COBALT DICKENS: фишинг против университетов продолжается после обвинений США

Хакерская группировка COBALT DICKENS, также известная как Silent Librarian, провела в июле и августе 2019 года крупную фишинговую кампанию против университетов в нескольких странах. Группа связана с правительством Ирана, Институтом Мабна и кражей интеллектуальной собственности.

Несмотря на обвинительный акт США, предъявленный в марте 2018 года Институту Мабна и девяти гражданам Ирана, COBALT DICKENS продолжила атаковать образовательные организации.

Фишинговая кампания затронула университеты шести стран

Атаки были направлены на университеты в Австралии, Соединенных Штатах, Соединенном Королевстве, Канаде, Гонконге и Швейцарии.

Злоумышленники зарегистрировали не менее 20 доменов через сервисы бесплатных доменных зон верхнего уровня Freenom. Имена доменов подбирались так, чтобы напоминать адреса университетских ресурсов.

Фишинговые письма были посвящены библиотекам. Для их рассылки злоумышленники использовали скомпрометированную инфраструктуру университетов.

В предыдущих кампаниях COBALT DICKENS применяла сокращенные URL, чтобы скрывать инфраструктуру под контролем группы. В сообщениях 2019 года напрямую указывались поддельные URL, которые вели на мошеннические страницы входа в университетские системы.

Копирование страниц университетов

COBALT DICKENS создавала поддельные страницы, копируя легитимные сайты аутентификации и библиотек университетов. Для этого использовались общедоступные инструменты, в том числе плагин для браузера SingleFile и утилита HTTrack Website Copier.

Метаданные страниц показали, что злоумышленники иногда применяли устаревшие копии университетских сайтов. Одна из страниц, созданная в августе 2019 года, содержала комментарии в исходном коде. Они указывали, что сайт первоначально скопировали в мае 2017 года.

В других метаданных обнаружили временную метку, связанную с Ираном. Она подтверждала оценку об иранском происхождении группы.

Целью атак были учетные данные сотрудников

Кампании COBALT DICKENS были направлены на перехват учетных данных сотрудников университетов. Для этого группа использовала убедительные копии страниц входа в информационные системы.

К моменту подготовки отчета злоумышленники атаковали как минимум 380 университетов более чем в 30 странах. Многие учреждения подвергались атакам неоднократно.

Ранее использованные домены оставались активными. Методы группы сохранялись, несмотря на действия правоохранительных органов, публичные раскрытия информации и блокировку инфраструктуры.