Was ist Scattered Spider?

Scattered Spider ist eine finanziell motivierte Cyberkriminellengruppe, die für ausgeklügelte Social Engineering, Phishing, Vishing, SIM-Swapping, Identitätsangriffe und andere Techniken bekannt ist, um Zugang zu Organisationen zu erhalten.

Anstatt sich hauptsächlich auf Software-Schwachstellen für den ersten Zugriff zu verlassen, ist Scattered Spider besonders dafür bekannt, Menschen ins Visier zu nehmen. Angreifer können sich als Mitarbeiter ausgeben und IT-Helpdesks kontaktieren, um das Support-Personal davon zu überzeugen, Passwörter zurückzusetzen, Multifaktor-Authentifizierungseinstellungen (MFA) zu ändern oder anderweitig Zugriff auf Unternehmenskonten zu gewähren.

Innerhalb einer Organisation kann Scattered Spider versuchen, Privilegien zu eskalieren, sich lateral über Cloud- und On-Premises-Umgebungen zu bewegen, sensible Informationen zu stehlen und Erpressungs- oder Ransomware-Angriffe durchzuführen.

Wichtige Erkenntnisse

• Scattered Spider ist eine finanziell motivierte Cyberkriminellengruppe, die dafür bekannt ist, ausgeklügelte Social Engineering, identitätsbasierte Angriffe und Diebstahl von Zugangsdaten einzusetzen, um unbefugten Zugang zu Organisationen zu erhalten.
• Scattered Spider richtet sich häufig gegen Mitarbeiter und IT-Helpdesks. Angreifer nutzen Techniken wie Phishing, Vishing, SIM-Swapping und MFA-Manipulation, um Konten zu kompromittieren und Sicherheitskontrollen zu umgehen.
• Scattered-Spider-Angriffe können zu Ransomware, Datendiebstahl und Lateral Movement führen. Sobald sie sich in einem Netzwerk befinden, können Angreifer Privilegien eskalieren, auf sensible Informationen zugreifen und zwischen Cloud- und On-Premises-Systemen wechseln.
• Die Verteidigung gegen Verstreute Spinne erfordert mehr als nur den ersten Zugriff zu verhindern. Organisationen sollten phishing-resistente MFA, Identitätsverifizierung, Netzwerktransparenz und Eindämmung von Sicherheitsverletzungen kombinieren, um verdächtige Aktivitäten zu erkennen, Lateral Movement einzuschränken und die Auswirkungen erfolgreicher Angriffe zu begrenzen.

Wer ist Scattered Spider?

Scattered Spider ist der Name, der häufig verwendet wird, um eine finanziell motivierte Gefahrgruppe zu beschreiben, die Organisationen aus mehreren Branchen ins Visier genommen hat.

Die Gruppe ist besonders bekannt für ihre Fähigkeit, Mitarbeiter und Helpdesk-Mitarbeiter durch Social Engineering zu manipulieren. Anstatt immer eine technische Schwachstelle ausnutzen zu müssen, können Angreifer legitime Nutzer oder Administratoren davon überzeugen, ihnen zu helfen, Sicherheitskontrollen zu umgehen.

Das macht Scattered Spider zu einem nützlichen Beispiel dafür, warum Cybersicherheitsstrategien auf kompromittierte Identitäten und legitime Zugangsdaten vorbereitet sein müssen – nicht nur auf Malware - und Software-Exploits.

Lesen: Scattered Spider: Was seine Angriffe über die Netzwerklage offenbaren

Wie sind andere Namen für Verstreute Spinne?

Cybersicherheitsunternehmen und Gefahr Intelligence-Forscher verwenden oft unterschiedliche Namen, um dieselbe oder sich überschneidende Gefahraktivitäten zu verfolgen.

Scattered Spider wurde auch mit Namen wie folgenden in Verbindung gebracht:

• Octo Tempest
• UNC3944
• 0ktapus
• Verwirrte Waage

Microsoft verfolgt Scattered Spider-bezogene Aktivitäten als Octo Tempest.

Verschiedene Sicherheitsforscher definieren Gefahrgruppen und überlappende Aktivitäten unterschiedlich, daher sollten diese Namen nicht immer als völlig identische Gruppen von Akteuren oder Kampagnen geltend gemacht werden.

Wie greift Scattered Spider Organisationen an?

Scattered Spider-Angriffe beginnen oft damit, dass sie Identitäten anvisieren, anstatt Software direkt auszunutzen.

Angreifer können eine Organisation und ihre Mitarbeiter recherchieren, bevor sie sich als legitime Nutzer ausgeben oder Helpdesk-Mitarbeiter kontaktieren.

