Hackers gebruiken wachtwoordphishing en wachtwoordresets om prepaid-cadeaubonnen te kapen
Onderzoekers van Sophos Security meldden onlangs een netwerkinbreuk die niet was gericht op het inzetten van ransomware of het stelen van informatie. In plaats daarvan gebruikten de slechte actoren erachter hun illegale toegang om prepaid-cadeaubonnen te stelen.
De slechteriken vonden hun weg naar de VPN-server van een bedrijf, hoogstwaarschijnlijk door de inloggegevens van slechts één gebruiker te phishing. De door het bedrijf beheerde VPN-server had geen enkele vorm van multi-factor authenticatie ingesteld en draaide ook niet de nieuwste versie van de serversoftware. Het is niet duidelijk welke aanvalslocatie werd gebruikt, aangezien zowel phishing als een kwetsbaarheid in het serverplatform waarschijnlijk zijn.
Toen de slechte actoren eenmaal op het bedrijfsnetwerk konden komen, gebruikten ze RDP en 'sprongen' ze over verschillende machines. De hackers hebben de browsers gecontroleerd op accounts waarbij gebruikers niet waren uitgelogd. Dit omvatte e-mailaccounts met Gmail of Outlook. De e-mailaccounts waartoe ze toegang konden krijgen, werden gebruikt om wachtwoorden opnieuw in te stellen voor diensten als Google Pay, PayPal en Venmo.
Met een meevaller blijkt dat slechts weinig gebruikers op het gecompromitteerde netwerk hun creditcardgegevens hadden opgeslagen voor automatisch invullen en automatische aankopen. Op deze manier slaagden de slechte acteurs achter de aanval er slechts in om een handvol prepaid-cadeaubonnen te kopen voordat de inbraak werd opgemerkt en de aanval werd afgebroken.
Naast pogingen om op grote schaal cadeaubonnen te kopen, met veel cadeaubonnen die nog wachten op de kassa toen de hackers werden betrapt en hun kleine operatie stopzetten, was er een secundair doel van de cyberaanval. De aanvallers installeerden een hulpprogramma voor het zoeken naar bestanden op het gecompromitteerde netwerk en configureerden het om te zoeken naar persoonlijke gegevens en gevoelige bedrijfsinformatie.
De doelen van de bestandszoekopdrachten waren onder meer bankafschriften, details over chauffeurs die voor het bedrijf werken en creditcardaanvraagdocumenten.
Er is geen hard bewijs wat de hackers precies uit het netwerk hebben weten te halen voordat ze werden afgesneden.
