Qu’est-ce que l’araignée dispersée ?

Scattered Spider est un groupe de cybercriminels à motivation financière, connu pour utiliser des techniques sophistiquées d’ingénierie sociale, de phishing, de vishing, d’échange de cartes SIM, d’attaques d’identité et d’autres techniques pour accéder aux organisations.

Plutôt que de s’appuyer principalement sur les vulnérabilités logicielles pour un premier accès, Scattered Spider est particulièrement connu pour cibler les personnes. Les attaquants peuvent se faire passer pour des employés et contacter les services d’assistance informatique pour convaincre le personnel de support de réinitialiser les mots de passe, de modifier les paramètres d’authentification multifacteur (MFA ) ou de fournir un accès aux comptes d’entreprise.

Une fois à l’intérieur d’une organisation, Scattered Spider peut tenter d’augmenter les privilèges, se déplacer latéralement à travers les environnements cloud et locaux, voler des informations sensibles et mener des attaques d’extorsion ou de rançongiciel .

Points clés

• Scattered Spider est un groupe de cybercriminels à motivation financière, connu pour utiliser de l’ingénierie sociale sophistiquée, des attaques identitaires et le vol de titres d’identité pour accéder sans autorisation à des organisations.
• Scattered Spider s’adresse fréquemment aux employés et aux services d’assistance informatique. Les attaquants utilisent des techniques telles que le phishing, le vishing, l’échange de cartes SIM et la manipulation MFA pour compromettre les comptes et contourner les contrôles de sécurité.
• Les attaques dispersées de Spiders peuvent entraîner des rançongiciels, du vol de données et des mouvements latéraux. Une fois à l’intérieur d’un réseau, les attaquants peuvent escalader leurs privilèges, accéder à des informations sensibles et passer d’un système cloud à un système local.
• Se défendre contre Scattered Spider demande plus que d’empêcher l’accès initial. Les organisations doivent combiner MFA résistante au phishing, vérification d’identité, visibilité réseau et isoler les incidents pour détecter les activités suspectes, restreindre les mouvement latéral et limiter l’impact des attaques réussies.

Qui est Araignée Dispersée ?

Araignée dispersée est le nom couramment utilisé pour décrire un groupe de menace motivé financièrement qui a ciblé des organisations de plusieurs secteurs.

Le groupe est devenu particulièrement remarquable pour sa capacité à manipuler les employés et le personnel du support technique grâce à l’ingénierie sociale. Au lieu de devoir toujours exploiter une vulnérabilité technique, les attaquants peuvent convaincre des utilisateurs légitimes ou des administrateurs de les aider à contourner les contrôles de sécurité.

Cela fait de Scattered Spider un exemple utile de la nécessité de préparer les stratégies de cybersécurité à des identités compromises et des identifiants légitimes, pas seulement aux malwares et aux exploits logiciels.

Lire : Araignée dispersée : Ce que ses attaques révèlent sur la posture du réseau

Quels sont les autres noms pour araignée dispersée ?

Les entreprises de cybersécurité et les chercheurs en renseignement sur les menaces utilisent souvent différents noms pour suivre la même activité de menace ou des activités qui se chevauchent.

Araignée dispersée a également été associée à des noms tels que :

• Octo Tempest
• UNC3944
• 0ktapus
• Balance embrouillée

Microsoft suit les activités liées à Scattered Spider sous le nom d’Octo Tempest.

Différents chercheurs en sécurité peuvent définir différents groupes de menaces et activités qui se chevauchent différemment, il ne faut donc pas toujours supposer que ces noms représentent des ensembles d’acteurs ou de campagnes parfaitement identiques.

Comment Scattered Spider attaque-t-il les organisations ?

Les attaques de Scattered Spider commencent souvent par cibler des identités plutôt que par exploiter directement des logiciels.

Les attaquants peuvent enquêter sur une organisation et ses employés avant de se faire passer pour des utilisateurs légitimes ou de contacter le personnel du support technique.

