TA407 атакует университеты: фишинг, кража учётных данных и научной собственности

TA407, также известная как Silent Librarian, Cobalt Dickens и Mabna Institute, представляет собой злоумышленника из Ирана, действующего по финансовым мотивам. Группа атакует университеты и учреждения высшего образования по всему миру, преимущественно в Северной Америке и Европе.

TA407 проводит фишинговые кампании с небольшим количеством сообщений, ориентированных на конкретные цели. Согласно обвинительным актам США, в период с 2013 по 2017 год действия группы привели к компрометации почти 8 000 университетских учётных записей. Среди них было около 3 768 учётных записей профессоров американских университетов. Полученные доступы позволили красть и перепродавать академическую интеллектуальную собственность, а также доступ к подпискам.

Фишинг маскируется под уведомления университетов

В атаках TA407 применяет социальную инженерию, адаптированную под конкретные университеты. Сообщения могут содержать украденные элементы фирменного стиля, поддельные идентификаторы отправителей и подписи, персонализированный текст и темы, связанные с библиотечными услугами.

Наиболее распространённые приманки связаны с уведомлениями о продлении срока пользования библиотечными материалами или их просрочке. Ссылки обычно ведут на копии университетских библиотечных, студенческих, преподавательских или аутентификационных порталов. Эти страницы размещаются на инфраструктуре, которую контролирует злоумышленник.

TA407 умеет обновлять клоны страниц и содержание приманок с учётом изменений в легитимных аутентификационных порталах. При этом в кампаниях также встречаются устаревшие копии страниц.

Скомпрометированные учётные записи поддерживают новые атаки

Группа использует скомпрометированные университетские учётные записи для отправки фишинговых сообщений в другие учреждения. В результате формируется цикл, при котором вновь скомпрометированные учётные записи становятся ресурсом для последующих кампаний.

Страницы для кражи учётных данных TA407 часто размещает на доменах Freenom. Со временем группа меняла методы перенаправления и применяла различные сервисы.

• бывший сервис сокращения ссылок goo.gl от Google;
• иранские сервисы сокращения ссылок;
• сервисы, которыми управляют университеты;
• бесплатные платформы сокращения URL;
• цепочки сторонних сайтов.

Сокращённая ссылка может вести непосредственно на мошенническую страницу входа или проходить через несколько сервисов перенаправления. Такая схема усложняет обнаружение атак и их атрибуцию.

В атаках используют актуальные события

Для повышения достоверности сообщений TA407 обращается к актуальным событиям и инцидентам, о которых публично сообщают СМИ. В качестве повода могут использоваться сбои в работе сервисов или предупреждения о погоде.

Несмотря на преследование предполагаемых участников группы в 2018 году, кампании по компрометации университетских учётных записей продолжились. TA407 использует новые домены и меняет сочетания URL-сокращателей, перенаправлений, скомпрометированной инфраструктуры и клонов аутентификационных порталов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.