Morphing Meerkat Phishing Kit
Os pesquisadores de segurança cibernética descobriram uma plataforma sofisticada de Phishing-as-a-Service (PhaaS) que explora os registros de troca de e-mail (MX) do Domain Name System (DNS) para criar páginas de login falsas imitando mais de 114 marcas. O ator por trás dessa operação, rastreado sob o pseudônimo Morphing Meerkat, tem se envolvido em campanhas de phishing em larga escala para coletar credenciais de usuários.
Índice
Como o Morphing Meerkat Opera
Os atacantes empregam várias táticas para distribuir links de phishing e exfiltrar credenciais roubadas. Elas incluem:
- Explorando redirecionamentos abertos: Eles aproveitam vulnerabilidades na infraestrutura de adtech.
- Domínios comprometedores: Os sites hackeados são usados para hospedar conteúdo de phishing.
- Usando o Telegram para exfiltração: As redenciais roubadas são enviadas aos agentes de ameaças via Telegram.
Uma campanha documentada de julho de 2024 envolveu e-mails de phishing contendo links para um suposto documento compartilhado. Clicar no link direcionava os usuários para uma página de login falsa hospedada no Cloudflare R2, onde suas credenciais eram coletadas e enviadas aos invasores.
Driblando a Segurança com Táticas Inteligentes
O Morphing Meerkat entregou com sucesso milhares de e-mails de phishing enquanto contornava as defesas de segurança. Ele consegue isso por:
- Aproveitando sites WordPress comprometidos : Hospedando páginas de phishing em sites legítimos, mas hackeados.
- Explorando vulnerabilidades de redirecionamento aberto : Usando plataformas de publicidade como o DoubleClick, de propriedade do Google, para escapar da detecção de segurança.
A plataforma de phishing também aumenta sua eficácia ao traduzir dinamicamente o conteúdo para vários idiomas, incluindo inglês, coreano, espanhol, russo, alemão, chinês e japonês, permitindo atingir vítimas no mundo todo.
Avançadas Técnicas de Evasão
O Morphing Meerkat emprega várias técnicas de antianálise e ofuscação para evitar a detecção:
- Ofuscação e inflação de código : Torna as páginas de phishing mais difíceis de analisar.
- Desabilitar clique com o botão direito e teclas de atalho: Impede que pesquisadores de segurança visualizem ou salvem rapidamente o código-fonte da página de phishing.
O Papel dos Registros DNS MX no Phishing Personalizado
O que diferencia o Morphing Meerkat de outras ameaças de phishing é o uso de registros DNS MX para personalizar ataques de phishing. O kit de phishing recupera registros MX do Cloudflare ou do Google para identificar o provedor de serviços de e-mail da vítima — como Gmail, Microsoft Outlook ou Yahoo! — e então exibe uma página de login falsa correspondente.
Se o kit de phishing não reconhecer o registro MX, ele exibirá por padrão uma página de login do Roundcube. Essa personalização dinâmica aumenta significativamente a probabilidade de sucesso, fazendo com que a experiência de phishing pareça perfeita e autêntica para as vítimas.
Por Que esse Método de Ataque é Inseguro
A capacidade de personalizar páginas de phishing para o provedor de e-mail da vítima torna essa campanha particularmente enganosa. A familiaridade da página de login falsa, juntamente com um e-mail de phishing bem elaborado, aumenta as chances de um usuário inserir suas credenciais sem saber.
Ao alavancar a inteligência baseada em DNS, o Morphing Meerkat eleva os ataques de phishing a um novo nível de sofisticação, tornando-os mais difíceis de detectar e mais convincentes do que nunca. Especialistas em segurança cibernética continuam a rastrear e analisar suas táticas em evolução para mitigar seu impacto.
