Sneaky 2FA Phishing Kit

Hulumtuesit e sigurisë kibernetike kanë zbuluar një çantë të sofistikuar të phishing kundër kundërshtarëve në mes (AitM), të quajtur Sneaky 2FA, që ka synuar në mënyrë aktive llogaritë e Microsoft 365 që të paktën nga tetori 2024. Ky komplet është krijuar për të përgjuar kredencialet dhe dy faktorët (Authen) 2FA) kodet, duke u ofruar aktorëve të kërcënimit një mjet të fuqishëm për llogari kompromis.

Adoptimi i përhapur dhe tiparet e Sneaky 2FA

Janë identifikuar afro 100 domene që presin faqe phishing Sneaky 2FA, duke sinjalizuar një adoptim të moderuar midis kriminelëve kibernetikë. I shitur si Phishing-as-a-Service (PhaaS) nga një grup i quajtur Sneaky Log, ky komplet shpërndahet përmes një roboti Telegram të pasur me veçori. Konsumatorët marrin një version të turbullt të kodit burimor, duke i lejuar ata ta vendosin atë në mënyrë të pavarur.

Fushata phishing që synojnë viktimat

Fushatat që përdorin Sneaky 2FA janë vërejtur duke dërguar email të rreme të faturave të pagesës që përmbajnë bashkëngjitje PDF. Këto PDF përfshijnë kode QR që, kur skanohen, i ridrejtojnë viktimat në faqet e phishing të krijuara për të imituar portalet e hyrjes në Microsoft 365. Këto faqe strehohen në infrastrukturë të komprometuar, shpesh duke përfshirë faqet e internetit të WordPress, dhe automatikisht popullojnë adresat e emailit të viktimave për të rritur legjitimitetin.

Taktika të fuqishme të evazionit dhe anti-analizës

Sneaky 2FA përdor teknika të avancuara anti-bot dhe anti-analizë. Ai filtron trafikun dhe përdor sfidat e Cloudflare Turnstile për të kufizuar aksesin në faqet e tij të grumbullimit të kredencialeve. Kompleti gjithashtu kryen kontrolle për të zbuluar dhe për t'i rezistuar shqyrtimit nëpërmjet mjeteve të zhvilluesit të shfletuesit të internetit. Vizitorët nga qendrat e të dhënave, përfaqësuesit ose VPN-të ridrejtohen në një faqe Wikipedia të lidhur me Microsoft-in nëpërmjet shërbimit href.li, duke i dhënë kompletit pseudonimin WikiKit nga TRAC Labs.

Pamje mashtruese për të mashtruar përdoruesit

Për të përmirësuar vërtetësinë e tij, Sneaky 2FA përfshin imazhe të paqarta të ndërfaqeve legjitime të Microsoft si sfond në faqet e tij të rreme të hyrjes. Kjo taktikë synon të mashtrojë përdoruesit për të futur kredencialet e tyre me përshtypjen se po aksesojnë përmbajtje origjinale të Microsoft.

Licencimi dhe lidhjet me dyqanin W3LL

Kompleti Sneaky 2FA kërkon një abonim aktiv për të funksionuar, me një verifikim të çelësit të licencës të kryer përmes një serveri qendror. Shërbimi reklamohet me 200 dollarë në muaj, duke ofruar akses ekskluziv në veçoritë e tij. Hetimet kanë zbuluar gjithashtu lidhje me dyqanin W3LL, një sindikatë phishing e lidhur më parë me Panelin W3LL dhe mjetet e përdorura në sulmet e komprometimit të emailit të biznesit (BEC). Ndërsa Sneaky 2FA ndan disa kode dhe teknika me Panelin W3LL, studiuesit besojnë se ai nuk është një pasardhës i drejtpërdrejtë.

Një histori e ripërdorimit dhe migrimit të kodit

Është interesante se pjesë të bazës së kodeve të Sneaky 2FA duket se janë huazuar nga W3LL OV6, me versione të defuzuara të këtij të fundit që qarkullojnë mes kriminelëve kibernetikë në vitet e fundit. Disa domene Sneaky 2FA ishin të lidhur më parë me komplete AitM si Evilginx2 dhe Greatness, duke sugjeruar një ndryshim midis disa sulmuesve drejt adoptimit të shërbimit të ri.

Sjellja e pazakontë e agjentit të përdoruesit: Një flamur i kuq

Një nga tiparet më dalluese të Sneaky 2FA është përdorimi i vargjeve të ndryshme të Agjentit të Përdoruesit me kod të fortë gjatë procesit të vërtetimit. Ndërsa kalime të tilla mund të ndodhin në skenarë të ligjshëm (p.sh., ndërrimi midis aplikacioneve desktop dhe shfletuesve të uebit), sekuenca specifike e përdorur nga Sneaky 2FA është shumë e parregullt. Kjo anomali ofron një mjet të besueshëm për zbulimin e kompletit në veprim.

Përfundim: Një kërcënim në rritje në peizazhin e krimit kibernetik

Sneaky 2FA përfaqëson një evolucion në mjetet e phishing, duke kombinuar taktikat e avancuara të evazionit, mashtrimin e përdoruesve dhe një model PhaaS për t'u kujdesur për kriminelët kibernetikë. Miratimi i tij nxjerr në pah natyrën gjithnjë në ndryshim të kërcënimeve në internet dhe seriozitetin e të qenit vigjilent ndaj fushatave të sofistikuara të phishing.