Une attaque d’araignée dispersée peut impliquer :

1. Identifier les employés ou les utilisateurs privilégiés.
2. Recueillir des informations personnelles ou organisationnelles sur la cible.
3. Utiliser le phishing, le smishing ou le vishing pour voler des identifiants.
4. Se faire passer pour un employé lors de la prise de contact avec un support informatique.
5. Convaincre le personnel d’assistance de réinitialiser les mots de passe ou les méthodes MFA.
6. Enregistrement des méthodes d’authentification contrôlées par l’attaquant.
7. Accéder aux systèmes d’entreprise et aux environnements cloud.
8. Augmenter les privilèges et découvrir des ressources supplémentaires.
9. Se déplacer latéralement à travers l’environnement.
10. Vol de données, extorsion ou déploiement de rançongiciel.

Le chemin d’attaque spécifique peut varier d’une campagne à l’autre.

Comment Scattered Spider utilise-t-il l’ingénierie sociale ?

L’ingénierie sociale est l’une des tactiques les plus reconnaissables de Scattered Spider.

Les attaquants peuvent rechercher des recherches sur les employés avant de contacter le support d’assistance d’une organisation et de se faire passer pour ces utilisateurs. Les informations recueillies auprès de sources publiques, de violations antérieures, de campagnes de phishing ou d’autres méthodes peuvent rendre l’usurpation d’identité plus convaincante.

L’attaquant peut prétendre avoir perdu un appareil, oublié un mot de passe ou rencontré un problème de MFA.

Si le support technique estime que la requête est légitime, il peut réinitialiser les identifiants ou les méthodes d’authentification, donnant potentiellement à l’attaquant un accès sans nécessiter d’exploit technique traditionnel.

Comment Scattered Spider utilise-t-il le vishing ?

Le vishing, ou phishing vocal, peut jouer un rôle important dans les attaques d’ingénierie sociale de Scattered Spider.

Les attaquants peuvent appeler des employés ou du personnel du support informatique tout en se faisant passer pour des utilisateurs légitimes. À travers la conversation, l’urgence et les informations recueillies sur la cible, l’attaquant tente de convaincre la victime d’agir qui lui donne accès.

Par exemple, un attaquant pourrait persuader un employé du support technique de réinitialiser un mot de passe ou de modifier une méthode MFA. Cela démontre pourquoi les organisations ne devraient pas se fier uniquement à la connaissance des informations personnelles ou de l’entreprise par un appelant comme preuve d’identité.

Comment Scattered Spider contourne-t-il la MFA ?

L’authentification multifacteur peut considérablement améliorer la sécurité des comptes, mais les attaquants peuvent tenter de manipuler les processus entourant l’authentification multifacteur (MFA) plutôt que de contourner directement la technologie sous-jacente.

L’araignée dispersée a été associée à des techniques telles que :

• Help desk en ingénierie sociale pour réinitialiser le MFA
• Enregistrement des méthodes MFA contrôlées par l’attaquant
• Échange de cartes SIM
• Vol des identifiants d’authentification
• Phishing des utilisateurs via de fausses pages d’authentification
• Manipulation des procédures de récupération de compte

Si un attaquant convainc un administrateur de remplacer la méthode d’authentification d’un utilisateur légitime par une méthode contrôlée par l’attaquant, la MFA ne peut plus empêcher la prise de contrôle du compte.

Les méthodes d’authentification résistantes au phishing peuvent rendre plusieurs de ces techniques plus difficiles.

Qu’est-ce que le SIM swapping et comment Scattered Spider l’utilise-t-il ?

L’échange de SIM est une attaque dans laquelle le numéro de téléphone d’une victime est transféré vers une carte SIM ou un appareil contrôlé par un attaquant.

Une fois que l’attaquant contrôle le numéro de téléphone, il peut être en mesure d’intercepter les appels ou SMS destinés à la victime.

Pour les comptes qui dépendent de l’authentification par SMS ou de la récupération de compte, cela peut aider les attaquants à y accéder.

