Η ασυνήθιστη καμπάνια ηλεκτρονικού ψαρέματος του Microsoft 365 παραπλανά το eFax μέσω του παραβιασμένου λογαριασμού Dynamics Voice

Ένα περίτεχνο και μάλλον ασυνήθιστο phishing καμπάνια πλαστογραφεί τις ειδοποιήσεις eFax και χρησιμοποιεί έναν παραβιασμένο επιχειρηματικό λογαριασμό Dynamics 365 Customer Voice για να παρασύρει τα θύματα να εγκαταλείψουν τα διαπιστευτήριά τους μέσω σελίδων microsoft.com.

Οι φορείς απειλών έχουν χτυπήσει δεκάδες εταιρείες μέσω της ευρέως διαδεδομένης εκστρατείας, η οποία είναι με στόχο το Microsoft 365 χρήστες από ένα ευρύ φάσμα τομέων - συμπεριλαμβανομένης της ενέργειας, των χρηματοοικονομικών υπηρεσιών, των εμπορικών ακινήτων, των τροφίμων, της κατασκευής, ακόμη και της κατασκευής επίπλων, αποκάλυψαν ερευνητές από το Cofense Phishing Defense Center (PDC) σε μια ανάρτηση ιστολογίου που δημοσιεύθηκε την Τετάρτη.

Η καμπάνια χρησιμοποιεί έναν συνδυασμό κοινών και ασυνήθιστων τακτικών για να παρασύρει τους χρήστες να κάνουν κλικ σε μια σελίδα που φαίνεται να τους οδηγεί σε μια έρευνα σχολίων πελατών για μια υπηρεσία eFax, αλλά αντίθετα κλέβει τα διαπιστευτήριά τους.

Οι εισβολείς υποδύονται όχι μόνο το eFax αλλά και τη Microsoft χρησιμοποιώντας περιεχόμενο που φιλοξενείται σε πολλές σελίδες του microsoft.com σε διάφορα στάδια της προσπάθειας πολλαπλών σταδίων. Η απάτη είναι μία από τις πολλές εκστρατείες phishing που έχει παρατηρήσει η Cofense από την άνοιξη και οι οποίες χρησιμοποιούν παρόμοια τακτική, λέει ο Joseph Gallop, διευθυντής ανάλυσης πληροφοριών στην Cofense.

«Τον Απρίλιο του τρέχοντος έτους, αρχίσαμε να βλέπουμε έναν σημαντικό όγκο ηλεκτρονικών μηνυμάτων ηλεκτρονικού ψαρέματος που χρησιμοποιούν ενσωματωμένους συνδέσμους έρευνας ncv[.]microsoft[.]com του είδους που χρησιμοποιούνται σε αυτήν την καμπάνια», λέει στο Dark Reading.

Συνδυασμός Τακτικής

Τα μηνύματα ηλεκτρονικού ψαρέματος χρησιμοποιούν ένα συμβατικό δέλεαρ, υποστηρίζοντας ότι ο παραλήπτης έχει λάβει ένα εταιρικό eFax 10 σελίδων που απαιτεί την προσοχή του/της. Αλλά τα πράγματα αποκλίνουν από την πεπατημένη μετά από αυτό, εξήγησε ο Nathaniel Sagibanda του Cofense PDC στο Ανάρτηση Τετάρτης.

Ο παραλήπτης πιθανότατα θα ανοίξει το μήνυμα αναμένοντας ότι σχετίζεται με ένα έγγραφο που χρειάζεται υπογραφή. "Ωστόσο, αυτό δεν είναι αυτό που βλέπουμε καθώς διαβάζετε το σώμα του μηνύματος", έγραψε.

Αντίθετα, το μήνυμα ηλεκτρονικού ταχυδρομείου περιλαμβάνει κάτι που φαίνεται σαν ένα συνημμένο, ανώνυμο αρχείο PDF που έχει παραδοθεί από ένα φαξ που περιλαμβάνει ένα πραγματικό αρχείο - μια ασυνήθιστη δυνατότητα ηλεκτρονικού ηλεκτρονικού "ψαρέματος" σύμφωνα με το Gallop.

"Ενώ πολλές καμπάνιες ηλεκτρονικού "ψαρέματος" διαπιστευτηρίων χρησιμοποιούν συνδέσμους προς φιλοξενούμενα αρχεία και ορισμένες χρησιμοποιούν συνημμένα, είναι λιγότερο συνηθισμένο να βλέπουμε έναν ενσωματωμένο σύνδεσμο να παρουσιάζεται ως συνημμένο", έγραψε.

Η πλοκή πυκνώνει ακόμη πιο κάτω στο μήνυμα, το οποίο περιέχει ένα υποσέλιδο που υποδεικνύει ότι ήταν ένας ιστότοπος έρευνας - όπως αυτοί που χρησιμοποιούνται για την παροχή σχολίων πελατών - που δημιούργησε το μήνυμα, σύμφωνα με την ανάρτηση.

Μίμηση Έρευνας Πελατών

Όταν οι χρήστες κάνουν κλικ στον σύνδεσμο, κατευθύνονται σε μια πειστική απομίμηση μιας σελίδας λύσης eFax που αποδίδεται από μια σελίδα του Microsoft Dynamics 365 που έχει παραβιαστεί από εισβολείς, είπαν οι ερευνητές.

Αυτή η σελίδα περιλαμβάνει έναν σύνδεσμο προς μια άλλη σελίδα, η οποία φαίνεται να οδηγεί σε μια έρευνα Microsoft Customer Voice για την παροχή σχολίων σχετικά με την υπηρεσία eFax, αλλά αντ' αυτού μεταφέρει τα θύματα σε μια σελίδα σύνδεσης της Microsoft που διεισδύει στα διαπιστευτήριά τους.

