Group-IB'nin 7 Haziran'da yayımladığı analiz, Scattered Spider'ın tek bir organize tehdit grubu olmadığını, aksine bağımsız kümelerden oluşan merkezi olmayan bir siber suç kolektifi olduğunu ortaya koydu. Bu yeniden sınıflandırma, daha önce Scattered Spider'a atfedilen faaliyetlerin aslında birden fazla bağımsız aktör tarafından gerçekleştirildiğini gösteriyor. Grup, 0ktapus, Muddled Libra, Octo Tempest ve UNC3944 gibi isimlerle de anılıyor.
Group-IB'ye göre Scattered Spider, merkezi bir hiyerarşi veya ortak liderlik yapısıyla çalışmıyor. Bunun yerine, ortak teknikler, araçlar ve çevrimiçi topluluklar aracılığıyla bağlanan daha küçük kümelerden oluşuyor. Bu yapı, Anonymous hacktivist kolektifine benzetiliyor. Analizde, daha önce Scattered Spider'a atfedilen bazı faaliyetlerin aslında ilgisiz aktörler tarafından gerçekleştirilmiş olabileceği de belirtiliyor.
Tüm kümeler arasında ortak olan nokta, sosyal mühendislik saldırılarının merkezi rolü. Saldırganlar, BT, güvenlik veya insan kaynakları ekiplerini taklit ederek çalışanlardan kimlik bilgilerini veya erişim izinlerini almayı hedefliyor. Group-IB, saldırganların Okta, Microsoft, Citrix ve Google gibi kimlik sağlayıcılarını taklit eden kimlik avı sayfaları kullandığını tespit etti. Ayrıca, bazı kümelerin kurumsal ihlalleri kripto para hırsızlığı operasyonlarıyla birleştirdiği görüldü.
Nasıl Önlem Alınmalı?
Group-IB, Scattered Spider'ın merkezi olmayan yapısının, bireysel üyelerin tutuklanmasının genel tehdidi ortadan kaldırmayacağı sonucuna vardı. Bunun yerine, kuruluşların kimlik tabanlı saldırılar ve sosyal mühendislik girişimleri gibi kümeler arasında paylaşılan taktiklere karşı savunmaya odaklanması gerekiyor. Group-IB, bazı kümelerin AnyDesk gibi ticari uzaktan erişim araçlarını kullandığını ve telekomünikasyon şirketlerinde içeriden yardım aldığını da ekledi.
