ShinyHunters ist laut Health-ISAC eine Erpressergruppe, die vor allem Lieferketten- und Identitätsangriffe einsetzt, um in Cloud-SaaS- und Speicherplattformen einzudringen und dort Daten für Erpressungszwecke zu stehlen. In den vergangenen zwei Jahren ist die Gruppe demnach insbesondere durch zahlreiche Lieferkettenangriffe auf externe Integrationspartner aufgefallen. Solche Einbrüche verschaffen den Angreifern Zugriff auf OAuth-Token, die für die Anbindung an SaaS-Anbieter wie Salesforce und Snowflake genutzt werden.
Hinzu kommen Identitätsangriffe auf Beschäftigte. Dabei setzt die Gruppe laut Health-ISAC auf Social Engineering, darunter Vishing und Phishing, um zentrale Single-Sign-on-Konten von Unternehmen zu kompromittieren. Nach einem erfolgreichen Zugriff melden sich die Angreifer an Okta-, Microsoft-Entra- oder Google-SSO-Dashboards an. Diese Portale bündeln die SaaS-Anwendungen, auf die ein Nutzer zugreifen darf, und werden damit zum Ausgangspunkt für den Zugriff auf Cloud-Daten in großem Umfang.
Zu den von Health-ISAC genannten Anwendungen zählen Salesforce als vorrangiges Ziel, außerdem Microsoft 365, SharePoint, DocuSign, Slack, Atlassian, Dropbox, Google Drive und weitere interne wie externe Plattformen. Für auf Datendiebstahl und Erpressung ausgerichtete Täter sei das SSO-Dashboard damit die Steuerungsebene für den Zugriff auf viele Dienste über ein einziges kompromittiertes Konto. Health-ISAC formuliert das so: „SSO ist die Steuerungsebene, und der Hebel von ShinyHunters entsteht durch Datendiebstahl im Maßstab der Cloud.“
Nach Angaben von Health-ISAC zeigen aktuelle Vorfallmeldungen, dass ShinyHunters nach eigener Darstellung mehrere Mitarbeiter erfolgreich per Vishing täuschen, ein Microsoft-Entra-SSO-Konto kompromittieren und Daten aus Microsoft 365, SharePoint und anderen Unternehmensplattformen stehlen konnte. Zugleich betont die Organisation, dass nicht jede Behauptung über Datendiebstahl verifiziert sei. Verteidiger sollten sich deshalb auf das Angriffsmuster konzentrieren: kompromittierte SSO-Identitäten werden genutzt, um auf verbundene Cloud-Dienste zuzugreifen und dort Daten abzuziehen.
BleepingComputer hatte zuvor berichtet, dass ShinyHunters maßgeschneiderte Phishing-Kits für sprachbasierte Social-Engineering-Angriffe einsetzt. Diese Werkzeuge seien für die direkte Interaktion mit Zielpersonen während Telefonaten ausgelegt. So könnten Angreifer Inhalte anpassen und Authentifizierungsdialoge in Echtzeit einblenden, während der Anruf läuft.
Als wichtigste Abwehrmaßnahme nennt Health-ISAC das Unterbrechen der Angriffskette zwischen dem ersten Vishing-Anruf und der Übernahme eines SSO-Kontos. Organisationen sollten für Passwort-Resets, MFA-Resets und die erneute Geräteanmeldung eine Identitätsprüfung über einen getrennten Kanal verlangen. Dazu gehören Rückrufe über bereits verifizierte Telefonnummern und Freigaben durch Vorgesetzte bei privilegierten Konten.
Für Helpdesks empfiehlt die Organisation eine „keine-Änderung-im-selben-Anruf“-Regel: Rücksetzungen sollen nicht während desselben eingehenden Anrufs erfolgen, sondern ein Support-Ticket und einen verifizierten Rückruf voraussetzen. Zusätzliche Prüfungen seien nötig, wenn Änderungen für Führungskräfte, IT-Administratoren, Sicherheitspersonal, Finanzmitarbeiter und andere Hochrisiko-Nutzer angefragt werden.
Außerdem rät Health-ISAC zu phishing-resistenter Mehrfaktor-Authentifizierung wie FIDO2- oder WebAuthn-Sicherheitsschlüsseln für Administratoren, Helpdesk-Mitarbeiter, Führungskräfte und weitere Hochrisikogruppen. SMS- und sprachbasierte Authentifizierung sollten deaktiviert oder stark eingeschränkt werden. Neue MFA-Faktoren sollten nur mit zusätzlichen Kontrollen wie verwalteten Geräten oder Richtlinien für bedingten Zugriff registriert werden.
SSO-Systeme sollten nach Empfehlung der Organisation als „Tier 0“ behandelt werden, also als besonders kritische Vermögenswerte. Genannt werden MFA und konforme Geräte für den Zugriff auf sensible Cloud-Dienste, das Blockieren veralteter Authentifizierung, die Erkennung von Sitzungen mit unplausiblen geografischen Wechseln und die Beschränkung administrativer Portale auf verwaltete Geräte. Zudem empfiehlt Health-ISAC, Identitäts- und SaaS-Auditprotokolle zu zentralisieren und auf Hinweise wie neue MFA-Registrierungen, neu eingebundene Geräte, verdächtige OAuth-Freigaben, ungewöhnliche API-Aktivität und massenhafte Dateidownloads zu überwachen.