 2024 року вони надіслали тисячі електронних листів організаціям по всьому світу з метою скомпрометувати хеші NTLM. Така тактика полегшує зловмисникам отримання несанкціонованого доступу та захоплення облікових записів.

Нещодавні звіти висвітлюють тривожну зміну тактики сумнозвісного хакерського угруповання TA577, відомого своїми зв’язками з Qbot і Black Basta, яке вдається до складних фішингових атак, націлених на хеші автентифікації NTLM.

Як повідомляє bleepingcomputer.com, компанія з безпеки електронної пошти Proofpoint оприлюднила інформацію про останні кампанії групи TA577, розпочаті 26 та 27 лютого 2024 року, стратегічно націлені на сотні організацій по всьому світу. Під час цих кампаній використовувалися фішингові електронні листи, замасковані під відповіді на поточні дискусії.

Механіка атаки

Ці зловмисні листи містять унікальні ZIP-архіви з HTML-файлами, які під час відкриття запускають автоматичне з’єднання із зовнішнім сервером Server Message Block (SMB), що призводить до викрадення хешів автентифікації NTLM — ключового компонента автентифікації та безпеки сеансів у Windows.

Викрадені хеші NTLM становлять серйозну загрозу для організацій, на які вони спрямовані, оскільки дають змогу зловмисникам здійснювати атаки типу «перехоплення хешу», зламувати паролі в автономному режимі й отримувати несанкціонований доступ до конфіденційних систем і даних, ставлячи під загрозу цілісність і безпеку організації.

Пом’якшення загрози

Для боротьби з передовою тактикою фішингу TA577 організаціям рекомендується впровадити надійні заходи безпеки, зокрема налаштувати брандмауери на блокування вихідних з’єднань для SMB і розгорнути фільтрування електронної пошти для перехоплення повідомлень, що містять заархівовані HTML-файли. Крім того, проактивні заходи, як-от обмеження вихідного NTLM-трафіку та використання розширених функцій безпеки Microsoft для користувачів Windows 11, можуть посилити захист від атак на основі NTLM для малих і середніх підприємств.

Експерти з кібербезпеки борються з мінливими тактиками суб’єктів загроз, як-от TA577, і проактивні заходи та вдосконалені протоколи безпеки є необхідними для захисту від постійного ризику кібератак. Виявлення цієї останньої кампанії підкреслює критичну важливість зберігання пильності й адаптивності перед лицем кіберзагроз, що постійно еволюціонують.

Фішинг — серйозна загроза, але це не означає, що від неї не можна захиститися. Зв’яжіться з DigVel, і ми залюбки вам допоможемо.