.png)
O que é uma aranha espalhada?
O Scattered Spider é um grupo de cibercriminosos com motivação financeira, conhecido por usar técnicas sofisticadas de engenharia social, phishing, vishing, troca de SIM, ataques de identidade e outras para obter acesso a organizações.
Em vez de depender principalmente de vulnerabilidades de software para obter acesso inicial, o Scattered Spider é particularmente conhecido por atacar pessoas. Os atacantes podem se passar por funcionários e entrar em contato com os serviços de suporte de TI para convencer a equipe a redefinir senhas, alterar as configurações de autenticação multifator (MFA) ou fornecer acesso a contas corporativas.
Uma vez dentro de uma organização, o Scattered Spider pode tentar escalar privilégios, mover-se lateralmente entre ambientes de nuvem e locais, roubar informações confidenciais e realizar ataques de extorsão ou ransomware .
Principais conclusões
- O Scattered Spider é um grupo de cibercriminosos com motivações financeiras, conhecido por usar engenharia social sofisticada, ataques baseados em identidade e roubo de credenciais para obter acesso não autorizado a organizações.
- O vírus Scattered Spider costuma atacar funcionários e equipes de suporte de TI. Os atacantes usam técnicas como phishing, vishing, troca de SIM e manipulação de MFA para comprometer contas e burlar os controles de segurança.
- Ataques dispersos do tipo Spider podem levar a ransomware, roubo de dados e movimento lateral. Uma vez dentro de uma rede, os invasores podem escalar privilégios, acessar informações confidenciais e transitar entre sistemas na nuvem e sistemas locais.
- A defesa contra a aranha-espalhada exige mais do que simplesmente impedir o acesso inicial. As organizações devem combinar autenticação multifator (MFA) resistente a phishing, verificação de identidade, visibilidade da rede e contenção de violação para detectar atividades suspeitas, restringir o movimento lateral e limitar o impacto de ataques bem-sucedidos.
Quem é a aranha espalhada?
Scattered Spider é o nome comumente usado para descrever um grupo de ameaças com motivação financeira que tem como alvo organizações em diversos setores.
O grupo tornou-se particularmente notório pela sua capacidade de manipular funcionários e pessoal de suporte técnico através de engenharia social. Em vez de sempre precisarem explorar uma vulnerabilidade técnica, os atacantes podem convencer usuários legítimos ou administradores a ajudá-los a burlar os controles de segurança.
Isso faz do Scattered Spider um exemplo útil de por que as estratégias de cibersegurança precisam se preparar para identidades comprometidas e credenciais legítimas, e não apenas para malware e exploits de software.
Leia: Aranha Espalhada: O que seus ataques revelam sobre a postura da rede
Quais são outros nomes para a aranha-espalhada?
Empresas de cibersegurança e pesquisadores de inteligência de ameaças frequentemente usam nomes diferentes para rastrear a mesma atividade de ameaça ou atividades sobrepostas.
A aranha-espalhada também foi associada a nomes como:
- Tempestade de Octo
- UNC3944
- 0ktapus
- Libra confusa
A Microsoft rastreia a atividade relacionada ao Scattered Spider como Octo Tempest.
Diferentes pesquisadores de segurança podem definir grupos de ameaças e atividades sobrepostas de maneiras distintas, portanto, não se deve presumir que esses nomes representem conjuntos perfeitamente idênticos de atores ou campanhas.
Como a aranha-espalhada ataque organizações?
Os ataques do tipo "Spider disperso" geralmente começam visando identidades em vez de explorar diretamente o software.
Os atacantes podem pesquisar uma organização e seus funcionários antes de se fazerem passar por usuários legítimos ou entrarem em contato com a equipe de suporte técnico.
Um ataque de aranha-espalhada pode envolver:
- Identificação de funcionários ou usuários privilegiados.
- Reunir informações pessoais ou organizacionais sobre o alvo.
- Utilizar técnicas de phishing, smishing ou vishing para roubar credenciais.
- Fingir ser um funcionário ao entrar em contato com o suporte de TI.
- Convencer a equipe de suporte a redefinir senhas ou métodos de autenticação multifator (MFA).
- Registrando métodos de autenticação controlados pelo atacante.
- Obtenção de acesso a sistemas corporativos e ambientes em nuvem.
- Aumento de privilégios e descoberta de recursos adicionais.
- Deslocamento lateral pelo ambiente.
- Roubo de dados, extorsão ou uso de ransomware.
A estratégia de ataque específica pode variar entre as campanhas.
Como a Scattered Spider utiliza a engenharia social?
A engenharia social é uma das táticas mais reconhecidas da Scattered Spider.
Os atacantes podem pesquisar informações sobre os funcionários antes de entrar em contato com o suporte técnico de uma organização e se passar por esses usuários. Informações coletadas de fontes públicas, violações de dados anteriores, campanhas de phishing ou outros métodos podem tornar a personificação mais convincente.
O atacante pode alegar ter perdido um dispositivo, esquecido uma senha ou ter tido um problema com a autenticação multifator (MFA).
