NordVPN-ის საფრთხის ინტელექტის კვლევითი განყოფილება აცხადებს, რომ მათ გამოავლინეს დახვეწილი ფიშინგის კამპანია, რომელიც მიზნად ისახავდა სამუშაოს მაძიებლების სამიზნედ და მსოფლიოს ყველაზე აღიარებული კომპანიების გაყალბებას. ოპერაცია იყენებს გლობალური გიგანტების სახელებს, როგორიცაა Meta (და მისი შვილობილი კომპანიები, როგორიცაა Facebook და WhatsApp), Disney, Coca-Cola და Spotify, მსხვერპლთა Facebook-ის ავტორიზაციის მოპარვისა და მათი ანგარიშების გატეხვის მიზნით.
გამოძიებამ გამოავლინა მრავალსაფეხურიანი ოპერაცია. მასში თავდამსხმელები იყენებენ ფარულ დომენებს („HUB“), რეფერალური ბმულების გააქტიურების მექანიზმებს და რეალისტურ სამუშაო განცხადებების ინტერფეისებს, რათა მსხვერპლს ფრთხილად აგებულ გზაზე წარმართონ. ბოლო ნაბიჯი მათ გადამისამართებს ყალბ Facebook შესვლის გვერდზე, რომელიც შექმნილია მათი ავტორიზაციის მონაცემების მოსაპოვებლად.
„სამუშაოს მაძიებლები განსაკუთრებით დაუცველები არიან, რადგან ისინი უკვე მიჩვეულები არიან პირადი ინფორმაციის გაზიარებას და უცნობი კონტაქტების ინსტრუქციების შესრულებას“, - ამბობს NordVPN-ის პროდუქტის დირექტორი დომინინკას ვირბიკასი. „ეს კამპანიები ამ ნდობას იყენებენ დახვეწილი კომუნიკაციებისა და დამაჯერებელი ყალბი კარიერული პორტალების გამოყენებით, რომლებიც პრაქტიკულად არ განსხვავდება რეალური პორტალებისგან“
კამპანია იწყება ცივი ელფოსტით, რომელიც, როგორც წესი, იგზავნება ისეთი ლეგიტიმური სერვისების მეშვეობით, როგორიცაა Google AppSheet, სპამის ფილტრების გვერდის ავლით. ეს შეტყობინებები გამოიყურება დახვეწილი და პროფესიონალური, უნაკლო გრამატიკით და ტონით, რომელიც რეალურ რეკრუტირების მიდგომებს იმეორებს. საკონტაქტო სიები, სავარაუდოდ, შედგენილია LinkedIn-ის მსგავსი პლატფორმებიდან მონაცემთა ავტომატიზირებული შეგროვების გზით ან მიღებულია წინა მონაცემთა დარღვევის შედეგად.
ელფოსტაში მოცემული ბმული მსხვერპლს „HUB“ დომენზე (მაგალითად, careers.meta-findyourjob[.]com) გადამისამართებს. ეს საიტები ჩაშენებული თავის არიდების მექანიზმითაა შექმნილი. თუ ვინმე, იქნება ეს უსაფრთხოების ანალიტიკოსი თუ ავტომატური სკანერი, პირდაპირ დომენს ეწვევა, ის მხოლოდ ზოგად, ინერტულ გვერდს დაინახავს ინტერაქტიული ფუნქციონირების გარეშე.
ამგვარად, მავნე კონტენტი მხოლოდ მაშინ აქტიურდება, როდესაც საიტზე წვდომა ხდება ფიშინგის ელფოსტაში ჩასმული კონკრეტული რეფერალური ბმულის მეშვეობით. ეს რეფერალური ბმული გასაღების ფუნქციას ასრულებს და ხსნის „სამუშაოს ძიების“ ღილაკს, რომელიც სხვა შემთხვევაში დაფარული დარჩებოდა.
როგორც კი მსხვერპლი დააწკაპუნებს ბმულზე, ის გადამისამართდება შუალედურ დომენზე, რომელიც ლეგიტიმურ სამუშაო პორტალს სიმულირებს. ინტერფეისი მომხმარებლებს საშუალებას აძლევს, დაათვალიერონ ყალბი ბრენდის ერთი შეხედვით სანდო ვაკანსიები, რაც აძლიერებს ილუზიას, რომ ისინი მონაწილეობენ რეალურ შერჩევის პროცესში.
მაგალითებია plus.jobfusion-mt[.]com და official.professionlaunch-mt[.]com Meta-სთვის, careers.coca-contactnow[.]info Coca-Cola-სთვის, connect.spotifycareerapply[.]com Spotify-სთვის და jobquest.wdcfuturesteps[.]com Disney-სთვის.
