Hackers usam phishing para atacar a cadeia de suprimentos da COVID-19

Hackers usam phishing para atacar a cadeia de suprimentos da COVID-19. Recomenda-se que as empresas estejam vigilantes e permaneçam em alerta máximo durante esse período. 

No início da pandemia COVID-19, o IBM Security X-Force  criou uma força-tarefa de inteligência de ameaças dedicada a rastrear ameaças cibernéticas COVID-19 contra organizações que estão mantendo a cadeia de fornecimento de vacinas em movimento. Como parte desses esforços, a equipe descobriu recentemente uma campanha global de phishing direcionada a organizações associadas a uma COVID-19 “cold chain” (cadeia fria). A cold chain é um componente da cadeia de abastecimento de vacinas que garante a preservação segura das vacinas em ambientes com temperatura controlada durante o armazenamento e transporte.

A análise da equipe da IBM indica que essa operação calculada começou em setembro de 2020. A campanha de phishing COVID-19 se estendeu por seis países e organizações-alvo provavelmente associadas ao Gavi, o programa Cold Chain Equipment Optimization Platform (CCEOP)  da The Vaccine Alliance , que será explicada com mais detalhes à frente. Embora não tenha sido possível estabelecer uma atribuição firme para esta campanha, o direcionamento preciso de executivos e organizações globais importantes detém as marcas registradas em potencial de ataques Estado-nação.

A notícia do blog da IBM traz alguns detalhes da análise do IBM Security X-Force dessa atividade e incluem:

• The Cover Story – O adversário se passou por um executivo de negócios da Haier Biomedical, uma empresa membro credível e legítima da cadeia de fornecimento de vacinas COVID-19 e fornecedora qualificada para o programa CCEOP. A empresa é supostamente a única fornecedora de cold chain completa do mundo. Disfarçado como este funcionário, o adversário enviou e-mails de phishing para organizações que se acredita serem provedores de suporte material para atender às necessidades de transporte dentro da COVID-19 cold chain. A equipe avaliou que o objetivo desta campanha de phishing COVID-19 pode ter sido coletar credenciais, possivelmente para obter futuro acesso não autorizado a redes corporativas e informações confidenciais relacionadas à distribuição da vacina COVID-19.
• Os Alvos – Os alvos incluíram a Direção-Geral da Fiscalidade e da União Aduaneira da Comissão Europeia, bem como organizações nos sectores da energia, produção, criação de sites e software e soluções de segurança na Internet. São organizações globais sediadas na Alemanha, Itália, Coréia do Sul, República Tcheca, grande Europa e Taiwan.
• Como – e-mails de spear-phishing foram enviados para executivos selecionados em vendas, compras, tecnologia da informação e posições financeiras, provavelmente envolvidos nos esforços da empresa para apoiar uma cold chain de vacinas. Também identificamos casos em que essa atividade se estendeu por toda a organização para incluir páginas de ajuda e suporte de organizações específicas.

O IBM Security X-Force seguiu os protocolos de divulgação responsável e notificou as entidades e autoridades apropriadas sobre esta operação direcionada.

Alerta para a Cadeia de Abastecimento COVID-19

O IBM Security X-Force recomenda que as empresas da cadeia de suprimentos COVID-19 – da pesquisa de terapias, fornecimento de assistência médica à distribuição de uma vacina – estejam vigilantes e permaneçam em alerta máximo durante esse período. Os governos já alertaram que as entidades estrangeiras provavelmente tentarão realizar espionagem cibernética para roubar informações sobre vacinas. O DHS CISA está emitindo um alerta encorajando as organizações associadas ao armazenamento e transporte de uma vacina a revisar esta pesquisa e as melhores práticas recomendadas para permanecerem vigilantes.

Spoofing calculado para comprometer a cadeia de frio COVID-19

O IBM Security X-Force descobriu alvos em vários setores, governos e parceiros globais que oferecem suporte ao programa CCEOP . O CCEOP foi lançado por Gavi, The Vaccine Alliance juntamente com o Fundo das Nações Unidas para a Infância (UNICEF) e outros parceiros em 2015. Seu objetivo é fortalecer as cadeias de abastecimento de vacinas, otimizar a equidade de imunização e garantir uma resposta médica ágil a surtos de doenças infecciosas . Várias classes de medicamentos, especialmente vacinas, requerem armazenamento e transporte em ambientes com temperatura controlada para garantir sua preservação segura.