Scattered Spider a été associé à l’échange de cartes SIM dans le cadre de campagnes ciblant les identités des utilisateurs et les systèmes d’authentification.

Scattered Spider utilise-t-il un rançongiciel ?

Scattered Spider a été associé à des rançongiciels et à des activités d’extorsion de données.

Après avoir obtenu l’accédre, les attaquants peuvent voler des informations sensibles et utiliser la menace d’exposer ces données pour faire pression sur une organisation afin qu’elle paie une demande d’extorsion.

Certaines activités observées liées à Scattered Spider ont également impliqué le déploiement de rançongiciels.

Cela rend la confinement précoce particulièrement importante. Empêcher les attaquants de se déplacer librement de l’identité ou du système initialement compromis vers les infrastructures critiques peut réduire l’impact potentiel de l’attaque.

Quelles industries cible Scattered Spider ?

Scattered Spider a ciblé des organisations de plusieurs secteurs plutôt que de se concentrer sur un seul secteur.

Les campagnes rapportées ont touché des secteurs tels que :

• Télécommunications
• Technologie
• Externalisation des processus métier
• Vente au détail
• Hospitalité
• Assurance
• Compagnies aériennes et transports

Le ciblage du groupe a évolué au fil du temps, renforçant l’importance de se concentrer sur ses tactiques plutôt que de supposer que seules les organisations d’un secteur particulier sont en danger.

Pourquoi l’araignée dispersée est-elle difficile à détecter ?

Scattered Spider peut être difficile à détecter car les attaquants peuvent accéder en utilisant des informations d’identification légitimes et des processus d’authentification approuvés.

Si un support technique réinitialise un mot de passe pour quelqu’un qu’il pense être un employé, la connexion résultante peut d’abord sembler légitime. Une fois à l’intérieur, les attaquants peuvent également utiliser des outils administratifs légitimes et des infrastructures existantes plutôt que de déployer immédiatement des logiciels malveillants évidents.

Cela rend la compréhension de la posture de réseau d’une organisation particulièrement importante. Les équipes de sécurité ont besoin d’une visibilité sur la manière dont les systèmes communiquent normalement, sur les connexions risquées ou inutiles, et sur les voies qui pourraient permettre à une identité ou à une charge de travail compromise d’atteindre des ressources critiques.

En combinant le contexte d’identité avec la compréhension de la posture réseau, de la communication sur la charge de travail et des schémas d’accès inhabituels, les équipes de sécurité peuvent identifier plus rapidement les activités pouvant indiquer qu’un attaquant étend son accès ou tente de se déplacer latéralement.

Comment l’araignée dispersée se déplace-t-elle latéralement ?

Après avoir obtenu un accès initial, Scattered Spider peut tenter de découvrir d’autres utilisateurs, systèmes, applications, ressources cloud et comptes privilégiés.

L’attaquant peut alors utiliser des identifiants compromis et des connexions réseau existantes pour étendre l’accès à travers l’environnement.

Ce processus est appelé mouvement latéral.

Un mouvement latéral peut transformer un compte ou un point final compromis en une violation bien plus importante. Restreindre la communication inutile entre charges de travail et applications peut réduire le nombre de voies disponibles pour un attaquant.

Comment les organisations peuvent-elles se protéger contre les araignées dispersées ?

Se défendre contre les Araignées Dispersées nécessite de protéger à la fois les personnes et la technologie.

Les organisations peuvent réduire leurs risques en :

• Utiliser une MFA résistante au phishinglorsque c’est possible
• Renforcement des procédures de vérification d’identité du service d’assistance
• Former les employés à reconnaître le phishing, le smishing et le vishing
• Surveillance du mot de passe et de réinitialisation MFA
• Restriction de l’accès privilégié
• Application des principes de moindre privilège
• Surveillance de l’authentification inhabituelle et de l’activité réseau
• Limiter l’accès à distance inutile
• Segmentation des systèmes et charges de travail critiques
• Identifier et restreindre les voies de communication inutiles
• Préparation de plans d’intervention en cas d’incident et de récupération

Les organisations doivent également supposer que certaines tentatives d’ingénierie sociale finiront par réussir et mettre en place des contrôles qui limitent ce à quoi un attaquant peut accéder après une compromission initiale.

