Proofpoint publiceert vandaag nieuw onderzoek naar TA4903
Proofpoint publiceert vandaag nieuw onderzoek naar TA4903. Deze dreigingsactor heeft een financieel motief en bespied zowel Amerikaanse overheidsinstanties als particuliere bedrijven in meerdere sectoren. De actor richt zich vooral op bedrijven in de Verenigde Staten, maar soms zijn ook wereldwijde organisaties slachtoffer van grote hoeveelheden emailcampagnes.
Het cybersecuritybedrijf schat in dat het stelen van bedrijfsreferenties, het infiltreren van mailboxen en het uitvoeren van vervolgactiviteiten op het gebied van Business Email Compromise (BEC) doelen van de campagne zijn.
Proofpoint neemt sinds december 2021 een reeks campagnes waar. Hierbij werden federale Amerikaanse overheidsinstanties nagebootst. De campagnes die daarna aan TA4903 werden toegeschreven, deden zich eerst voor als het Amerikaanse Ministerie van Arbeid. In de campagne van 2022 deden de dreigingsactoren zich voor als de Amerikaanse Ministeries van Huisvesting en Stedelijke Ontwikkeling, Transport en Handel. En vorig jaar, in 2023, deed de dreigingsactor zich voor als het Amerikaanse Ministerie van Landbouw.
Proofpoint zag halverwege 2023 tot en met 2024 een toename van phishing- en fraudecampagnes die verschillende TA4903-themas gebruikten. De actor begon verschillende midden- en kleine bedrijven (mkb’s) te bespioneren in verschillende sectoren zoals bouw, productie, energie, financiën, voeding en drank. Ook zag Proofpoint een toename in het tempo van BEC-thema's. Een voorbeeld hiervan is het gebruik van het onderwerp ‘cyberaanvallen’, met als doel het lospeuteren van betalings- en bankgegevens van de slachtoffers. Daarnaast werd de dreigingsactor in 2023 geobserveerd met EvilProxy, een reverse proxy toolkit voor het omzeilen van multi-factor authenticatie (MFA). Het gebruik hiervan nam later in 2023 af. Dit jaar is het gebruik van EvilProxy door TA4903 nog niet geobserveerd.
De meeste phishing-berichten die betrekking hebben op het stelen van referenties, worden gelinkt aan TA4903. Deze berichten bevatten URL’s of bijlagen die leiden naar phishingwebsites voor het stelen van referenties. In sommige gevallen, zoals campagnes met een overheidsthema, bevatten de berichten een pdf-bijlage met ingesloten links of QR-codes die leiden naar websites die directe duplicaties zijn van een overheidsinstantie.
De activiteiten die betrekking hebben op het imiteren van Amerikaanse overheidsinstanties door TA4903 gaan terug tot ten minste 2021. Dit blijkt uit onderzoek, tactieken, technieken en procedures (TTP’s) van Proofpoint, waargenomen in open-source-inlichtingen. TTP’s die verband hebben met de bredere activiteiten van de actor op het gebied van referentie phishing en BEC zijn al sinds 2019 waarneembaar.
Klik hier voor meer informatie.
Meer over
Lees ook
Cyberrad maakt risico's van cybercrime inzichtelijk voor ondernemers
MKB-Nederland en TNO hebben het nieuwe Cyberrad geïntroduceerd. Het Cyberrad is een instrument dat ondernemers bewust moet maken van de risico's van cybercrime. Het rad geeft per sector aan welke risico's er zijn en welke maatregelen bedrijven kunnen nemen om bedrijfsschade te voorkomen of beperken. De organisaties stellen dat grote bedrijven die1
Ondernemers zijn regelmatig slachtoffer van phishingaanvallen
Ondernemers zijn met regelmaat doelwit van cybercriminelen. Vooral phishing komt veel voor. Maar liefst 1 op de 5 ondernemers blijkt slachtoffer te zijn geworden van een phishingaanval. Dit blijkt uit onderzoek van Unizo, een Belgische ondernemersorganisatie, onder 695 ondernemers. 4 op de 10 ondervraagde ondernemers geeft aan met cybercrime te ma1
Cybercriminelen hacken per ongeluk phishingwebsite van collegahackers
Een groep hackers heeft een blunder gemaakt. De hackers probeerde een website van een Britse bank aan te vallen en te defacen. In werkelijkheid vielen zij echter een phishingwebsite aan die juist door collega-hackers was opgezet om klanten van de bank te kunnen hacken. Richard Clayton van de Britse Cambridge Universiteit meldt dat de defacement va1