A iniciativa CCEOP está naturalmente acelerando os esforços para facilitar a distribuição de uma vacina COVID-19. Uma violação em qualquer parte desta aliança global pode resultar na exposição de vários ambientes de computação de parceiros em todo o mundo.

Os e-mails de phishing falsificados parecem ter se originado de um executivo de negócios da Haier Biomedical, uma empresa chinesa que atualmente atua como fornecedora qualificada para o programa CCEOP, em coordenação com a Organização Mundial da Saúde (OMS), UNICEF e outras agências da ONU. É altamente provável que o adversário tenha escolhido estrategicamente se passar pela Haier Biomedical porque ela é considerada a única fornecedora de cold chain completa do mundo. Da mesma forma, o funcionário da Haier Biomedical que supostamente está enviando esses e-mails provavelmente estaria associado às operações de distribuição da cold chain da Haier Biomedical com base em sua função, que está listada no bloco de assinatura de e-mail.

Não está claro na análise se a campanha de phishing do COVID-19 foi bem-sucedida. No entanto, o papel estabelecido que a Haier Biomedical atualmente desempenha no transporte da vacina e seu provável papel na distribuição da vacina COVID-19 aumenta a probabilidade de os alvos pretendidos se envolverem com os emails recebidos sem questionar a autenticidade do remetente.

Global Targeting

Dada a especialização e distribuição global das organizações visadas nesta campanha, é altamente provável que o adversário esteja intimamente ciente dos componentes e participantes críticos da cold chain.

• European Commission’s Directorate-General for Taxation and Customs Union – A Direção-Geral é responsável por promover a cooperação em matéria aduaneira e fiscal em toda a UE. Ele mantém vínculos diretos com várias redes governamentais nacionais e está associado ao comércio e à regulamentação. Ter como alvo esta entidade pode servir como um ponto único de compromisso, impactando vários alvos de alto valor nos 27 estados membros da União Europeia e além.
• Setor de energia – Os alvos de spear phishing incluem empresas envolvidas na fabricação de painéis solares. Uma das maneiras pelas quais as vacinas são mantidas resfriadas em países onde a energia confiável não é possível é usando refrigeradores de vacinas alimentados por painéis solares. O comprometimento dessas tecnologias pode resultar em roubo de propriedade intelectual ou roubo e venda de contêineres de remessa de vacinas em mercados negros em todo o mundo. A segmentação também incluiu empresas associadas à petroquímica. Entre os principais componentes da cold chain está o uso de gelo seco, que é um subproduto da produção de petróleo.
• Setor de TI – Entre os alvos estavam uma empresa sul-coreana de desenvolvimento de software e uma empresa alemã de desenvolvimento de sites. Este último oferece suporte a vários clientes associados a fabricantes de produtos farmacêuticos, transporte de contêineres, biotecnologia e fabricantes de componentes elétricos que permitem a navegação e comunicações marítimas, terrestres e aéreas.

Quem está provavelmente por trás desses ataques?

Embora a atribuição seja atualmente desconhecida, o direcionamento preciso e a natureza das organizações direcionadas específicas apontam potencialmente para a atividade de estado-nação. Sem um caminho claro para um saque, é improvável que os cibercriminosos devotem o tempo e os recursos necessários para executar uma operação calculada com tantos alvos interligados e globalmente distribuídos. Da mesma forma, o insight sobre o transporte de uma vacina pode representar uma mercadoria quente do mercado negro, no entanto, o insight avançado sobre a compra e movimentação de uma vacina que pode impactar a vida e a economia global é provavelmente uma nação de alto valor e alta prioridade como alvo de ataques estado-nação.

No início de 2020, o IBM Security X-Force descobriu atividades relacionadas ao direcionamento de uma cadeia de suprimentos COVID-19 PPE global . Da mesma forma, como a competição global corre por uma vacina, é altamente provável que a cold chain seja um alvo atraente que estará no topo das listas de requisitos de coleta nacionais em todo o mundo.