Araignée dispersée et isoler les incidents

Scattered Spider démontre pourquoi empêcher l’accès initial ne peut pas être la seule stratégie de sécurité d’une organisation.

Un employé peut tomber dans une attaque de phishing. Un employé du support peut approuver une demande convaincante. Les identifiants peuvent être volés. Un attaquant peut finalement trouver un moyen d’entrer.

isoler les incidents vise à limiter ce qui se passe ensuite.

En limitant les communications inutiles et en imposant un accès à privilèges minimes entre les systèmes, les organisations peuvent réduire les voies que les attaquants peuvent emprunter pour passer latéralement d’une ressource initialement compromise vers des applications, charges de travail et données critiques.

Repérez un mouvement suspect avec Illumio Insights

Scattered Spider peut entrer par une identité compromise, mais l’attaque ne s’arrête pas forcément à ce compte.

Illumio Insights aide les équipes de sécurité à comprendre la communication entre leurs environnements et à identifier les connexions suspectes, les voies à risque et les mouvements latéraux potentiels pouvant indiquer qu’un attaquant étend son access.

Obtenez la visibilité et les renseignements nécessaires pour détecter les menaces plus rapidement et les contenir avant qu’elles ne deviennent des violations généralisées.

En savoir plus sur Illumio Insights →

Questions fréquemment posées

Qu’est-ce que Scattered Spider ?

Scattered Spider est un groupe de cybercriminels à motivation financière, connu pour ses attaques sophistiquées en ingénierie sociale et identitaire. Le groupe a utilisé des techniques telles que le phishing, le vishing, l’échange de cartes SIM, le vol de crédences et la manipulation des helpdesks informatiques.

Scattered Spider est-il un groupe de rançongiciel ?

Scattered Spider est plus large qu’un groupe de rançongiciel traditionnel. Les acteurs malveillants sont connus pour la compromission d’identité, l’ingénierie sociale, le vol de données, l’extorsion et les activités pouvant finalement impliquer des rançongiciels.

Scattered Spider est-il la même chose qu’Octo Tempest ?

Microsoft suit les activités associées à Scattered Spider sous le nom d’Octo Tempest. D’autres chercheurs en sécurité utilisent des noms tels que UNC3944, 0ktapus et Muddled Libra pour des activités apparentées ou qui se chevauchent.

Comment Scattered Spider arrive-t-il dans les réseaux ?

Scattered Spider cible fréquemment les identités en utilisant l’ingénierie sociale, le phishing, le smishing, le vishing, l’échange de cartes SIM et l’usurpation d’identité du support technique. Les attaquants peuvent convaincre le personnel support de réinitialiser les mots de passe ou les méthodes MFA, leur permettant d’accéder en utilisant des identifiants apparemment légitimes.

Est-ce que Scattered Spider utilise le vishing ?

Oui. L’ingénierie sociale basée sur la voix est une technique associée à Scattered Spider. Les attaquants peuvent se faire passer pour des employés et manipuler le personnel du support technique ou d’autres utilisateurs pour fournir l’accès ou modifier les paramètres d’authentification.

Comment les organisations peuvent-elles se défendre contre les araignées dispersées ?

Les organisations peuvent renforcer la vérification du support technique, déployer une MFA résistante au phishing, surveiller les changements d’identité, restreindre l’accès privilégié, former les employés à l’ingénierie sociale, segmenter les systèmes critiques et surveiller les communications inhabituelles et les mouvements latéraux.

Pourquoi Scattered Spider est-il dangereux ?

Scattered Spider combine une ingénierie sociale efficace avec des techniques pour compromettre les identités et naviguer dans le cloud et les environnements sur site. Une fois que les attaquants ont établi l’accédre, ils peuvent tenter de voler des données, étendre leurs privilèges, se déplacer latéralement et mener des attaques d’extorsion ou de rançongiciel.

‍