گروه باج‌خواهی UNC6671 با تماس‌های فیشینگ صوتی (vishing) روی شماره‌های موبایل شخصی کارکنان، آن‌ها را به درگاه‌های ورود جعلی هدایت کرده و با استفاده از زیرساخت واسطِ مهاجم (AitM) توکن‌های احراز هویت و نشست‌ها را در زمان واقعی ثبت می‌کند تا به داده‌های سرویس‌های ابری (SaaS) سازمان‌ها دسترسی پیدا کند.

چگونگی اجرای حمله

اپراتورها با جعل هویت اعضای میز کمک‌رسانی یا تیم امنیتی، حس فوریت ایجاد می‌کنند و قربانی را به «به‌روزسازی حساب» یا «مهاجرت امنیتی ضروری» ترغیب می‌کنند. تماس‌ها عمدتاً به شماره‌های شخصی زده می‌شوند تا از کنترل‌های رسمی سازمان عبور کنند. قربانی به صفحه‌ای هدایت می‌شود که طراحی ظاهری‌اش شبیه درگاه‌های ورود رسمی است؛ این صفحات با زیرساخت واسطِ مهاجم (AitM) طوری عمل می‌کنند که اعتبارنامه‌ها و توکن‌های نشست را ضبط می‌کنند.

با در اختیار داشتن این مدارک، عاملان وارد ارائه‌دهنده هویت (IdP) می‌شوند و با به‌کارگیری نشست‌های معتبر به مجموعه‌ای از اپلیکیشن‌های ابری مانند Microsoft 365 و Okta دسترسی می‌یابند. سپس دستگاه‌های MFA جدید ثبت شده تحت کنترل مهاجم قرار می‌گیرند و دستگاه‌های مجاز قبلی حذف می‌شوند تا پایداری دسترسی حفظ گردد.

نمونه صفحه فیشینگ ویشینگ ساخته‌شده برای رهگیری MFA

برندها، تاریخچه و هم‌پوشانی تهدید

گوگل و شرکت‌های تحلیلگر تهدید مانند Mandiant UNC6671 را دنبال کرده‌اند. این گروه عملیات خود را با برندهای متعددی از جمله Redact، Pink (CL-CRI-1147)، Helix و Falcon اجرا کرده و پیش‌تر با برند BlackFile فعال بوده است؛ آن برند در میانهٔ ۲۰۲۶ به‌طور موقت کنار گذاشته یا بازنشسته اعلام شد.

  • آغاز فعالیت UNC6671: اوایل ژانویهٔ ۲۰۲۶
  • راه‌اندازی و تعطیلی چند سایت افشای داده (DLS): فوریه تا ژوئن ۲۰۲۶
  • ادعاهای مرتبط با دسترسی داخلی یا هک برندها: ژوئن ۲۰۲۶

تحلیلگران از جمله CrowdStrike این مجموعه را در چارچوب تهدیدی گسترده‌تر ردیابی کرده‌اند. برخی تاکتیک‌ها شباهت‌هایی به گروه‌هایی مانند ShinyHunters نشان می‌دهد، اما شواهد فعلی حاکی از عملیات مستقل UNC6671 است.

تاکتیک‌ها و ابزارهای کلیدی

شیوه‌های بارز این بازیگر عبارت‌اند از:

  • ایجاد پنل‌های جمع‌آوری مدارک روی دامنه‌های عمومی که زیردامنه‌های ویژهٔ قربانی را می‌پذیرند (عموماً نام‌های مرتبط با passkey یا SSO).
  • تماس تلفنی به شماره‌های شخصی با جعل شمارهٔ میز کمک‌رسانی و هدایت به صفحات AitM.
  • استفاده از اسکریپت‌های خودکار پایتون و پاورشل برای استخراج سریع داده‌ها از محیط‌های ابری.
  • ثبت دستگاه‌های MFA تحت کنترل مهاجم و حذف دستگاه‌های مجاز پیشین برای ماندگاری دسترسی.
  • محدودسازی دسترسی محققان یا محیط‌های شبیه‌سازی با استفاده از دروازه‌ها و سرویس‌های میزبان اختصاصی.

