Le campagne di phishing che prendono di mira USPS registrano la stessa quantità di traffico web osservata dal servizio postale statunitense

• Dopo le festività natalizie del 2023, i ricercatori di Akamai hanno scoperto una quantità significativa di attività e domini molto probabilmente dannosi e presumibilmente associati al servizio postale degli Stati Uniti (USPS).

• I ricercatori Akamai hanno confrontato cinque mesi di traffico DNS indirizzato al dominio legittimo, usps[.]com, con il traffico DNS indirizzato a nomi di dominio illegittimi sottoposti a combosquat. 

• Attraverso questa analisi, abbiamo scoperto che il numero di query DNS effettuate ai domini dannosi raccolti è generalmente quasi uguale al numero di query rivolte al dominio usps[.]com, se non addirittura superiore durante le ore di punta.

I filtri che abbiamo applicato sono alquanto rigidi: non abbiamo incluso nomi di dominio completi (FQDN), come us.ps393[.]com o usps.parceltracker-us[.]com, perché includono il sottodominio. Per precisione, abbiamo raccolto solo i campioni più evidenti che utilizzano la tecnica del combosquatting.

I nostri parametri rigidi hanno fatto sì che la nostra analisi risultasse estremamente rigorosa. Nonostante ciò, abbiamo riscontrato un'elevatissima quantità di traffico dannoso, il che rende sorprendente il reale impatto di queste impersonificazioni. Avremmo sicuramente potuto raccogliere un numero sensibilmente maggiore di domini dannosi che impersonificano il dominio di USPS, ma era fondamentale evitare di includere falsi positivi in ​​questo dataset.

Tutti i dati seguenti derivano dal campione di dati disponibile per questa analisi. Potrebbe trattarsi di un campione molto ampio, ma è pur sempre un campione e le sue dimensioni rendono tutti i numeri più bassi. Ciò vale sia per il dataset dannoso che per quello legittimo, usps[.]com.

Tabella 1. Domini dannosi che hanno registrato il maggior traffico DNS

Osservando le barre blu nella Figura 3, vediamo che il dominio usps-stampservice[.]com ha iniziato ad osservare una quantità di traffico il 23 novembre, ovvero un giorno prima del Black Friday, rimanendo attivo fino ai primi di dicembre quando il traffico si è interrotto. Supponiamo che ciò sia dovuto al fatto che i criminali informatici in quel momento abbiano smesso di inviare messaggi di testo alle potenziali vittime. Probabilmente il sito web è stato chiuso in quel momento perché attualmente non siamo in grado di accedervi.

Ora, esaminiamo l'altro dominio: uspspost[.]me (barre arancioni nella Figura 3). Questo dominio sembra aver preso di mira il periodo natalizio e, cosa interessante, il 6 dicembre. Se questo dominio è stato attivato per la festa di San Nicola, la campagna mirava ad una nicchia molto specifica perché questa festività viene celebrata solo in pochi posti negli Stati Uniti. Questa campagna potrebbe anche aver preso di mira i clienti del Cyber ​​Monday.

Tabella 2. I domini TLD che vengono più comunemente associati ai principali domini dannosi

Il dominio TLD [.]com è il più popolare per la registrazione di nuovi domini. Nei nostri dati, possiamo osservare quasi 4.500 domini .com univoci. Ciò non sorprende perché un dominio [.]com può fornire alle potenziali vittime un senso di familiarità e legittimità a livello globale.

Il dominio TLD [.]top sembra essere l'alternativa preferita dagli autori delle minacce. Si inserisce al secondo posto con oltre 3.000 nomi di dominio diversi. Questo TLD generico è gestito da una società tecnologica cinese ed è noto per essere utilizzato in modo dannoso nelle campagne di phishing.

È interessante notare che il dominio TLD [.]world non appare nella tabella. Questo perché per [.]world abbiamo contato un totale di 170.126 query (un numero molto alto, quasi pari a quello dei domini [.]com e [.]top), di cui il 99,5% è stato indirizzato solo al dominio usps-post[.]world (ossia, il nome di dominio che ha ricevuto il maggior numero di query). Nell'ambito di questo TLD, abbiamo trovato solo alcuni nomi di dominio.

Tabella 3. Indirizzo IP dei principali domini dannosi

Gli IP appartenenti a QuadraNet hanno solo pochi nomi di dominio che puntano a loro, ma registrano comunque elevate quantità di traffico.

Gli IP appartenenti ad Amazon hanno molti nomi di dominio collegati, ma ogni dominio è responsabile solo di poche query.

La spiegazione più probabile è che si tratti di due diversi attacchi di phishing. In uno di essi, i truffatori hanno deciso di distribuire il traffico su molti nomi di dominio diversi.  L'altra campagna copre solo pochi domini e ognuno di essi registra molto traffico.

Possiamo anche osservare cosa accade nel tempo. La Figura 7 visualizza gli stessi numeri aggregati per settimana.

Non solo il traffico è relativamente equivalente in una giornata tipica, ma, nel corso di alcune settimane, i domini dannosi ricevono più query dello stesso dominio usps.com. Questi picchi si verificano in occasione del Giorno del Ringraziamento (Black Friday) e delle festività natalizie, ossia nei periodi dell'anno con il maggior numero di consegne negli Stati Uniti.

Sembra che gli autori delle minacce siano ben consapevoli dello scambio di regali che si verifica in queste festività, pianificando quindi, di conseguenza, le loro campagne di phishing USPS. Ovviamente, per loro ha senso agire in questo modo perché più persone si aspettano di ricevere pacchi in quelle date. Le festività natalizie sono anche un periodo particolarmente impegnativo per le persone, che quindi potrebbero commettere più facilmente errori di distrazione rispetto ad altri periodi dell'anno, come fare clic su messaggi truffa.

Abbiamo scoperto che USPS è presa di mira da truffe distribuite tramite SMS, soprattutto durante le festività natalizie e nel Giorno del Ringraziamento vista l'usanza di acquistare regali in queste occasioni.

Il numero totale di query di domini dannosi rispetto al dominio usps[.]com è praticamente uguale, anche contando solo i domini che includono esplicitamente l'acronimo USPS. Sebbene in questa analisi USPS abbia vinto con il 51% delle query totali per il periodo osservato di 5 mesi, il modo in cui abbiamo filtrato i dati suggerisce come, nel mondo reale, il traffico dannoso superi notevolmente il traffico legittimo. Abbiamo utilizzato USPS come esempio, ma questa tecnica di combosquatting viene utilizzata a livello globale nelle campagne di phishing e a ragion veduta perché si rivela un grande successo.

Abbiamo riscontrato due approcci diversi da parte dei criminali: distribuivano il traffico su molti nomi di dominio diversi oppure utilizzavano solo pochi domini, ciascuno dei quali registrava molto traffico, probabilmente a scopo di offuscamento. Gli operatori e gli altri provider di servizi di hosting sono consapevoli dell'ubiquità di queste truffe e stanno cercando di identificare e rimuovere queste pagine con attenzione. Considerando il livello di attenzione richiesto per eliminare queste truffe, i loro risultati e le nostre osservazioni sono ancora più preoccupanti.

Continueremo a monitorare e a segnalare minacce come queste sia per i nostri clienti che per la comunità della sicurezza in generale.