Truffe di phishing altamente sofisticate stanno rovinando l'atmosfera di festa

Figura 1: campagna di phishing per le festività

Come si può vedere nella Figura 1, questo kit ha un branding molto sofisticato. Questo kit sfrutta diversi brand rinomati in un modo altamente realistico. Come se ciò non bastasse, questa campagna elude il rilevamento creando un'infrastruttura e servizi flessibili: una combinazione particolarmente pericolosa.

Questo tipo di social engineering è simile allecampagne di phishing "basate su quiz" che abbiamo analizzato lo scorso anno. Tuttavia, questa nuova campagna è unica per il fatto che i siti contraffatti erano molto ben progettati visivamente, il che ha aiutato a guadagnarsi la fiducia delle vittime. Sembrando quanto più autentici e affidabili possibile, le probabilità di acquisire il numero della carta di credito aumentano. 

Questi kit di phishing stanno aumentando in termini di complessità perché gli autori di attacchi stanno migliorando le loro capacità. Questa campagna dimostra quanto il malintenzionato conosca le limitazioni dei prodotti di sicurezza e le lacune nel rilevamento degli attacchi di phishing. In questo post esamineremo questo nuovo kit, il motivo per cui ha successo e come evitare di cadere vittime di truffe come questa mentre ci avviciniamo al periodo delle feste natalizie.  

Tecniche di social engineering

Per rendere più efficace la truffa, è stata usata una varietà di tattiche e tecniche di social engineering per instillare nelle vittime un senso di urgenza e/o fiducia. Quando abbiamo una risposta emotiva a qualcosa, è più probabile che stiamo meno attenti rispetto al solito. Ad esempio, una delle tecniche che metteva sotto pressione le vittime era quella di proporre offerte a tempo limitato (ad esempio, le vittime avevano cinque minuti di tempo per rispondere alle domande). Questo induce stress, che può portare a farsi sfuggire dei dettagli che avremmo altrimenti notato. Altre tecniche includevano la creazione di un falso forum di utenti con testimonianze false di persone che fingevano di aver vinto e ricevuto un premio dal retailer in questione. Ciò dona un falso senso di sicurezza perché siamo abituati a vedere, in generale, questo tipo di testimonianze da parte dei clienti. 

Dal momento che questo kit imita diversi brand, un'analisi di questi profili clienti falsi era imperativa. L'utente fittizio "Natalie Hamilton" è stato riciclato e/o leggermente modificato per diverse truffe (Figura 2) I commenti relativi ai premi sono stati personalizzati includendo le immagini e, a prima vista, sembravano autentici, provenienti da persone che davvero avevano vinto dei premi. Tutto ciò crea fiducia nelle vittime. Inoltre, le foto dei profili sono state modificate tra una truffa e l'altra perciò, anche se una vittima è stata presa di mira più volte, la truffa non veniva comunque rilevata. Quello che si nota è la forte somiglianza dei commenti tra le varie offerte di premi, che passa facilmente inosservata all'utente di Internet medio.

Figura 2: utente fittizio "Natalie Hamilton"

Figura 3: catene nidificate di reindirizzamenti

Notiamo che il link iniziale inviato all'indirizzo e-mail delle vittime contiene un ancoraggio HTML seguito da un token (Figura 3, Passaggio 1). Questo token verrà usato, in seguito, da JavaScript sul browser della vittima per ricostruire un link URI al quale verrà reindirizzata la vittima (Figura 3, Passaggio 2). Se si tenta di accedere a una truffa phishing senza ottenere e usare quel token non sarà possibile accedere alla pagina di destinazione phishing, il che significa che i visitatori che non dispongono del link iniziale verranno scartati. In più, anche l'accesso basato sul web che non esegue JavaScript come parte del rendering delle pagine di reindirizzamento non riesce. Per poter raggiungere la pagina di destinazione dannosa, il browser deve poter costruire l'URI di reindirizzamento. Questa è un'ulteriore misura presa per bypassare i meccanismi di sicurezza, come ad esempio i web crawler che analizzano i link sospetti e che non usano le funzionalità del browser headless.

L'utilizzo dei token consente anche al malintenzionato di monitorare le vittime e guardare le statistiche sul coinvolgimento di potenziali vittime. Ciò gli dice cosa funziona e cosa non funziona e rappresenta un metodo per sferrare attacchi più specifici, il che potrebbe aumentare le possibilità di successo.

Utilizzo di URL generati casualmente

Uno dei componenti unici di questo kit è il modo in cui protegge accanitamente chi può accedervi. Come parte del tentativo della campagna di scartare i visitatori indesiderati, il kit genera un URL casuale collegato a un utente specifico come parte della catena di reindirizzamenti. Una volta arrivati al sito web di destinazione, ciascun URL allocato può essere usato solo dall'utente specifico.  

L'uso di questa funzionalità consente al criminale di assicurarsi che, nel caso in cui un URL generato casualmente venga segnalato come sospetto, gli altri utenti non possano accedervi e, di conseguenza, il sito web possa rimanere al di sotto del radar di rilevamento.

