Silent Librarian провела целевую фишинговую кампанию против университетов
Группа Silent Librarian, также известная как TA407 и Cobalt Dickens, в 2020–2021 учебном году провела кампанию целевого фишинга против сотрудников и студентов университетов. Атаки затронули образовательные учреждения в нескольких странах и не ограничивались одним регионом.
Поддельные порталы университетских сервисов
Злоумышленники создавали фишинговые страницы, имитировавшие университетские системы. Подделки использовали для библиотечных сервисов, платформ Blackboard, порталов единого входа, известных как single sign-on, провайдеров идентификации, систем управления обучением и сервисов удаленного доступа.
Фишинговые сайты должны были убедить пользователей перейти на поддельные страницы аутентификации. Вероятной целью кампании была кража учетных данных университетских аккаунтов и последующий доступ к институциональным ресурсам или исследовательским данным.
Домены маскировались под инфраструктуру вузов
Для имитации легитимных ресурсов Silent Librarian регистрировала доменные имена, в которых использовались настоящие хостнеймы или поддомены университетов. После них размещались домены, контролируемые злоумышленниками.
В отчете приводятся примеры доменов с доменами верхнего уровня .me, .tk и .cf:
library.adelaide.crev.me;raven.cam.ac.uk.iftl.tk;idpz.utorauth.utoronto.ca.itlf.cf.
Такие сайты имитировали Университет Аделаиды, Кембриджский университет, Университет Торонто, Университет Утрехта, Университет Бристоля, Университет Стоуни-Брук и другие образовательные учреждения.
Инфраструктура усложняла обнаружение
Для множества фишинговых хостнеймов актор использовал Cloudflare. Это скрывало исходные серверы и затрудняло идентификацию инфраструктуры кампании. Некоторые обнаруженные фишинговые сайты размещались на серверах в Иране.
Многочисленные домены и сайты разворачивались одновременно. Благодаря этому кампания могла продолжаться даже после выявления и удаления отдельных фишинговых страниц.
Связь с предыдущими операциями
Silent Librarian неоднократно приурочивала аналогичные кампании к началу учебного года. Новая активность продолжила операции, задокументированные в 2018 и 2019 годах.
Схема регистрации доменных имен соответствовала ранее описанному поведению группы. Это указывает на общую атрибуцию между кампаниями и подтверждает устойчивый характер операции по фишингу учетных данных, направленной на пользователей университетов и инфраструктуру аутентификации.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
