Rockstar 2FA PhaaS-toolkit

Cybersecurity-experts hebben hun zorgen geuit over een groeiend gevaar: dreigende e-mailcampagnes met behulp van een Phishing-as-a-Service (PhaaS)-toolkit die bekendstaat als Rockstar 2FA. Deze toolkit, ontworpen om Microsoft 365-accountgegevens te verzamelen, vertegenwoordigt een geavanceerde aanpak van phishingaanvallen.

Door Adversary-in-The-Middle (AiTM)-technieken te gebruiken, stelt Rockstar 2FA aanvallers in staat om gebruikersreferenties en sessiecookies te onderscheppen. Alarmerend genoeg zijn zelfs accounts die zijn beveiligd met Multi-Factor Authentication (MFA) kwetsbaar voor deze aanvallen, wat de evoluerende verfijning van cybercriminele operaties laat zien.

Evolutie van DadSec naar Rockstar 2FA

Rockstar 2FA lijkt een verbeterde versie van de DadSec phishing kit, ook bekend als Phoenix. Microsoft heeft de makers en distributeurs actief gevolgd onder de codenaam Storm-1575.

Getrouw aan zijn PhaaS-model wordt Rockstar 2FA op de markt gebracht op platforms als ICQ, Telegram en Mail.ru. Voor een abonnementsbedrag van $ 200 voor twee weken of $ 350 voor een maand, kunnen zelfs onervaren cybercriminelen grootschalige phishingcampagnes starten met minimale technische kennis.

Belangrijkste kenmerken die cybercriminelen meer macht geven

De ontwikkelaars van Rockstar 2FA promoten talloze functies die zijn ontworpen om de effectiviteit van phishingcampagnes te verbeteren. Deze omvatten:

• 2FA-bypass: hulpmiddelen om de verdediging tegen multi-factor-authenticatie te omzeilen.
• Sessiekaping : het verzamelen van cookies om ongeautoriseerde toegang te verkrijgen.
• Antibot-beveiliging: mechanismen om geautomatiseerde beveiligingsscans te blokkeren.
• Aanpasbare inlogpagina's: thema's die vertrouwde merken en diensten nabootsen.
• Telegram-integratie: meldingen en updates via Telegram-bots.

Bovendien kunnen gebruikers dankzij het moderne, gebruiksvriendelijke adminpaneel hun campagnes efficiënt beheren, van het genereren van phishinglinks tot het personaliseren van sjablonen voor een grotere authenticiteit.

Vertrouwen benutten door middel van vertrouwde hulpmiddelen

Een van de opvallende tactieken die Rockstar 2FA-campagnes gebruiken, is het strategische gebruik van vertrouwde platforms zoals Atlassian Confluence, Google Docs Viewer, Microsoft OneDrive, OneNote en Dynamics 365 Customer Voice om phishinglinks te hosten. Door kwaadaardige URL's in deze gerenommeerde services te embedden, profiteren aanvallers van het vertrouwen dat gebruikers erin stellen, waardoor de kans op een succesvolle inbreuk toeneemt.

Geavanceerde tactieken om detectie te ontwijken

Rockstar 2FA-campagnes gebruiken diverse methoden om phishing-lokmiddelen te verspreiden. Deze omvatten:

• Ingesloten URL's: links die in e-mails zijn ingesloten en er legitiem uitzien.
• QR-codes: een moderne variant op phishing, waarbij de traditionele linkanalyse wordt omzeild.
• Documentbijlagen: bestanden die zijn ontworpen om gebruikers te verleiden om te klikken.

Om detectie verder te ontwijken, integreert de toolkit technieken zoals antibot-controles met Cloudflare Turnstile en legitieme redirectors zoals URL-verkorters en URL-herschrijfservices. Deze maatregelen helpen de phishingpagina's om antispamfilters en geautomatiseerde bedreigingsanalysetools te ontwijken.

Merken met precisie nabootsen

De phishingpagina's van Rockstar 2FA zijn zorgvuldig ontworpen om de inlogpagina's van populaire services te imiteren. Ondanks de verduistering die op de HTML-code is toegepast, behouden deze pagina's een hoge mate van authenticiteit. Zodra een gebruiker zijn inloggegevens invoert, worden de gegevens in realtime naar een AiTM-server verzonden. De verzamelde inloggegevens worden vervolgens gebruikt om sessiecookies te extraheren, waardoor aanvallers toegang krijgen tot het account van het slachtoffer zonder dat er extra authenticatieproblemen ontstaan.

Een oproep tot waakzaamheid

De opkomst van Rockstar 2FA onderstreept de noodzaak voor organisaties en individuen om waakzaam te blijven. Geavanceerde phishingtactieken zoals AiTM-aanvallen kunnen traditionele beveiligingsmaatregelen omzeilen, waardoor het cruciaal is om een gelaagde aanpak voor accountbeveiliging te hanteren. Regelmatige gebruikerseducatie, samen met geavanceerde detectietools, speelt een cruciale rol bij het beperken van dergelijke bedreigingen.