Ein Angriff der Scattered Spider kann folgendes beinhalten:

1. Identifizieren von Mitarbeitern oder privilegierten Nutzern.
2. Sammeln persönlicher oder organisatorischer Informationen über das Ziel.
3. Phishing, Smishing oder Vishing wurden eingesetzt, um Zugangsdaten zu stehlen.
4. Sich als Mitarbeiter ausgeben, wenn man einen IT-Helpdesk kontaktiert.
5. Support-Personal davon überzeugen, Passwörter oder MFA-Methoden zurückzusetzen.
6. Registrierung von angreifergesteuerten Authentifizierungsmethoden.
7. Zugang zu Unternehmenssystemen und Cloud-Umgebungen.
8. Eskalieren von Privilegien und das Entdecken zusätzlicher Ressourcen.
9. Seitlich über die Umgebung zu bewegen.
10. Datendiebstahl, Erpressung oder Einsatz von Ransomware.

Der spezifische Angriffsweg kann je nach Kampagne variieren.

Wie nutzt Scattered Spider Social Engineering?

Social Engineering ist eine der bekanntesten Taktiken von Scattered Spider.

Angreifer können Mitarbeiter recherchieren, bevor sie den Helpdesk einer Organisation kontaktieren und diese Nutzer imitieren. Informationen, die aus öffentlichen Quellen, früheren Sicherheitsverletzungen, Phishing-Kampagnen oder anderen Methoden gesammelt werden, können die Imitation überzeugender machen.

Der Angreifer kann behaupten, ein Gerät verloren zu haben, ein Passwort vergessen oder ein Problem mit MFA gehabt zu haben.

Wenn der Helpdesk die Anfrage für legitim hält, kann er Zugangsdaten oder Authentifizierungsmethoden zurücksetzen, was dem Angreifer möglicherweise Zugriff gewährt, ohne dass ein traditioneller technischer Exploit erforderlich ist.

Wie verwendet Scattered Spider Vishing?

Vishing, oder Voice-Phishing, kann eine wichtige Rolle bei den Social-Engineering-Angriffen von Scattered Spider spielen.

Angreifer können Mitarbeiter oder IT-Helpdesk-Mitarbeiter anrufen, während sie sich als legitime Nutzer ausgeben. Durch Gespräche, Dringlichkeit und gesammelte Informationen über das Ziel versucht der Angreifer, das Opfer zu einer Handlung zu bewegen, die Zugang ermöglicht.

Ein Angreifer könnte beispielsweise einen Helpdesk-Mitarbeiter dazu bewegen, ein Passwort zurückzusetzen oder eine MFA-Methode zu ändern. Dies zeigt, warum Organisationen sich nicht ausschließlich auf das Wissen eines Anrufers über persönliche oder Unternehmensdaten als Identitätsnachweis verlassen sollten.

Wie umgeht Scattered Spider MFA?

Multifaktor-Authentifizierung kann die Kontosicherheit erheblich verbessern, aber Angreifer könnten versuchen, die Prozesse rund um die Multi-Faktor-Authentifizierung (MFA) zu manipulieren, anstatt die zugrunde liegende Technologie direkt zu umgehen.

Scattered Spider wurde mit Techniken wie:

• Social Engineering Helpdesks zum Zurücksetzen des MFA
• Registrierung von angreifergesteuerten MFA-Methoden
• SIM-Swapping
• Diebstahl von Authentifizierungsdaten
• Phishing-Nutzer durch gefälschte Authentifizierungsseiten
• Manipulation von Kontowiederherstellungsverfahren

Wenn ein Angreifer einen Administrator davon überzeugt, die Authentifizierungsmethode eines legitimen Nutzers durch eine vom Angreifer kontrollierte zu ersetzen, kann MFA die Übernahme des Kontos nicht mehr verhindern.

Phishing-resistente Authentifizierungsmethoden können einige dieser Techniken erschweren.

Was ist SIM-Swapping und wie nutzt Scattered Spider das?

SIM-Swapping ist ein Angriff, bei dem die Telefonnummer eines Opfers auf eine SIM-Karte oder ein von einem Angreifer kontrolliertes Gerät übertragen wird.

Sobald der Angreifer die Telefonnummer kontrolliert, kann er möglicherweise Anrufe oder SMS-Nachrichten abfangen, die für das Opfer bestimmt sind.

Bei Konten, die auf SMS-basierte Authentifizierung oder Kontowiederherstellung angewiesen sind, kann dies Angreifern helfen, Zugang zu erhalten.

Scattered Spider wurde mit SIM-Swapping in Verbindung gebracht, als Teil von Kampagnen, die sich auf Nutzeridentitäten und Authentifizierungssysteme konzentrieren.

Verwendet Scattered Spider Ransomware?