Se a central de atendimento acreditar que a solicitação é legítima, poderá redefinir as credenciais ou os métodos de autenticação, potencialmente dando ao invasor acesso sem a necessidade de uma exploração técnica tradicional.
Como a aranha-espalhada usa o vishing?
O vishing, ou phishing por voz, pode desempenhar um papel importante nos ataques de engenharia social do Scattered Spider.
Os atacantes podem ligar para funcionários ou para a equipe de suporte de TI, se passando por usuários legítimos. Por meio de conversa, senso de urgência e informações coletadas sobre o alvo, o agressor tenta convencer a vítima a realizar uma ação que lhe dê acesso.
Por exemplo, um atacante poderia persuadir um funcionário do suporte técnico a redefinir uma senha ou modificar um método de autenticação multifator (MFA). Isso demonstra por que as organizações não devem confiar exclusivamente no conhecimento que o interlocutor possui sobre informações pessoais ou da empresa como prova de identidade.
Como o Scattered Spider burla a autenticação multifator?
A autenticação multifator pode melhorar significativamente a segurança da conta, mas os invasores podem tentar manipular os processos que envolvem a autenticação multifator (MFA) em vez de burlar diretamente a tecnologia subjacente.
A aranha dispersa tem sido associada a técnicas como:
- Engenharia social para levar os serviços de suporte técnico a redefinir a autenticação multifator (MFA).
- Registrando métodos de MFA controlados por atacantes
- troca de SIM
- Roubo de credenciais de autenticação
- Golpes de phishing contra usuários por meio de páginas de autenticação falsas
- Manipulação de procedimentos de recuperação de conta
Se um invasor convencer um administrador a substituir o método de autenticação de um usuário legítimo por um controlado pelo invasor, a MFA (autenticação multifator) pode não ser mais capaz de impedir a apropriação da conta.
Métodos de autenticação resistentes a phishing podem dificultar diversas dessas técnicas.
O que é a troca de SIM e como o Scattered Spider a utiliza?
A troca de SIM é um ataque no qual o número de telefone da vítima é transferido para um cartão SIM ou dispositivo controlado por um atacante.
Uma vez que o atacante controla o número de telefone, ele pode interceptar chamadas ou mensagens SMS destinadas à vítima.
Para contas que dependem de autenticação via SMS ou recuperação de conta, isso pode ajudar os invasores a obter acesso.
A organização Scattered Spider tem sido associada à troca de SIM cards como parte de campanhas que visam identidades de usuários e sistemas de autenticação.
O Scattered Spider usa ransomware?
O grupo Scattered Spider tem sido associado a atividades de ransomware e extorsão de dados.
Após obterem acesso, os atacantes podem roubar informações confidenciais e usar a ameaça de expor esses dados para pressionar uma organização a pagar um valor extorsivo.
Algumas atividades observadas relacionadas ao Scattered Spider também envolveram a implantação de ransomware.
Isso torna a contenção precoce especialmente importante. Impedir que os atacantes se movam livremente da identidade ou sistema inicialmente comprometido para a infraestrutura crítica pode reduzir o impacto potencial do ataque.
Quais são os setores industriais visados pela Scattered Spider?
A Scattered Spider tem como alvo organizações de diversos setores, em vez de se concentrar em um único segmento.
As campanhas denunciadas afetaram setores como:
- Telecomunicações
- Tecnologia
- Terceirização de processos de negócios
- Varejo
- Hospitalidade
- Seguro
- Companhias aéreas e transporte
O direcionamento do grupo mudou ao longo do tempo, reforçando a importância de focar em suas táticas em vez de presumir que apenas organizações de um setor específico estejam em risco.
Por que é difícil detectar aranhas dispersas?
O ataque Scattered Spider pode ser difícil de detectar porque os atacantes podem obter acesso usando credenciais legítimas e processos de autenticação aprovados.
Se um serviço de suporte técnico redefinir a senha de alguém que acredita ser um funcionário, o login resultante poderá inicialmente parecer legítimo. Uma vez dentro do sistema, os atacantes também podem usar ferramentas administrativas legítimas e a infraestrutura existente, em vez de implantar imediatamente um malware óbvio.
Isso torna especialmente importante a compreensão da postura da rede de uma organização. As equipes de segurança precisam ter visibilidade de como os sistemas normalmente se comunicam, onde existem conexões arriscadas ou desnecessárias e quais caminhos podem permitir que uma identidade ou carga de trabalho comprometida alcance recursos críticos.
Ao combinar o contexto de identidade com a compreensão da postura da rede, da comunicação da carga de trabalho e de padrões de acesso incomuns, as equipes de segurança podem identificar mais rapidamente atividades que podem indicar que um invasor está expandindo seu acesso ou tentando se movimentar lateralmente.
Como a aranha dispersa se move lateralmente?
Após obter acesso inicial, o Scattered Spider pode tentar descobrir usuários, sistemas, aplicativos, recursos em nuvem e contas privilegiadas adicionais.
O atacante pode então usar credenciais comprometidas e conexões de rede existentes para expandir o acesso em todo o ambiente.
