„NordVPN“ grėsmių žvalgybos tyrimų padalinys paskelbė, kad atskleidė sudėtingą sukčiavimo apsimetant kampaniją, nukreiptą prieš darbo ieškančius asmenis, apsimetinėjant kai kuriomis žinomiausiomis pasaulio įmonėmis. Operacija išnaudoja pasaulinių gigantų, tokių kaip „Meta“ (ir jos dukterinių įmonių, tokių kaip „Facebook“ ir „WhatsApp“), „Disney“, „Coca-Cola“ ir „Spotify“, pavadinimus, kad pavogtų aukų „Facebook“ prisijungimo duomenis ir užgrobtų jų paskyras.
Tyrimas atskleidė daugiapakopę operaciją. Joje užpuolikai naudoja paslėptus domenus („HUB“), nukreipiamųjų nuorodų aktyvavimo mechanizmus ir realias darbo skelbimų sąsajas, kad nukreiptų aukas kruopščiai sudarytu keliu. Paskutinis žingsnis nukreipia jas į netikrą „Facebook“ prisijungimo puslapį, skirtą jų prisijungimo duomenims nuskaityti.
„Darbo ieškantys asmenys yra ypač pažeidžiami, nes jie jau įpratę dalytis asmenine informacija ir vykdyti nežinomų kontaktų nurodymus“, – sako Domininkas Virbickas, „NordVPN“ produktų direktorius. „Šios kampanijos išnaudoja šį pasitikėjimą, naudodamos sudėtingą komunikaciją ir įtikinamus netikrus karjeros portalus, kurie praktiškai nesiskiria nuo tikrų.“
Kampanija prasideda šaltuoju el. laišku, paprastai siunčiamu per teisėtas paslaugas, tokias kaip „Google AppSheet“, siekiant apeiti šlamšto filtrus. Šie pranešimai atrodo tvarkingi ir profesionalūs, su nepriekaištinga gramatika ir tonu, kuris imituoja tikrus įdarbinimo metodus. Kontaktų sąrašai greičiausiai sudaromi automatiškai renkant duomenis iš tokių platformų kaip „LinkedIn“ arba gaunami iš ankstesnių duomenų nutekėjimo atvejų.
El. laiške esanti nuoroda nukreipia aukas į „HUB“ domeną (pvz., careers.meta-findyourjob[.]com). Šios svetainės sukurtos su integruotu apėjimo mechanizmu. Jei kas nors, nesvarbu, ar tai būtų saugumo analitikas, ar automatinis skaitytuvas, apsilankys domene tiesiogiai, jis matys tik bendrą, inertišką puslapį be jokių interaktyvių funkcijų.
Taigi, kenkėjiškas turinys aktyvuojamas tik tada, kai svetainė pasiekiama per specialią nukreipimo nuorodą, įterptą į sukčiavimo el. laišką. Ši nukreipimo nuoroda veikia kaip raktas, atrakinantis spustelėjamą mygtuką „Ieškoti darbo“, kuris kitaip liktų paslėptas.
Vos tik auka paspaudžia nuorodą, ji nukreipiama į tarpinį domeną, kuris imituoja teisėtą darbo portalą. Sąsaja leidžia vartotojams naršyti, regis, patikimus darbo skelbimus iš netikro prekės ženklo, taip sustiprinant iliuziją, kad jie dalyvauja tikrame atrankos procese.
Pavyzdžiai: plus.jobfusion-mt[.]com ir official.professionlaunch-mt[.]com, skirti „Meta“, careers.coca-contactnow[.]info, skirti „Coca-Cola“, connect.spotifycareerapply[.]com, skirti „Spotify“, ir jobquest.wdcfuturesteps[.]com, skirti „Disney“.
Spąstai užsidaro, kai auka paspaudžia „Pateikti paraišką“ arba „Pateikti paraišką“. Vietoj darbo paraiškos formos jie nukreipiami į sukčiavimo puslapį, kuriame prašoma prisijungti per „Facebook“, kad būtų galima „tęsti paraiškos pildymą“. Šis puslapis skirtas užfiksuoti aukos „Facebook“ prisijungimo duomenis, suteikiant užpuolikams visišką paskyros ir potencialiai visų su ja susietų paslaugų kontrolę.
Kampanija pabrėžia augantį polinkį, kai užpuolikai naudoja patikimus prekės ženklus ir profesinį kontekstą kaip ginklus, kad apeitų natūralų aukų skepticizmą. Kadangi sukčiavimo srautas taip tiksliai imituoja tikrą verbavimo procesą, net atsargūs vartotojai gali būti užklupti netikėtai.
„NordVPN“ siūlo tris veiksmus, kurių vartotojai turėtų imtis gavę bet kokio tipo el. laiškus su darbo pasiūlymais:
- Prieš įvesdami bet kokius prisijungimo duomenis, patikrinkite URL adresą. Teisėtos įmonės karjeros puslapius talpina savo oficialiuose domenuose, o ne trečiųjų šalių svetainėse su neįprastais pavadinimais. Tas pats pasakytina ir apie prisijungimo užklausas socialinėje žiniasklaidoje. Mygtukai „Prisijungti naudojant „Facebook““ teisėtose platformose visada nukreips jus į oficialų facebook.com domeną. Jei prisijungimo puslapis talpinamas nežinomu URL adresu, tai greičiausiai yra sukčiavimo bandymas.
- Įjunkite daugiafaktorinį autentifikavimą (MFA) visose socialinės žiniasklaidos paskyrose. Net jei prisijungimo duomenys yra pažeisti, 2FA gali užkirsti kelią užpuolikams gauti prieigą.
- Niekada nepasitikėkite nepageidaujamais darbo pasiūlymais, gautais el. paštu ar susirašinėjimo programėlėmis, ypač tais, kurie verčia jus veikti greitai.
Metodologija:
Tyrimo procese buvo naudojamos atvirojo kodo žvalgybos (OSINT) metodikos, todėl reikėjo patvirtinti ir validuoti duomenis, gautus naudojant kryžmines nuorodas.
Visų pirma, mūsų duomenų rinkimo strategijos pagrindas buvo specialių „dorkų“ (išplėstinių paieškos eilučių), taikomų pagrindinėms bendrinėms paieškos sistemoms, naudojimas, taip pat specializuotų paieškos sistemų naudojimas domenams, svetainėms ir įrenginiams, kurie yra internete, indeksuoti. Tarp šių specializuotų įrankių plačiai naudojome daiktų interneto (IoT) paieškos sistemas ir panašias į „Shodan“ paslaugų platformas, tokias kaip „Fofa.io“ ir „Shodan.io“. Šios priemonės leido mums identifikuoti ne tik domenus, bet ir pažeidžiamas paslaugas bei prievadus, atskleidžiant galimus pažeidžiamumus ar netyčinį atakos atvejį.
Pagrindinis šios daugiasluoksnės tyrimo metodologijos tikslas buvo dvejopas:
- Gauti kuo išsamesnį ir pilnesnį vaizdą apie susijusių skaitmeninių subjektų aplinką.
- Tiksliai nustatyti domenus, kurie iš tikrųjų buvo pažeisti, neapsiribojant vien teoriškai pažeidžiamų domenų identifikavimu.
Ši išsami analizė užtikrino, kad išvados būtų pagrįstos patikrintais duomenimis ir kad pažeistų sistemų perimetras būtų apibrėžtas kuo tiksliau.