Scattered Spider wird mit Ransomware und Datenerpressung in Verbindung gebracht.

Nachdem sie Zugang erhalten haben, könnten Angreifer sensible Informationen stehlen und mit der Gefahr, diese Daten offenzulegen, eine Organisation unter Druck setzen, eine Erpressungsforderung zu zahlen.

Einige beobachtete Aktivitäten im Zusammenhang mit Scattered Spider beinhalten auch den Einsatz von Ransomware.

Das macht die frühe Eindämmung besonders wichtig. Wenn Angreifer daran gehindert werden, sich frei von der ursprünglich kompromittierten Identität oder dem System auf kritische Infrastruktur zu bewegen, kann das potenzielle Risiko des Angriffs verringern.

Welche Industrien zielt Scattered Spider an?

Scattered Spider hat Organisationen in mehreren Branchen ins Visier genommen, anstatt sich auf einen einzelnen Sektor zu konzentrieren.

Gemeldete Kampagnen haben Branchen beeinflusst, darunter:

• Telekommunikation
• Technologie
• Geschäftsprozess-Outsourcing
• Einzelhandel
• Gastfreundschaft
• Versicherung
• Fluggesellschaften und Transport

Die Zielsetzung der Gruppe hat sich im Laufe der Zeit verändert, was die Bedeutung unterstreicht, sich auf ihre Taktiken zu konzentrieren, anstatt davon auszugehen, dass nur Organisationen einer bestimmten Branche gefährdet sind.

Warum ist eine verstreute Spinne schwer zu erkennen?

Scattered Spider kann schwer zu erkennen sein, da Angreifer mit legitimen Zugangsdaten und genehmigten Authentifizierungsprozessen Zugriff erhalten können.

Wenn ein Helpdesk ein Passwort für jemanden zurücksetzt, von dem er glaubt, dass er einen Mitarbeiter ist, kann der resultierende Login zunächst legitim erscheinen. Einmal im Gebäude, können Angreifer auch legitime Verwaltungstools und bestehende Infrastruktur nutzen, anstatt sofort offensichtliche Malware einzusetzen.

Das macht das Verständnis der Netzwerkposition einer Organisation besonders wichtig. Sicherheitsteams benötigen Transparenz darüber, wie Systeme normalerweise kommunizieren, wo riskante oder unnötige Verbindungen bestehen und welche Wege es einer kompromittierten Identität oder Workloads ermöglichen könnten, kritische Ressourcen zu erreichen.

Durch die Kombination von Identitätskontext mit dem Verständnis von Netzwerkhaltung, Workloads-Kommunikation und ungewöhnlichen Zugriffsmustern können Sicherheitsteams schneller Aktivitäten identifizieren, die darauf hindeuten könnten, dass ein Angreifer seinen Zugriff ausweitet oder versucht, sich seitlich zu bewegen.

Wie bewegt sich Scattered Spider seitlich?

Nach dem Erhalt des ersten Zugriffs kann Scattered Spider versuchen, weitere Benutzer, Systeme, Anwendungen, Cloud-Ressourcen und privilegierte Konten zu entdecken.

Der Angreifer kann dann kompromittierte Zugangsdaten und bestehende Netzwerkverbindungen nutzen, um den Zugang in der Umgebung zu erweitern.

Dieser Prozess wird als Lateral Movement bezeichnet.

Lateral Movement können ein kompromittiertes Konto oder Endpunkt in eine viel größere Sicherheitsverletzung verwandeln. Die Einschränkung unnötiger Kommunikation zwischen Workloads und Anwendungen kann die Anzahl der für einen Angreifer verfügbaren Pfade verringern.

Wie können Organisationen sich vor verstreuten Spinnen schützen?

Die Verteidigung gegen Verstreute Spinne erfordert den Schutz sowohl von Menschen als auch von der Technologie.

Organisationen können ihr Risiko verringern, indem sie:

• Verwenden Sie wo möglich phishing-resistenteMFA, wo möglich,
• Stärkung der Helpdesk-Identitätsverifizierungsverfahren
• Mitarbeiter schulen sie darin, Phishing, Smishings und Vishing zu erkennen
• Passwortüberwachung und MFA-Reset-Aktivitäten
• Einschränkung des privilegierten Zugangs
• Anwendung der Least-Privileg-Prinzipien
• Überwachung ungewöhnlicher Authentifizierung und Netzwerkaktivität
• Begrenzung unnötigen Fernzugriffs
• Segmentierung kritischer Systeme und Workloads
• Identifizierung und Einschränkung unnötiger Kommunikationswege
• Vorbereitung von Vorfallreaktions - und Wiederherstellungsplänen

Organisationen sollten außerdem davon ausgehen, dass einige Social-Engineering-Versuche letztlich erfolgreich sein werden, und Kontrollen implementieren, die den Zugriff eines Angreifers nach einem ersten Kompromittement einschränken.

