Nepprofielen op LinkedIn zijn gebruikt om Europese defensie- en lucht- en ruimtevaartbedrijven aan te vallen, zo stelt antivirusbedrijf ESET, dat samen met twee getroffen bedrijven een onderzoek uitvoerde. De aanvallers maakten LinkedIn-profielen aan waarmee ze zich voordeden als HR-managers van Collins Aerospace en General Dynamics, twee Amerikaanse bedrijven die defensie- en luchtvaartproducten leveren.
Vervolgens werden met deze profielen medewerkers van Europese defensie- en lucht- en ruimtevaartbedrijven benaderd. Die kregen de vraag om voor het bedrijf van de zogenaamde HR-manager te komen werken. Meer details kregen de medewerkers via een RAR-bestand dat met een wachtwoord was beveiligd. Het RAR-bestand bevatte weer een LNK-bestand, dat wanneer geopend een PDF-document in de browser van het slachtoffer toonde.
Informatie over functies en salarissen
Dit PDF-bestand gaf informatie over functies en salarissen weer. In de achtergrond werd echter malware geïnstalleerd. Na de initiële infectie van het werkstation van de medewerker werd er bij de AD (Active Directory)-server een lijst met de accounts van medewerkers opgevraagd, waaronder die van beheerders. Vervolgens werd geprobeerd om via bruteforce-aanvallen toegang tot de beheerder accounts te krijgen.
Business email compromise (BEC)
Tijdens het onderzoek bij één van de slachtoffers ontdekten de onderzoekers dat de aanvallers een gecompromitteerd e-mailaccount gebruikten voor het oplichten van een ander bedrijf. In het gecompromitteerde e-mailaccount vonden de aanvallers een e-mailconversatie over een nog niet betaalde factuur. De aanvallers verstuurden een e-mail naar de klant van het slachtoffer dat de offerte moest worden betaald.
Domeinnaam gelijk aan gehackt bedrijf
Hiervoor registreerden ze een domeinnaam die gelijk was aan die van het gecompromitteerde bedrijf, alleen dan met een ander top level domain (TLD). Via een e-mailadres dat van dit domein gebruikmaakte werd vervolgens met de aangevallen klant verder gecommuniceerd. In plaats van de factuur te betalen gebruikte de klant het juiste e-mailadres om assistentie te vragen, waardoor de poging van de aanvallers mislukte. Wie er achter de aanval zit is onbekend.
Het technisch onderzoek
Onderzoekers van ESET hebben zeer gerichte cyberaanvallen ontdekt die opmerkelijk zijn door het gebruik van spearphishing via LinkedIn. De aanvallen gebruikten effectieve trucs om onder de radar te blijven en waren, naast spionage, gericht op financieel gewin De aanvallen vonden plaats van september tot december 2019 en werden door de ESET-onderzoekers Operation In(ter)ception genoemd, een verwijzing naar de gerelateerde malware “Inception.dll”.
Het bericht was een geloofwaardig aanbod
De aanvallen die ESET-onderzoekers onderzochten begonnen met een LinkedIn-bericht. “Het bericht was een geloofwaardig aanbod van een baan, dat afkomstig leek te zijn van een bekend bedrijf in een relevante sector. Echter ging het om een nep LinkedIn-profiel en de bestanden die de aanvaller in het chatgesprek stuurde, waren kwaadaardig,” aldus Dominik Breitenbacher, de ESET-malware-onderzoeker die de malware analyseerde en het onderzoek leidde.
De bestanden werden rechtstreeks via LinkedIn-berichten, of via e-mail met een OneDrive-link, verstuurd. In het tweede geval maakten de aanvallers e-mailaccounts aan die overeenkwamen met hun neppe LinkedIn-profielen.
Op achtergrond malware
Zodra de ontvanger het bestand opende, werd een schijnbaar onschuldig PDF-document met daarin salarisinformatie voor de zogenaamde baanaanbieding weergegeven. Ondertussen werd er op de achtergrond malware op de computer van het slachtoffer geïnstalleerd. Op deze manier kregen de aanvallers een eerste voet aan de grond en uiteindelijk controle over het systeem.
Vervolgens voerden de aanvallers een reeks stappen uit die de ESET-onderzoekers beschrijven in hun whitepaper “Operation In(ter)ception: Targeted attacks against European aerospace and military companies.” De aanvallers gebruikten als tools onder andere een op maat gemaakte multi-stage-malware die vaak vermomd werd als legitieme software en aangepaste versies van open-source tooling. Daarnaast maakten ze gebruik van zogenaamde “living off the land”-tactieken: het misbruiken van al geïnstalleerde Windows-hulpprogramma’s om verschillende kwaadaardige operaties uit te voeren.
Lazarus-groep
“De aanvallen die we onderzochten vertoonden niet alleen alle tekenen van spionage, maar bevatten ook verschillende hints die een mogelijke link met de beruchte Lazarus-groep suggereren. Noch de malwareanalyse, noch het onderzoek stelde ons echter in staat om inzicht te krijgen in op welke bestanden de aanvallers uit waren,” aldus Breitenbacher.
Naast spionage vonden de ESET-onderzoekers bewijs dat de aanvallers probeerden de gedupeerde accounts te gebruiken om geld te onttrekken van andere bedrijven.
Onopgeloste factuur
In de e-mails van het slachtoffer vonden de aanvallers communicatie tussen het slachtoffer en een klant met betrekking tot een onopgeloste factuur. Ze volgden het gesprek op en drongen er bij de klant op aan om het openstaande bedrag over te maken - uiteraard naar een bankrekening van de aanvallers. Gelukkig werd de klant van het slachtoffer achterdochtig en vroeg hij het slachtoffer om hulp, waardoor de poging van de aanvallers om een zogenaamde Business Email Compromise (BEC) uit te voeren, werd gedwarsboomd.
“Deze poging om geld te verdienen dankzij toegang tot het netwerk van het slachtoffer, bewijst het nut van zowel een sterke verdediging tegen inbraken, als cybersecuritytrainingen voor medewerkers. Een dergelijke training zou werknemers kunnen helpen om de (nu) nog minder bekende social engineering-technieken te herkennen, zoals die gebruikt in Operation In(ter)ception,” concludeert Breitenbacher.
