跳转至

T1586-001-盗取账户-社交媒体账户

来自ATT&CK的描述

攻击者可能会盗取社交媒体账户,这些账户可以在攻击目标过程中使用。对于包含社会工程的行动,利用在线角色很重要。与其创建和培养社交媒体档案(即社交媒体账户),攻击者可能会盗用现有的社交媒体账户。如果潜在的受害者与被攻击的目标有关系,或者知道被攻击的目标的情况,那么利用现有的角色可以使他们产生一定程度的信任。

盗取社交媒体账户的方法有很多,比如通过钓鱼网站收集信息,从第三方网站购买信息,或者通过暴力破解信息(例如:从泄露的信息转储中重复使用密码,简单理解:就是撞库)在盗用社交媒体账户之前,攻击者可能会进行侦察,以决定破坏哪些账户来推进其行动。

社交媒体账户(角色)可能存在于一个网站或多个网站上(例如:Facebook、LinkedIn、Twitter等)。被入侵的社交媒体账户可能需要额外的开发,这可能包括填写或修改个人资料信息,进一步开发社交网络,或加入照片。

攻击者可以利用被盗用的社交媒体资料创建新的,或劫持现有的,与感兴趣的目标的联系。这些连接可能是直接的,包括试图通过他人进行连接。在攻击生命周期的其他阶段,例如在初始访问期间(例如:通过服务进行网络钓鱼),可以利用被盗用的账户。

测试案例

简单理解:盗用一些社交媒体账户,比如xxx公司的财务人员,然后通过该账户和其他员工沟通交流,或者直接利用该账户和目标进行沟通。比如最常见的定位攻击人员身份信息,通过QQ联系,将自己的QQ信息更改为和攻击人员具有一定的相似之处(同一所学校、同一个专业等),可以帮助你获取到一定程度的信任。这是溯源攻击人员身份的方式之一,同样也可以是攻击者对攻击目标进行社会工程行动的一部分。

具体案例可参考:

记一次艰难的溯源故事(对不起学长):https://xz.aliyun.com/t/9582

有这么一段描述:”用一个qq等级高点的小号,修改好资料,99年,18届,某某院校,计算机专业,空间搞了些在贴吧找的学校照片。写上18届的学弟想咨询就业信息,订~好友申请已发送。既然是做梦,肯定是半夜,应该是12点左右看到通过了请求,也就过了十来分钟吧。正准备发构思好的问候学长的话。好家伙,直接给我来了一大波内推。这里暗示的提了一下自己是做开发的不是网络安全降低警惕心。“

检测日志

无法有效监测

测试复现

测试留痕

检测规则/思路

建议

缓解措施

这种技术不容易用预防控制来缓解,因为它是基于企业防御和控制范围之外的行为。

检测

考虑监测与你的组织有关的社交媒体活动。可疑的活动可能包括声称为您的组织工作的角色,或最近修改过的账户向与您的组织相关的账户提出大量连接请求。

检测工作可以集中在攻击生命周期的相关阶段,例如在初始访问期间(例如:通过服务进行鱼叉式钓鱼)。

相关TIP

[[T1586-002-盗取账户-电子邮箱账户]]

参考推荐

MITRE-ATT&CK-T1586-001

https://attack.mitre.org/techniques/T1586/001/

记一次艰难的溯源故事(对不起学长)

https://xz.aliyun.com/t/9582