Експерти откриха многослойна схема за пренасочване, използвана за кражба на данни за вход в Microsoft 365

Нов вид фишинг атаки използва легитимни услуги, за да заобиколи защитите

В последните месеци киберпрестъпниците използват нови, хитроумни методи, за да подведат потребителите и да откраднат личните им данни. Според експерти по киберсигурност от екипа на Cloudflare, нападателите злоупотребяват с популярни услуги за защита на връзки, като тези на Proofpoint и Intermedia, за да прикрият злонамерени уебсайтове. Тази нова фишинг кампания е особено опасна, защото използва доверени инструменти, за да изглежда законна.

Как работи атаката?

Много компании използват услуги като Proofpoint, за да защитят служителите си от опасни връзки в имейлите. Тези услуги „опаковат“ връзките, като ги пренасочват през специален сървър, който ги проверява за заплахи. Ако връзката е безопасна, потребителят се насочва към желания уебсайт. Но ако връзката е злонамерена, системата я блокира. Проблемът е, че нападателите са намерили начин да заобиколят тази защита.

Хакерите първо получават достъп до имейл акаунт в организация, която използва такава услуга. След това изпращат имейли с опасни връзки от този акаунт. Тъй като имейлът идва от „доверен“ източник, връзката автоматично се „опакова“ от услугата за защита, което я прави да изглежда безопасна. В действителност обаче тя води до фалшиви страници, които крадат потребителски имена и пароли за Microsoft 365.

Двойно прикритие за по-голяма убедителност

Нападателите отиват още по-далеч, като използват комбинация от техники за прикриване. Първо, те съкращават злонамерените връзки с услуги като Bitly, което ги прави по-трудни за разпознаване. След това изпращат тези връзки през защитен акаунт, който добавя втори слой „опаковка“ от Proofpoint. Резултатът е верига от пренасочвания, която води потребителя до фалшива страница, без да предизвика съмнения.

Как изглеждат тези фишинг имейли?

Има няколко често срещани сценария, които нападателите използват, за да подмамят жертвите си:

• Фалшиви гласови съобщения: Имейлът изглежда като известие за ново гласово съобщение. Потребителят е подканен да кликне върху връзка, за да го чуе, но вместо това попада на фалшива страница за вход в Microsoft 365.
• Известия за документи в Microsoft Teams: Имейлът твърди, че потребителят е получил документ в Teams и го подканва да кликне върху връзка, която отново води до страница за кражба на данни.
• Фалшиви съобщения от Teams: Имейлът имитира известие от Microsoft Teams за непрочетени съобщения. Когато потребителят кликне върху бутона „Отговор в Teams“, той бива пренасочен към фишинг страница.

Други хитрини на хакерите

Освен злоупотребата с услуги за защита на връзки, нападателите използват и други техники, за да заобиколят традиционните защити. Например, те често вграждат злонамерен код в SVG файлове – формат за изображения, който поддържа скриптове и интерактивни елементи. Тези файлове изглеждат безобидни, но могат да съдържат код, който пренасочва потребителя към фалшиви страници.

Друга популярна тактика е използването на фалшиви Zoom връзки. Потребителят получава имейл, който изглежда като покана за видеоконференция. При кликване върху връзката той вижда съобщение, че „свързването е изтекло“, и е подканен да въведе данните си за вход, за да се присъедини отново. Вместо това обаче данните му се изпращат директно на хакерите, често чрез приложения като Telegram.

Как да се предпазим?

За да се защитите от подобни атаки, е важно да бъдете внимателни:

• Проверявайте внимателно имейлите: Ако получите неочаквано съобщение, особено с връзка, не бързайте да кликнете. Проверете изпращача и съдържанието за подозрителни знаци.
• Не въвеждайте данни на съмнителни страници: Ако връзката ви отведе до страница за вход, уверете се, че адресът е легитимен (например, започва с „https://www.microsoft.com“).
• Използвайте двуфакторна автентикация: Това добавя допълнителен слой защита към акаунтите ви.
• Бъдете скептични към спешни съобщения: Фишинг имейлите често се опитват да ви накарат да действате бързо, без да мислите.

Заключение

Новите фишинг атаки показват колко изобретателни могат да бъдат киберпрестъпниците. Те използват доверени инструменти и услуги, за да подведат дори най-внимателните потребители. Затова е важно да бъдем нащрек и да проверяваме всяка връзка и имейл, преди да предприемем действие. С малко предпазливост и здрав разум можем да намалим риска от кражба на лични данни и да защитим онлайн присъствието си.