Der Einstieg erfolgt nach Darstellung des RH-ISAC über sogenanntes Vishing, also Phishing per Sprachanruf. „Die Angreifer hinter CL-CRI-1116 nutzen sprachbasiertes Phishing (Vishing) von gefälschten VoIP-Nummern oder mit betrügerischen Anrufernamen (CNAM) als Social-Engineering-Technik und geben sich dabei typischerweise als IT-Support-Personal aus", erklärte das RH-ISAC. Auf den gefälschten Login-Seiten werden die Mitarbeiter aufgefordert, ihre Zugangsdaten und Einmalpasswörter einzugeben.
Mit den erbeuteten Zugangsdaten registrieren die Angreifer eigene Geräte, um die Mehr-Faktor-Authentifizierung zu umgehen. Anschließend weiten sie ihren Zugriff aus, indem sie interne Mitarbeiterverzeichnisse auslesen und sich so Zugang zu Konten auf Führungsebene verschaffen.
Die Datenabflüsse erfolgen aus Salesforce- und SharePoint-Servern der Opfer über reguläre API-Funktionen. Dabei suchen die Täter gezielt nach Dateien mit Begriffen wie „confidential" (vertraulich) und „SSN" (Sozialversicherungsnummer). „Indem sie den Salesforce-API-Zugang und die regulären SharePoint-Download-Funktionen ausnutzen, bewegen die Angreifer große Datenmengen — darunter CSV-Datensätze mit Telefonnummern von Mitarbeitern und vertrauliche Geschäftsberichte — auf von ihnen kontrollierte Infrastruktur", so das RH-ISAC. Dies geschehe oft im Gewand legitimer, per Single Sign-On authentifizierter Sitzungen, um einfache Warnmeldungen anhand des User-Agents zu vermeiden.
Die entwendeten Dokumente werden auf von den Angreifern kontrollierte Server geladen und auf der Daten-Leak-Seite der Gruppe im Darknet veröffentlicht. Erst danach werden die Opfer mit Lösegeldforderungen kontaktiert — entweder über kompromittierte E-Mail-Konten von Mitarbeitern oder über zufällig generierte Gmail-Adressen.
Beschäftigte betroffener Unternehmen, einschließlich hochrangiger Führungskräfte, wurden zudem Ziel von „Swatting"-Versuchen, bei denen falsche Notrufe abgesetzt werden, um zusätzlichen Druck auf die Opfer auszuüben.
Auch der CyberSteward-Gründer und CEO Jason S.T. Kotler bestätigte gegenüber BleepingComputer einen deutlichen Anstieg von BlackFile-Fällen; die Vorgehensweisen ähnelten stark denen von Gruppen wie ShinyHunters und SLSH sowie vergleichbaren Nachahmern, die ebenfalls auf Vishing- und Social-Engineering-Methoden zum Datendiebstahl setzten. Mandiant teilte BleepingComputer mit, man reagiere derzeit aktiv auf mehrere Vishing-Vorfälle mit Datendiebstahl und Erpressung — darunter einer, bei dem eine inzwischen offline genommene BlackFile-Bloßstellungsseite zum Einsatz kam.
Um die Erfolgsquote der Angriffe zu senken, empfiehlt das RH-ISAC Unternehmen, ihre Richtlinien für die Anrufbearbeitung zu verschärfen, eine Mehr-Faktor-Identitätsprüfung für Anrufer durchzusetzen und Mitarbeiter mit direktem Kundenkontakt in simulationsbasierten Schulungen gegen Social Engineering zu trainieren.