Morphing Meerkat Phishing Kit

Cybersäkerhetsforskare har upptäckt en sofistikerad Phishing-as-a-Service (PhaaS)-plattform som utnyttjar MX-posterna (Domain Name System) för att skapa falska inloggningssidor som efterliknar över 114 varumärken. Aktören bakom denna operation, spårad under aliaset Morphing Meerkat, har engagerat sig i storskaliga nätfiskekampanjer för att samla in användaruppgifter.

Hur Morphing Meerkat fungerar

Angriparna använder flera taktiker för att distribuera nätfiske-länkar och exfiltrera stulna referenser. Dessa inkluderar:

• Utnyttja öppna omdirigeringar: De drar fördel av sårbarheter i adtech-infrastruktur.
• Kompromissande domäner: Hackade webbplatser används för nätfiskeinnehåll.
• Använda Telegram för Exfiltration: Stulna referenser skickas till hotaktörer via Telegram.

En dokumenterad kampanj från juli 2024 involverade nätfiske-e-postmeddelanden som innehöll länkar till ett förmodat delat dokument. Genom att klicka på länken ledde användarna till en falsk inloggningssida på Cloudflare R2, där deras referenser samlades in och skickades till angriparna.

Förbi säkerhet med smart taktik

The Morphing Meerkat har framgångsrikt levererat tusentals nätfiske-e-postmeddelanden samtidigt som de kringgår säkerhetsförsvar. Den uppnår detta genom att:

• Utnyttja komprometterade WordPress-webbplatser : Hosta nätfiskesidor på legitima men hackade webbplatser.
• Utnyttja öppna omdirigeringssårbarheter : Använda reklamplattformar som Google-ägda DoubleClick för att undvika säkerhetsdetektering.

Nätfiskeplattformen förbättrar också sin effektivitet genom att dynamiskt översätta innehåll till flera språk, inklusive engelska, koreanska, spanska, ryska, tyska, kinesiska och japanska, vilket gör att den kan rikta in sig på offer över hela världen.

Avancerade undanflyktstekniker

The Morphing Meerkat använder flera antianalys- och obfuskeringstekniker för att undvika upptäckt:

• Code Obfuscation & Inflation : Gör nätfiskesidor svårare att analysera.
• Inaktivera högerklick och snabbtangenter: Förhindrar säkerhetsforskare från att snabbt visa eller spara källkoden för nätfiskesidan.

DNS MX-posternas roll i skräddarsydd nätfiske

Det som skiljer Morphing Meerkat från andra nätfiskehot är dess användning av DNS MX-poster för att anpassa nätfiskeattacker. Nätfiskepaketet hämtar MX-poster från Cloudflare eller Google för att identifiera offrets e-postleverantör – som Gmail, Microsoft Outlook eller Yahoo! – och visar sedan en matchande falsk inloggningssida.

Om nätfiskepaketet inte känner igen MX-posten visar det som standard en Roundcube-inloggningssida. Denna dynamiska anpassning ökar avsevärt sannolikheten för framgång genom att få nätfiskeupplevelsen att se sömlös och autentisk ut för offren.

Varför denna attackmetod är osäker

Möjligheten att skräddarsy nätfiskesidor till ett offers e-postleverantör gör denna kampanj särskilt vilseledande. Bekantskapen med den falska inloggningssidan, i kombination med ett välarbetat nätfiske-e-postmeddelande, ökar chansen att en användare omedvetet kommer att ange sina autentiseringsuppgifter.

Genom att utnyttja DNS-baserad intelligens lyfter Morphing Meerkat nätfiskeattacker till en ny nivå av sofistikering, vilket gör dem svårare att upptäcka och mer övertygande än någonsin tidigare. Cybersäkerhetsexperter fortsätter att spåra och analysera dess utvecklande taktik för att mildra dess påverkan.