Фишеры обходят 2FA Google и Microsoft с помощью нового прокси-сервиса

Фишеры обходят 2FA Google и Microsoft с помощью нового прокси-сервиса

Фишеры обходят 2FA Google и Microsoft с помощью нового прокси-сервиса

Эксперты Resecurity опубликовали результаты расследования фишинговых атак, проведенных с использованием спецсервиса EvilProxy. Новый пакет услуг позволяет не только массово распространять ссылки на поддельные страницы Google, Microsoft, «Яндекса», но также с успехом обходить многофакторную аутентификацию (MFA), призванную усилить защиту аккаунтов пользователей от взлома.

Новый PhaaS-сервис (Phishing-as-a-Service, фишинг как услуга) позиционируется как имитатор фишинговых атак в организациях, но активно продвигается в даркнете. В некоторых источниках его называют также Moloch, что, по мнению исследователей, указывает на связь с уже известным фишинг-паком, специально созданным для атак на финансовые институты и сферу электронной коммерции.

 

Первая реклама EvilProxy, по данным Resecurity, появилась в минувшем мае. Операторы нового веб-сервиса опубликовали видеоролик, демонстрирующий автоматизацию рассылок URL с целью сбора учеток Apple, GoDaddy, GitHub, Google, Dropbox, Facebook, Instagram (Facebook и Instagram признаны экстремистскими, деятельность запрещена на территории России), Microsoft, Twitter, Yahoo, «Яндекса» и других крупных брендов.

Позднее новоявленный PhaaS-сервис засветился в пробных фишинговых атаках, проведенных против служащих компаний списка Fortune 500. Большинство жертв использовали почту Google и Microsoft с включенной MFA (для получения дополнительных кодов аутентификации в СМС либо в виде токена при авторизации в приложении).

Как оказалось, для обхода MFA, в том числе двухфакторной аутентификации (2FA) Google и Microsoft, клиенты EvilProxy могут использовать обратные прокси-серверы и технику внедрения куки. Ранее такие возможности эксперты наблюдали лишь в атаках APT-групп и целевых кампаниях кибершпионажа.

Использование обратных прокси в рамках PhaaS-сервиса позволяет отображать на фишинговом сайте весь легитимный контент, который жертва ожидает увидеть — включая логин-страницы.

 

Анализ, проведенный в ходе расследования, выявил также возможности для массового сбора учетных данных пользователей npmjs и PyPi. В последнем случае необходимые функции появились в пакете услуг совсем недавно и с успехом использовались в августовских атаках, нацеленных на распространение инфостилера (JuiceStealer) через PyPi.

 

Услуги EvilProxy предоставляются по подписке (на 10, 20 дней или на месяц), с выбором бренда для атаки; потенциальные клиенты тщательно проверяются. Пользовательский портал с многочисленными инструкциями и демороликами расположен в сети Tor, доступ к нему можно получить на всех крупных хакерских форумах, в том числе XSS, Exploit и Breached.

Платежи принимаются в отдельном канале Telegram, специально выделенный оператор проводит их вручную. После активации клиенту выдают логин и пароль к SSH для загрузки Docker-контейнера и набора скриптов. После успешного развертывания последние начинают направлять трафик жертв на два шлюза EvilProxy.

Операторы PhaaS-сервиса хорошо позаботились о защите от ботов, а также от анализа кода своего фишинг-пака. Обнаружив запрос с виртуальной машины, сервис сбрасывает соединение или перенаправляет посетителя на другой сайт (например, на google.com или brave.com). Предусмотрена также идентификация визитеров по фингерпринтам либо репутации IP (с этой целью ведется сбор данных об использовании VPN, прокси, выходных узлов Tor).

Экспертам Resecurity удалось выявить несколько доменных имен, используемых в фишинговых кампаниях с применением EvilProxy. Они были созданы по методу тайпсквоттинга — например, msdnmail[.]net. Все найденные IoC приведены в блог-записи ИБ-компании.

Мошенники играют в два звонка: сначала крадут код, потом спасают деньги

Российские кибермошенники всё чаще используют двухэтапные схемы, где главная технология — не хакерство, а давление на психику. В прошлом году россияне потеряли из-за кибермошенников более 55 млрд рублей, и около половины этой суммы похитили с помощью социальной инженерии. Схема выглядит как спектакль в двух действиях.

Сначала человеку звонят под безобидным предлогом: запись к врачу, замена домофонных ключей, проверка счётчиков.

По данным «Известий», в разговоре просят продиктовать код из СМС. Потом начинается второй акт: жертве снова звонят, но уже якобы из полиции или службы безопасности банка. Ей сообщают, что первый звонок был мошенническим, данные якобы под угрозой, а доказательство — тот самый код, который человек уже назвал.

Дальше всё идёт по классике: страх, срочность, безопасный счёт, перевод денег или передача наличных курьеру. Человек уверен, что его спасают, хотя на самом деле его просто ведут по сценарию.

В МВД предупреждают: если незнакомцы просят код из СМС, это уже красный флаг размером с баннер на фасаде. А если потом звонит сотрудник органов и требует срочно спасать деньги — трубку лучше положить сразу.

Эксперты подчёркивают: дело не в сложных технологиях. Мошенники бьют по тревоге, доверчивости и стрессу. Чем сильнее человека торопят и пугают, тем меньше он способен спокойно проверить факты. Особенно уязвимы люди в хроническом стрессе, тревоге или депрессивном состоянии, но возраст тут не главный фактор. Жертвами становятся и молодые: в Новороссийске 18-летний парень после легенды о взломе Госуслуг передал курьеру 2 млн рублей семейных сбережений.

Главная защита — не говорить коды, не переводить деньги по указке, не продолжать разговор с незнакомцами и самому звонить в банк по официальному номеру. А если родственник уже попался на первый звонок — нужно быстро заблокировать карты, ограничить переводы и полностью оборвать контакт с аферистами.

RSS: Новости на портале Anti-Malware.ru