شاخص‌های تشخیص و نشانه‌ها

  • تماس‌های تلفنی یا پیامک‌های ادعایی از طرف میز کمک‌رسانی با درخواست فوری انجام تغییرات احراز هویت.
  • ثبت دستگاه MFA جدید یا حذف ناگهانی دستگاه‌های مجاز در لاگ‌های IdP.
  • نشست‌های نامتعارف یا نشست‌هایی از آدرس‌های IP جدید در زمان وقوع تماس مشکوک.
  • الاگ‌هایی حاکی از ترافیک DNS به دامنه‌های جدید یا نام‌هایی شامل واژه‌های passkey/SSO.
  • پنل‌های ورود ناهماهنگ با برند سازمان یا دامنه‌های سوم‌شخص که زیردامنهٔ قربانی را می‌پذیرند.

گام‌های عملی برای کاهش ریسک

ترکیب تغییرات فنی و آموزش کارکنان می‌تواند احتمال موفقیت این نفوذها را کاهش دهد:

  • استقرار روش‌های احراز هویت مقاوم در برابر فیشینگ مانند FIDO2 و passkeyها؛ مرجع: FIDO Alliance.
  • محدودسازی استفاده از شماره‌های تلفن شخصی در فرایندهای حساس هویتی و الزام به استفاده از دستگاه‌ها یا کانال‌های سازمانی.
  • پیکربندی دسترسی شرطی و مانیتورینگ IdP برای شناسایی ثبت دستگاه‌های جدید، تغییرات MFA و نشست‌های نامعمول.
  • مسدودسازی دامنه‌ها و الگوهای شناخته‌شده فیشینگ و تحلیل ترافیک DNS برای کشف دامنه‌های جعلی و پنل‌های جمع‌آوری مدارک.
  • آموزش عملی کارکنان با تمرین‌های تلفنی واقعی و آموزش روش‌های تأیید درخواست‌های امنیتی از طریق کانال‌های رسمی.
  • پایش سریع و پاسخ به حادثه با اتوماسیون برای حذف دستگاه‌های مهاجم، لغو نشست‌ها و تغییر اعتبارنامه‌ها در اسرع وقت.

اقدامات فوری در مواجهه با احتمال نفوذ

  • قطع ارتباط کاربر مشکوک و اعلام فوری به تیم امنیتی.
  • بازنشانی MFA برای حساب‌های مشکوک و غیرفعال‌سازی دستگاه‌های ثبت‌شدهٔ جدید تا زمان بررسی.
  • بررسی لاگ‌های IdP و نشست‌ها برای شناسایی برد و دامنهٔ دسترسی مهاجم.
  • بلاک کردن دامنه‌ها و آدرس‌های IP مرتبط و تحلیل نمونه‌های فیشینگ برای به‌روزرسانی فهرست‌های حفاظتی.
  • مستندسازی حادثه و اجرای بازنگری سیاست‌ها و آموزش‌ها برای جلوگیری از تکرار.

چشم‌انداز و توصیه نهایی

این مجموعه نشان می‌دهد که حتی سازمان‌هایی با ارائه‌دهنده هویت قوی نیز در برابر مهندسی اجتماعی تهاجمی آسیب‌پذیرند. اتکا صرف به کنترل‌های سطح برنامه کافی نیست؛ سرمایه‌گذاری در مکانیسم‌های احراز هویت مقاوم در برابر فیشینگ، تقویت کنترل‌های IdP و پرورش فرهنگ گزارش‌دهی تماس‌های مشکوک، مهم‌ترین لایه‌های دفاعی هستند. رصد مستمر تهدیدها، به‌ویژه تغییر برندها و دامنه‌های مرتبط با گروه‌های باج‌گیر، برای کاهش ریسک نفوذهای مشابه ضروری است.

گزارش‌ها و تحلیل‌های فنی بیشتر از منابعی مانند Mandiant و CrowdStrike منتشر شده و تیم‌های امنیتی باید آن‌ها را به‌صورت منظم پیگیری و پیاده‌سازی کنند.