ხაფანგი იხურება, როდესაც მსხვერპლი დააწკაპუნებს „განაცხადის წარდგენას“ ან „განაცხადის გაგზავნას“. სამუშაოს განაცხადის ფორმის ნაცვლად, ისინი გადამისამართდებიან ფიშინგის გვერდზე, რომელიც მოითხოვს მათგან Facebook-ის საშუალებით შესვლას „განაცხადის გასაგრძელებლად“. ეს გვერდი შექმნილია მსხვერპლის Facebook-ის მონაცემების მოსაპოვებლად, რაც თავდამსხმელებს აძლევს ანგარიშზე და შესაძლოა მასთან დაკავშირებულ ყველა სერვისზე სრულ კონტროლს.
კამპანია ხაზს უსვამს თავდამსხმელების მიერ სანდო ბრენდებისა და პროფესიული კონტექსტების მზარდ ტენდენციას, როგორც იარაღს, მსხვერპლთა ბუნებრივი სკეპტიციზმის თავიდან ასაცილებლად. რადგან ფიშინგის ნაკადი ასე ზუსტად ბაძავს რეალური რეკრუტირების პროცესს, შეიძლება ფრთხილი მომხმარებლებიც კი მოულოდნელობის წინაშე აღმოჩნდნენ.
NordVPN გთავაზობთ სამ ქმედებას, რომლებიც მომხმარებლებმა უნდა განახორციელონ ნებისმიერი ტიპის ელფოსტის მიღებისას ვაკანსიების შესახებ:
- ნებისმიერი ავტორიზაციის მონაცემების შეყვანამდე გადაამოწმეთ URL. ლეგიტიმური კომპანიები კარიერულ გვერდებს თავიანთ ოფიციალურ დომენებზე ათავსებენ და არა მესამე მხარის ვებსაიტებზე უჩვეულო სახელებით. იგივე ეხება სოციალურ მედიაში შესვლის მოთხოვნებს. ლეგიტიმურ პლატფორმებზე „შესვლა Facebook-ით“ ღილაკები ყოველთვის გადაგამისამართებთ ოფიციალურ facebook.com დომენზე. თუ შესვლის გვერდი უცნობ URL-ზეა განთავსებული, სავარაუდოდ, ეს ფიშინგის მცდელობაა.
- ჩართეთ მრავალფაქტორიანი ავთენტიფიკაცია (MFA) ყველა სოციალური მედიის ანგარიშზე. მაშინაც კი, თუ ავტორიზაციის მონაცემები კომპრომეტირებულია, მეორეფაქტორიან ავთენტიფიკაციას შეუძლია ხელი შეუშალოს თავდამსხმელებს წვდომის მოპოვებაში.
- არასოდეს ენდოთ ელექტრონული ფოსტით ან შეტყობინებების აპლიკაციებით შემოსულ არასასურველ სამუშაო შეთავაზებებს, განსაკუთრებით მათ, რომლებიც სწრაფად მოქმედებისკენ გაიძულებენ.
მეთოდოლოგია:
საგამოძიებო პროცესში გამოყენებული იყო ღია წყაროს დაზვერვის (OSINT) მეთოდოლოგიები და შესაბამისად, საჭირო გახდა მიღებული მონაცემების დადასტურება და ვალიდაცია ჯვარედინი მითითებების გზით.
კერძოდ, ჩვენი მონაცემთა შეგროვების სტრატეგიის ძირითადი ნაწილი მოიცავდა სპეციფიკური „დორკების“ (გაფართოებული ძიების სტრიქონები) გამოყენებას, რომლებიც გამოყენებული იყო ძირითად ზოგად საძიებო სისტემებში, ასევე სპეციალიზებული საძიებო სისტემების გამოყენებას ინტერნეტში გამოფენილი დომენების, ვებსაიტებისა და მოწყობილობების ინდექსირებისთვის. ამ სპეციალიზებულ ინსტრუმენტებს შორის, ჩვენ ფართოდ გამოვიყენეთ საძიებო სისტემები ნივთების ინტერნეტისთვის (IoT) და Shodan-ის მსგავსი სერვისული პლატფორმები, როგორიცაა Fofa.io და Shodan.io. ამ ინსტრუმენტებმა საშუალება მოგვცა, დაგვედგენინა არა მხოლოდ დომენები, არამედ გამოვლენილი სერვისები და პორტები, რამაც გამოავლინა პოტენციური დაუცველობები ან უნებლიე ექსპოზიციები.
ამ მრავალშრიანი კვლევის მეთოდოლოგიის მთავარი მიზანი ორმაგი იყო:
- ჩართული ციფრული ერთეულების ლანდშაფტის ყველაზე ამომწურავი და სრული ხედვის მისაღებად.
- იმ დომენების ზუსტად იდენტიფიცირებისთვის, რომლებიც რეალურად კომპრომეტირებულია, თეორიულად დაუცველი დომენების უბრალოდ იდენტიფიცირების მიღმა.
ამ დეტალურმა ანალიზმა უზრუნველყო, რომ დასკვნები დაფუძნებული ყოფილიყო გადამოწმებულ მონაცემებზე და რომ კომპრომეტირებული სისტემების პერიმეტრი გამოკვეთილიყო მაქსიმალური სიზუსტით.
