D'Fuerschungseenheet vun NordVPN, déi sech mat Threat Intelligence beschäftegt, annoncéiert, datt si eng sophistikéiert Phishing-Kampagne entdeckt huet, déi sech op Jobbewerber riicht, andeems se sech fir e puer vun de bekanntste Firmen op der Welt ausginn. D'Operatioun notzt d'Nimm vu globale Risen wéi Meta (an hir Duechtergesellschaften, wéi Facebook a WhatsApp), Disney, Coca-Cola a Spotify aus, fir d'Facebook-Umeldungsdaten vun den Affer ze klauen an hir Konten ze kapéieren.
D'Ermëttlungen hunn eng Operatioun a verschiddene Etappen opgedeckt. Dobäi benotzen d'Attacker verstoppte Domainen ("HUBs"), Referral-Link-Aktivéierungsmechanismen a realistesch Aarbechtsannoncen-Interfaces, fir d'Affer duerch e suergfälteg konstruéierte Wee ze féieren. De leschte Schrëtt leet se op eng gefälschte Facebook-Loginsäit ëm, déi entwéckelt gouf, fir hir Umeldungsinformatiounen ze sammelen.
„Aarbechtssichend si besonnesch vulnérabel, well se scho gewinnt sinn, perséinlech Informatiounen ze deelen an Instruktioune vun onbekannte Kontakter ze verfollegen“, seet den Domininkas Virbickas, Produktdirekter bei NordVPN. „Dës Kampagnen notzen dëst Vertrauen aus andeems se sophistikéiert Kommunikatiounen an iwwerzeegend gefälscht Karriärportaler benotzen, déi praktesch net vun de richtegen z'ënnerscheeden sinn.“
D'Campagne fänkt mat enger kaler E-Mail un, déi normalerweis iwwer legitim Servicer wéi Google AppSheet geschéckt gëtt, fir Spamfilter ze ëmgoen. Dës Messagen erschéngen elegant a professionell, mat enger impeccabler Grammatik an engem Toun, deen echt Rekrutéierungsmethoden imitéiert. D'Kontaktlëschte gi wahrscheinlech duerch automatiséiert Datenerfassung vu Plattforme wéi LinkedIn zesummegestallt oder vu fréiere Datenlecke kritt.
De Link an der E-Mail leet d'Affer op eng "HUB"-Domain (wéi z.B. careers.meta-findyourjob[.]com). Dës Säite si mat engem agebaute Ausweichmechanismus entworf. Wann een, egal ob et e Sécherheetsanalyst oder en automatiséierte Scanner ass, d'Domain direkt besicht, gesäit hien nëmmen eng generesch, inert Säit ouni interaktiv Funktionalitéit.
Dofir gëtt de béiswëllegen Inhalt nëmmen aktivéiert, wann d'Websäit iwwer e spezifesche Referrallink, deen an der Phishing-E-Mail integréiert ass, opgeruff gëtt. Dëse Referrallink déngt als Schlëssel a spärt e klickbare Knäppchen "Sich no enger Aarbechtsplaz" op, deen soss verstoppt wier.
Soubal d'Affer op de Link klickt, gëtt et op eng Zwëschendomän weidergeleet, déi e legitime Jobportal simuléiert. D'Interface erlaabt et de Benotzer, scheinbar vertrauenswierdeg Jobannoncen vun der gefälschter Mark ze duerchsichen, wat d'Illusioun verstäerkt, datt et un engem richtege Selektiounsprozess deelhëlt.
Beispiller sinn plus.jobfusion-mt[.]com an official.professionlaunch-mt[.]com fir Meta, careers.coca-contactnow[.]info fir Coca-Cola, connect.spotifycareerapply[.]com fir Spotify a jobquest.wdcfuturesteps[.]com fir Disney.