Esse processo é conhecido como movimento lateral.
O movimento lateral pode transformar uma conta ou um endpoint comprometido em uma violação de dados muito maior. Restringir a comunicação desnecessária entre cargas de trabalho e aplicativos pode reduzir o número de caminhos disponíveis para um invasor.
Como as organizações podem se proteger contra aranhas-espalhadas?
A defesa contra a Aranha Espalhada exige a proteção tanto das pessoas quanto da tecnologia.
As organizações podem reduzir seus riscos por meio de:
- Utilizar autenticação multifator (MFA) resistente a phishingsempre que possível.
- Reforçar os procedimentos de verificação de identidade do help desk
- Treinar os funcionários para reconhecer phishing, smishing e vishing.
- Monitoramento da atividade de redefinição de senha e MFA
- Restringir o acesso privilegiado
- Aplicando os princípios do menor privilégio
- Monitoramento de atividades incomuns de autenticação e rede.
- Limitar o acesso remoto desnecessário
- Segmentação de sistemas e cargas de trabalho críticas
- Identificar e restringir canais de comunicação desnecessários.
- Preparando planos de resposta e recuperação de incidentes
As organizações também devem partir do princípio de que algumas tentativas de engenharia social acabarão por ter sucesso e implementar controlos que limitem o que um atacante pode aceder após uma invasão inicial.
Aranhas Dispersas e contenção de violação
O ataque Scattered Spider demonstra por que impedir o acesso inicial não pode ser a única estratégia de segurança de uma organização.
Um funcionário pode ser vítima de um ataque de phishing. Um funcionário do suporte técnico pode aprovar uma solicitação convincente. As credenciais podem ser roubadas. Um invasor pode eventualmente encontrar uma maneira de entrar.
A contenção de violações tem como foco limitar o que acontece em seguida.
Ao restringir a comunicação desnecessária e aplicar o princípio do menor privilégio entre os sistemas, as organizações podem reduzir os caminhos que os invasores podem usar para se mover lateralmente de um recurso inicialmente comprometido para aplicativos, cargas de trabalho e dados críticos.
Identifique movimentos suspeitos com o Illumio Insights
O Scattered Spider pode entrar por meio de uma identidade comprometida, mas o ataque não termina necessariamente nessa conta.
O Illumio Insights ajuda as equipes de segurança a entender a comunicação em seus ambientes e a identificar conexões suspeitas, caminhos de risco e possíveis movimentos laterais que podem indicar que um invasor está expandindo seu acesso.
Obtenha a visibilidade e a inteligência necessárias para encontrar ameaças mais rapidamente e contê-las antes que se transformem em violações de dados generalizadas.
Saiba mais sobre o Illumio Insights →
Perguntas frequentes
O que é uma aranha espalhada?
O Scattered Spider é um grupo de cibercriminosos com motivações financeiras, conhecido por suas sofisticadas técnicas de engenharia social e ataques baseados em identidade. O grupo utilizou técnicas como phishing, vishing, troca de SIM, roubo de credenciais e manipulação de serviços de suporte de TI.
O grupo Scattered Spider é um grupo de ransomware?
O grupo Scattered Spider é mais abrangente do que um grupo de ransomware tradicional. Os atores de ameaça são conhecidos por comprometimento de identidade, engenharia social, roubo de dados, extorsão e atividades que podem, em última instância, envolver ransomware.
Aranha Espalhada é o mesmo que Tempestade de Octo?
A Microsoft monitora a atividade associada ao Scattered Spider sob o nome de Octo Tempest. Outros pesquisadores de segurança usam nomes como UNC3944, 0ktapus e Muddled Libra para atividades relacionadas ou sobrepostas.
Como a aranha dispersa entra nas redes?
O grupo Scattered Spider frequentemente ataca identidades usando engenharia social, phishing, smishing, vishing, troca de SIM e personificação de suporte técnico. Os atacantes podem convencer a equipe de suporte a redefinir senhas ou métodos de autenticação multifator (MFA), permitindo que eles obtenham acesso usando credenciais aparentemente legítimas.
Será que a Aranha Espalhada usa vishing?
Sim. A engenharia social baseada em voz é uma das técnicas associadas ao Scattered Spider. Os atacantes podem se passar por funcionários e manipular a equipe de suporte técnico ou outros usuários para obter acesso ou alterar as configurações de autenticação.
Como as organizações podem se defender contra o ataque Scattered Spider?
As organizações podem fortalecer a verificação do suporte técnico, implementar autenticação multifator (MFA) resistente a phishing, monitorar alterações de identidade, restringir o acesso privilegiado, treinar funcionários contra engenharia social, segmentar sistemas críticos e monitorar comunicações incomuns e movimento lateral.
Por que a aranha-espalhada é perigosa?
O Scattered Spider combina engenharia social eficaz com técnicas para comprometer identidades e navegar em ambientes de nuvem e locais. Uma vez que os atacantes obtêm acesso, eles podem tentar roubar dados, expandir seus privilégios, movimentar-se lateralmente e realizar ataques de extorsão ou ransomware.