Fake IT help desk callers got by on little more than names and email addresses

Cisco Talos In­ci­dent Res­pon­se de­tec­tó in­ci­den­tes en los cua­les ata­can­tes se hi­cie­ron pasar por per­so­nal de so­por­te téc­ni­co de TI para co­mu­ni­car­se con em­plea­dos a tra­vés de lla­ma­das te­le­fó­ni­cas, co­rreos elec­tró­ni­cos y Mi­cro­soft Teams. Los agre­so­res con­ta­ban con nom­bres y di­rec­cio­nes de co­rreo elec­tró­ni­co de los em­plea­dos, y lo­gra­ron con­ven­cer a las víc­ti­mas de abrir se­sio­nes de ac­ce­so re­mo­to uti­li­zan­do pla­ta­for­mas em­pre­sa­ria­les co­mu­nes, cul­mi­nan­do en un caso con la im­ple­men­ta­ción de ran­som­wa­re.

En uno de los in­ci­den­tes ana­li­za­dos, el ata­can­te uti­li­zó una lla­ma­da de su­plan­ta­ción de voz para lo­grar que un usua­rio ini­cia­ra una se­sión de Mi­cro­soft Quick As­sist, lo que per­mi­tió pos­te­rior­men­te la eje­cu­ción de co­man­dos de Po­werShell para des­car­gar un pa­que­te ma­li­cio­so. Los ope­ra­do­res de dicho ran­som­wa­re, una va­rian­te iden­ti­fi­ca­da como VYPR, em­plea­ron con­tro­la­do­res vul­ne­ra­bles para des­ac­ti­var he­rra­mien­tas de se­gu­ri­dad y rea­li­za­ron una fil­tra­ción de datos du­ran­te va­rios días, ope­ran­do sin un sitio web de fil­tra­ción hasta que con­clu­yó el ata­que.

En otro es­ce­na­rio dis­tin­to en un equi­po macOS afec­ta­do por una apli­ca­ción tro­ya­na, se re­gis­tró un script di­se­ña­do para bus­car cre­den­cia­les del asis­ten­te Clau­de Code den­tro del lla­ve­ro del sis­te­ma ope­ra­ti­vo, aun­que no se de­tec­tó el uso pos­te­rior de di­chos datos. Adi­cio­nal­men­te, se iden­ti­fi­có un caso de con­tra­ta­ción con fal­sas cre­den­cia­les donde un em­plea­do con ac­ce­so pri­vi­le­gia­do ins­ta­ló he­rra­mien­tas de de­sa­rro­llo, sin que los in­ves­ti­ga­do­res en­con­tra­ran prue­bas de robo de in­for­ma­ción o ac­ti­vi­dad ma­li­cio­sa.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre las me­di­das de mi­ti­ga­ción es­pe­cí­fi­cas más allá de las re­co­men­da­cio­nes ge­ne­ra­les de se­gu­ri­dad y las es­ta­dís­ti­cas de ac­ce­so ini­cial pro­por­cio­na­das por Talos.