Campanhas de phishing direcionadas ao USPS recebem a mesma quantidade de tráfego da Web que o próprio USPS

• Após a temporada de festas de fim de ano de 2023, os pesquisadores da Akamai descobriram uma quantidade significativa de atividades e domínios com alta probabilidade de serem mal-intencionados fingindo ser do USPS (Serviço Postal dos Estados Unidos).

• Os pesquisadores da Akamai compararam cinco meses de tráfego de DNS ao domínio legítimo, usps[.]com, com tráfego de DNS para nomes de domínio com combosquatting ilegítimos. 

• Por meio dessa análise, descobrimos que o número de consultas de DNS nos domínios mal-intencionados coletados é geralmente igual ao número de consultas no usps[.]com e até o excede durante os horários de pico.

Os filtros que aplicamos são bastante rigorosos: Não estamos incluindo nomes de domínio totalmente qualificados como us.ps393[.]com ou usps.parceltracker-us[.]com porque eles incluem o subdomínio. Para garantir a precisão, coletamos apenas as amostras mais óbvias que usam a técnica de combosquatting.

Nossos parâmetros rigorosos mostram que fomos extremamente conservadores em nossa análise. Mesmo assim, vimos uma quantidade extraordinária de tráfego mal-intencionado, o que faz com que real impacto dessas apropriações seja surpreendente. Poderíamos ter coletado domínios consideravelmente mais mal-intencionados que se apropriam do USPS, mas era fundamental evitar incluir falsos positivos nesse conjunto de dados.

Todas as estatísticas a seguir são derivadas da amostra de dados disponível para essa análise. Pode ser uma amostra muito grande, mas ainda é uma amostra, e seu tamanho faz com que todos os números sejam mais baixos. Isso vale tanto para o conjunto de dados mal-intencionados quanto para o próprio conjunto de dados usps[.]com legítimo.

Tabela 1: Domínios mal-intencionados que tiveram a maioria do tráfego de DNS

Olhando de novo para as barras azuis na Figura 3, vemos que usps-stampservice[.]com começou a receber tráfego em 23 de novembro, um dia antes da Black Friday. Ele ficou ativo até 1º de dezembro e, depois disso, parou de receber tráfego. Supomos que isso aconteceu porque os cibercriminosos pararam de enviar mensagens de texto para possíveis vítimas naquele momento. O website provavelmente foi desativado, pois não conseguimos acessá-lo no momento.

Agora vamos ver o outro domínio: uspspost[.]me (as barras laranjas na Figura 3). Esse domínio parece ter estabelecido como objetivo o período de Natal e, curiosamente, 6 de dezembro. Se isso se deu pelo Dia de São Nicolau, a campanha direcionava um nicho muito específico, já que o Dia de São Nicolau é celebrado apenas em alguns lugares nos Estados Unidos. Essa campanha também pode ter sido direcionada aos clientes da Cyber Monday.

Tabela 2: TLDs mais populares associados aos principais domínios mal-intencionados

O TLD [.]com é o mais popular para o registro de novos domínios. Encontramos quase 4.500 domínios .com exclusivos em nossos dados. Isso não é surpreendente, pois um [.]com pode dar às possíveis vítimas um senso de familiaridade e legitimidade globalmente.

O TLD [.]top parece ser a alternativa de TLD favorita dos agentes de ameaças. Ele aparece em segundo lugar com mais de 3.000 nomes de domínio diferentes. Esse TLD genérico é operado por uma empresa de tecnologia na China e é conhecido por ser usado de forma mal-intencionada em campanhas de phishing.

Curiosamente, o TLD [.]world não aparece na tabela. Isso porque, para o [.]world, contamos um total de 170.126 consultas (muito alto, quase o mesmo que [.]com e [.]top), mas 99,5% delas foram feitas apenas para o usps-post[.]world (lembre-se que usps-post[.]world foi o nome de domínio que mais recebeu consultas). Encontramos apenas alguns nomes de domínio nesse TLD.

Tabela 3: Endereço IP dos principais domínios mal-intencionados

Os IPs pertencentes à QuadraNet têm apenas alguns nomes de domínios apontando para eles, mas ainda recebem grandes quantidades de tráfego.

Os IPs que apontam para a Amazon têm um grande número de nomes de domínios anexados, mas cada domínio é responsável por apenas uma pequena quantidade de consultas.

A explicação provável é que estamos analisando dois ataques de phishing diferentes aqui. Em um deles, os fraudadores tomaram a decisão de espalhar o tráfego por vários nomes de domínios diferentes.  A outra campanha abrange apenas alguns domínios, e cada um recebe muito tráfego.

Também podemos ver o que acontece ao longo do tempo. A Figura 7 exibe os mesmos números agregados por semana.

Não só o tráfego é relativamente equivalente em um dia típico, mas durante algumas semanas, os domínios mal-intencionados receberam mais consultas do que o próprio usps.com. Esses picos giram em torno dos feriados de Ação de Graças (Black Friday) e Natal, o maior período de entrega do ano nos Estados Unidos.

Parece que os agentes de ameaça estão muito cientes desses feriados de entrega de presentes e estão programando suas campanhas de phishing do USPS para essas datas. Faz sentido que eles façam isso, pois mais pessoas estarão esperando encomendas. As festas de fim de ano também são um momento especialmente movimentado, o que significa que as pessoas podem estar mais propensas a cometer erros descuidados que, em outros momentos, não cometeriam, como clicar nessas mensagens de golpe.

Descobrimos que o USPS está sendo atacado por golpes de texto especialmente durante as temporadas de Natal e Ação de Graças devido à tradição de compra de presentes nesses feriados.

As contagens totais de consultas de domínios mal-intencionados em comparação com usps[.]com são quase iguais, mesmo quando contamos apenas domínios que incluem explicitamente a sigla USPS. Embora o USPS tenha ganhado 51% do total de consultas para este período de cinco meses nesta análise, a forma como filtramos os dados sugere que o tráfego mal-intencionado supera significativamente o tráfego legítimo no mundo real. Usamos o USPS como exemplo, mas essa técnica de combosquatting é usada em todo o mundo em campanhas de phishing e por uma boa razão: faz muito sucesso.

Vimos duas abordagens diferentes dos agentes mal-intencionados: eles espalharam o tráfego por muitos nomes de domínios diferentes ou usaram poucos domínios mas cada um recebeu muito tráfego. O objetivo disso pode ser ofuscação: operadoras e outros provedores de hospedagem estão cientes da onipresença desses golpes e tentam de forma vigilante identificar e remover essas páginas. Considerando o nível de atenção dado para eliminar esses golpes, os resultados e nossas observações são ainda mais preocupantes.

Continuaremos monitorando e divulgando ameaças como essas para nossos clientes e para a comunidade de segurança em geral.