Il nuovo kit di phishing "Xiū gǒu" prende di mira gli utenti di cinque paesi utilizzando oltre 2.000 siti falsi

I ricercatori di sicurezza informatica hanno scoperto una nuova minaccia di phishing, chiamata Xiū gǒu, che ha preso di mira utenti in cinque paesi (Australia, Giappone, Spagna, Regno Unito e Stati Uniti) da settembre 2024. Questo sofisticato kit di phishing ha già generato oltre 2.000 siti Web falsi, ponendo gravi rischi in settori come il settore pubblico, i servizi postali, i servizi digitali e il settore bancario. Xiū gǒu rappresenta una tendenza crescente negli attacchi di phishing che abbassano la barriera per i criminali informatici nel lanciare attacchi, rendendo più facile che mai per gli hacker meno esperti infiltrarsi nelle informazioni personali delle vittime.

Come funziona Xiū gǒu: un nuovo livello di tattiche di phishing

I kit di phishing come Xiū gǒu semplificano ai criminali informatici la creazione di siti Web falsi e convincenti che imitano servizi legittimi. Questi siti spesso rubano le credenziali degli utenti e altri dati personali, che gli aggressori possono poi vendere o sfruttare. Xiū gǒu, sviluppato da un autore di minacce di lingua cinese, combina tecnologie avanzate, tra cui Golang e Vue.js, per alimentare un pannello di amministrazione per gli aggressori, consentendo il furto di dati senza soluzione di continuità dalle vittime.

Xiū gǒu impiega diverse tattiche avanzate per evitare di essere rilevati. Tra queste, la più importante è l'uso delle funzionalità anti-bot di Cloudflare e dell'offuscamento dell'hosting, che rendono più difficile per i sistemi di sicurezza tradizionali individuare e bloccare questi siti. Xiū gǒu elude ulteriormente il rilevamento utilizzando il dominio ".top" per i suoi siti falsi e incanala le informazioni rubate tramite Telegram per un facile accesso da parte degli aggressori.

Rich Communication Services (RCS): una nuova via per il phishing

Invece di affidarsi al tradizionale phishing tramite SMS, Xiū gǒu utilizza Rich Communications Services (RCS) per adescare le vittime. La messaggistica RCS, disponibile tramite Apple Messages (a partire da iOS 18) e Google Messages per Android, migliora l'esperienza di messaggistica supportando la condivisione di file, indicatori di digitazione e persino la crittografia end-to-end opzionale. Ironicamente, le funzionalità avanzate di RCS lo rendono attraente per i criminali informatici, che sfruttano questi canali di comunicazione affidabili per inviare notifiche false.

I messaggi di phishing basati su RCS di Xiū gǒu spesso affermano che il destinatario deve pagare una multa per parcheggio o deve aggiornare un indirizzo di consegna. È incluso un collegamento URL abbreviato, che indirizza la vittima a un sito falso progettato per raccogliere dati personali e indurla a effettuare pagamenti. Impersonando servizi noti e creando un senso di urgenza, questi messaggi manipolano le vittime inducendole a condividere le loro informazioni sensibili.

La risposta di Google: protezioni avanzate per combattere le truffe di phishing

Google ha riconosciuto la minaccia rappresentata da questi metodi di phishing avanzati e ha implementato nuove protezioni per i messaggi RCS per combattere questi rischi. Il gigante della tecnologia ha recentemente introdotto algoritmi di apprendimento automatico sul dispositivo per filtrare i messaggi fraudolenti relativi alle consegne di pacchi e ad altre comuni truffe di phishing. Inoltre, Google ha lanciato un programma pilota in regioni come India, Thailandia, Malesia e Singapore per avvisare gli utenti quando ricevono messaggi con link potenzialmente pericolosi da mittenti sconosciuti. Si prevede che questa funzionalità si espanderà a livello globale entro la fine del 2024 e mira a bloccare i messaggi sospetti in modo più efficace.

