Kompleti për phishing Morphing Meerkat

Studiuesit e sigurisë kibernetike kanë zbuluar një platformë të sofistikuar Phishing-as-a-Service (PhaaS) që shfrytëzon të dhënat e shkëmbimit të postës së sistemit të emrave të domenit (DNS) për të krijuar faqe të rreme hyrjeje që imitojnë mbi 114 marka. Aktori që qëndron pas këtij operacioni, i gjurmuar me pseudonimin Morphing Meerkat, ka qenë i përfshirë në fushata phishing në shkallë të gjerë për të mbledhur kredencialet e përdoruesve.

Si funksionon Meerkat Morphing

Sulmuesit përdorin taktika të shumta për të shpërndarë lidhje phishing dhe për të shfrytëzuar kredencialet e vjedhura. Këto përfshijnë:

• Shfrytëzimi i ridrejtimeve të hapura: Ata përfitojnë nga dobësitë në infrastrukturën adtech.
• Domenet komprometuese: Faqet e internetit të hakuara përdoren për të pritur përmbajtje phishing.
• Përdorimi i Telegramit për Eksfiltrim: Kredencialet e vjedhura u dërgohen aktorëve të kërcënimit përmes Telegramit.

Një fushatë e dokumentuar nga korriku 2024 përfshinte email phishing që përmbanin lidhje me një dokument të supozuar të përbashkët. Klikimi i lidhjes i drejtoi përdoruesit në një faqe hyrje të falsifikuar të vendosur në Cloudflare R2, ku kredencialet e tyre u grumbulluan dhe u dërguan sulmuesve.

Anashkalimi i sigurisë me taktika të zgjuara

Morphing Meerkat ka dërguar me sukses mijëra email phishing duke anashkaluar mbrojtjen e sigurisë. Këtë e arrin duke:

• Përdorimi i faqeve të komprometuara të WordPress : Pritja e faqeve të phishing në faqet e internetit të ligjshme, por të hakuara.
• Shfrytëzimi i dobësive të ridrejtimit të hapur : Përdorimi i platformave reklamuese si DoubleClick në pronësi të Google për të shmangur zbulimin e sigurisë.

Platforma e phishing rrit gjithashtu efektivitetin e saj duke përkthyer në mënyrë dinamike përmbajtjen në shumë gjuhë, duke përfshirë anglisht, koreanisht, spanjisht, rusisht, gjermanisht, kinezisht dhe japonisht, duke e lejuar atë të synojë viktimat në mbarë botën.

Teknika të avancuara të evazionit

Morphing Meerkat përdor disa teknika anti-analizë dhe mjegullimi për të shmangur zbulimin:

• Mbyllja e kodit dhe inflacioni : I bën faqet e phishing më të vështira për t'u analizuar.
• Çaktivizimi i klikimit me të djathtën dhe çelësat kryesorë: Parandalon studiuesit e sigurisë që të shikojnë ose ruajnë shpejt kodin burimor të faqes së phishing.

Roli i DNS MX Records në phishing të përshtatur

Ajo që e dallon Morphing Meerkat nga kërcënimet e tjera të phishing është përdorimi i të dhënave DNS MX për të personalizuar sulmet e phishing. Kompleti i phishing merr të dhënat MX nga Cloudflare ose Google për të identifikuar ofruesin e shërbimit të emailit të viktimës—si Gmail, Microsoft Outlook ose Yahoo!—dhe më pas shërben një faqe të rreme identifikimi.

Nëse kompleti i phishing dështon të njohë rekordin MX, ai si parazgjedhje shfaq një faqe identifikimi në Roundcube. Ky personalizim dinamik rrit ndjeshëm gjasat e suksesit duke e bërë përvojën e phishing të duket e qetë dhe autentike për viktimat.

Pse kjo metodë e sulmit është e pasigurt

Aftësia për të përshtatur faqet e phishing me ofruesin e emailit të viktimës e bën këtë fushatë veçanërisht mashtruese. Familjariteti i faqes së rreme të hyrjes, së bashku me një email phishing të krijuar mirë, rrit shanset që një përdorues të futë pa vetëdije kredencialet e tij.

Duke përdorur inteligjencën e bazuar në DNS, Morphing Meerkat i ngre sulmet e phishing në një nivel të ri të sofistikimit, duke i bërë ato më të vështira për t'u zbuluar dhe më bindës se kurrë më parë. Ekspertët e sigurisë kibernetike vazhdojnë të gjurmojnë dhe analizojnë taktikat e saj në zhvillim për të zbutur ndikimin e saj.