Recomendações aos defensores

O IBM Security X-Force recomenda às organizações aumentarem sua prontidão cibernética:

• Crie e teste planos de resposta a incidentes para fortalecer a preparação e prontidão da sua organização para responder no caso de um ataque.
• Compartilhe e ingira informações sobre ameaças. As iniciativas e parcerias de compartilhamento de ameaças são essenciais para ficar alerta sobre as ameaças e táticas de ataque mais recentes que afetam seu setor. 
• Avalie seu ecossistema de terceiros e avalie os riscos potenciais introduzidos por parceiros de terceiros. Confirme se você tem monitoramento robusto, controles de acesso e padrões de segurança que os parceiros terceirizados precisam obedecer.
• Aplique uma abordagem de zero trsut à sua estratégia de segurança. À medida que os ambientes continuam a se expandir, o gerenciamento de acesso com privilégios torna-se fundamental para garantir que os usuários tenham acesso apenas aos dados essenciais para seu trabalho. (Veja: Microssegmentação e Zero Trust protege ativos críticos)
• Use a autenticação multifator (MFA) em sua organização. O MFA funciona como um fail-safe se um ator mal-intencionado obteve acesso às suas credenciais. Como última linha de defesa, o MFA oferece uma segunda forma de requisito de verificação para acessar uma conta.
• Realize treinamentos educacionais regulares sobre segurança de email para que os funcionários permaneçam alertas sobre táticas de phishing e estejam familiarizados com as práticas recomendadas de segurança de email .
• Use as ferramentas Endpoint Protection and Response para detectar e evitar que ameaças se espalhem pela organização com mais rapidez.

Indicadores de compromisso (IOCs)

A IBM X-Force divulgou também Indicadores de Compromisso que podem ser utilizados pelas empresas para fortalecerem seus sistemas de proteção:

Arquivos HTML maliciosos: RFQ – UNICEF CCEOP and Vaccine Project – Copiar (#). Html

 URLs C2

hxxps: //e-mailer.cf/next [.] php

hxxps://e-mailer.ga/next[.]php

hxxps: //nwa-oma2.ml/next [.] php

hxxps: //routermanager.ga/next [.] php

hxxps: //routermanager.gq/next [.] php

hxxps: //routermanager.ml/next [.] php

hxxps: //routermanagers.cf/next [.] php

hxxps: //routermanagers.ga/next [.] php

hxxps: //routermanagers.gq/next [.] php

hxxps: //routermanagers.ml/next [.] php

hxxps: //serverrouter.cf/next [.] php

hxxps: //serverrouter.ga/next [.] php

hxxps: //serversrouter.cf/next [.] php

hxxps: //serversrouter.gq/next [.] php

hxxps: //nwa-oma.ml/next [.] php

Endereços de e-mail do remetente

yongbinxu@haierbiomedical[.]com

Endereços DNS SOA

rahim[@]protonmail[.]com

kilode [@] cock.li.

URLs Relacionados Adicionais

hxxps: // mailerdeamon [.] cf

hxxps: // mailerdeamon [.] ga

hxxps: // mailerdeamon [.] gq

hxxps: // mailerdeamon [.] ml

hxxps: // mailerdeamon [.] tk

hxxps: // routermanager [.] tk

hxxps: // routermanagers [.] tk

hxxps: // serverrouter [.] tk

Fonte: IBM Security X-Force 

Veja também:

• Microssegmentação e Zero Trust protege ativos críticos
• Vazamento no e-SUS expõe dados de 243 milhões de pessoas
• Microsoft Defender for Identity agora detecta ataques Zerologon
• MPDFT pede busca e apreensão e medidas cautelares contra hackers que atacaram o TSE
• 50.000 Senhas de VPNs Fortinet expostas desde 2018
• Hack de vale-presente – você paga, eles compram
• Vazamento no Ministério da Saúde expõe dados de 16 milhões de pessoas
• Como usar a estrutura Mitre ATT&CK para segurança na nuvem
• Justiça aplica Lei Geral de Proteção de Dados à Serasa Experian
• Sua senha não é segura, nem uma autenticação multifator SMS
• Microsoft confirma problema sério de senha do Windows 10
• Cavalo de Troia bancário brasileiro pode espionar mais de 150 aplicativos financeiros