Фишинговая кампания использует сервисы Google для маскировки ссылок
Глобальная фишинговая кампания использует сервисы Google для перенаправления на страницы злоумышленников. Введённые учётные данные в реальном времени отправляются в управляемый оператором бот в Telegram.
В наблюдаемых цепочках задействованы конечная точка linkredirect сервиса Google Meet, механизм перенаправления /url?q= поисковой системы Google и инфраструктура отслеживания кликов DoubleClick. Также используются Google Custom Search, Google Image Search, Google Tag Manager и Google Analytics. Некоторые ссылки содержат синтаксически корректный параметр gclid, имитирующий легитимный рекламный трафик.
Цепочки перенаправляют пользователей на инфраструктуру злоумышленников, размещённую на доменах зоны .vu, в Cloudflare Workers и на скомпрометированных поддоменах .de. Адреса электронной почты жертв кодируются в Base64 и помещаются во фрагмент URL. Браузеры не передают фрагмент в HTTP-запросах, поэтому эти данные скрыты от многих серверных журналов и систем сканирования. Клиентский JavaScript декодирует адрес и использует его для персонализации фишинговой страницы.
Страница может загрузить логотип организации жертвы через Clearbit и получить актуальный снимок её общедоступного сайта через сторонний сервис. Затем снимок отображается в качестве фона. Интерфейс ввода учётных данных поддерживает 16 языков и выбирает язык на основе локали браузера.
Перед отображением формы или обработкой введённых данных набор выполняет несколько проверок для фильтрации и профилирования пользователей. В некоторых вариантах вместо этого показывается поддельное задание для проверки, что пользователь человек. Кроме того, набор запрашивает через Google Public DNS MX-записи домена электронной почты жертвы. Домены без действительных записей почтового обмена рассматриваются как вероятные песочницы, исследователи или другие неподходящие цели. В некоторых случаях проверка запускается при загрузке страницы и использует адрес электронной почты из фрагмента URL.
Приманки имитируют сервисы обмена и подписания документов, уведомления об истечении срока действия Microsoft 365 или Office 365, сообщения FedEx о доставке, уведомления о платежах OneDrive и QuickBooks, а также сообщения государственных органов о выплатах. Для мобильных получателей злоумышленники используют QR-коды как альтернативный канал доставки.
Переданные учётные данные поступают в бот вместе с IP-адресом, геолокацией, сведениями о браузере и данными проверки MX-записей. Интерфейс может предложить жертве ввести вторую пару учётных данных.
Отдельный сценарий начинается с поддельного запроса на проверку личности и приводит к установке ScreenConnect. Успешная установка может предоставить злоумышленникам интерактивный удалённый доступ к конечной точке. Такой доступ может сохраниться после смены пароля и позволяет обходить последующие запросы многофакторной аутентификации (MFA).
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
