Advarer: Nå har hackere begynt å møte opp hos offeret

Hacking og cyberkriminalitet generelt utvikler seg stadig for å tilpasse seg nye realiteter og mer avanserte mottiltak. Nå har det amerikanske etterforskningsbyrået FBI advart mot en ny, alarmerende trend.

De melder om en hackergruppe døpt «Silent Ransom Group» (SRG), kjent siden 2022 for å stjele sensitive data fra bedrifter i en rekke ulike industrier – den siste tiden primært fra advokatfirmaer.

Nettstedet Security Week er blant dem som har skevet om saken.

Gruppen benytter seg ikke av krypteringsteknikker, som konvensjonelle utpressingsvirus-angrep, men bruker i stedet sosial manipulering, telefonsamtaler under falsk identitet og ulike phishing-teknikker.

Drar til offerets jobb

En av teknikkene innebærer å sende phishing-e-poster som utgir seg for å kreve inn små «abonnementsavgifter» for å få tilgang til offerets nettverk. Offeret blir instruert til å ringe trusselaktøren for å kansellere det falske abonnementet, og deretter sendes offeret en lenke for å laste ned programvare for fjernaksess.

Ifølge FBI har SRG-gruppen nylig skiftet taktikk til å utgi seg for å være medarbeidere fra bedriftens IT-avdeling, via e-post eller telefon. Denne teknikken har imidlertid blitt utvidet med en ny og enda frekkere metode, nemlig fysisk tilstedeværelse.

– Mens de er på telefonen, instruerer SRG-aktøren den ansatte til å gi tilgang til en ekstern skrivebordsøkt. Hvis dette forsøket mislykkes, sender SRG en trusselaktør til offerets lokasjon for å få fysisk tilgang og sette inn en lagringsenhet i offerets datamaskin, skriver FBI og fortsetter:

– I denne fremgangsmåten forteller trusselaktøren offeret at de må lage et diskbilde av enheten eller opprette en sikkerhetskopifil for å håndtere mulige konsekvenser av phishing-e-posten.

Etter at trusselaktørene har fått tilgang til offerets systemer, brukes tilgangen til å eskalere privilegier og raskt hente ut sensitive data uten kryptering. Dette skjer ifølge FBI via en ekstern harddisk som aktøren har med seg, eller via en USB-pinne.

USB-angrep har skjedd før

Dataene brukes til utpressing ved å true med publisering, og gruppen har en offentlig nettside som benyttes til å legge ut kompromitterte data.

Blant mottiltakene anbefaler byrået å verifisere legitimasjonen til alle personer som får tilgang til selskapets områder, inkludert å innhente kopier av hver besøkendes ID-kort. I tillegg bør tilgangen til sensitive data fra mindre sikre nettverk, som hjemmenettverk eller offentlig internett, begrenses.

Det er uvisst hvor utbredt strategien med å sende personer fysisk til offerets lokasjon faktisk er, men teknikken er enkel å adoptere i stor skala og kan derfor sies å representere et nytt, potensielt trusselbilde. Det er også en effektiv måte å komme rundt mange sikkerhetstiltak på.

Selv om personlig oppmøte kanskje er relativt uvanlig, er ikke angrep utført gjennom fysisk tilgang helt nytt. Digi har for eksempel tidligere meldt om en hackekampanje etterforsket av Microsoft som innebar å spre skadevare ved simpelthen å sende ut infiserte USB-pinner i posten, kamuflert som Office-produkter.

Også FBI har tidligere rapportert om USB-basert angrep mot bedrifter, som Digi skrev om allerede i 2022. I 2024 kom det også rapporter om angrep via utsendinger av infiserte USB-enheter.