Nieuwe phishingkit "Xiū gǒu" richt zich op gebruikers in vijf landen met behulp van meer dan 2000 nepsites

Cybersecurity-onderzoekers hebben een nieuwe phishing-dreiging ontdekt, genaamd Xiū gǒu, die sinds september 2024 gebruikers in vijf landen target: Australië, Japan, Spanje, het Verenigd Koninkrijk en de VS. Deze geavanceerde phishingkit heeft al meer dan 2000 nepwebsites gegenereerd, wat ernstige risico's oplevert voor sectoren als de publieke sector, postdiensten, digitale diensten en bankieren. Xiū gǒu vertegenwoordigt een groeiende trend in phishing-aanvallen die de drempel voor cybercriminelen om aanvallen uit te voeren verlagen, waardoor het voor minder bekwame hackers gemakkelijker dan ooit is om de persoonlijke informatie van slachtoffers te infiltreren.

Hoe Xiū gǒu werkt: een nieuwe laag phishing-tactieken

Phishingkits zoals Xiū gǒu maken het voor cybercriminelen eenvoudig om overtuigende nepwebsites op te zetten die legitieme services nabootsen. Deze sites stelen vaak gebruikersreferenties en andere persoonlijke gegevens, die de aanvallers vervolgens kunnen verkopen of exploiteren. Xiū gǒu, ontwikkeld door een Chinees sprekende dreigingsactor, combineert geavanceerde technologieën — waaronder Golang en Vue.js — om een admin-paneel voor de aanvallers aan te sturen, waardoor naadloze gegevensdiefstal van slachtoffers mogelijk wordt.

Xiū gǒu gebruikt verschillende geavanceerde tactieken om detectie te voorkomen. Een van de belangrijkste is het gebruik van Cloudflare's anti-botfuncties en hostingverduistering, waardoor het voor traditionele beveiligingssystemen moeilijker wordt om deze sites te herkennen en te blokkeren. Xiū gǒu ontwijkt detectie verder door het ".top"-domein te gebruiken voor zijn nepsites en het sluist gestolen informatie door Telegram voor gemakkelijke toegang door de aanvallers.

Rich Communication Services (RCS): een nieuwe manier voor phishing

In plaats van te vertrouwen op traditionele sms-phishing, gebruikt Xiū gǒu Rich Communications Services (RCS) om slachtoffers te lokken. RCS-berichten, beschikbaar via Apple Messages (vanaf iOS 18) en Google Messages voor Android, verbeteren de sms-ervaring door bestandsdeling, typindicatoren en zelfs optionele end-to-end-encryptie te ondersteunen. Ironisch genoeg maken de verbeterde mogelijkheden van RCS het aantrekkelijk voor cybercriminelen, die deze vertrouwde communicatiekanalen gebruiken om nepmeldingen te versturen.

Xiū gǒu's RCS-gebaseerde phishingberichten beweren vaak dat de ontvanger een parkeerboete verschuldigd is of een afleveradres moet bijwerken. Er is een verkorte URL-link opgenomen, die het slachtoffer naar een nepsite leidt die is ontworpen om persoonlijke gegevens te verzamelen en hen te misleiden om betalingen te doen. Door zich voor te doen als bekende diensten en een gevoel van urgentie te creëren, manipuleren deze berichten slachtoffers om hun gevoelige informatie te delen.

Reactie van Google: verbeterde bescherming tegen phishingfraude

Google heeft de dreiging van deze verbeterde phishingmethoden onderkend en heeft nieuwe beschermingen voor RCS-berichten uitgerold om deze risico's te bestrijden. De techgigant heeft onlangs on-device machine learning-algoritmen geïntroduceerd om frauduleuze berichten met betrekking tot pakketbezorgingen en andere veelvoorkomende phishing-scams te filteren. Daarnaast heeft Google een pilotprogramma gelanceerd in regio's als India, Thailand, Maleisië en Singapore om gebruikers te waarschuwen wanneer ze berichten ontvangen met mogelijk gevaarlijke links van onbekende afzenders. Deze functie zal naar verwachting wereldwijd worden uitgebreid tegen het einde van 2024 en is bedoeld om verdachte berichten effectiever te blokkeren.

