Så kan ett phishingmejl stärka skyddet mot nya hot

Det började med ett misstänkt mejl

Mejlet innehöll en länk som ledde vidare till en extern tjänst där angriparen hade placerat en phishingtjänst, ibland kallad en phishlet.

En sådan tjänst används vanligtvis för att efterlikna en legitim webbplats och få mottagaren att lämna ifrån sig exempelvis användarnamn, lösenord eller annan känslig information. Uppgifterna kan därefter användas för att försöka ta sig vidare in i organisationens IT-miljö.

Men vägen från det ursprungliga mejlet till den falska sidan är sällan rak.

Flera lager försvårar upptäckten

Angripare använder ofta flera mellanliggande tjänster och omdirigeringar för att dölja den bakomliggande infrastrukturen. Besökaren kan skickas vidare mellan flera olika webbplatser innan den når den faktiska phishing-sidan.

Angriparen kan dessutom styra vad olika besökare får se. Säkerhetsverktyg, analysmiljöer eller besökare från vissa geografiska områden kan exempelvis mötas av ofarligt innehåll, samtidigt som den tänkta målgruppen leds vidare till phishing-sidan.

På så sätt blir attacken svårare att upptäcka och analysera. En enskild skadlig domän riskerar dessutom att bara avslöja en liten del av den bakomliggande infrastrukturen.

I det här fallet valde vår SOC-analytiker därför att inte nöja sig med att undersöka och blockera den ursprungliga länken. Han fortsatte analysen för att ta reda på om det fanns ett större mönster bakom attacken.

Analysen skapade ett digitalt fingeravtryck

Genom att analysera hur phishingtjänsten betedde sig, hur den kommunicerade och vilken information den publicerade kunde analytikern identifiera ett antal särskiljande tekniska egenskaper. Tillsammans bildade egenskaperna ett slags digitalt fingeravtryck.

Fingeravtrycket kunde sedan användas för att söka efter andra tjänster och domäner som uppvisade motsvarande beteende. Sökningarna genomfördes bland annat med hjälp av information från öppna analyskällor, där misstänkta webbadresser och webbplatser undersöks och dokumenteras.

På så sätt kunde undersökningen breddas från ett enskilt mejl och en enskild domän till en betydligt större kartläggning.

Över 500 domäner med liknande egenskaper

Analysen resulterade i tre digitala fingeravtryck, baserade på olika varianter av phishingtjänsten. Med hjälp av dem har över 500 domäner med motsvarande egenskaper kunnat identifieras.

De tekniska likheterna skulle kunna tyda på kopplingar mellan varianterna. De är däremot inte tillräckliga för att slå fast att infrastrukturen tillhör samma hotaktör.

En stor del av domänerna utgör historisk infrastruktur som sträcker sig flera månader tillbaka i tiden. Samtidigt gör metoden det möjligt att löpande fånga upp ny infrastruktur när den blir synlig i de öppna analyskällorna.

Informationen kan bland annat användas som underlag för att:

• blockera misstänkt och skadlig infrastruktur

• söka efter tidigare kommunikation med domänerna

• kontrollera om användare har besökt potentiella phishing-sidor

• utveckla och förbättra framtida detektioner

• varna berörda kunder

• dela relevant information med myndigheter och andra betrodda aktörer

Analysen kan därmed både bidra till skydd mot pågående aktivitet och ge en bättre förståelse för hur angriparnas infrastruktur förändras över tid.

Från reaktiv blockering till proaktiv threat hunting

Traditionell blockering bygger ofta på att en domän redan är känd som skadlig. När domänen har analyserats och klassificerats kan den läggas till i olika blocklistor. Problemet är att angripare snabbt kan registrera nya domäner och flytta sin verksamhet. En blocklista riskerar därför alltid att ligga ett steg efter.

Ett digitalt fingeravtryck utgår i stället från egenskaper i den bakomliggande tjänstens beteende. Det förändrar frågan från:

Är detta en redan känd skadlig domän?

Till en mer proaktiv fråga:

Uppvisar den här infrastrukturen samma beteende som den phishinginfrastruktur vi tidigare har analyserat?

Om angriparen återanvänder samma egenskaper kan metoden göra det möjligt att identifiera misstänkt infrastruktur även när en ny domän ännu inte har hunnit klassificeras som skadlig.

Det är ett viktigt steg från att enbart reagera på redan kända hot till att arbeta mer proaktivt med threat hunting och detektion.

Kunskapen från en incident kan stärka skyddet framåt

För kunden handlar värdet inte bara om att stoppa det phishingmejl som redan har upptäckts.

När erfarenheter från en incident används för att förbättra analys och detektion kan samma kunskap bidra till att liknande aktivitet upptäcks tidigare. I det aktuella fallet har analysen bland annat gett underlag för att förbättra framtida detektioner och varna berörda kunder.

Det är också här samspelet mellan teknik och mänsklig analys blir tydligt.

En ständig kapplöpning

Digitala fingeravtryck är ingen permanent lösning.

När angripare förändrar sina metoder, bygger om sina tjänster eller lägger till nya lager för att försvåra analysen behöver fingeravtrycken följas upp, kvalitetssäkras och vidareutvecklas.

Det är en ständig kapplöpning mellan angriparnas kreativitet och försvararnas förmåga att upptäcka nya mönster. Det illustrerar också varför den mänskliga analysen fortfarande är en viktig del av ett modernt SOC.

Säkerhetsverktygen producerar stora mängder signaler. Värdet uppstår när rätt signaler analyseras, sätts in i ett större sammanhang och omsätts i konkreta skyddsåtgärder.

Från en liten signal till ett större sammanhang

Det här fallet började med ett misstänkt mejl.

Genom analytikerns fortsatta undersökning kunde den enskilda händelsen utvecklas till kunskap om en betydligt större mängd phishinginfrastruktur. Resultatet blev inte bara möjligheten att hantera det ursprungliga angreppet, utan också underlag för att skydda fler kunder, förbättra framtida detektioner och upptäcka ny infrastruktur snabbare.

Det verkliga värdet ligger därför inte bara i de över 500 domäner som identifierades. Det ligger i kunskapen som analysen skapade och i hur den kan användas för att upptäcka liknande aktivitet tidigare, förbättra skyddet för fler kunder och minska risken för att nästa cyberattack hinner utvecklas till en verksamhetsstörande incident.

Läs mer om våra SOC- och MDR-tjänster.