AccountDumpling: фишинг через Google AppSheet крадет Facebook-аккаунты

Недавняя phishing-кампания AccountDumpling показала, как доверенные cloud-сервисы могут использоваться в качестве оружия против пользователей. По данным отчета, злоумышленники скомпрометировали более 30 000 Facebook-accounts, рассылая phishing emails через Google AppSheet — legitimate no-code platform, предназначенную для автоматизации уведомлений.

Атака приписывается связанным с Vietnam actors, которые задействовали trusted service, чтобы обойти традиционные механизмы блокировки suspicious emails. Основной целью стали пользователи Facebook (социальная сеть, принадлежащая запрещённой в России и признанной экстремистской американской корпорации Meta), которых заманивали приманками, связанными с проблемами account security, fake job offers и urgent notifications, создающими ощущение panic.

Как работала схема

Особенность этой кампании заключалась в том, что преступники не полагались на типичные признаки phishing — сомнительные mail infrastructure или compromised Google accounts. Вместо этого они использовали инфраструктуру Google для отправки сообщений, которые выглядели authentic и вызывали меньше подозрений.

В цепочке атаки применялись различные domains и tools, включая clones legitimate Facebook pages, размещенные на Netlify и Vercel. Эти страницы имитировали надежные интерфейсы и подталкивали жертв к вводу credentials и других sensitive data.

• использование trusted service для рассылки phishing emails;
• клоны Facebook pages на Netlify и Vercel;
• разные lures, адаптированные под поведение жертв;
• многоэтапный сбор data вместо одноразовой кражи credentials.

PDF-приманка и Socket IO-панель

Один из наиболее заметных вариантов схемы использовал PDF-file, размещенный на Google Drive, который выдавал себя за уведомление от Meta (признана в России экстремистской и её деятельность запрещена). Внутри документа находилась embedded link, перенаправлявшая пользователей на dynamic phishing panel на базе Socket IO.

Эта панель была способна собирать многокомпонентные данные, включая:

• passwords;
• 2FA codes;
• screenshots.

Такая архитектура указывает на продуманную операционную модель, где злоумышленники стремились не просто похитить login data, а получить максимально полный набор сведений о жертве.

Human-in-the-loop в реальном времени

Расследование также выявило использование human-in-the-loop модели в реальном времени. Операторы могли взаимодействовать с жертвами непосредственно в процессе их перемещения по поддельным login screens, что повышало шансы на успешный захват account.

Иными словами, атака строилась не как полностью автоматизированная схема, а как гибридная операция, в которой люди вручную подстраивали сценарий под поведение конкретной жертвы. Это делало кампанию более устойчивой и опасной.

Telegram bots как канал эксфильтрации

Отдельного внимания заслуживает использование Telegram bots для эксфильтрации украденных данных. Передавая сведения жертв через Telegram channels, операторы AccountDumpling могли почти мгновенно отслеживать полученную информацию и реагировать на нее.

Аналитики обнаружили конкретные bots, связанные с операцией, что помогло восстановить сеть злоумышленников и понять ее operational structure. По данным расследования, именно эти связи позволили атрибутировать кампанию конкретным лицам во Vietnam.

Атрибуция и следы инфраструктуры

Детальный анализ metadata из phishing tools усилил атрибуцию. Один из PDF-files привел исследователей к public profile вьетнамского гражданина по имени Phạm Tài Tân, что дало прямую связь с инфраструктурой операции.

Дополнительные clues обеспечили пересекающиеся channels и общие language patterns, обнаруженные во всех phishing kits. В совокупности это создало массив доказательств, которые помогают аналитикам по cybersecurity отслеживать масштаб угрозы и понимать ее более широкие последствия.

Почему AccountDumpling опасна

По сути, AccountDumpling отражает не просто рост phishing-активности, а развитие полноценной cybercrime ecosystem, ориентированной на:

• stealing credentials;
• account takeover;
• resale of compromised accounts;
• monetization через recovery services.

Такая модель напоминает business model, в которой trust становится главным ресурсом для эксплуатации. Именно поэтому подобные угрозы, по оценке исследователей, будут продолжать эволюционировать.

«Вся эта схема показывает значительную эскалацию в тактиках sophisticated phishing и collaborative nature of cybercrime на фоне доступных технологий».

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.