O Google Threat Intelligence Group identificou um grupo de criminosos cibernéticos denominado UNC6040 que conseguiu enganar funcionários de aproximadamente 20 organizações para instalar uma versão modificada do Data Loader da Salesforce, permitindo a extração de dados. O grupo especializa-se em campanhas de phishing por voz direcionadas a instâncias do Salesforce para roubo de dados em larga escala e extorsão. Os ataques começaram no início deste ano e têm como alvos setores de hotelaria, varejo, educação e outros nas Américas e Europa.
Os criminosos demonstram alta habilidade em se passar por pessoal de suporte de TI, convencendo funcionários de filiais de empresas multinacionais a baixar uma versão modificada do Data Loader, aplicativo da Salesforce que permite exportar e atualizar grandes quantidades de dados. Embora as táticas sejam similares às utilizadas pelo grupo Scattered Spider, o UNC6040 é considerado uma organização distinta, apesar de algumas sobreposições com a comunidade underground conhecida como The Com.
Durante as chamadas de engenharia social, os criminosos persuadem as vítimas a abrir a página de configuração de conexão do Salesforce, fingindo ser suporte de TI. Esta funcionalidade permite que outros aplicativos se integrem ao Salesforce e compartilhem dados. A página solicita um código de conexão de oito dígitos para conectar aplicativos de terceiros, que o UNC6040 fornece por telefone, vinculando o Data Loader controlado pelos atacantes ao ambiente Salesforce da vítima. A infraestrutura do grupo também hospeda um painel de phishing do Okta usado para enganar vítimas através de seus telefones celulares ou computadores de trabalho.
Após a extração inicial dos dados do Salesforce, o UNC6040 às vezes realiza movimento lateral através da rede, acessando e extraindo informações de outras plataformas incluindo Okta, Workplace e Microsoft 365. Em alguns casos, a extorsão ocorre vários meses após a invasão inicial, sugerindo possível parceria com outros criminosos para monetizar o acesso aos dados roubados. A Salesforce publicou orientações em março sobre como os clientes podem proteger seus ambientes contra esses tipos de ataques envolvendo chamadas telefônicas de falso pessoal de TI.
Este post foi traduzido e resumido a partir de sua versão original com o uso de IA, com revisão humana.
Com informações do The Register