Per aggiungere un ulteriore livello di protezione, Google consente inoltre agli utenti di "nascondere automaticamente i messaggi provenienti da mittenti internazionali che non sono contatti esistenti", inserendo questi messaggi nella cartella "Spam e bloccati" per ridurne al minimo la visibilità.

Implicazioni diffuse: attacchi di phishing che prendono di mira aziende e privati

Il kit di phishing Xiū gǒu non è l'unica minaccia in circolazione. Cisco Talos ha anche rivelato una campagna di phishing in corso che prende di mira i titolari di account aziendali e pubblicitari di Facebook a Taiwan. Questa campagna distribuisce malware stealer, tra cui Lumma e Rhadamanthys, che possono raccogliere informazioni sensibili e compromettere gli account aziendali. Le vittime ricevono un'e-mail che afferma di provenire dal dipartimento legale di un'azienda, che richiede la rimozione di contenuti presumibilmente lesivi sotto la minaccia di un'azione legale. Un collegamento dannoso all'interno dell'e-mail scarica un file PDF falso, infettando il dispositivo della vittima con un malware.

Inoltre, sono state viste recenti campagne di phishing che impersonavano OpenAI, con messaggi inviati a destinatari aziendali in tutto il mondo che li esortavano ad aggiornare le loro informazioni di pagamento. Queste e-mail, inviate da un singolo dominio a migliaia di destinatari, utilizzano più collegamenti ipertestuali nel corpo dell'e-mail per eludere il rilevamento. Nonostante siano sospette, queste e-mail superano i controlli DKIM e SPF, apparendo legittime sia ai destinatari che ai sistemi di sicurezza e-mail automatizzati.

Perché i kit di phishing come Xiū gǒu sono pericolosi per tutti

I kit di phishing come Xiū gǒu abbassano la barriera d'ingresso, consentendo anche ai criminali informatici alle prime armi di lanciare attacchi di phishing con successo con competenze tecniche minime. Il pannello di amministrazione e l'interfaccia di facile utilizzo di Xiū gǒu semplificano il monitoraggio dei siti falsi, la raccolta di credenziali e la presa di mira delle vittime in massa da parte degli aggressori. Man mano che questi kit diventano più disponibili e accessibili sui mercati del dark web, il numero di attacchi di phishing probabilmente aumenterà.

Per evitare di cadere vittime di queste truffe, gli utenti dovrebbero seguire queste buone pratiche di sicurezza:

1. Verifica attentamente i link : evita di cliccare sui link nei messaggi indesiderati, anche se sembrano provenire da fonti legittime. Verifica gli URL navigando manualmente sul sito Web ufficiale.
2. Abilita l'autenticazione a due fattori (2FA) : molti attacchi di phishing richiedono credenziali di accesso. La 2FA aggiunge un ulteriore livello di sicurezza, rendendo più difficile per gli aggressori accedere agli account, anche se rubano una password.
3. Rimani informato sulle funzionalità di sicurezza : poiché aziende come Google stanno migliorando la sicurezza RCS, gli utenti dovrebbero mantenere aggiornate le proprie app e sfruttare tutte le nuove funzionalità di sicurezza offerte.
4. Fai attenzione alle richieste urgenti : molte truffe di phishing creano un senso di urgenza per fare pressione sulle vittime. Fai attenzione quando i messaggi richiedono un'azione immediata, soprattutto se riguardano pagamenti o verifica dell'account.

Considerazioni finali

Il kit di phishing Xiū gǒu e minacce simili dimostrano l'evoluzione del panorama della criminalità informatica. Man mano che i kit di phishing diventano più avanzati e accessibili, è più importante che mai che gli utenti rimangano vigili. Implementando le best practice di sicurezza e restando al corrente delle ultime minacce, sia gli individui che le aziende possono proteggersi da questi attacchi sempre più sofisticati.