Подлый набор для фишинга 2FA: опасная угроза для безопасности в Интернете

Двухфакторная аутентификация (2FA) уже давно является надежной мерой безопасности для защиты учетных записей пользователей. Однако появился сложный фишинговый инструмент под названием Sneaky 2FA, нацеленный на учетные записи, защищенные 2FA, эксплуатируя доверие к мерам безопасности. Впервые обнаруженный в конце 2024 года, этот комплект демонстрирует эволюцию фишинговых атак, подчеркивая необходимость надежных методов обеспечения безопасности в Интернете.

Что такое фишинговый набор Sneaky 2FA?

Sneaky 2FA — это усовершенствованный инструмент фишинга как услуги (PhaaS), предназначенный для кражи учетных данных и кодов 2FA, в первую очередь нацеленный на учетные записи Microsoft 365. Разработанный и продаваемый через сервис на базе Telegram под названием «Sneaky Log», этот набор позволяет киберпреступникам проводить фишинговые кампании с минимальными техническими усилиями. За 200 долларов в месяц клиенты получают доступ к лицензированной, запутанной версии исходного кода, которую они развертывают самостоятельно.

Этот фишинговый инструмент приобрел популярность среди киберпреступников, и исследователи выявили около 100 доменов, на которых размещались фишинговые страницы Sneaky 2FA. Такие функции, как автоматический ввод адреса электронной почты на фишинговых страницах, повышают его функциональность, делая поддельные запросы на вход в систему более правдоподобными.

Цель скрытой 2FA

Основная цель Sneaky 2FA — сбор учетных данных для входа и кодов 2FA. Вооружившись этой информацией, злоумышленники могут обойти меры безопасности учетных записей, потенциально получив несанкционированный доступ к конфиденциальным данным или используя скомпрометированные учетные записи для выполнения дальнейших атак, таких как компрометация деловой электронной почты (BEC).

Чтобы заманить жертв, злоумышленники часто отправляют электронные письма с поддельными платежными квитанциями, побуждая получателей открывать вредоносные PDF-файлы, содержащие QR-коды. Сканирование этих кодов перенаправляет пользователей на фишинговые страницы, которые имитируют настоящие экраны аутентификации Microsoft.

Обманчивый и устойчивый инструментарий

Что отличает Sneaky 2FA, так это его сложный дизайн. Фишинговые страницы размещаются на взломанных сайтах WordPress или других контролируемых злоумышленниками доменах, что обеспечивает широкую доступность. Чтобы избежать обнаружения, набор использует различные методы, в том числе:

• Фильтрация трафика: гарантирует, что только целевые пользователи попадут на страницы, крадущие учетные данные.
• Проблемы с турникетом Cloudflare: помогает блокировать ботов и автоматизированные инструменты.
• Функции антианализа: противостоит проверке со стороны инструментов разработчика браузера.

Кроме того, набор перенаправляет пользователей, идентифицированных как боты, прокси-серверы или пользователи VPN, на легитимные страницы Wikipedia, связанные с Microsoft, что еще больше маскирует его деятельность.

Ссылки на другие фишинговые инструменты

Исследователи обнаружили сходство между Sneaky 2FA и другими наборами для фишинга, такими как W3LL Panel, инструментом, связанным с атаками по взлому деловой электронной почты. Часть кода Sneaky 2FA, по-видимому, получена из более ранних инструментов, хотя его разработчики добавили уникальные функции.

Интересно, что домены, связанные со старыми фишинговыми наборами, такими как Evilginx2 и Greatness, были перепрофилированы для Sneaky 2FA, что позволяет предположить, что некоторые киберпреступники перешли на этот новый сервис.

Последствия скрытой 2FA

Появление Sneaky 2FA подчеркивает адаптивность фишинговых атак и их потенциальное воздействие. Нацеливаясь на защищенные 2FA учетные записи, этот инструмент подрывает один из самых надежных уровней безопасности. Взломанные учетные записи могут привести к утечкам данных, несанкционированным транзакциям и репутационному ущербу для пострадавших организаций и отдельных лиц.

Более того, доступность таких инструментов через модели PhaaS снижает барьер входа для киберпреступников, позволяя даже тем, у кого ограниченные технические знания, проводить сложные атаки.

Как работает Sneaky 2FA

Одним из примечательных аспектов Sneaky 2FA является его зависимость от центрального сервера для проверки лицензионного статуса своих клиентов. Эта модель лицензирования гарантирует, что только платные подписчики могут получить доступ и использовать комплект. Сами фишинговые страницы используют размытые изображения легитимных интерфейсов Microsoft, обманывая пользователей, заставляя их думать, что это настоящие экраны входа.

Инструмент также включает жестко закодированные строки User-Agent, которые изменяются на разных этапах процесса аутентификации. Эти строки имитируют определенные законные поведения, но отклоняются достаточно, чтобы помочь исследователям безопасности обнаружить их.

Сохраняйте бдительность в отношении фишинговых атак

Хотя Sneaky 2FA представляет собой сложную угрозу, ее успех зависит от обмана пользователей. Распознавание признаков фишинговых кампаний имеет решающее значение:

• Будьте осторожны с нежелательными электронными письмами, особенно с теми, которые связаны с платежами или содержат вложения.
• Избегайте сканирования QR-кодов из неизвестных источников.
• Перед вводом учетных данных проверяйте URL-адреса, чтобы убедиться, что они принадлежат законным веб-сайтам.

Организациям также следует информировать сотрудников о тактиках фишинга и внедрять дополнительные меры безопасности, такие как аппаратные ключи безопасности, для усиления двухфакторной аутентификации.

Итог

Рост популярности таких инструментов, как Sneaky 2FA, подчеркивает постоянную необходимость бдительности в цифровом ландшафте. Понимая, как работают эти фишинговые наборы, и внедряя проактивные методы безопасности, отдельные лица и организации могут лучше защитить себя от развивающихся угроз. Хотя 2FA остается жизненно важной мерой безопасности, важно оставаться в курсе событий и адаптироваться к новым вызовам в борьбе с киберпреступностью.