Unc6671

บริษัท Arctic Wolf เปิดเผยกลุ่มขโมยข้อมูลและข่มขู่เรียกค่าไถ่ชื่อ PREY-0058 ที่โทรปลอมตัวเป็นฝ่ายไอทีภายในเพื่อหลอกผู้บริหารเข้าหน้าล็อกอิน Microsoft 365 ปลอม แล้วดักโทเค็นเซสชันด้วยเทคนิค adversary-in-the-middle ผู้โจมตีเล่นซ้ำโทเค็นผ่านพร็อกซีที่อยู่ใน ASN เดียวกับเหยื่อเพื่อเลี่ยงการตรวจจับ จากนั้นกวาดข้อมูลจาก SharePoint OneDrive Exchange และ Box แล้วส่งข้อความเรียกค่าไถ่ จุดที่ต่างจากการโจมตีทั่วไปคือไม่มีมัลแวร์บนเครื่องและไม่มีการเคลื่อนที่ในเครือข่าย

คลื่นการโจมตีกองทุนเฮดจ์ฟันด์และบริษัทไพรเวทอิควิตี้รายใหญ่ในช่วงที่ผ่านมาถูกโยงเข้ากับ UNC6671 กลุ่มรีดทรัพย์ที่เกี่ยวข้องกับ BlackFile ตามการติดตามของ Google Threat Intelligence Group ซึ่งประเมินว่ากลุ่มบุกรุกแกนกลางเพียงกลุ่มเดียวอยู่เบื้องหลังแบรนด์สาธารณะหลายชื่อ ทั้ง Redact, Pink, Helix และ Falcon ผู้โจมตีโทรปลอมเป็นฝ่ายไอทีหลอกพนักงานให้กรอกข้อมูลบนหน้าเว็บปลอมเพื่อขโมยคุกกี้เซสชัน แล้วเข้าสู่แดชบอร์ด SSO เพื่อกวาดข้อมูลจากบริการคลาวด์ทั้งหมดที่ผูกอยู่