Google waarschuwt organisaties voor een groep criminelen genaamd Scattered Spider die helpdesks van organisaties belt met het verzoek om wachtwoorden van medewerkers en systeembeheerders te resetten. Volgens het techbedrijf zijn luchtvaartmaatschappijen, transportbedrijven, retailers en verzekeringsmaatschappijen de afgelopen maanden doelwit geworden.

De aanvallers bellen als eerste de helpdesk, waarbij ze zich als een medewerker van de organisatie voordoen. Met informatie uit eerdere datalekken en het gebruik van social engineering weten de aanvallers de helpdesk te overtuigen om het Active Directory-wachtwoord van de medewerker te resetten. Vervolgens zoeken de aanvallers naar documenten, handleidingen, projectplannen om informatie over 'high-value targets' te vinden.

Het gaat dan om namen van domein- of vSphere-beheerders, maar ook de namen van Active Directory securitygroepen zoals "vSphere Admins" of "ESX Admins" die adminrechten tot gevirtualiseerde omgevingen geven. Naast het zoeken van deze informatie scannen de aanvallers ook naar wachtwoordmanagers zoals HashiCorp Vault en andere Privileged Access Management (PAM) oplossingen om daaruit inloggegevens te stelen.

Zodra de namen en informatie van systeembeheerders zijn achterhaald bellen de aanvallers opnieuw de helpdesk. Daarbij doen ze zich voor als de beheerder en vragen een wachtwoordreset aan, om zo controle over het account te krijgen. Volgens Google is de kern van het probleem een helpdeskproces dat geen adequate identiteitsverificatie voor wachtwoordresets toepast. Daarbij is de aanvaller in het tweede gesprek zelfverzekerder en beter geïnformeerd, waardoor de social engineering een grotere kans van slagen heeft.

Het uiteindelijke doel van de aanvallers is om toegang tot VMware vCenter te krijgen. Dit is een oplossing voor het beheer van virtual machines en gevirtualiseerde servers. Zodra er toegang tot de omgeving is verkregen stelen de aanvallers data, verwijderen ze back-ups, snapshots en repositories en rollen als laatste ransomware uit. In de waarschuwing doet Google verschillende aanbevelingen om dergelijke aanvallen tegen te gaan, waaronder het aanscherpen van helpdeskprocessen. Zo moeten medewerkers 'in-person' aanwezig zijn voor het resetten van wachtwoorden of het aanmelden van apparaten voor multifactorauthenticatie (MFA).

Gisteren werd bekend dat bleekmiddelfabrikant Clorox it-dienstverlener Cognizant heeft aangeklaagd wegens een ransomware-aanval die het bedrijf 380 miljoen dollar kostte. Volgens Clorox verstrekte de helpdesk van Cognizant wachtwoorden van medewerkers aan leden van Scattered Spider. "Cognizant was niet misleid door een geraffineerde truc of geavanceerde hackingtechnieken. De cybercrimineel belde gewoon de Cognizant servicdesk, vroeg om de inloggegevens om toegang tot het netwerk van Clorox te krijgen en Cognizant verstrekte ze gewoon", aldus de aanklacht.