Hacker verwenden Password Phishing und Password Resets, um Prepaid-Geschenkkarten zu entführen
Forscher von Sophos Security berichteten kürzlich über eine Netzwerkverletzung, die sich nicht auf die Bereitstellung von Ransomware oder den Diebstahl von Informationen konzentrierte. Stattdessen nutzten die schlechten Schauspieler dahinter ausgerechnet ihren illegalen Zugang, um Prepaid-Geschenkkarten zu stehlen.
Die schlechten Schauspieler fanden ihren Weg auf den VPN-Server eines Unternehmens, höchstwahrscheinlich durch Phishing der Anmeldeinformationen nur eines Benutzers. Auf dem vom Unternehmen betriebenen VPN-Server war keine Multi-Faktor-Authentifizierung eingerichtet, und es wurde auch nicht die neueste Version der Serversoftware ausgeführt. Es ist nicht klar, welcher Angriffsort verwendet wurde, da sowohl Phishing als auch eine Sicherheitslücke in der Serverplattform wahrscheinlich sind.
Sobald die schlechten Schauspieler in das Unternehmensnetzwerk gelangen konnten, verwendeten sie RDP und "sprangen" über verschiedene Maschinen. Die Hacker überprüften die Browser auf Konten, bei denen sich Benutzer nicht abgemeldet hatten. Dies beinhaltete E-Mail-Konten bei Google Mail oder Outlook. Die E-Mail-Konten, auf die sie zugreifen konnten, wurden zum Zurücksetzen von Kennwörtern für Dienste wie Google Pay, PayPal und Venmo verwendet.
Glücklicherweise scheinen nur wenige Benutzer im gefährdeten Netzwerk ihre Kreditkarteninformationen für das automatische Ausfüllen und den automatischen Kauf gespeichert zu haben. Auf diese Weise gelang es den schlechten Schauspielern hinter dem Angriff nur, eine Handvoll Prepaid-Geschenkkarten zu kaufen, bevor das Eindringen entdeckt und der Angriff abgebrochen wurde.
Neben dem Versuch, große Geschenkkarten zu kaufen, und viele Geschenkkarten noch auf die Kaufabwicklung warten, als die Hacker gefasst wurden und ihre kleine Operation aufgaben, gab es ein sekundäres Ziel des Cyberangriffs. Die Angreifer installierten ein Dateisuchwerkzeug im gefährdeten Netzwerk und konfigurierten es so, dass nach persönlichen Daten und vertraulichen Unternehmensinformationen gesucht wurde.
Zu den Zielen der Dateisuche gehörten Kontoauszüge, Angaben zu den für das Unternehmen tätigen Fahrern und Kreditkartenantragsunterlagen.
Es gibt keine eindeutigen Beweise dafür, was genau die Hacker aus dem Netzwerk herausgeholt haben, bevor sie abgeschnitten wurden.
