Kaspersky: Platformele populare de cloud au fost utilizate în peste 390.000 de atacuri de tip phishing

O nouă cercetare Kaspersky privind activitatea de phishing care exploatează platforme cloud legitime a evidenţiat faptul că peste 390.000 de astfel de atacuri au fost desfăşurate doar în ultimele 12 luni, potrivit unui comunicat de presă remis redacţiei.

Aceste campanii folosesc servicii de încredere precum Cloudflare Workers, Vercel, Netlify, GitHub Pages şi IPFS pentru a derula atacuri sofisticate în mai multe etape şi chiar pentru a ocoli autentificarea multifactor (MFA). Informaţii detaliate sunt disponibile într-un nou raport publicat pe Securelist.

Campania de phishing începe atunci când un atacator, care se poate prezenta drept un contact de încredere, creează un pretext pentru a determina victima să se conecteze la contul său Microsoft prin intermediul unui link de phishing. Link-ul este transmis adesea prin e-mail, iar după accesare utilizatorul ajunge pe o presupusă pagină „anti-bot”. Acolo, victimei i se solicită să completeze primul CAPTCHA fals, introducând adresa de e-mail corporativă. În loc să verifice dacă este vorba despre o interacţiune umană, acest pas colectează adresa de e-mail şi redirecţionează automat utilizatorul către un URL .workers.dev furnizat de Cloudflare, transmiţând adresa de e-mail în fragmentul URL, astfel încât următoarea pagină să o poată prelua fără a accesa serverul atacatorului.

Un CAPTCHA fals utilizat pentru colectarea adresei de e-mail a victimei şi filtrarea boţilor

Pe următoarea pagină, găzduită pe un subdomeniu gratuit Cloudflare Workers, utilizatorul trece printr-un alt CAPTCHA, de această dată unul autentic, care nu este integrat în codul HTML, ci este încărcat dinamic în pagină, ceea ce îl face mai dificil de detectat de soluţiile de securitate.

În cele din urmă, utilizatorului îi este afişată ceea ce pare a fi o fereastră standard de autentificare Office 365, creată folosind tehnica Browser-in-the-Browser (BiTB), completată cu o bară de adrese şi controale de fereastră cu aspect autentic. În realitate, aceasta este o fereastră flotantă, care transmite toate informaţiile introduse către atacatori. Pe măsură ce victima introduce numele de utilizator, parola şi codul de autentificare multifactor, scriptul injectat capturează toate datele de autentificare şi cookie-urile de sesiune, apoi redirecţionează utilizatorul către o pagină generică de eroare pentru a ascunde compromiterea.

Kaspersky: Platformele populare de cloud au fost utilizate în peste 390.000 de atacuri de tip phishing

Un site web cu un formular de autentificare Microsoft care pare legitim, dar care redirecţionează în secret traficul către atacatori

Pentru a rămâne în siguranţă, Kaspersky oferă următoarele recomandări:

CAPTCHA-urile, în mod normal, nu solicită informaţii personale - precum adresa de e-mail. Dacă o etapă de verificare necesită introducerea datelor personale pentru a demonstra că nu sunteţi un robot, acesta este un semnal puternic de avertizare privind un posibil atac de phishing sau o fraudă.

Fiţi atenţi la solicitările neaşteptate de autentificare, chiar dacă acestea provin de la domenii de încredere sau afişează certificate SSL valide.

Verificaţi URL-ul din bara principală de adrese a browserului, atacurile Browser-in-the-Browser pot imita elemente ale ferestrei sau ferestre pop-up, dar nu pot modifica domeniul real afişat de browser.

Menţineţi browserele şi extensiile de securitate actualizate.

Utilizaţi soluţii de securitate de încredere care analizează scripturile paginilor şi elementele dinamice, nu doar reputaţia domeniilor.

Opinia Cititorului

scrie opinia ta aici

Acord

Prin trimiterea opiniei ne confirmaţi că aţi citit Regulamentul de mai jos şi că vă asumaţi prevederile sale.

Comentariile antiromanesti sunt interzise.
- Utilizaţi un limbaj decent.
Redacţia îşi rezervă dreptul să elimine opiniile neinteligibile în mod grav şi pe cele mahalageşti, înţelegând prin asta pe cele cu tentă anti-socială, obscene şi/sau insultative, ca şi pe acelea care nu se referă la articolul în chestiune.
Sunt interzise comentariile prosteşti-agresive.
Nu sunt acceptate incitările la ură socială şi/sau xenofobie, discriminările referitoare la sex, vârstă sau de altă natură.
Nu sunt acceptate anunţuri publicitare.
Nu inseraţi linkuri sau adrese de email în textul opiniilor.

Repetarea deliberată a unuia şi aceluiaşi mesaj (sau variante) poate fi considerată drept propagandă; propaganda, în această formă, este interzisă.
- nu sunt acceptate ameninţările de orice natură;
- nu este acceptată hărţuirea ziariştilor Redacţiei BURSA;
- este interzisă defăimarea Ziarului BURSA;
- nu este acceptată dezvăluirea identităţii vreunui comentator de la secţiunea de opinii, fără acordul scris al aceluia, depus la Redacţie.
Nu este acceptată folosirea numelor ziariştilor BURSA pentru falsificarea semnăturii opiniilor.
Nu este acceptată substituirea de nume.
Redacţia îşi rezervă dreptul să şteargă opiniile şi să interzică accesul unora la postarea de opinii, atunci cînd apreciază că sunt de rea credinţă.
Abaterile de la acest regulament conduc la eliminarea opiniilor postate (un echivalent al autocenzurii celui care a scris mesajul, iar nu o cenzură practicată de ziar).
PRECIZĂRI:
- Toate opiniile exprimă punctul de vedere ale autorilor, iar nu ale administratorului (excepţie făcând mesajele scrise chiar de către administrator); nu ne asumăm responsabilitatea pentru materialele postate pe acest site de către alte persoane decât cele autorizate de ziarul BURSA.
- Postarea unui mesaj înseamnă acceptarea tacită a acestui regulament.
În cazul în care ne solicitaţi răspunsuri individuale, vă rugăm să completaţi cu adresa de email reală; vom încerca, în limita timpului disponibil, să răspundem tuturor întrebărilor dumneavoastră.