Kit di strumenti Rockstar 2FA PhaaS

Gli esperti di sicurezza informatica hanno sollevato preoccupazioni su un pericolo crescente: campagne e-mail minacciose che utilizzano un toolkit Phishing-as-a-Service (PhaaS) noto come Rockstar 2FA. Questo toolkit, progettato per raccogliere le credenziali dell'account Microsoft 365, rappresenta un approccio avanzato agli attacchi di phishing.

Sfruttando le tecniche Adversary-in-The-Middle (AiTM), Rockstar 2FA consente agli aggressori di intercettare le credenziali utente e i cookie di sessione. In modo allarmante, anche gli account protetti con Multi-Factor Authentication (MFA) sono vulnerabili a questi attacchi, a dimostrazione della crescente sofisticatezza delle operazioni dei criminali informatici.

Evoluzione da DadSec a Rockstar 2FA

Rockstar 2FA sembra essere un'iterazione migliorata del kit di phishing DadSec, noto anche come Phoenix. Microsoft ha attivamente monitorato i suoi creatori e distributori con il nome in codice Storm-1575.

Fedele al suo modello PhaaS, Rockstar 2FA è commercializzato su piattaforme come ICQ, Telegram e Mail.ru. Per una quota di abbonamento di $ 200 per due settimane o $ 350 per un mese, consente anche ai criminali informatici inesperti di lanciare campagne di phishing su larga scala con una conoscenza tecnica minima.

Caratteristiche principali che potenziano i criminali informatici

Gli sviluppatori di Rockstar 2FA promuovono numerose funzionalità progettate per migliorare l'efficacia delle campagne di phishing. Tra queste:

• Bypass 2FA: strumenti per eludere le difese dell'autenticazione a più fattori.
• Session Hijacking : raccolta di cookie per ottenere un accesso non autorizzato.
• Protezione Antibot: meccanismi per bloccare le scansioni di sicurezza automatiche.
• Pagine di accesso personalizzabili: temi che imitano marchi e servizi affidabili.
• Integrazione Telegram: notifiche e aggiornamenti tramite bot Telegram.

Inoltre, il suo "pannello di amministrazione moderno e intuitivo" consente agli utenti di gestire le proprie campagne in modo efficiente, dalla generazione di link di phishing alla personalizzazione dei modelli per una maggiore autenticità.

Sfruttare la fiducia attraverso strumenti familiari

Una delle tattiche più importanti impiegate dalle campagne Rockstar 2FA è l'uso strategico di piattaforme affidabili come Atlassian Confluence, Google Docs Viewer, Microsoft OneDrive, OneNote e Dynamics 365 Customer Voice per ospitare link di phishing. Incorporando URL dannosi all'interno di questi servizi affidabili, gli aggressori sfruttano la fiducia che gli utenti ripongono in essi, aumentando la probabilità di un compromesso riuscito.

Tattiche sofisticate per eludere il rilevamento

Le campagne Rockstar 2FA impiegano diversi metodi per distribuire esche di phishing. Tra questi:

• URL incorporati: link incorporati in email che sembrano legittimi.
• Codici QR: una versione moderna del phishing, che aggira la tradizionale analisi dei link.
• Allegati di documenti: file pensati per invogliare gli utenti a cliccare.

Per eludere ulteriormente il rilevamento, il toolkit incorpora tecniche come i controlli antibot che utilizzano Cloudflare Turnstile e redirector legittimi come URL shortener e servizi di riscrittura URL. Queste misure aiutano le pagine di phishing a eludere i filtri antispam e gli strumenti di analisi automatizzata delle minacce.

Imitare i marchi con precisione

Le pagine di phishing di Rockstar 2FA sono meticolosamente progettate per imitare le pagine di accesso dei servizi più popolari. Nonostante l'offuscamento applicato al codice HTML, queste pagine mantengono un alto grado di autenticità. Una volta che un utente inserisce le proprie credenziali, i dati vengono trasmessi a un server AiTM in tempo reale. Le credenziali raccolte vengono quindi utilizzate per estrarre i cookie di sessione, consentendo agli aggressori di accedere all'account della vittima senza innescare ulteriori sfide di autenticazione.

Un invito alla vigilanza

L'emergere di Rockstar 2FA sottolinea la necessità per organizzazioni e individui di rimanere vigili. Le tattiche di phishing avanzate come gli attacchi AiTM possono aggirare le misure di sicurezza tradizionali, rendendo fondamentale adottare un approccio multistrato alla protezione dell'account. La formazione regolare degli utenti, insieme a strumenti di rilevamento avanzati, svolgono un ruolo fondamentale nella mitigazione di tali minacce.