Phishingová kampaň AccountDumpling

Bola identifikovaná rozsiahla kyberzločinná kampaň pripisovaná skupine hrozbám spojenej s Vietnamom a nazvaná AccountDumpling, ktorá využíva Google AppSheet ako phishingový mechanizmus. Táto operácia distribuuje klamlivé e-maily s hlavným cieľom ohroziť účty na Facebooku, najmä tie, ktoré sú spojené s firemnými používateľmi.

Na rozdiel od konvenčných phishingových kampaní nejde o statickú sadu nástrojov, ale o dynamický a neustále sa vyvíjajúci ekosystém. Zahŕňa ovládacie panely operátorov v reálnom čase, pokročilé techniky obchádzania a štruktúrovaný systém monetizácie. Ukradnuté účty sú smerované späť do podzemného trhu ovládaného útočníkmi, čím sa vytvára sebestačná kriminálna slučka. V rámci tejto kampane bolo napadnutých približne 30 000 účtov na Facebooku.

Zbraňovaná dôvera: Využívanie služby Google AppSheet na doručovanie e-mailov

Útočný reťazec začína starostlivo vytvorenými phishingovými e-mailmi, ktoré sa vydávajú za členov Meta Support. Tieto správy sú zamerané na držiteľov firemných účtov na Facebooku a varujú ich pred bezprostredným vymazaním účtu, ak sa nepodniknú okamžité opatrenia. Obetiam sa odporúča, aby sa odvolali prostredníctvom vložených odkazov.

Kľúčovým faktorom účinnosti kampane je použitie legitímnej infraštruktúry. E-maily sa odosielajú z adresy Google AppSheet („noreply@appsheet.com“), čo im umožňuje obísť mnohé tradičné spamové a bezpečnostné filtre. Táto taktika zvyšuje dôveryhodnosť a zvyšuje pravdepodobnosť zapojenia používateľov.

Naliehavosť vyjadrená v týchto správach smeruje príjemcov na podvodné webové stránky určené na získavanie citlivých prihlasovacích údajov. Podobné vzorce útokov boli pozorované aj v predchádzajúcich kampaniach, čo naznačuje prebiehajúce zdokonaľovanie a opätovné používanie úspešných techník.

Psychologická manipulácia: Vytváranie „metapaniky“

Útočníci používajú rôzne návnady sociálneho inžinierstva na vyvolanie paniky a prinútenie používateľov k rýchlej reakcii. Tieto návnady sú strategicky navrhnuté tak, aby napodobňovali legitímnu meta komunikáciu a zneužívali scenáre založené na strachu.

Medzi hlavné kategórie návnad patria:

Hrozby súvisiace s účtom : Tvrdenia o pozastavení účtu, porušení autorských práv alebo požiadavkách na urgentné overenie
Bezpečnostné upozornenia : Upozornenia na podozrivé prihlásenia alebo povinné bezpečnostné kontroly
Obchodné a statusové stimuly : Ponuky na overenie modrého odznaku alebo príležitosti na nábor manažérov
Predstieranie identity spoločnosti : Falošné pracovné ponuky od známych značiek s cieľom vybudovať dôveru a nadviazať kontakt.

Každá návnada je prispôsobená tak, aby manipulovala so správaním používateľa, čím zvyšuje pravdepodobnosť prezradenia poverení.

Viackanálová phishingová infraštruktúra: Rôzne mechanizmy doručovania

Kampaň sa vyznačuje použitím viacerých hostingových platforiem a metód doručovania, z ktorých každá slúži na špecifickú úlohu pri zhromažďovaní a exfiltrácii údajov. Štyri hlavné útočné klastre zahŕňajú:

• Phishingové stránky hostované na Netlify: Falošné portály Centra pomoci Facebooku určené na zachytávanie prihlasovacích údajov, osobných údajov a identifikačných dokladov vydaných vládou. Zhromaždené údaje sa prenášajú do útočníkmi ovládaných kanálov Telegramu.
• Stránky „Kontrola zabezpečenia“ hostované spoločnosťou Vercel: Tieto stránky simulujú portály na ochranu súkromia alebo zabezpečenia metaúdajov a obsahujú falošné výzvy CAPTCHA. Obete sú vyzvané na opätovné zadanie prihlasovacích údajov a poskytnutie kódov dvojfaktorového overenia (2FA), ktoré sú všetky získané v reálnom čase.
• Lákadlá PDF súborov hostovaných na Disku Google: Tieto dokumenty, maskované ako oficiálne pokyny na overenie, presmerujú používateľov na phishingové stránky, ktoré zhromažďujú heslá, kódy 2FA, fotografie dokladov totožnosti a dokonca aj snímky obrazovky prehliadača pomocou vložených skriptov.
• Falošné náborové pracovné postupy: Vydávanie sa za veľké spoločnosti s cieľom vybudovať si dôveryhodnosť, po čom nasleduje presmerovanie na škodlivé platformy pre ďalšiu interakciu a zber údajov.

Telegramové kanály prepojené s týmito klastrami spolu obsahujú približne 30 000 záznamov o obetiach. Dotknuté osoby sa nachádzajú prevažne v Severnej Amerike, Európe, Ázii a Austrálii, pričom mnohé z nich stratili prístup k svojim účtom.

Prehľady atribucie: Sledovanie aktérov stojacich za kampaňou

Kritické dôkazy o pripisovaní sa vynorili z metadát vložených do phishingových PDF súborov vygenerovaných prostredníctvom bezplatného účtu Canva. V súboroch je ako autor uvedený „PHẠM TÀI TÂN“, čo poskytuje priamy odkaz na osobu potenciálne zodpovednú za operáciu.

Ďalšie informácie z otvorených zdrojov odhalili zodpovedajúcu webovú stránku „phamtaitan.vn“, ktorá propaguje služby digitálneho marketingu. Verejné vyhlásenia spojené s touto entitou naznačujú zameranie na marketingové zdroje a strategické poradenstvo, čo naznačuje dvojaký súbor zručností, ktoré možno zneužiť na legitímne aj škodlivé účely.

Podzemná ekonomika: Speňaženie kompromitovaných digitálnych identít

Táto kampaň ilustruje širší trend v kyberkriminalite: komodifikáciu digitálnych identít. Kompromitované účty na Facebooku nie sú len koncovými bodmi, ale cennými aktívami v rámci prosperujúceho podzemného trhu.

Útočníci obchodujú s prístupom k účtom na základe faktorov, ako je obchodná príslušnosť, história inzercie a potenciál obnovy. Táto operácia demonštruje, ako sa dôveryhodné platformy, ako sú Google AppSheet, Netlify, Vercel a ďalšie, premieňajú na vrstvy infraštruktúry pre doručovanie, hosting a monetizáciu.

Kampaň AccountDumpling slúži ako jasný príklad toho, ako moderní aktéri kybernetických útokov integrujú sociálne inžinierstvo, cloudové služby a podzemnú ekonomiku do súdržného a škálovateľného kyberkriminálneho podniku.