Για να ενισχύσει περαιτέρω τη νομιμότητα σε αυτήν τη σελίδα, ο παράγοντας απειλών έφτασε στο σημείο να ενσωματώσει ένα βίντεο λύσεων eFax για πλαστές λεπτομέρειες υπηρεσιών, δίνοντας οδηγίες στον χρήστη να επικοινωνήσει με το "@eFaxdynamic365" για οποιαδήποτε απορία, είπαν οι ερευνητές.

Το κουμπί "Υποβολή" στο κάτω μέρος της σελίδας χρησιμεύει επίσης ως πρόσθετη επιβεβαίωση ότι ο παράγοντας απειλής χρησιμοποίησε ένα πραγματικό πρότυπο φόρμας σχολίων για τη φωνή πελατών της Microsoft στην απάτη, πρόσθεσαν.

Στη συνέχεια, οι εισβολείς τροποποίησαν το πρότυπο με «ψευδείς πληροφορίες eFax για να δελεάσουν τον παραλήπτη να κάνει κλικ στον σύνδεσμο», που οδηγεί σε μια ψευδή σελίδα σύνδεσης της Microsoft που στέλνει τα διαπιστευτήριά τους σε μια εξωτερική διεύθυνση URL που φιλοξενείται από εισβολείς, έγραψε ο Sagibanda.

Ξεγελώντας ένα εκπαιδευμένο μάτι

Ενώ οι αρχικές καμπάνιες ήταν πολύ απλούστερες - συμπεριλαμβανομένων ελάχιστων πληροφοριών που φιλοξενούνται στην έρευνα της Microsoft - η καμπάνια πλαστογράφησης eFax προχωρά περαιτέρω για να ενισχύσει τη νομιμότητα της καμπάνιας, λέει ο Gallop.

Ο συνδυασμός τακτικών πολλών σταδίων και διπλής πλαστοπροσωπίας μπορεί να επιτρέψει στα μηνύματα να περάσουν από ασφαλείς πύλες email, καθώς και να ξεγελάσουν ακόμη και τους πιο έξυπνους εταιρικούς χρήστες που έχουν εκπαιδευτεί να εντοπίζουν απάτες ηλεκτρονικού ψαρέματος, σημειώνει.

«Μόνο οι χρήστες που συνεχίζουν να ελέγχουν τη γραμμή URL σε κάθε στάδιο καθ' όλη τη διάρκεια της διαδικασίας είναι βέβαιο ότι θα το αναγνωρίσουν ως απόπειρα phishing», λέει ο Gallop.

Πράγματι, έρευνα της εταιρείας κυβερνοασφάλειας Vade που κυκλοφόρησε επίσης την Τετάρτη διαπίστωσε ότι πλαστοπροσωπία της επωνυμίας συνεχίζει να είναι το κορυφαίο εργαλείο που χρησιμοποιούν οι phishers για να εξαπατήσουν τα θύματα να κάνουν κλικ σε κακόβουλα email.

Στην πραγματικότητα, οι επιτιθέμενοι έπαιρναν το πρόσωπο της Microsoft πιο συχνά σε καμπάνιες που παρατηρήθηκαν το πρώτο εξάμηνο του 2022, διαπίστωσαν οι ερευνητές, αν και το Facebook παραμένει η πιο πλασματική μάρκα στις καμπάνιες phishing που έχουν παρατηρηθεί μέχρι στιγμής φέτος.

Το παιχνίδι phishing παραμένει ισχυρό

Οι ερευνητές αυτή τη στιγμή δεν έχουν εντοπίσει ποιος μπορεί να βρίσκεται πίσω από την απάτη, ούτε τα συγκεκριμένα κίνητρα των εισβολέων για την κλοπή διαπιστευτηρίων, λέει ο Gallop.

Το ηλεκτρονικό ψάρεμα (phishing) παραμένει συνολικά ένας από τους ευκολότερους και πιο συχνά χρησιμοποιούμενους τρόπους για τους παράγοντες απειλών να υπονομεύουν τα θύματα, όχι μόνο για να κλέψουν διαπιστευτήρια αλλά και να διαδώσουν κακόβουλο λογισμικό, καθώς το κακόβουλο λογισμικό που μεταδίδεται μέσω email είναι πολύ πιο εύκολο στη διανομή από τις απομακρυσμένες επιθέσεις, σύμφωνα με την έκθεση Vade. .

Πράγματι, αυτός ο τύπος επίθεσης σημείωσε αυξήσεις από μήνα σε μήνα κατά το δεύτερο τρίμηνο του έτους και, στη συνέχεια, μια άλλη ώθηση τον Ιούνιο που ώθησε "τα μηνύματα ηλεκτρονικού ταχυδρομείου πίσω στους ανησυχητικούς όγκους που δεν είχαν δει από τον Ιανουάριο του 2022", όταν ο Vade είδε πάνω από 100 εκατομμύρια μηνύματα ηλεκτρονικού ψαρέματος σε διανομή.

«Η σχετική ευκολία με την οποία οι χάκερ μπορούν να πραγματοποιούν τιμωρητικές επιθέσεις στον κυβερνοχώρο μέσω email καθιστά το email έναν από τους κορυφαίους φορείς επίθεσης και μια συνεχή απειλή για τις επιχειρήσεις και τους τελικούς χρήστες», έγραψε στην έκθεση η Natalie Petitto του Vade. "Τα μηνύματα ηλεκτρονικού "ψαρέματος" υποδύονται τις επωνυμίες που εμπιστεύεστε περισσότερο, προσφέροντας ένα ευρύ δίκτυο πιθανών θυμάτων και έναν μανδύα νομιμότητας για τους phishers που μεταμφιέζονται σε επωνυμίες."