Kit di phishing 2FA furtivo: minaccia pericolosa per la sicurezza online

L'autenticazione a due fattori (2FA) è da tempo una misura di sicurezza affidabile per proteggere gli account utente. Tuttavia, è emerso un sofisticato strumento di phishing chiamato Sneaky 2FA, che prende di mira gli account protetti da 2FA sfruttando la fiducia nelle misure di sicurezza. Identificato per la prima volta alla fine del 2024, questo kit mostra l'evoluzione degli attacchi di phishing, evidenziando la necessità di solide pratiche di sicurezza online.

Che cos'è il kit di phishing 2FA furtivo?

Sneaky 2FA è uno strumento avanzato di phishing-as-a-service (PhaaS) progettato per rubare credenziali e codici 2FA, prendendo di mira principalmente gli account Microsoft 365. Sviluppato e venduto tramite un servizio basato su Telegram chiamato "Sneaky Log", il kit consente ai criminali informatici di condurre campagne di phishing con il minimo sforzo tecnico. Per 200 $ al mese, i clienti ricevono l'accesso a una versione con licenza e offuscata del codice sorgente, che distribuiscono in modo indipendente.

Questo strumento di phishing ha guadagnato popolarità tra i criminali informatici, con i ricercatori che hanno identificato quasi 100 domini che ospitano pagine di phishing Sneaky 2FA. Funzionalità come l'inserimento automatico dell'indirizzo e-mail nelle pagine di phishing ne migliorano la funzionalità, rendendo i falsi prompt di accesso più legittimi.

Lo scopo dietro Sneaky 2FA

L'obiettivo principale di Sneaky 2FA è raccogliere credenziali di accesso e codici 2FA. Armati di queste informazioni, gli aggressori possono aggirare le misure di sicurezza dell'account, ottenendo potenzialmente accesso non autorizzato a dati sensibili o utilizzando gli account compromessi per eseguire ulteriori attacchi, come il business email compromise (BEC).

Per attirare le vittime, gli aggressori spesso inviano e-mail con false ricevute di pagamento, invogliando i destinatari ad aprire file PDF dannosi contenenti codici QR. La scansione di questi codici reindirizza gli utenti a pagine di phishing che imitano le legittime schermate di autenticazione Microsoft.

Un kit di strumenti ingannevole e resiliente

Ciò che distingue Sneaky 2FA è il suo design sofisticato. Le pagine di phishing sono ospitate su siti web WordPress compromessi o altri domini controllati dagli aggressori, garantendone un'ampia disponibilità. Per eludere il rilevamento, il kit impiega varie tecniche, tra cui:

• Filtraggio del traffico: garantisce che solo gli utenti mirati raggiungano le pagine che rubano le credenziali.
• Sfide di Cloudflare Turnstile: aiuta a bloccare bot e strumenti automatizzati.
• Funzionalità anti-analisi: resiste al controllo degli strumenti di sviluppo del browser.

Inoltre, il kit reindirizza gli utenti identificati come bot, proxy o utenti VPN a pagine Wikipedia legittime correlate a Microsoft, mascherando ulteriormente le sue attività.

Link ad altri strumenti di phishing

I ricercatori hanno trovato somiglianze tra Sneaky 2FA e altri kit di phishing, come il pannello W3LL, uno strumento associato agli attacchi di compromissione delle e-mail aziendali. Parte del codice di Sneaky 2FA sembra derivare da strumenti precedenti, sebbene i suoi sviluppatori abbiano aggiunto funzionalità uniche.

È interessante notare che i domini associati a vecchi kit di phishing come Evilginx2 e Greatness sono stati riutilizzati per Sneaky 2FA, il che suggerisce che alcuni criminali informatici sono passati a questo servizio più recente.

Implicazioni dell'autenticazione a due fattori furtiva

L'emergere di Sneaky 2FA sottolinea l'adattabilità degli attacchi di phishing e il loro potenziale impatto. Prendendo di mira gli account protetti da 2FA, questo strumento mina uno dei livelli di sicurezza più affidabili. Gli account compromessi potrebbero portare a violazioni dei dati, transazioni non autorizzate e danni alla reputazione per le organizzazioni e gli individui interessati.

Inoltre, la disponibilità di tali strumenti tramite modelli PhaaS riduce la barriera d'ingresso per i criminali informatici, consentendo anche a coloro con competenze tecniche limitate di lanciare attacchi sofisticati.

Come funziona Sneaky 2FA

Un aspetto degno di nota di Sneaky 2FA è il suo affidamento a un server centrale per verificare lo stato della licenza dei suoi clienti. Questo modello di licenza garantisce che solo gli abbonati paganti possano accedere e utilizzare il kit. Le pagine di phishing stesse utilizzano immagini sfocate di interfacce Microsoft legittime, inducendo gli utenti a pensare che siano schermate di accesso autentiche.

Lo strumento incorpora anche stringhe User-Agent hardcoded che cambiano durante le diverse fasi del processo di autenticazione. Queste stringhe imitano alcuni comportamenti legittimi ma si discostano abbastanza da aiutare i ricercatori della sicurezza a rilevarli.

Rimanere vigili contro gli attacchi di phishing

Sebbene Sneaky 2FA rappresenti una minaccia avanzata, il suo successo dipende dall'inganno degli utenti. Riconoscere i segnali delle campagne di phishing è fondamentale:

• Fate attenzione alle e-mail indesiderate, in particolare a quelle con oggetti o allegati relativi ai pagamenti.
• Evita di scansionare codici QR provenienti da fonti sconosciute.
• Verificare gli URL prima di immettere le credenziali di accesso, assicurandosi che appartengano a siti web legittimi.

Le aziende dovrebbero inoltre istruire i dipendenti sulle tattiche di phishing e implementare misure di sicurezza aggiuntive, come chiavi di sicurezza hardware, per rafforzare l'autenticazione a due fattori.

Conclusione

L'ascesa di strumenti come Sneaky 2FA evidenzia la continua necessità di vigilanza nel panorama digitale. Comprendendo come funzionano questi kit di phishing e adottando pratiche di sicurezza proattive, individui e organizzazioni possono proteggersi meglio dalle minacce in evoluzione. Mentre 2FA rimane una misura di sicurezza vitale, è essenziale rimanere informati e adattarsi alle nuove sfide nella lotta contro la criminalità informatica.