Utilizzo della potenza di una CDN

Simile all'abuso della reputazione affidabile dei servizi di hosting web, la pagina di destinazione della truffa utilizza alcuni dei servizi offerti da un fornitore CDN, inclusa la registrazione dei domini. Il criminale utilizza la registrazione rapida e semplice per avviare facilmente l'istanza, quindi ruota i nomi di dominio del sito web di phishing, il tutto senza la necessità di rimuovere l'infrastruttura del sito. Ruota anche gli indirizzi IP associati alla CDN e condivisi tra diversi clienti CDN, alcuni potrebbero essere considerati legittimi e altri dannosi. Ciò elimina la possibilità di blocco basato sull'indirizzo IP in quanto si potrebbe bloccare il traffico legittimo. Sospettiamo anche che vengano usate le funzioni difensive della CDN, come il blocco del traffico bot, per proteggere il sito web di phishing da crawler e scanner di sicurezza legittimi.

Campagna mirata geograficamente

Secondo la nostra ricerca, i siti web di destinazione cambiano in base alla posizione geografica delle vittime e alcune aree geografiche non sono assolutamente accessibili. La campagna che abbiamo monitorato era accessibile soprattutto dagli Stati Uniti, il che significa che prendeva di mira in particolar modo vittime negli USA. Sospettiamo che, limitando l'accesso indesiderato, il criminale riduce anche il rischio che il sito web di phishing venga rilevato dai prodotti di sicurezza che tentano di accedere a questo sito web dal di fuori degli Stati Uniti. Il fatto stesso che il collegamento di phishing porti a diversi siti web con diverse personalizzazioni geografiche enfatizza, ancora una volta, la scalabilità, l'efficacia e il livello di complessità di questa campagna.

Il punto di vista globale di Akamai convalida il presupposto che la campagna sia un attacco mirato geograficamente: Notiamo che l'89% delle vittime che accedono alle truffe di phishing risiede negli Stati Uniti o in Canada.  

Riepilogo

Se l'analisi di questo kit ci ha insegnato qualcosa è il motivo per cui le truffe di phishing hanno ancora tanto successo. I malintenzionati conoscono i suggerimenti, le tacche e le procedure di mitigazione e, se associato al social engineering, può essere difficile (se non impossibile) rilevare, men che meno difendersi da, un kit come questo. Questo post del blog non è un'accusa ai prodotti di sicurezza o all'efficacia dei fornitori, ma piuttosto mostra come anche più strati di difesa possono essere erosi per raggiungere uno scopo dannoso. 

Si è discusso molto nella comunità di sicurezza delle informazioni su ciò che rende una minaccia "sofisticata". È il modo in cui infetta? Come rimane persistente? Come elude il rilevamento? Indipendentemente da cosa intendiamo per "sofisticato", questo kit è da considerare dannoso perché comprende tutti gli elementi necessari per la riuscita di un attacco: l'utilizzo di servizi commerciali, una catena flessibile di rendirizzamenti, il blocco geografico e un token URI frammentato. Inoltre, indica se il criminale ha compreso come funzionano i prodotti di sicurezza e come utilizzarli a proprio vantaggio.

Le informazioni contenute in questo post, inoltre, evidenziano i fattori trainanti che servono ai criminali per creare una campagna di phishing efficace. Non è una partita che può finire alla pari. Proprio perché un kit di phishing viene rilevato e mitigato non significa che il criminale non sia riuscito nel suo intento. Il successo dipende maggiormente da una combinazione di vari fattori: il tempo in cui la campagna rimane attiva e non rilevata, il livello di realismo con cui appare la truffa e il tipo di coinvolgimento della vittima con la truffa stessa.

Il livello di sofisticazione della truffa è in un certo senso consentito dall'utilizzo dei servizi commerciali, un aspetto che deve destare molta preoccupazione. Alcuni di questi servizi pubblici gratuiti consentono ai criminali di perseguire i loro intenti dannosi con successo. Inoltre, è inquietante vedere campagne condotte con successo tramite l'utilizzo di questo livello di infrastruttura e di tecniche avanzate in attacchi sferrati su vasta scala contro i consumatori perché questi sofisticati attacchi di phishing sono anche più difficili da contrastare.

Proprio mentre ci avviciniamo alle festività negli Stati Uniti, prevediamo una crescita di questi attacchi che tenteranno di trarre vantaggio dallo spirito natalizio. Ecco perché vi consigliamo vivamente di rimanere vigili e di tenervi al sicuro. Ricordate: se ricevete un'offerta che vi sembra troppo allettante per essere vera, probabilmente è una truffa. 

Domini di destinazione phishing

opticshair{.}live

metalicanar{.}com

havocblume{.}com

fashionbrall{.}com

stirringglass{.}com

jetingsign{.}info

nauseaspinn{.}info

foresterdam{.}info
wharfposition{.}com

outstriplander{.}live

qualiagolf{.}info

kimonosuit{.}info