NordVPN-in Təhdid Kəşfiyyatı tədqiqat bölməsi, dünyanın ən tanınmış şirkətlərindən bəzilərini təqlid edən, iş axtaranları hədəf alan mürəkkəb bir fişinq kampaniyasını aşkar etdiyini açıqladı. Əməliyyat, qurbanların Facebook məlumatlarını oğurlamaq və hesablarını ələ keçirmək üçün Meta (və onun Facebook və WhatsApp kimi törəmə şirkətləri), Disney, Coca-Cola və Spotify kimi qlobal nəhənglərin adlarından istifadə edir.
İstintaq çoxmərhələli əməliyyat aşkar etdi. Bu əməliyyatda təcavüzkarlar qurbanları diqqətlə qurulmuş bir yolda istiqamətləndirmək üçün gizli domenlərdən ("HUB"), yönləndirmə linki aktivləşdirmə mexanizmlərindən və real iş elanı interfeyslərindən istifadə edirlər. Son addım onları etimadnamələrini ələ keçirmək üçün hazırlanmış saxta Facebook giriş səhifəsinə yönləndirir.
NordVPN-in məhsul direktoru Domininkas Virbikas deyir: “İş axtaranlar xüsusilə həssasdırlar, çünki onlar artıq şəxsi məlumatları paylaşmağa və naməlum əlaqələrin təlimatlarını yerinə yetirməyə öyrəşiblər. Bu kampaniyalar mürəkkəb kommunikasiyalardan və real olanlardan demək olar ki, fərqlənməyən saxta karyera portallarından istifadə edərək bu etimadı istismar edirlər.”
Kampaniya, adətən spam filtrlərini keçmək üçün Google AppSheet kimi qanuni xidmətlər vasitəsilə göndərilən soyuq bir e-poçtla başlayır. Bu mesajlar qüsursuz qrammatika və real işə qəbul yanaşmalarını təqlid edən tona malik, cilalanmış və peşəkar görünür. Əlaqə siyahıları, ehtimal ki, LinkedIn kimi platformalardan avtomatlaşdırılmış məlumat toplama yolu ilə tərtib edilir və ya əvvəlki məlumat sızmalarından əldə edilir.
E-poçtdakı link qurbanları "HUB" domeninə (məsələn, careers.meta-findyourjob[.]com) yönləndirir. Bu saytlar daxili yayınma mexanizmi ilə hazırlanmışdır. Təhlükəsizlik analitiki və ya avtomatlaşdırılmış skaner olsun, kimsə domeni birbaşa ziyarət edərsə, yalnız interaktiv funksiyası olmayan ümumi, inert səhifə görəcək.
Beləliklə, zərərli məzmun yalnız sayta fişinq e-poçtuna yerləşdirilmiş xüsusi bir istinad linki vasitəsilə daxil olduqda aktivləşdirilir. Bu istinad linki açar kimi çıxış edir və əks halda gizli qalacaq kliklənə bilən "İş axtar" düyməsini açır.
Qurban linkə kliklədikdən sonra qanuni iş portalını simulyasiya edən vasitəçi domenə yönləndirilir. İnterfeys istifadəçilərə saxta brenddən etibarlı görünən iş elanlarına baxmağa imkan verir və bu da onların real seçim prosesində iştirak etdikləri illüziyasını gücləndirir.
Nümunələrə Meta üçün plus.jobfusion-mt[.]com və official.professionlaunch-mt[.]com, Coca-Cola üçün careers.coca-contactnow[.]info, Spotify üçün connect.spotifycareerapply[.]com və Disney üçün jobquest.wdcfuturesteps[.]com daxildir.
Qurban "Müraciət et" və ya "Ərizəni göndər" düymələrini basdıqda tələ bağlanır. İşə qəbul üçün müraciət forması əvəzinə, onlar "tətbiqə davam etmək" üçün Facebook vasitəsilə daxil olmalarını tələb edən fişinq səhifəsinə yönləndirilirlər. Bu səhifə qurbanın Facebook etimadnaməsini ələ keçirmək və hücum edənlərə hesab üzərində tam nəzarət imkanı vermək üçün nəzərdə tutulub.
Kampaniya, qurbanların təbii şübhələrini aradan qaldırmaq üçün etibarlı brendlərdən və peşəkar kontekstlərdən silah kimi istifadə edən hücumların artan tendensiyasını vurğulayır. Fişinq axını real işə qəbul prosesini çox dəqiq şəkildə təqlid etdiyindən, hətta ehtiyatlı istifadəçilər belə çaşqınlıq içində qala bilərlər.
NordVPN istifadəçilərə iş elanları ilə bağlı hər hansı bir e-poçt alarkən üç tədbir görməli olduqlarını təklif edir:
- Hər hansı bir etimadnaməni daxil etməzdən əvvəl URL-i yoxlayın. Qanuni şirkətlər karyera səhifələrini qeyri-adi adları olan üçüncü tərəf veb saytlarında deyil, rəsmi domenlərində yerləşdirirlər. Eyni şey sosial mediada giriş sorğularına da aiddir. Qanuni platformalardakı "Facebook ilə daxil ol" düymələri sizi həmişə rəsmi facebook.com domeninə yönləndirəcək. Giriş səhifəsi naməlum URL-də yerləşdirilibsə, bu, çox güman ki, fişinq cəhdidir.
- Bütün sosial media hesablarında çoxfaktorlu identifikasiyanı (ÇA) aktivləşdirin. Etimadnamələr pozulsa belə, 2FA hücumçuların giriş əldə etməsinin qarşısını ala bilər.
- E-poçt və ya mesajlaşma tətbiqləri vasitəsilə gələn istənməyən iş təkliflərinə, xüsusən də sizi tez hərəkət etməyə məcbur edən təkliflərə heç vaxt etibar etməyin.
Metodologiya:
İstintaq prosesində açıq mənbəli kəşfiyyat (OSINT) metodologiyalarından istifadə edilmiş və nəticədə çarpaz istinad yolu ilə əldə edilən məlumatların təsdiqlənməsi və təsdiqlənməsi zərurəti yaranmışdır.
Xüsusilə, məlumat toplama strategiyamızın əsasını əsas ümumi axtarış motorlarına tətbiq olunan spesifik "dork"ların (qabaqcıl axtarış sətirləri) istifadəsi, eləcə də internetdə aşkar edilmiş domenləri, veb saytları və cihazları indeksləşdirmək üçün ixtisaslaşmış axtarış motorlarının istifadəsi təşkil edirdi. Bu ixtisaslaşmış alətlər arasında Əşyaların İnterneti (IoT) üçün axtarış motorlarından və Fofa.io və Shodan.io kimi Shodan-a bənzər xidmət platformalarından geniş istifadə etdik. Bu alətlər bizə yalnız domenləri deyil, həm də aşkar edilmiş xidmətləri və portları müəyyən etməyə, potensial zəiflikləri və ya təsadüfi aşkarlanmaları aşkar etməyə imkan verdi.
Bu çoxşaxəli tədqiqat metodologiyasının əsas məqsədi ikiqat idi:
- Rəqəmsal varlıqların mənzərəsi haqqında mümkün olan ən əhatəli və tam mənzərəni əldə etmək.
- Sadəcə nəzəri cəhətdən həssas domenləri müəyyən etməkdən kənara çıxaraq, əslində təhlükəyə məruz qalan domenləri dəqiq müəyyən etmək.
Bu ətraflı təhlil nəticələrin təsdiqlənmiş məlumatlara əsaslandığını və pozulmuş sistemlərin perimetrinin mümkün olan ən yüksək dəqiqliklə müəyyən edildiyini təmin etdi.
