Microsoft создает фальшивых арендаторов Azure, чтобы заманить фишеров в медпункты

Microsoft использует обманную тактику против фишинговых агентов, создавая реалистично выглядящих арендаторов honeypot с доступом к Azure и заманивая киберпреступников, чтобы собрать о них информацию.

Благодаря собранным данным Microsoft может составить карту вредоносной инфраструктуры, получить более глубокое представление о сложных фишинговых операциях, сорвать масштабные кампании, идентифицировать киберпреступников и значительно замедлить их деятельность.

О тактике и ее пагубном влиянии на фишинговую активность рассказал на конференции BSides Exeter Росс Бевингтон, главный инженер по безопасности в Microsoft, называющий себя «руководителем отдела обмана» Microsoft.

Бевингтон создал «гибридную медовую точку с высоким уровнем взаимодействия» на ныне закрытом сайте code.microsoft.com для сбора информации об угрозах, исходящих от менее опытных киберпреступников до групп национальных государств, нацеленных на инфраструктуру Microsoft.

Иллюзия успеха фишинга

В настоящее время Бевингтон и его команда борются с фишингом с помощью методов обмана, используя целые среды арендаторов Microsoft в качестве «медовых точек» с пользовательскими доменными именами, тысячами учетных записей пользователей и такими видами деятельности, как внутренняя переписка и обмен файлами.

Компании или исследователи обычно устанавливают «медовую точку» и ждут, пока субъекты угроз обнаружат ее и начнут действовать. Помимо отвлечения злоумышленников от реальной среды, honeypot также позволяет собирать информацию о методах взлома систем, которую затем можно применить в легальной сети.

Хотя концепция Бевингтона во многом схожа, она отличается тем, что позволяет не ждать, пока злоумышленники найдут способ проникнуть в сеть, а начать игру со злоумышленников.

В своей презентации на BSides Exeter исследователь рассказал, что активный подход заключается в посещении активных фишинговых сайтов, идентифицированных Defender, и вводе учетных данных, полученных от арендаторов honeypot.

Поскольку учетные данные не защищены двухфакторной аутентификацией, а арендаторы заполнены реалистично выглядящей информацией, злоумышленники получают легкий путь внутрь и начинают тратить время на поиск признаков ловушки.

Microsoft утверждает, что ежедневно отслеживает около 25 000 фишинговых сайтов и предоставляет около 20 % из них учетные данные honeypot; остальные блокируются с помощью CAPTCHA или других механизмов защиты от ботов.

Как только злоумышленники входят в систему поддельных жильцов, что происходит в 5 % случаев, включается подробное протоколирование, позволяющее отслеживать каждое их действие и таким образом узнавать тактику, технику и порядок действий участников угрозы.

Собранная информация включает IP-адреса, браузеры, местоположение, модели поведения, использование VPN или VPS, а также фишинговые наборы, которые они используют.
Кроме того, когда злоумышленники пытаются взаимодействовать с поддельными учетными записями в среде, Microsoft максимально замедляет реакцию.

В настоящее время технология обмана позволяет злоумышленникам потратить 30 дней, прежде чем они поймут, что взломали поддельную среду. Все это время Microsoft собирает полезные данные, которые могут быть использованы другими командами безопасности для создания более сложных профилей и лучшей защиты.

Бевингтон отмечает, что менее 10 % IP-адресов, собранных таким образом, могут быть соотнесены с данными из других известных баз данных угроз.

Этот метод помогает собрать достаточно информации, чтобы приписать атаки финансово мотивированным группам или даже спонсируемым государством субъектам, таким как российская группа угроз Midnight Blizzard (Nobelium).

Хотя принцип обмана для защиты активов не нов, и многие компании полагаются на honeypots и canary objects для обнаружения вторжений и даже отслеживания хакеров, Microsoft нашла способ использовать свои ресурсы для масштабной охоты за субъектами угроз и их методами.