NordVPN se Threat Intelligence-navorsingseenheid kondig aan dat hulle 'n gesofistikeerde phishing-veldtog ontdek het wat werksaansoekers teiken en sommige van die wêreld se mees erkende maatskappye naboots. Die operasie buit die name van globale reuse soos Meta (en sy filiale, soos Facebook en WhatsApp), Disney, Coca-Cola en Spotify uit om slagoffers se Facebook-bewyse te steel en hul rekeninge te kaap.
Die ondersoek het 'n meerfasige operasie aan die lig gebring. Daarin gebruik aanvallers versteekte domeine ("HUB's"), verwysingskakelaktiveringsmeganismes en realistiese werksadvertensie-koppelvlakke om slagoffers deur 'n sorgvuldig gekonstrueerde pad te lei. Die laaste stap herlei hulle na 'n vals Facebook-aanmeldbladsy, wat ontwerp is om hul geloofsbriewe vas te lê.
“Werksoekers is veral kwesbaar omdat hulle reeds gewoond is daaraan om persoonlike inligting te deel en instruksies van onbekende kontakte te volg,” sê Domininkas Virbickas, produkdirekteur by NordVPN. “Hierdie veldtogte buit hierdie vertroue uit deur gesofistikeerde kommunikasie en oortuigende vals loopbaanportale te gebruik wat feitlik ononderskeibaar is van die regte portale.”
Die veldtog begin met 'n koue e-pos, gewoonlik gestuur deur wettige dienste soos Google AppSheet om strooiposfilters te omseil. Hierdie boodskappe lyk gepoleer en professioneel, met onberispelike grammatika en 'n toon wat werklike werwingsbenaderings naboots. Die kontaklyste word waarskynlik saamgestel deur outomatiese data-insameling van platforms soos LinkedIn of verkry van vorige datalekke.
Die skakel in die e-pos lei slagoffers na 'n "HUB"-domein (soos careers.meta-findyourjob[.]com). Hierdie webwerwe is ontwerp met 'n ingeboude ontduikingsmeganisme. As iemand, of dit nou 'n sekuriteitsontleder of 'n outomatiese skandeerder is, die domein direk besoek, sal hulle slegs 'n generiese, inerte bladsy sien sonder interaktiewe funksionaliteit.
Dus word die kwaadwillige inhoud slegs geaktiveer wanneer die webwerf verkry word deur 'n spesifieke verwysingskakel wat in die phishing-e-pos ingebed is. Hierdie verwysingskakel dien as 'n sleutel en ontsluit 'n klikbare "Soek vir 'n werk"-knoppie wat andersins versteek sou bly.
Sodra die slagoffer op die skakel klik, word hulle herlei na 'n tussentydse domein wat 'n wettige werksportaal simuleer. Die koppelvlak laat gebruikers toe om oënskynlik betroubare werksadvertensies van die vals handelsmerk te blaai, wat die illusie versterk dat hulle aan 'n werklike keuringsproses deelneem.
Voorbeelde sluit in plus.jobfusion-mt[.]com en official.professionlaunch-mt[.]com vir Meta, careers.coca-contactnow[.]info vir Coca-Cola, connect.spotifycareerapply[.]com vir Spotify, en jobquest.wdcfuturesteps[.]com vir Disney.
Die lokval sluit wanneer die slagoffer op "Aansoek doen" of "Dien aansoek in" klik. In plaas van 'n werksaansoekvorm, word hulle na 'n phishing-bladsy herlei wat vereis dat hulle via Facebook aanmeld om "met die aansoek voort te gaan". Hierdie bladsy is ontwerp om die slagoffer se Facebook-besonderhede vas te lê, wat aanvallers volledige beheer oor die rekening en moontlik alle dienste wat daaraan gekoppel is, gee.
Die veldtog beklemtoon 'n groeiende tendens van aanvallers wat vertroude handelsmerke en professionele kontekste as wapens gebruik om slagoffers se natuurlike skeptisisme te omseil. Omdat die phishing-vloei 'n werklike werwingsproses so presies naboots, kan selfs versigtige gebruikers onkant betrap word.
NordVPN stel drie aksies voor wat gebruikers moet neem wanneer hulle enige tipe e-pos met werksgeleenthede ontvang:
- Verifieer die URL voordat u enige aanmeldbesonderhede invoer. Wettige maatskappye huisves loopbaanbladsye op hul amptelike domeine, nie op derdeparty-webwerwe met ongewone name nie. Dieselfde geld vir aanmeldversoeke op sosiale media. Die "Meld aan met Facebook"-knoppies op wettige platforms sal jou altyd na die amptelike facebook.com-domein herlei. As die aanmeldbladsy op 'n onbekende URL aangebied word, is dit waarskynlik 'n phishing-poging.
- Aktiveer multifaktor-verifikasie (MFA) op alle sosiale media-rekeninge. Selfs al word geloofsbriewe gekompromitteer, kan 2FA verhoed dat aanvallers toegang verkry.
- Moet nooit ongevraagde werkaanbiedinge vertrou wat per e-pos of boodskapprogramme aankom nie, veral dié wat jou onder druk plaas om vinnig op te tree.
Metodologie:
Die ondersoekproses het oopbron-intelligensie (OSINT) metodologieë gebruik en die gevolglike behoefte om die data wat deur kruisverwysings verkry is, te staaf en te valideer.
In die besonder het die kern van ons data-insamelingsstrategie die gebruik van spesifieke "dorks" (gevorderde soekstringe) ingesluit wat op groot generiese soekenjins toegepas word, sowel as die gebruik van gespesialiseerde soekenjins om domeine, webwerwe en toestelle wat op die internet blootgestel word, te indekseer. Onder hierdie gespesialiseerde gereedskap het ons uitgebreide gebruik gemaak van soekenjins vir die Internet van Dinge (IoT) en diensplatforms soortgelyk aan Shodan, soos Fofa.io en Shodan.io. Hierdie gereedskap het ons toegelaat om nie net die domeine te identifiseer nie, maar ook die blootgestelde dienste en poorte, wat potensiële kwesbaarhede of onbedoelde blootstellings blootgelê het.
Die hoofdoelwit van hierdie gelaagde navorsingsmetodologie was tweeledig:
- Om die mees omvattende en volledige beeld moontlik van die landskap van die betrokke digitale entiteite te verkry.
- Om die domeine wat eintlik gekompromitteer is akkuraat te identifiseer, gaan dit verder as om bloot teoreties kwesbare domeine te identifiseer.
Hierdie gedetailleerde analise het verseker dat die gevolgtrekkings gebaseer was op geverifieerde data en dat die omtrek van die gekompromitteerde stelsels met die grootste moontlike akkuraatheid afgebaken is.
