El grupo Scattered Spider utiliza la ingeniería social mediante llamadas telefónicas convincentes para engañar al personal de soporte técnico. Su objetivo es lograr que los empleados restablezcan contraseñas o transfieran la autenticación de doble factor (MFA) a dispositivos controlados por los atacantes, vulnerando así las redes corporativas al explotar los procesos de soporte en lugar de la tecnología de seguridad.

Una llamada telefónica convincente puede ser suficiente para abrir un camino hacia la red de una empresa. Scattered Spider ha utilizado repetidamente la ingeniería social para persuadir a los trabajadores del centro de soporte técnico para que restablezcan contraseñas o muevan la autenticación de múltiples factores (MFA) a un dispositivo controlado por un atacante.

En lugar de romper la tecnología de seguridad directamente, quien llama explota el proceso de soporte diseñado para ayudar a los empleados a recuperar el acceso.

Este enfoque convierte la recuperación rutinaria de cuentas en un riesgo de seguridad grave. Un atacante puede hacerse pasar por un trabajador que ha perdido su teléfono, ha cambiado de número o ha quedado bloqueado antes de una reunión importante.

Los detalles personales recopilados de fuentes públicas y datos robados pueden hacer que la historia suene genuina. Si un agente de soporte acepta esos detalles como prueba de identidad, el atacante puede ganar acceso a la cuenta del empleado y, desde allí, a otros servicios de la empresa.

Investigadores de Flare, incluyendo al investigador de ciberseguridad Jon DiMaggio, describen a Scattered Spider como un grupo de intrusión que utiliza la ingeniería social para atacar centros de soporte, sistemas de identidad y procesos de recuperación de cuentas.

Su análisis también advierte que una llamada al soporte técnico por sí sola no demuestra que Scattered Spider haya llevado a cabo un incidente; la atribución necesita más evidencia de apoyo.

El grupo también es conocido por nombres como UNC3944 y Octo Tempest, mientras que las agencias de seguridad rastrean la actividad relacionada bajo diferentes etiquetas.

Scattered Spider explota las llamadas al soporte técnico

El MFA pide a los usuarios que demuestren su identidad de más de una manera, como con una contraseña y un aviso en el teléfono. Pero si un atacante persuade al soporte técnico para que restablezca la cuenta o registre un nuevo dispositivo de autenticación, el atacante podría superar la siguiente verificación de inicio de sesión como si fuera el empleado real.

El punto débil no es siempre el producto MFA; puede ser el proceso para cambiar los métodos vinculados a una cuenta. Los operadores de Scattered Spider pueden recopilar primero información sobre un objetivo a partir de perfiles profesionales, sitios web de la empresa, datos filtrados u otras fuentes públicas.

Luego pueden llamar al soporte y afirmar que no pueden usar su dispositivo habitual. Un restablecimiento exitoso puede darles acceso al correo electrónico, portales de inicio de sesión único (SSO), redes privadas virtuales y servicios en la nube.

Flare describe esto como una ruta centrada en las personas para entrar en los sistemas de identidad empresariales, en lugar de una campaña que dependa de un nuevo fallo de software.

El método ha aparecido junto a otras formas de presionar o engañar a los usuarios. En el "cansancio de MFA" (MFA fatigue), un atacante envía repetidos avisos de inicio de sesión con la esperanza de que un empleado cansado o distraído apruebe uno.

En un ataque de SIM-swap, el atacante intenta tomar el control de un número de teléfono utilizado para recibir códigos de verificación. CISA y sus socios han documentado estas técnicas, junto con llamadas que persuaden al personal de soporte para restablecer contraseñas o tokens de MFA.

Se ha informado previamente sobre tácticas de omisión de MFA en el soporte técnico, incluyendo cómo la suplantación de identidad puede conducir al acceso a la cuenta.

Otras coberturas han examinado los marcos de phishing utilizados por Scattered Spider y los riesgos más amplios descritos en el aviso conjunto sobre Scattered Spider.

Estos informes ilustran por qué las empresas deberían tratar la recuperación de identidad como parte de su perímetro de seguridad, y no como una tarea rutinaria de servicio.

Qué pueden hacer los atacantes después del acceso

La toma de control exitosa de una cuenta puede proporcionar un punto de apoyo para actividades posteriores. Los atacantes pueden acceder a los servicios de la empresa, buscar privilegios más altos, crear formas de mantener el acceso o utilizar herramientas legítimas de gestión remota.

Eso puede hacer que la actividad sea más difícil de distinguir del trabajo normal de IT. En algunos casos, el acceso es seguido por el robo de datos y extorsión o el despliegue de ransomware.

El impacto puede extenderse más allá de la primera cuenta comprometida. Si esa cuenta tiene un acceso amplio a través de SSO o herramientas administrativas, un atacante puede alcanzar múltiples sistemas sin tener que entrar por separado en cada uno.

La escala de cualquier brecha depende de los permisos de la víctima, los controles de seguridad y la velocidad de respuesta; un restablecimiento en el soporte técnico no significa automáticamente que toda la red esté comprometida.

El informe de Flare también hace una distinción importante sobre la atribución. El vishing (phishing de voz) al soporte técnico es ahora utilizado por actores de un ecosistema de cibercrimen más amplio, por lo que no debería, por sí solo, tratarse como prueba de la implicación de Scattered Spider.

Los investigadores necesitan evaluar el panorama completo, incluyendo evidencia técnica, infraestructura y otros comportamientos. Esa precaución es importante para las empresas que informan incidentes y para los lectores que evalúan las afirmaciones hechas por los actores de amenazas.

CISA recomienda un MFA resistente al phishing, incluyendo FIDO/WebAuthn o métodos basados en claves públicas, porque estos están diseñados para resistir el phishing y no son vulnerables al "bombardeo de notificaciones" (push bombing) o ataques de SIM-swap de la misma manera que otros métodos.

Las organizaciones también deben reforzar la forma en que los centros de soporte verifican la identidad antes de cambiar una contraseña, número de teléfono o método de MFA. Un proceso de restablecimiento más seguro debería utilizar un segundo canal confiable o un método de contacto verificado que ya esté en el archivo, en lugar de detalles proporcionados durante la llamada.

Los cambios de alto riesgo pueden requerir la aprobación de un gerente o del equipo de seguridad, y el personal debe ser capacitado para detenerse cuando quien llama crea urgencia o pida omitir las comprobaciones normales. Las empresas también deben alertar sobre registros de MFA inusuales, avisos repetidos y recuperaciones de cuenta seguidas de inicios de sesión desconocidos.

La lección principal es sencilla: el MFA sigue siendo valioso, pero no puede compensar un proceso de recuperación débil. Los equipos de seguridad necesitan proteger a las personas y los procedimientos que controlan el acceso a las cuentas, así como los dispositivos y aplicaciones que lo ejecutan.

El manual de Scattered Spider muestra cómo una voz familiar y una historia plausible pueden convertir una interacción de soporte al cliente en un camino hacia los sistemas corporativos.

Fuentes:
https://cybersecuritynews.com/scattered-spider-hackers/