کیت فیشینگ Morphing Meerkat

محققان امنیت سایبری یک پلت فرم پیچیده Phishing-as-a-Service (PhaaS) را کشف کرده اند که از سوابق تبادل ایمیل (MX) سیستم نام دامنه (DNS) برای ایجاد صفحات لاگین جعلی با تقلید از بیش از 114 برند سوء استفاده می کند. بازیگر پشت این عملیات که تحت نام مستعار Morphing Meerkat دنبال می‌شود، در کمپین‌های فیشینگ در مقیاس بزرگ برای جمع‌آوری اعتبار کاربران شرکت کرده است.

نحوه عملکرد میرکت Morphing

مهاجمان از تاکتیک‌های متعددی برای توزیع لینک‌های فیشینگ و استخراج اعتبار به سرقت رفته استفاده می‌کنند. این موارد عبارتند از:

• بهره‌برداری از تغییر مسیرهای باز: آنها از آسیب‌پذیری‌ها در زیرساخت‌های adtech بهره می‌برند.
• دامنه های در معرض خطر: از وب سایت های هک شده برای میزبانی محتوای فیشینگ استفاده می شود.
• استفاده از تلگرام برای نفوذ: اطلاعات سرقت شده از طریق تلگرام برای عوامل تهدید ارسال می شود.

یک کمپین مستند از ژوئیه 2024 شامل ایمیل های فیشینگ حاوی پیوندهایی به یک سند مشترک فرضی بود. با کلیک کردن روی پیوند، کاربران به یک صفحه ورود تقلبی میزبانی شده در Cloudflare R2 هدایت می‌شوند، جایی که اعتبار آنها جمع‌آوری شده و برای مهاجمان ارسال می‌شود.

دور زدن امنیت با تاکتیک های هوشمندانه

Morphing Meerkat هزاران ایمیل فیشینگ را با موفقیت ارسال کرده است و در عین حال از دفاع امنیتی عبور می کند. با این کار به این امر دست می یابد:

• استفاده از سایت های وردپرس در معرض خطر : میزبانی صفحات فیشینگ در وب سایت های قانونی اما هک شده.
• بهره‌برداری از آسیب‌پذیری‌های تغییر مسیر باز : استفاده از پلتفرم‌های تبلیغاتی مانند DoubleClick متعلق به Google برای فرار از تشخیص امنیتی.

پلت فرم فیشینگ همچنین با ترجمه پویا محتوا به چندین زبان از جمله انگلیسی، کره ای، اسپانیایی، روسی، آلمانی، چینی و ژاپنی، کارایی خود را افزایش می دهد و به آن اجازه می دهد قربانیان را در سراسر جهان هدف قرار دهد.

تکنیک های پیشرفته فرار

Morphing Meerkat از چندین تکنیک ضد تجزیه و تحلیل و مبهم سازی برای فرار از تشخیص استفاده می کند:

• کد مبهم و تورم : تجزیه و تحلیل صفحات فیشینگ را سخت تر می کند.

نقش DNS MX Records در فیشینگ اختصاصی

چیزی که Morphing Meerkat را از سایر تهدیدات فیشینگ متمایز می کند، استفاده آن از رکوردهای DNS MX برای سفارشی کردن حملات فیشینگ است. کیت فیشینگ سوابق MX را از Cloudflare یا Google بازیابی می‌کند تا ارائه‌دهنده خدمات ایمیل قربانی را شناسایی کند - مانند Gmail، Microsoft Outlook یا Yahoo! - و سپس یک صفحه ورود جعلی مشابه را ارائه می‌کند.

اگر کیت فیشینگ نتواند رکورد MX را تشخیص دهد، به طور پیش فرض صفحه ورود به سیستم Roundcube را نمایش می دهد. این سفارشی سازی پویا با ایجاد یکپارچه و معتبر جلوه دادن تجربه فیشینگ برای قربانیان، احتمال موفقیت را به میزان قابل توجهی افزایش می دهد.

چرا این روش حمله ناامن است؟

توانایی تنظیم صفحات فیشینگ برای ارائه دهنده ایمیل قربانی، این کمپین را به ویژه فریبنده می کند. آشنایی با صفحه ورود جعلی، همراه با یک ایمیل فیشینگ خوش ساخت، این احتمال را افزایش می دهد که کاربر ناآگاهانه اعتبار خود را وارد کند.

با استفاده از هوش مبتنی بر DNS، Morphing Meerkat حملات فیشینگ را به سطح جدیدی از پیچیدگی ارتقا می‌دهد و تشخیص آنها را سخت‌تر و قانع‌کننده‌تر از همیشه می‌کند. کارشناسان امنیت سایبری به ردیابی و تجزیه و تحلیل تاکتیک های در حال تحول آن برای کاهش تأثیر آن ادامه می دهند.