Фишеры используют Azure Front Door для кражи учеток SendGrid и Amazon

Фишеры используют Azure Front Door для кражи учеток SendGrid и Amazon

Фишеры используют Azure Front Door для кражи учеток SendGrid и Amazon

Наблюдатели из Resecurity зафиксировали резкий рост объемов фишингового контента, доставляемого с помощью облачной CDN-службы Microsoft — Azure Front Door (AFD). Ресурсы, предназначенные для перехвата учетных данных из email-клиентов и бизнес-приложений, имитируют различные сервисы, якобы легитимно созданные в домене azurefd.net.

По данным Resecurity, текущая киберкампания стартовала еще в марте. На тот момент фишеров в основном интересовала клиентура японских сервис-провайдеров, и они использовали VPS-хостинг Kagoya. В июне атаки возобновились, на сей раз на базе AFD и с большим размахом.

Ссылки на поддельные веб-ресурсы распространяются традиционным способом — через спам, отправляемый с взломанных персональных и бизнес-аккаунтов. Чаще всего при этом используется форма уведомления о задолженности.

 

В ходе текущих атак эксперты выявили множество специально созданных доменов. Судя по именам, ловушки ориентированы в основном на пользователей SendGrid, Docusign и Amazon, а также клиентов нескольких крупных компаний Японии и Ближнего Востока. Из-за использования известного бренда и привязки к CDN-сети некоторые фейки очень трудно распознать:

  • gridapisignout[.]azurefd[.]net
  • amazon-uk[.]azurefd[.]net
  • webmailsign[.]azurefd[.]net
  • onlinesigninlogin[.]azurefd[.]net
  • owasapisloh[.]azurefd[.]net
  • docuslgn-micros0ft983-0873878383[.]azurefd.net

 

Вредоносные сценарии, предназначенные для сбора учетных данных из веб-форм, хостятся на различных взломанных веб-ресурсах. Имена доменов при этом тоже поддерживают иллюзию легитимности: они содержат имя известной компании, которое слегка искажено по методу тайпсквоттинга. Примечательно, что в исходниках всех скриптов присутствует ссылка на сервер-агрегатор, поднятый в TLD-зоне .click или .xyz; данные о регистрации доменов получить не удалось: в WHOIS они скрыты.

Список доменов, используемых для фишинга, и дополнительную информацию исследователи передали Microsoft. Все выявленные поддельные ресурсы уже недоступны.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

PT ISIM 5.8 получил функции поиска и контроля устранения уязвимостей

Компания Positive Technologies представила обновление своей системы для кибербезопасности промышленных инфраструктур — PT Industrial Security Incident Manager (PT ISIM) версии 5.8. Теперь продукт не только отслеживает инциденты, но и помогает обнаруживать, оценивать и контролировать устранение уязвимостей в программном обеспечении и операционных системах.

Разработчики объясняют: защита промышленных объектов требует не только мониторинга сетевого трафика, но и полноценного цикла управления уязвимостями — от поиска до закрытия.

Для этого в PT ISIM 5.8 реализована интеграция данных об активах, которые система собирает с рабочих станций и серверов.

Информация поступает двумя способами — через агент PT ISIM Endpoint, установленный на конечных узлах, и через сетевой сканер, который получает данные удаленно, если установка агента невозможна.

В новой версии специалисты по ИБ и ИТ могут видеть все найденные уязвимости в ОС и приложениях, отслеживать их опасность и статус устранения. PT ISIM 5.8 также использует базу знаний Positive Technologies о реально эксплуатируемых и трендовых уязвимостях, помогая приоритизировать работу по исправлению критических ошибок.

«Устаревшие операционные системы и программы — одна из главных причин успешных атак. Поэтому важно понимать, какие риски несут такие компоненты и как их компенсировать», — пояснил руководитель разработки продуктов для безопасности промышленных систем Илья Косынкин.

Новая функциональность уже доступна пользователям PT ISIM proView Sensor после обновления продукта до версии 5.8.

В апреле мы рассматривали функциональные возможности PT ISIM 5.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru