Фишеры используют Azure Front Door для кражи учеток SendGrid и Amazon

Фишеры используют Azure Front Door для кражи учеток SendGrid и Amazon

Фишеры используют Azure Front Door для кражи учеток SendGrid и Amazon

Наблюдатели из Resecurity зафиксировали резкий рост объемов фишингового контента, доставляемого с помощью облачной CDN-службы Microsoft — Azure Front Door (AFD). Ресурсы, предназначенные для перехвата учетных данных из email-клиентов и бизнес-приложений, имитируют различные сервисы, якобы легитимно созданные в домене azurefd.net.

По данным Resecurity, текущая киберкампания стартовала еще в марте. На тот момент фишеров в основном интересовала клиентура японских сервис-провайдеров, и они использовали VPS-хостинг Kagoya. В июне атаки возобновились, на сей раз на базе AFD и с большим размахом.

Ссылки на поддельные веб-ресурсы распространяются традиционным способом — через спам, отправляемый с взломанных персональных и бизнес-аккаунтов. Чаще всего при этом используется форма уведомления о задолженности.

 

В ходе текущих атак эксперты выявили множество специально созданных доменов. Судя по именам, ловушки ориентированы в основном на пользователей SendGrid, Docusign и Amazon, а также клиентов нескольких крупных компаний Японии и Ближнего Востока. Из-за использования известного бренда и привязки к CDN-сети некоторые фейки очень трудно распознать:

  • gridapisignout[.]azurefd[.]net
  • amazon-uk[.]azurefd[.]net
  • webmailsign[.]azurefd[.]net
  • onlinesigninlogin[.]azurefd[.]net
  • owasapisloh[.]azurefd[.]net
  • docuslgn-micros0ft983-0873878383[.]azurefd.net

 

Вредоносные сценарии, предназначенные для сбора учетных данных из веб-форм, хостятся на различных взломанных веб-ресурсах. Имена доменов при этом тоже поддерживают иллюзию легитимности: они содержат имя известной компании, которое слегка искажено по методу тайпсквоттинга. Примечательно, что в исходниках всех скриптов присутствует ссылка на сервер-агрегатор, поднятый в TLD-зоне .click или .xyz; данные о регистрации доменов получить не удалось: в WHOIS они скрыты.

Список доменов, используемых для фишинга, и дополнительную информацию исследователи передали Microsoft. Все выявленные поддельные ресурсы уже недоступны.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Количество фишинговых доменных имен выросло на 38%

Согласно данным регулярного исследования Phishing Landscape Report компании Interisle, количество доменных имён, связанных с фишингом, в период с мая 2024 по апрель 2025 года выросло на 38% по сравнению с предыдущим годом.

В основу отчёта (PDF) легли объединённые данные о фишинговых атаках от Anti-Phishing Working Group (APWG), OpenPhish, PhishTank и Spamhaus. Всего Interisle проанализировала более 4 млн жалоб на фишинговые ресурсы.

Одной из новых тенденций стало сокращение числа фишинговых сайтов в доменах COM/NET и в национальных доменных зонах: их доля снизилась с 37% до 32% и с 15% до 11% соответственно.

Этот спад компенсировался активным ростом фишинга в новых доменных зонах. Там было сосредоточено 51% фишинговых сайтов, при том что на их долю приходилось лишь 11% всех легитимных ресурсов. В домене XIN почти 100% сайтов оказались фишинговыми. Высокая концентрация подобных ресурсов зафиксирована также в доменных зонах BOND, CFD, TODAY и LOL. По мнению Interisle, причина в низкой стоимости регистрации в этих зонах.

Тем не менее в абсолютных цифрах лидирует домен COM, где выявлено более 455 тыс. фишинговых ресурсов. Это объясняется его популярностью и крупнейшим количеством регистраций в мире.

Среди регистраторов наибольшая доля фишинговых доменов пришлась на компании NiceNic, Aceville, Dominet, Webnic и OwnRegistrar, что также связывают с их ценовой политикой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru