Een nieuwe data-afpersingsgroep genaamd Helix maakt gebruik van identiteitsgerichte tactieken zoals voice phishing (vishing), device code phishing en misbruik van multi-factor authenticatie (MFA) om gegevens uit SharePoint-omgevingen te stelen. De aanvallen beginnen vaak met vishing, waarbij medewerkers worden gebeld door aanvallers die zich voordoen als hun manager, gebruikmakend van de naam van de manager of caller ID-spoofing om geloofwaardig over te komen. Het doel is om slachtoffers te verleiden tot device-code phishing, waarmee de aanvallers toegang krijgen tot accounts.

Eenmaal binnen registreren de Helix-operators snel een nieuwe multi-factor authenticatie-app om hun toegang te behouden. Vervolgens doorzoeken en inventariseren zij SharePoint-omgevingen om bestanden te exfiltreren. Volgens onderzoekers van cybersecuritybedrijf ReliaQuest wordt de gestolen data gebruikt om organisaties af te persen door te dreigen met publicatie tenzij losgeld wordt betaald, of om de gegevens te verkopen aan andere cybercriminelen. Het exfiltratiegedrag in SharePoint vormt het sterkste technische kenmerk van Helix. De onderzoekers merken op dat de geautomatiseerde inventarisatie en verzameling identiek verliepen in verschillende incidenten, waarbij gebruik werd gemaakt van het IP-adres 179.43.185[.]230 en de python-requests/2.28.1 user-agent. De aanvallers voerden SharePoint-zoekopdrachten uit met contentclass:STS_Site en wildcard (*) om alle toegankelijke inhoud te inventariseren en downloadden vervolgens bulkbestanden vanaf hetzelfde IP en met dezelfde user-agent, zoals te lezen is in het onderzoek van ReliaQuest.

ReliaQuest vermoedt dat Helix is voortgekomen uit de ShinyHunters- en BlackFile-groepen, op basis van gebruikte technieken en infrastructuur, hoewel er geen definitief bewijs is gevonden. In de afgelopen maand bevestigden organisaties als Medtronic, Nissan, NAIC, Kodak, Infinite Campus en Nottingham University dat zij slachtoffer waren van datalekken die eerder door ShinyHunters werden opgeëist. De inmiddels opgeheven BlackFile-groep richtte zich op identiteitsaanvallen en social engineering voordat zij in april stopte met operaties. Onderzoek toont aan dat een Helix-aanval een exfiltratie-IP gebruikte binnen hetzelfde autonome systeem (AS 51852) als een bevestigd BlackFile-IP, wat duidt op gedeelde middelen. Het feit dat Helix kort na het stoppen van BlackFile opdook, kan wijzen op een voortzetting van die operatie. Ook Pink en Redact worden genoemd als mogelijke opvolgers. De gelijkenissen met ShinyHunters zijn onder meer het gebruik van vishing, het imiteren van medewerkers, het richten op Microsoft 365 en het stelen van SharePoint-data. Daarnaast gebruikt Helix de NICENIC-registrar, die ook in eerdere ShinyHunters-campagnes werd ingezet.

Als belangrijkste verdedigingsmaatregel tegen Helix-aanvallen adviseren de onderzoekers om device code authenticatie uit te schakelen waar mogelijk. Verder wordt aanbevolen om SharePoint-toegang te beperken tot beheerde apparaten en communicatie met nieuw geregistreerde domeinen te blokkeren, aangezien Helix deze vaak inzet in aanvallen. Het is cruciaal om elke beveiligingslaag te testen voordat aanvallers dat doen, omdat slechts 54% van de succesvolle aanvallen wordt gelogd en slechts 14% leidt tot een alert. Meer hierover is te vinden in de whitepaper over breach en attack simulation.