NordVPN-ova istraživačka jedinica Threat Intelligence objavljuje da je otkrila sofisticiranu phishing kampanju usmjerenu na kandidate za posao, koja se lažno predstavlja kao neke od najpoznatijih svjetskih tvrtki. Operacija iskorištava imena globalnih divova poput Mete (i njezinih podružnica, poput Facebooka i WhatsAppa), Disneyja, Coca-Cole i Spotifyja kako bi ukrala Facebook vjerodajnice žrtava i otela njihove račune.
Istraga je otkrila višefaznu operaciju. U njoj napadači koriste skrivene domene („HUB-ove“), mehanizme za aktivaciju referalnih poveznica i realistična sučelja oglasa za posao kako bi vodili žrtve kroz pažljivo konstruiran put. Posljednji korak preusmjerava ih na lažnu Facebook stranicu za prijavu, osmišljenu za hvatanje njihovih vjerodajnica.
„Tražitelji posla posebno su ranjivi jer su već navikli dijeliti osobne podatke i slijediti upute nepoznatih kontakata“, kaže Domininkas Virbickas, direktor proizvoda u NordVPN-u. „Ove kampanje iskorištavaju to povjerenje koristeći sofisticiranu komunikaciju i uvjerljive lažne portale za karijeru koji se praktički ne razlikuju od pravih.“
Kampanja započinje hladnom e-poštom, obično poslanom putem legitimnih usluga poput Google AppSheeta kako bi se zaobišli filteri neželjene pošte. Ove poruke izgledaju uglađeno i profesionalno, s besprijekornom gramatikom i tonom koji oponaša stvarne pristupe regrutiranju. Popisi kontakata vjerojatno se sastavljaju automatiziranim prikupljanjem podataka s platformi poput LinkedIna ili su dobiveni iz prethodnih kršenja podataka.
Veza u e-poruci usmjerava žrtve na "HUB" domenu (kao što je careers.meta-findyourjob[.]com). Ove stranice dizajnirane su s ugrađenim mehanizmom izbjegavanja. Ako netko, bilo da je sigurnosni analitičar ili automatizirani skener, izravno posjeti domenu, vidjet će samo generičku, inertnu stranicu bez interaktivne funkcionalnosti.
Dakle, zlonamjerni sadržaj aktivira se samo kada se web-mjestu pristupi putem određene referalne poveznice ugrađene u phishing e-poruku. Ta referalna poveznica djeluje kao ključ, otključavajući gumb "Traži posao" na koji se može kliknuti, a koji bi inače ostao skriven.
Čim žrtva klikne na poveznicu, preusmjerava se na posredničku domenu koja simulira legitimni portal za zapošljavanje. Sučelje omogućuje korisnicima pregledavanje naizgled pouzdanih oglasa za posao lažnog brenda, pojačavajući iluziju da sudjeluju u stvarnom procesu odabira.
Primjeri uključuju plus.jobfusion-mt[.]com i official.professionlaunch-mt[.]com za Metu, careers.coca-contactnow[.]info za Coca-Colu, connect.spotifycareerapply[.]com za Spotify i jobquest.wdcfuturesteps[.]com za Disney.
Zamka se zatvara kada žrtva klikne na "Prijavi se" ili "Pošalji prijavu". Umjesto obrasca za prijavu za posao, preusmjerava se na phishing stranicu koja zahtijeva da se prijavi putem Facebooka kako bi "nastavila s prijavom". Ova stranica je osmišljena za hvatanje Facebook vjerodajnica žrtve, dajući napadačima potpunu kontrolu nad računom i potencijalno svim uslugama povezanim s njim.
Kampanja ističe rastući trend napadača koji koriste pouzdane brendove i profesionalne kontekste kao oružje za zaobilaženje prirodnog skepticizma žrtava. Budući da phishing tok tako precizno oponaša stvarni proces regrutiranja, čak i oprezni korisnici mogu biti iznenađeni.
NordVPN predlaže tri radnje koje bi korisnici trebali poduzeti kada prime bilo kakvu e-poštu s otvorenim radnim mjestima:
- Provjerite URL prije unosa bilo kakvih vjerodajnica. Legitimne tvrtke hostiraju stranice s karijerama na svojim službenim domenama, a ne na web stranicama trećih strana s neobičnim nazivima. Isto vrijedi i za zahtjeve za prijavu na društvenim mrežama. Gumbi "Prijava putem Facebooka" na legitimnim platformama uvijek će vas preusmjeriti na službenu domenu facebook.com. Ako se stranica za prijavu nalazi na nepoznatom URL-u, vjerojatno se radi o pokušaju krađe identiteta.
- Omogućite višefaktorsku autentifikaciju (MFA) na svim računima društvenih mreža. Čak i ako su vjerodajnice kompromitirane, 2FA može spriječiti napadače da dobiju pristup.
- Nikada ne vjerujte neželjenim ponudama za posao koje stižu putem e-pošte ili aplikacija za razmjenu poruka, posebno onima koje vas prisiljavaju da brzo reagirate.
Metodologija:
U istražnom procesu korištene su metodologije obavještajnih podataka otvorenih izvora (OSINT) i posljedična potreba za potvrđivanjem i validacijom podataka dobivenih unakrsnim upućivanjem.
Posebno, srž naše strategije prikupljanja podataka uključivala je korištenje specifičnih "dorkova" (naprednih nizova za pretraživanje) primijenjenih na glavne generičke tražilice, kao i korištenje specijaliziranih tražilica za indeksiranje domena, web stranica i uređaja izloženih na internetu. Među tim specijaliziranim alatima, opsežno smo koristili tražilice za Internet stvari (IoT) i servisne platforme slične Shodanu, kao što su Fofa.io i Shodan.io. Ovi alati omogućili su nam da identificiramo ne samo domene već i izložene usluge i portove, otkrivajući potencijalne ranjivosti ili nenamjerne izloženosti.
Glavni cilj ove slojevite istraživačke metodologije bio je dvostruk:
- Kako bi se dobio što iscrpniji i najpotpuniji pregled krajolika uključenih digitalnih entiteta.
- Kako bi se točno identificirale domene koje su stvarno kompromitirane, ide se dalje od pukog identificiranja teoretski ranjivih domena.
Ova detaljna analiza osigurala je da su zaključci temeljeni na provjerenim podacima i da je perimetar kompromitiranih sustava određen s najvećom mogućom preciznošću.
