Zestaw narzędzi Rockstar 2FA PhaaS

Eksperci ds. cyberbezpieczeństwa wyrazili obawy dotyczące rosnącego zagrożenia: groźnych kampanii e-mailowych wykorzystujących zestaw narzędzi Phishing-as-a-Service (PhaaS) znany jako Rockstar 2FA. Ten zestaw narzędzi, zaprojektowany w celu zbierania danych uwierzytelniających konta Microsoft 365, stanowi zaawansowane podejście do ataków phishingowych.

Wykorzystując techniki Adversary-in-The-Middle (AiTM), Rockstar 2FA umożliwia atakującym przechwytywanie danych uwierzytelniających użytkownika i plików cookie sesji. Co alarmujące, nawet konta chronione za pomocą uwierzytelniania wieloskładnikowego (MFA) są podatne na te ataki, co pokazuje ewoluującą wyrafinowaną działalność cyberprzestępców.

Ewolucja od DadSec do Rockstar 2FA

Rockstar 2FA wydaje się być ulepszoną wersją zestawu phishingowego DadSec, znanego również jako Phoenix. Microsoft aktywnie śledził jego twórców i dystrybutorów pod nazwą kodową Storm-1575.

Zgodnie ze swoim modelem PhaaS, Rockstar 2FA jest sprzedawany na platformach takich jak ICQ, Telegram i Mail.ru. Za opłatą abonamentową w wysokości 200 USD za dwa tygodnie lub 350 USD za miesiąc pozwala nawet niedoświadczonym cyberprzestępcom na uruchamianie kampanii phishingowych na dużą skalę przy minimalnej wiedzy technicznej.

Główne funkcje wzmacniające pozycję cyberprzestępców

Twórcy Rockstar 2FA promują liczne funkcje zaprojektowane w celu zwiększenia skuteczności kampanii phishingowych. Należą do nich:

• Omijanie uwierzytelniania wieloskładnikowego: narzędzia umożliwiające ominięcie zabezpieczeń uwierzytelniania wieloskładnikowego.
• Przejęcie sesji : zbieranie plików cookie w celu uzyskania nieautoryzowanego dostępu.
• Ochrona antybotowa: mechanizmy blokujące automatyczne skanowanie bezpieczeństwa.
• Możliwość dostosowania stron logowania: motywy naśladujące zaufane marki i usługi.
• Integracja z Telegramem: powiadomienia i aktualizacje za pośrednictwem botów Telegrama.

Ponadto „nowoczesny, przyjazny użytkownikowi panel administracyjny” umożliwia użytkownikom efektywne zarządzanie kampaniami, od generowania linków phishingowych po personalizowanie szablonów w celu zapewnienia większej autentyczności.

Wykorzystanie zaufania za pomocą znanych narzędzi

Jedną z wyróżniających się taktyk stosowanych przez kampanie Rockstar 2FA jest strategiczne wykorzystanie zaufanych platform, takich jak Atlassian Confluence, Google Docs Viewer, Microsoft OneDrive, OneNote i Dynamics 365 Customer Voice, do hostowania linków phishingowych. Osadzając złośliwe adresy URL w tych renomowanych usługach, atakujący wykorzystują zaufanie, jakim darzą ich użytkownicy, zwiększając prawdopodobieństwo udanego włamania.

Wymyślne taktyki unikania wykrycia

Kampanie Rockstar 2FA wykorzystują różne metody dystrybucji przynęt phishingowych. Należą do nich:

• Osadzone adresy URL: linki osadzone w wiadomościach e-mail, które wydają się wiarygodne.
• Kody QR: nowoczesna wersja phishingu, omijająca tradycyjną analizę linków.
• Załączniki dokumentów: pliki mające na celu zachęcenie użytkowników do kliknięcia.

Aby jeszcze bardziej uniknąć wykrycia, zestaw narzędzi zawiera techniki takie jak kontrole antybotowe przy użyciu Cloudflare Turnstile i legalne przekierowania, takie jak skracacze adresów URL i usługi przepisywania adresów URL. Te środki pomagają stronom phishingowym unikać filtrów antyspamowych i zautomatyzowanych narzędzi do analizy zagrożeń.

Naśladowanie marek z precyzją

Strony phishingowe Rockstar 2FA są starannie zaprojektowane, aby imitować strony logowania popularnych usług. Pomimo zaciemniania kodu HTML, strony te zachowują wysoki stopień autentyczności. Gdy użytkownik wprowadzi swoje dane uwierzytelniające, dane są przesyłane do serwera AiTM w czasie rzeczywistym. Zebrane dane uwierzytelniające są następnie wykorzystywane do wyodrębniania plików cookie sesji, co umożliwia atakującym dostęp do konta ofiary bez wywoływania dodatkowych wyzwań uwierzytelniania.

Apel o czujność

Pojawienie się Rockstar 2FA podkreśla potrzebę zachowania czujności przez organizacje i osoby prywatne. Zaawansowane taktyki phishingu, takie jak ataki AiTM, mogą ominąć tradycyjne środki bezpieczeństwa, co sprawia, że przyjęcie wielowarstwowego podejścia do ochrony konta jest kluczowe. Regularna edukacja użytkowników, wraz z zaawansowanymi narzędziami wykrywania, odgrywa kluczową rolę w łagodzeniu takich zagrożeń.