Istraživačka jedinica NordVPN-a za obavještajne podatke o prijetnjama objavljuje da je otkrila sofisticiranu phishing kampanju usmjerenu na kandidate za posao, koja se lažno predstavlja kao neke od najpoznatijih svjetskih kompanija. Operacija iskorištava imena globalnih giganata kao što su Meta (i njene podružnice, poput Facebooka i WhatsAppa), Disney, Coca-Cola i Spotify kako bi ukrala Facebook podatke žrtava i otela njihove račune.
Istraga je otkrila operaciju u više faza. U njoj, napadači koriste skrivene domene („HUB-ove“), mehanizme za aktivaciju referalnih linkova i realistična sučelja za oglase za posao kako bi vodili žrtve kroz pažljivo konstruiranu putanju. Posljednji korak ih preusmjerava na lažnu Facebook stranicu za prijavu, dizajniranu da uhvati njihove vjerodajnice.
„Tražioci posla su posebno ranjivi jer su već navikli dijeliti lične podatke i slijediti upute nepoznatih kontakata“, kaže Domininkas Virbickas, direktor proizvoda u NordVPN-u. „Ove kampanje iskorištavaju to povjerenje koristeći sofisticiranu komunikaciju i uvjerljive lažne portale za karijeru koji se praktično ne razlikuju od pravih.“
Kampanja počinje hladnim e-mailom, obično poslanim putem legitimnih servisa poput Google AppSheet-a kako bi se zaobišli filteri za neželjenu poštu. Ove poruke izgledaju uglađeno i profesionalno, s besprijekornom gramatikom i tonom koji oponaša stvarne pristupe regrutaciji. Liste kontakata se vjerovatno sastavljaju putem automatiziranog prikupljanja podataka s platformi poput LinkedIn-a ili su dobivene iz prethodnih kršenja podataka.
Link u e-poruci usmjerava žrtve na "HUB" domenu (kao što je careers.meta-findyourjob[.]com). Ove stranice su dizajnirane s ugrađenim mehanizmom izbjegavanja. Ako neko, bilo da je sigurnosni analitičar ili automatizirani skener, posjeti domenu direktno, vidjet će samo generičku, inertnu stranicu bez interaktivne funkcionalnosti.
Dakle, zlonamjerni sadržaj se aktivira samo kada se stranici pristupi putem određenog referalnog linka ugrađenog u phishing e-mail. Ovaj referalni link djeluje kao ključ, otključavajući dugme "Traži posao" na koje se može kliknuti, a koje bi inače ostalo skriveno.
Čim žrtva klikne na link, preusmjerava se na posredničku domenu koja simulira legitimni portal za zapošljavanje. Interfejs omogućava korisnicima da pregledaju naizgled pouzdane oglase za posao lažnog brenda, pojačavajući iluziju da učestvuju u stvarnom procesu selekcije.
Primjeri uključuju plus.jobfusion-mt[.]com i official.professionlaunch-mt[.]com za Meta, careers.coca-contactnow[.]info za Coca-Colu, connect.spotifycareerapply[.]com za Spotify i jobquest.wdcfuturesteps[.]com za Disney.
Zamka se zatvara kada žrtva klikne na "Prijavi se" ili "Pošalji prijavu". Umjesto obrasca za prijavu za posao, preusmjerava se na phishing stranicu koja zahtijeva da se prijavi putem Facebooka kako bi "nastavila s prijavom". Ova stranica je dizajnirana da uhvati Facebook podatke žrtve, dajući napadačima potpunu kontrolu nad računom i potencijalno svim uslugama povezanim s njim.
Kampanja ističe rastući trend napadača koji koriste pouzdane brendove i profesionalne kontekste kao oružje za zaobilaženje prirodnog skepticizma žrtava. Budući da tok phishinga tako precizno oponaša stvarni proces regrutacije, čak i oprezni korisnici mogu biti iznenađeni.
NordVPN predlaže tri radnje koje korisnici trebaju poduzeti kada prime bilo koju vrstu e-pošte s otvorenim poslovima:
- Provjerite URL prije unosa bilo kakvih podataka za prijavu. Legitimne kompanije hostuju stranice za karijeru na svojim službenim domenama, a ne na web stranicama trećih strana s neobičnim imenima. Isto važi i za zahtjeve za prijavu na društvenim mrežama. Dugmad "Prijavi se putem Facebooka" na legitimnim platformama uvijek će vas preusmjeriti na službenu domenu facebook.com. Ako se stranica za prijavu hostuje na nepoznatom URL-u, vjerovatno se radi o pokušaju phishinga.
- Omogućite višefaktorsku autentifikaciju (MFA) na svim računima na društvenim mrežama. Čak i ako su akreditivi kompromitovani, 2FA može spriječiti napadače da dobiju pristup.
- Nikada ne vjerujte neželjenim ponudama za posao koje stižu putem e-pošte ili aplikacija za razmjenu poruka, posebno onima koje vas prisiljavaju da brzo reagujete.
Metodologija:
U istražnom procesu korištene su metodologije obavještajnih podataka otvorenih izvora (OSINT) i posljedična potreba za potvrđivanjem i validacijom podataka dobivenih unakrsnim referenciranjem.
Posebno, srž naše strategije prikupljanja podataka uključivala je korištenje specifičnih "dorkova" (naprednih nizova za pretraživanje) primijenjenih na glavne generičke pretraživače, kao i korištenje specijaliziranih pretraživača za indeksiranje domena, web stranica i uređaja izloženih na internetu. Među ovim specijaliziranim alatima, opsežno smo koristili pretraživače za Internet stvari (IoT) i servisne platforme slične Shodanu, kao što su Fofa.io i Shodan.io. Ovi alati su nam omogućili da identificiramo ne samo domene već i izložene servise i portove, otkrivajući potencijalne ranjivosti ili nenamjerne izloženosti.
Glavni cilj ove slojevite istraživačke metodologije bio je dvostruk:
- Kako bi se dobio najiscrpniji i najpotpuniji mogući uvid u pejzaž uključenih digitalnih entiteta.
- Da bi se precizno identifikovali domeni koji su zapravo kompromitovani, potrebno je ići dalje od pukog identifikovanja teoretski ranjivih domena.
Ova detaljna analiza osigurala je da su zaključci zasnovani na provjerenim podacima i da je perimetar kompromitovanih sistema definisan sa najvećom mogućom preciznošću.
