最近，微软发布了一份关于金融黑客组织 OctoTempest 的详细报告。这个组织以其高级社交工程能力而闻名，专门针对从事数据勒索和勒索软件攻击的企业。OctoTempest 的攻击手段不断演变，目标范围也不断扩大，成为了电缆电信、电子邮件、技术服务等组织的目标，并与 ALPHV/BlackCat 勒索软件组织合作。本文将介绍 OctoTempest 的进化过程、攻击手段以及如何检测和防范他们的攻击。

OctoTempest 的进化

OctoTempest 最初被观察到出售 SIM 卡交换并盗取持有加密货币资产的高知名度个人账户。在 2022 年底，他们开始采用钓鱼、社交工程和大规模重置受侵犯服务提供商客户密码等手段。今年早些时候，这个威胁组织对游戏、酒店、零售、制造、技术和金融等行业的公司以及托管服务提供商进行了攻击。

成为 ALPHV/BlackCat 的合作伙伴后，OctoTempest开始使用勒索软件来窃取和加密受害者的数据。OctoTempest 利用他们积累的经验构建了更高级和更具攻击性的攻击，并开始在窃取数据后勒索受害者。微软表示，OctoTempest 在某些情况下还使用直接威胁来获取登录信息，以推进他们的攻击。

OctoTempest 的攻击手段

OctoTempest 是一个组织严密的团队，成员具有广泛的技术知识和多个操作员。他们通常通过针对技术管理员（如支持和帮助台人员）的高级社交工程来获得初始访问权限。他们研究公司，确定可以模仿的目标，并在电话中模仿个人的语音模式，以欺骗技术管理员执行密码重置和重置多因素认证（MFA）方法。

一旦获得足够的访问权限，OctoTempest 黑客开始进行侦察阶段，枚举主机和服务，并收集信息，以便滥用合法渠道推进入侵。他们还使用社交工程、SIM 卡交换或呼叫转移等方法来提升权限，并启动目标账户的自助密码重置。在这一步骤中，黑客使用被入侵的账户与受害者建立信任，并展示对公司流程的了解。如果他们拥有经理的账户，他们会自己批准增加权限的请求。

只要他们有访问权限，OctoTempest 就会继续寻找额外的凭证来扩大攻击范围。他们使用 Jercretz 和 TruffleHog 等工具自动搜索代码库中的明文密钥、秘密和密码。为了隐藏自己的行踪，黑客还攻击安全人员的账户，这使他们能够禁用安全产品和功能。根据微软的说法，OctoTempest 还通过抑制变更警报和修改邮箱规则来隐藏他们在网络上的存在，以删除可能引起受害者对入侵的怀疑的电子邮件。

如何检测和防范 OctoTempest 的攻击

检测或追踪 OctoTempest 在环境中的活动并不容易，因为他们使用了社交工程、隐形技术和多样化的工具。微软的研究人员提供了一系列通用的指导方针，可以帮助检测恶意活动，包括监控和审查与身份相关的流程、Azure 环境和终端设备。

• 加强对身份验证过程的监控，包括登录尝试、密码重置和 MFA 更改。
• 审查 Azure 活动日志和其他安全工具，查找异常行为或未经授权的访问。
• 部署终端检测和响应 (EDR) 解决方案，以检测和响应可疑活动。
• 对员工进行社交工程和网络钓鱼攻击的培训，提高他们的意识并降低受骗的可能性。

OctoTempest 是一个以金钱为动机的组织，通过窃取加密货币、勒索数据或加密系统并索要赎金来实现其目标。

总结

微软发布的报告揭示了金融黑客组织 OctoTempest 的危险性和攻击手段。这个组织以其高级社交工程能力而闻名，攻击范围不断扩大。为了防范 OctoTempest 的攻击，我们需要加强对身份相关的流程、Azure 环境和终端设备的监控和审查。只有保持警惕并采取适当的防护措施，我们才能更好地保护我们的数据和系统安全。

（在逮捕审讯前）向犯罪嫌疑人宣读其享有的权利。 源于犯罪嫌疑人ERNESTO MIRANDA曾由自证其罪而被作为定罪后，被美国最高法院裁定违宪而被无罪开释。