O nouă cercetare Kaspersky privind activitatea de phishing care exploatează platforme cloud legitime a evidențiat faptul că peste 390.000 de astfel de atacuri au fost desfășurate doar în ultimele 12 luni. Aceste campanii folosesc servicii de încredere precum Cloudflare Workers, Vercel, Netlify, GitHub Pages și IPFS pentru a derula atacuri sofisticate în mai multe etape și chiar pentru a ocoli autentificarea multifactor (MFA). Informații detaliate sunt disponibile într-un nou raport publicat pe Securelist.
Campania de phishing începe atunci când un atacator — care se poate prezenta drept un contact de încredere — creează un pretext pentru a determina victima să se conecteze la contul său Microsoft prin intermediul unui link de phishing. Link-ul este transmis adesea prin e-mail, iar după accesare utilizatorul ajunge pe o presupusă pagină „anti-bot”. Acolo, victimei i se solicită să completeze primul CAPTCHA fals, introducând adresa de e-mail corporativă. În loc să verifice dacă este vorba despre o interacțiune umană, acest pas colectează adresa de e-mail și redirecționează automat utilizatorul către un URL .workers.dev furnizat de Cloudflare, transmițând adresa de e-mail în fragmentul URL, astfel încât următoarea pagină să o poată prelua fără a accesa serverul atacatorului.
Un CAPTCHA fals utilizat pentru colectarea adresei de e-mail a victimei și filtrarea boților
Pe următoarea pagină, găzduită pe un subdomeniu gratuit Cloudflare Workers, utilizatorul trece printr-un alt CAPTCHA, de această dată unul autentic, care nu este integrat în codul HTML, ci este încărcat dinamic în pagină, ceea ce îl face mai dificil de detectat de soluțiile de securitate.
În cele din urmă, utilizatorului îi este afișată ceea ce pare a fi o fereastră standard de autentificare Office 365 — creată folosind tehnica Browser-in-the-Browser (BiTB) — completată cu o bară de adrese și controale de fereastră cu aspect autentic. În realitate, aceasta este o fereastră flotantă, care transmite toate informațiile introduse către atacatori. Pe măsură ce victima introduce numele de utilizator, parola și codul de autentificare multifactor, scriptul injectat capturează toate datele de autentificare și cookie-urile de sesiune, apoi redirecționează utilizatorul către o pagină generică de eroare pentru a ascunde compromiterea.
Un site web cu un formular de autentificare Microsoft care pare legitim,
dar care redirecționează în secret traficul către atacatori
Pentru a rămâne în siguranță, Kaspersky oferă următoarele recomandări:
- CAPTCHA-urile, în mod normal, nu solicită informații personale — precum adresa de e-mail. Dacă o etapă de verificare necesită introducerea datelor personale pentru a demonstra că nu sunteți un robot, acesta este un semnal puternic de avertizare privind un posibil atac de phishing sau o fraudă.
- Fiți atenți la solicitările neașteptate de autentificare, chiar dacă acestea provin de la domenii de încredere sau afișează certificate SSL valide.
- Verificați URL-ul din bara principală de adrese a browserului – atacurile Browser-in-the-Browser pot imita elemente ale ferestrei sau ferestre pop-up, dar nu pot modifica domeniul real afișat de browser.
- Mențineți browserele și extensiile de securitate actualizate.
- Utilizați soluții de securitate de încredere care analizează scripturile paginilor și elementele dinamice, nu doar reputația domeniilor.