D'Fal schléisst sech, wann d'Affer op "Bewerben" oder "Bewerbung ofginn" klickt. Amplaz vun engem Bewerbungsformular gi si op eng Phishing-Säit weidergeleet, déi verlaangt, sech iwwer Facebook anzeloggen, fir "mat der Bewerbung weiderzemaachen". Dës Säit ass entwéckelt fir d'Facebook-Umeldungsinformatioune vum Affer ze erfassen, sou datt den Ugräifer déi voll Kontroll iwwer de Kont a potenziell all Servicer, déi domat verbonne sinn, kritt.
D'Campagne weist op en wuessenden Trend hin, datt Attacker vertrauenswierdeg Marken a professionell Kontexter als Waffen benotzen, fir d'natierlech Skepsis vun den Affer ze ëmgoen. Well de Phishing-Flow e richtege Rekrutéierungsprozess sou präzis imitéiert, kënne souguer virsiichteg Benotzer iwwerrascht ginn.
NordVPN proposéiert dräi Aktiounen, déi d'Benotzer maache sollen, wa se iergendeng Zort E-Mail mat fräie Stellen kréien:
- Iwwerpréift d'URL ier Dir Är Umeldungsinformatiounen aginn. Legitim Firmen hosten Karriärsäiten op hiren offiziellen Domainen, net op Websäite vun Drëttpersounen mat ongewéinlechen Nimm. Datselwecht gëllt fir Login-Ufroen op sozialen Medien. D'Knäppercher "Login with Facebook" op legitime Plattforme leeden Iech ëmmer op den offiziellen facebook.com Domain weider. Wann d'Login-Säit op enger onbekannter URL gehost gëtt, ass et wahrscheinlech e Phishing-Versuch.
- Aktivéiert d'Multi-Faktor-Authentifikatioun (MFA) op all Social-Media-Konten. Och wann d'Umeldungsinformatioune kompromittéiert sinn, kann 2FA verhënneren, datt Attacker Zougang kréien.
- Vertraut ni ongefrote Jobofferen, déi per E-Mail oder Messagerie-Apps kommen, besonnesch net deenen, déi Iech ënner Drock setzen, séier ze handelen.
Methodologie:
De Rechercheprozess huet Open-Source Intelligence (OSINT) Methoden benotzt an dofir war et néideg, d'Donnéeën, déi duerch Kräizreferenzen gewonnen goufen, ze bestätegen an ze validéieren.
Besonnesch de Kär vun eiser Datenerfassungsstrategie war d'Benotzung vu spezifesche "Dorks" (fortgeschratt Sichzeechen), déi op grouss generesch Sichmaschinne benotzt goufen, souwéi d'Benotzung vu spezialiséierte Sichmaschinne fir Domainen, Websäiten an Apparater ze indexéieren, déi um Internet verfügbar sinn. Ënnert dësen spezialiséierten Tools hu mir extensiv Sichmaschinne fir den Internet vun de Saachen (IoT) a Serviceplattforme ähnlech wéi Shodan, wéi Fofa.io a Shodan.io, benotzt. Dës Tools hunn et eis erlaabt, net nëmmen d'Domainen, mä och déi ausgesat Servicer a Ports z'identifizéieren, wouduerch potenziell Schwachstelle oder ongewollt Belaaschtungen opgedeckt goufen.
D'Haaptzil vun dëser geschichteter Fuerschungsmethodologie war zweifach:
- Fir e méiglechst komplette Bléck op d'Landschaft vun den involvéierten digitalen Entitéiten ze kréien.
- Fir déi Domänen, déi tatsächlech kompromittéiert goufen, genee z'identifizéieren, geet et iwwer d'Identifikatioun vun theoretesch vulnérabelen Domänen eraus.
Dës detailléiert Analyse huet garantéiert, datt d'Conclusiounen op verifizéierten Donnéeën baséieren an datt de Perimeter vun de kompromittéierte Systemer mat der gréisstméiglecher Präzisioun ofgegrenzt gouf.
