NordVPN Draudu izlūkošanas pētniecības nodaļa paziņo, ka ir atklājusi sarežģītu pikšķerēšanas kampaņu, kas vērsta pret darba meklētājiem, uzdodoties par dažiem no pasaulē atzītākajiem uzņēmumiem. Operācija izmanto tādu globālu gigantu kā Meta (un tā meitasuzņēmumu, piemēram, Facebook un WhatsApp), Disney, Coca-Cola un Spotify nosaukumus, lai nozagtu upuru Facebook akreditācijas datus un nolaupītu viņu kontus.
Izmeklēšanā tika atklāta daudzpakāpju operācija. Tajā uzbrucēji izmanto slēptus domēnus (“HUB”), novirzīšanas saišu aktivizēšanas mehānismus un reālistiskas darba sludinājumu saskarnes, lai vadītu upurus pa rūpīgi izveidotu ceļu. Pēdējais solis novirza viņus uz viltotu Facebook pieteikšanās lapu, kas izstrādāta, lai iegūtu viņu akreditācijas datus.
“Darba meklētāji ir īpaši neaizsargāti, jo viņi jau ir pieraduši dalīties ar personisko informāciju un sekot nezināmu kontaktpersonu norādījumiem,” saka Domininks Virbicks, NordVPN produktu direktors. “Šīs kampaņas izmanto šo uzticēšanos, izmantojot izsmalcinātu komunikāciju un pārliecinošus viltotus karjeras portālus, kas praktiski neatšķiras no īstajiem.”
Kampaņa sākas ar aukstu e-pastu, kas parasti tiek nosūtīts, izmantojot likumīgus pakalpojumus, piemēram, Google AppSheet, lai apietu surogātpasta filtrus. Šie ziņojumi izskatās noslīpēti un profesionāli, ar nevainojamu gramatiku un toni, kas atdarina reālas vervēšanas pieejas. Kontaktpersonu saraksti, visticamāk, tiek apkopoti, izmantojot automatizētu datu vākšanu no tādām platformām kā LinkedIn vai iegūti no iepriekšējiem datu pārkāpumiem.
E-pastā esošā saite novirza upurus uz "HUB" domēnu (piemēram, careers.meta-findyourjob[.]com). Šīs vietnes ir izstrādātas ar iebūvētu apiešanas mehānismu. Ja kāds, neatkarīgi no tā, vai tas ir drošības analītiķis vai automatizēts skeneris, apmeklē domēnu tieši, viņš redzēs tikai vispārīgu, inertu lapu bez interaktīvas funkcionalitātes.
Tādējādi ļaunprātīgais saturs tiek aktivizēts tikai tad, kad vietnei piekļūst, izmantojot īpašu novirzīšanas saiti, kas iegulta pikšķerēšanas e-pastā. Šī novirzīšanas saite darbojas kā atslēga, kas atbloķē noklikšķināmu pogu “Meklēt darbu”, kas citādi paliktu paslēpta.
Tiklīdz upuris noklikšķina uz saites, viņš tiek novirzīts uz starpnieka domēnu, kas imitē likumīgu darba portālu. Saskarne ļauj lietotājiem pārlūkot šķietami uzticamus darba sludinājumus no viltota zīmola, pastiprinot ilūziju, ka viņi piedalās reālā atlases procesā.
Piemēri ir plus.jobfusion-mt[.]com un official.professionlaunch-mt[.]com pakalpojumam Meta, careers.coca-contactnow[.]info pakalpojumam Coca-Cola, connect.spotifycareerapply[.]com pakalpojumam Spotify un jobquest.wdcfuturesteps[.]com pakalpojumam Disney.
Slazds aizveras, kad upuris noklikšķina uz “Pieteikties” vai “Iesniegt pieteikumu”. Darba pieteikuma veidlapas vietā viņi tiek novirzīti uz pikšķerēšanas lapu, kurā viņiem ir jāpiesakās, izmantojot Facebook, lai “turpinātu pieteikuma iesniegšanu”. Šī lapa ir paredzēta, lai iegūtu upura Facebook akreditācijas datus, dodot uzbrucējiem pilnīgu kontroli pār kontu un, iespējams, visiem ar to saistītajiem pakalpojumiem.
Kampaņa izceļ pieaugošo tendenci, ka uzbrucēji izmanto uzticamus zīmolus un profesionālos kontekstus kā ieročus, lai apietu upuru dabisko skepsi. Tā kā pikšķerēšanas plūsma tik precīzi atdarina reālu vervēšanas procesu, pat piesardzīgi lietotāji var tikt pārsteigti nesagatavoti.
NordVPN iesaka trīs darbības, kas lietotājiem jāveic, saņemot jebkāda veida e-pastus ar darba piedāvājumiem:
- Pirms jebkādu akreditācijas datu ievadīšanas pārbaudiet URL. Likumīgi uzņēmumi mitina karjeras lapas savos oficiālajos domēnos, nevis trešo pušu vietnēs ar neparastiem nosaukumiem. Tas pats attiecas uz pieteikšanās pieprasījumiem sociālajos tīklos. Pogas “Pieteikties ar Facebook” likumīgās platformās vienmēr novirzīs jūs uz oficiālo facebook.com domēnu. Ja pieteikšanās lapa atrodas nezināmā URL, tas, visticamāk, ir pikšķerēšanas mēģinājums.
- Iespējojiet daudzfaktoru autentifikāciju (MFA) visos sociālo mediju kontos. Pat ja akreditācijas dati ir apdraudēti, 2FA var novērst uzbrucēju piekļuvi.
- Nekad neuzticieties nelūgtiem darba piedāvājumiem, kas tiek saņemti pa e-pastu vai ziņojumapmaiņas lietotnēm, īpaši tiem, kas spiež jūs rīkoties ātri.
Metodoloģija:
Izmeklēšanas procesā tika izmantotas atvērtā pirmkoda izlūkošanas (OSINT) metodoloģijas, un tāpēc bija nepieciešams apstiprināt un validēt datus, kas iegūti, izmantojot savstarpējas atsauces.
Konkrētāk, mūsu datu vākšanas stratēģijas pamatā bija īpašu “dorku” (paplašināto meklēšanas virkņu) izmantošana, kas tika piemērotas lielākajām vispārīgajām meklētājprogrammām, kā arī specializētu meklētājprogrammu izmantošana, lai indeksētu internetā pieejamos domēnus, tīmekļa vietnes un ierīces. Starp šiem specializētajiem rīkiem mēs plaši izmantojām lietu interneta (IoT) meklētājprogrammas un pakalpojumu platformas, kas ir līdzīgas Shodan, piemēram, Fofa.io un Shodan.io. Šie rīki ļāva mums identificēt ne tikai domēnus, bet arī neaizsargātos pakalpojumus un portus, atklājot potenciālas ievainojamības vai netīšu apdraudējumu.
Šīs slāņotās pētniecības metodoloģijas galvenais mērķis bija divējāds:
- Lai iegūtu pēc iespējas izsmeļošāko un pilnīgāko priekšstatu par iesaistīto digitālo vienību ainavu.
- Lai precīzi identificētu domēnus, kas faktiski ir tikuši apdraudēti, neaprobežojoties tikai ar teorētiski neaizsargātu domēnu identificēšanu.
Šī detalizētā analīze nodrošināja, ka secinājumi balstījās uz pārbaudītiem datiem un ka apdraudēto sistēmu perimetrs tika noteikts ar vislielāko iespējamo precizitāti.
