Фишинг через взломанный почтовый ящик: BEC-атака на учетные данные
В ходе кампании злоумышленники использовали скомпрометированный почтовый ящик легитимного розничного продавца продуктов питания. С него отправлялись фишинговые письма, которые обходили типовые механизмы обнаружения поддельных доменов и спуфинга благодаря репутации доверенного отправителя.
Фишинг под видом проверки заказа и счета
Письмо имело тему “Urgent Review Required — Purchase Order and Invoice Discrepancies”. Формулировка поддерживала сценарий компрометации деловой электронной почты, BEC, или мошенничества с счетами-фактурами.
В сообщении находилась ссылка с подписью “United Trading Document.pdf”. Она перенаправляла получателей через последовательность приманок, содержание которых противоречило теме письма.
Переиспользованный фишинговый набор
Фишинговая цепочка, по всей видимости, использовала переиспользуемый фишинговый набор, предназначенный для грантовых или школьных порталов. Несмотря на финансовую тему письма, целевая страница содержала элементы брендинга и строки, связанные с charter schools. В комментариях исходного кода также упоминалась замена endpoint, связанного с грантами.
Финальным endpoint был экран входа в Google. Это указывает на вероятную цель кампании, сбор учетных данных или доступа к сессии.
Несоответствие между темами розничной торговли, счетов, торговых документов, школьного портала и входа в Google свидетельствует о переиспользовании существующего набора без удаления исходных заглушек.
Связанная инфраструктура
Pivoting по общей инфраструктуре позволил выявить связанные домены, в том числе accessdocuments.us.
Связь между этими доменами и описанной кампанией оценена с низкой степенью уверенности. При этом сами домены с высокой степенью уверенности признаны вероятно вредоносными.
Рекомендации по защите информации
Организациям рекомендуется:
- использовать устойчивую к фишингу многофакторную аутентификацию, MFA, с применением passkeys или ключей безопасности FIDO2, особенно для привилегированных и финансовых учетных записей;
- ограничивать и проверять OAuth-приложения;
- отзывать активные сессии и токены после предполагаемой компрометации;
- анализировать правила пересылки, фильтры, делегированные полномочия, параметры восстановления, доступ POP/IMAP и последние входы в систему для выявления признаков закрепления;
- отключить внешнюю автоматическую пересылку;
- независимо проверять изменения в платежных или банковских данных, используя доверенные контактные данные и двойное утверждение.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