Om een extra beschermingslaag toe te voegen, staat Google gebruikers ook toe om "berichten van internationale afzenders die geen bestaande contacten zijn, automatisch te verbergen" en deze berichten in de map "Spam en geblokkeerd" te plaatsen om hun zichtbaarheid te minimaliseren.

Brede implicaties: phishingaanvallen gericht op bedrijven en individuen

De Xiū gǒu phishing kit is niet de enige bedreiging die in omloop is. Cisco Talos heeft ook een lopende phishing campagne onthuld die gericht is op Facebook zakelijke en advertentie accounthouders in Taiwan. Deze campagne levert stealer malware, waaronder Lumma en Rhadamanthys, die gevoelige informatie kan verzamelen en zakelijke accounts kan compromitteren. Slachtoffers ontvangen een e-mail die beweert afkomstig te zijn van de juridische afdeling van een bedrijf, waarin wordt geëist dat vermeende inbreukmakende content wordt verwijderd onder dreiging van juridische stappen. Een kwaadaardige link in de e-mail downloadt een nep PDF-bestand, waardoor het apparaat van het slachtoffer wordt geïnfecteerd met malware.

Daarnaast zijn er recente phishingcampagnes gezien die zich voordoen als OpenAI, met berichten die naar zakelijke ontvangers over de hele wereld worden gestuurd om hen aan te sporen hun betalingsgegevens bij te werken. Deze e-mails, die vanaf één domein naar duizenden ontvangers worden gestuurd, gebruiken meerdere hyperlinks in de e-mailbody om detectie te ontwijken. Ondanks dat ze verdacht zijn, passeren deze e-mails DKIM- en SPF-controles, waardoor ze legitiem lijken voor zowel ontvangers als geautomatiseerde e-mailbeveiligingssystemen.

Waarom phishingkits zoals Xiū gǒu gevaarlijk zijn voor iedereen

Phishingkits zoals Xiū gǒu verlagen de drempel voor toetreding, waardoor zelfs beginnende cybercriminelen succesvolle phishingaanvallen kunnen uitvoeren met minimale technische vaardigheden. Xiū gǒu's admin-paneel en gebruiksvriendelijke interface maken het voor aanvallers eenvoudig om hun nepsites te monitoren, inloggegevens te verzamelen en massaal slachtoffers te targeten. Naarmate deze kits beschikbaarder en betaalbaarder worden op dark web-marktplaatsen, zal het aantal phishingaanvallen waarschijnlijk toenemen.

Om te voorkomen dat u het slachtoffer wordt van deze oplichting, moeten gebruikers de volgende beveiligingstips volgen:

1. Controleer links zorgvuldig : Klik niet op links in ongevraagde berichten, zelfs als ze lijken te komen van legitieme bronnen. Controleer URL's door handmatig naar de officiële website te navigeren.
2. Schakel tweefactorauthenticatie (2FA) in : veel phishingaanvallen zijn gericht op inloggegevens. 2FA voegt een extra beveiligingslaag toe, waardoor het voor aanvallers moeilijker wordt om toegang te krijgen tot accounts, zelfs als ze een wachtwoord stelen.
3. Blijf op de hoogte van beveiligingsfuncties : Nu bedrijven als Google de RCS-beveiliging verbeteren, moeten gebruikers hun apps up-to-date houden en profiteren van nieuwe beveiligingsfuncties.
4. Wees op uw hoede voor dringende verzoeken : Veel phishing scams creëren een gevoel van urgentie om slachtoffers onder druk te zetten. Wees voorzichtig wanneer berichten onmiddellijke actie eisen, vooral als ze betalingen of accountverificatie betreffen.

Laatste gedachten

De Xiū gǒu phishingkit en vergelijkbare bedreigingen laten het veranderende landschap van cybercriminaliteit zien. Naarmate phishingkits geavanceerder en toegankelijker worden, is het belangrijker dan ooit dat gebruikers waakzaam blijven. Door best practices voor beveiliging te implementeren en op de hoogte te blijven van de nieuwste bedreigingen, kunnen zowel individuen als bedrijven zichzelf beschermen tegen deze steeds geavanceerdere aanvallen.