Verstreute Spinne und Eindämmung von Sicherheitsverletzungen

Scattered Spider zeigt, warum das Verhindern von Erstzugriff nicht die einzige Sicherheitsstrategie einer Organisation sein kann.

Ein Mitarbeiter kann auf einen Phishing-Angriff hereinfallen. Ein Helpdesk-Mitarbeiter kann eine überzeugende Anfrage genehmigen. Ausweise könnten gestohlen werden. Ein Angreifer könnte schließlich einen Weg hineinfinden.

Eindämmung von Sicherheitsverletzungen konzentriert sich darauf, das Nächste einzuschränken.

Durch die Einschränkung unnötiger Kommunikation und die Durchsetzung des Least-Privileg-Zugriffs zwischen Systemen können Organisationen die Wege reduzieren, die Angreifer nutzen können, um sich seitlich von einer ursprünglich kompromittierten Ressource zu kritischen Anwendungen, Workloads und Daten zu bewegen.

Entdecken Sie verdächtige Bewegungen mit Illumio Insights

Scattered Spider kann durch eine kompromittierte Identität eindringen, aber der Angriff endet nicht unbedingt bei diesem Konto.

Illumio Insights hilft Sicherheitsteams, die Kommunikation in ihren Umgebungen zu verstehen und verdächtige Verbindungen, riskante Wege und mögliche Lateral Movement zu erkennen, die darauf hindeuten könnten, dass ein Angreifer seinen Zugang ausweitet.

Erlangen Sie die Sichtbarkeit und Intelligenz, die Sie benötigen, um Gefahren schneller zu finden und einzudämmen, bevor sie zu weitverbreiteten Sicherheitsverletzungen werden.

Erfahren Sie mehr über Illumio Insights →

Häufig gestellte Fragen

Was ist Scattered Spider?

Scattered Spider ist eine finanziell motivierte Cyberkriminellengruppe, die für ausgeklügelte soziale Manipulation und identitätsbasierte Angriffe bekannt ist. Die Gruppe hat Techniken wie Phishing, Vishing, SIM-Swapping, Credential-Diebstahl und Manipulation von IT-Helpdesks eingesetzt.

Ist Scattered Spider eine Ransomware-Gruppe?

Scattered Spider ist breiter gefächert als eine traditionelle Ransomware-Gruppe. Die Bedrohungsakteure sind bekannt für Identitätskompromittationen, Social Engineering, Datendiebstahl, Erpressung und Aktivitäten, die letztlich Ransomware einschließen können.

Ist Scattered Spider dasselbe wie Octo Tempest?

Microsoft verfolgt Aktivitäten im Zusammenhang mit Scattered Spider unter dem Namen Octo Tempest. Andere Sicherheitsforscher verwenden Namen wie UNC3944, 0ktapus und Muddled Libra für verwandte oder überlappende Aktivitäten.

Wie gelangt Scattered Spider in die Netzwerke?

Scattered Spider greift häufig Identitäten mit Social Engineering, Phishing, Smishing, Vishing, SIM-Swapping und Helpdesk-Imitation an. Angreifer können das Supportpersonal dazu bringen, Passwörter oder MFA-Methoden zurückzusetzen, sodass sie mit scheinbar legitimen Zugangsdaten Zugriff erhalten.

Verwendet Scattered Spider Vishing?

Ja. Stimmbasierte soziale Manipulation ist eine Technik, die mit Scattered Spider assoziiert wird. Angreifer können sich als Mitarbeiter ausgeben und Helpdesk-Mitarbeiter oder andere Nutzer manipulieren, um Zugriff zu gewähren oder Authentifizierungseinstellungen zu ändern.

Wie können Organisationen sich gegen Scattered Spider verteidigen?

Organisationen können die Helpdesk-Verifizierung stärken, phishing-resistente MFA einsetzen, Identitätsänderungen überwachen, privilegierten Zugang einschränken, Mitarbeiter im Social Engineering schulen, kritische Systeme segmentieren und ungewöhnliche Kommunikation und Lateral Movement überwachen.

Warum ist Scattered Spider gefährlich?

Scattered Spider kombiniert effektives Social Engineering mit Techniken zur Kompromittierung von Identitäten sowie zur Navigation in Cloud- und On-Premises-Umgebungen. Sobald Angreifer Zugang hergestellt haben, können sie versuchen, Daten zu stehlen, ihre Privilegien auszuweiten, seitlich vorzugehen und Erpressungs- oder Ransomware-Angriffe durchzuführen.

‍